Kurzfassung

Kriminelle haben sich über Phishing-E-Mails Zugang zu Kundenkonten des Schweizer KMU-Software-Marktführers Bexio verschafft und dabei in Rechnungsstammdaten hinterlegte IBAN-Nummern manipuliert, ohne dass die Systeme von Bexio selbst kompromittiert wurden.

  • Kriminelle haben sich über Phishing-E-Mails Zugang zu Kundenkonten des Schweizer KMU-Software-Marktführers Bexio verschafft und dabei in Rechnungsstammdaten hinterlegte IBAN-Nummern manipuliert, ohne dass die Systeme von Bexio selbst kompromittiert wurden.
  • Nach dem sogenannten Business-E-Mail-Compromise-Muster wirken die manipulierten Rechnungen völlig authentisch, da sie technisch korrekt aus dem System der betroffenen Kundschaft versendet werden – mit korrektem Briefkopf, korrekter Absenderadresse und gewohntem Tonfall.
  • Laut Branchenanalysen des Sicherheitsunternehmens Vectra AI enthalten inzwischen 82,6 Prozent aller Phishing-E-Mails KI-generierten Inhalt, wodurch klassische Erkennungsmerkmale wie schlechte Grammatik grösstenteils wegfallen; Bexio hat als Reaktion die Zwei-Faktor-Authentifizierung für alle über 100'000 Geschäftskunden verpflichtend gemacht.

Was ist passiert?

Unbekannte haben in den vergangenen Wochen im Namen von Bexio, dem grössten Schweizer Anbieter von Geschäftssoftware für Kleinst- und Kleinunternehmen, gefälschte E-Mails in deutscher und französischer Sprache versendet. Die Mails führten Empfängerinnen und Empfänger auf täuschend echt aussehende Webseiten, auf denen sie zur Eingabe ihrer Zugangsdaten aufgefordert wurden. Mit den erbeuteten Logins gelang es den Angreifenden in Einzelfällen, sich in echte Kundenkonten einzuloggen, dort hinterlegte IBAN-Nummern in den Rechnungsstammdaten zu manipulieren oder auf Adressdaten zuzugreifen. Die Systeme von Bexio selbst waren dabei zu keinem Zeitpunkt kompromittiert – der Angriffspunkt lag ausschliesslich bei den einzelnen Kundenkonten.

Das Muster folgt dem klassischen Business-E-Mail-Compromise (BEC): Nach dem initialen Zugriff über eine Phishing-Mail ändern die Angreifenden im Hintergrund die hinterlegten IBAN-Nummern, sodass künftige, technisch völlig legitime Rechnungen aus dem System der betroffenen Firma automatisch mit den manipulierten Kontoangaben verschickt werden – inklusive korrektem Briefkopf, korrekter Absenderadresse und gewohntem Tonfall. Als Sofortmassnahme hat Bexio die Zwei-Faktor-Authentifizierung (2FA) für sämtliche über 100'000 Geschäftskundinnen und -kunden verpflichtend eingeführt.

Warum ist das wichtig?

Der Fall illustriert eine Entwicklung, die weit über Bexio hinausgeht: Laut Branchenanalysen des auf KI-gestützte Bedrohungserkennung spezialisierten Sicherheitsunternehmens Vectra AI enthalten inzwischen 82,6 Prozent aller Phishing-E-Mails KI-generierten Inhalt. Klassische Warnsignale wie holprige Grammatik oder unbeholfene Formulierungen, auf die Mitarbeitende und automatisierte Filter traditionell trainiert werden, fallen damit grösstenteils weg – die gefälschten Nachrichten sind sprachlich kaum noch von echter Geschäftskorrespondenz zu unterscheiden.

Für die IT-Sicherheitsbranche bestätigt der Fall einen bereits länger beobachteten Trend: Generative KI senkt die Einstiegshürde für professionell wirkende Betrugskampagnen erheblich, während gleichzeitig die technische Rate erfolgreicher Kontoübernahmen bei fehlender Zwei-Faktor-Authentifizierung unverändert hoch bleibt. Bexios Entscheidung, 2FA flächendeckend verpflichtend zu machen, folgt damit einem Muster, das auch andere grosse Software-as-a-Service-Anbieter zunehmend übernehmen, um das schwächste Glied in der Sicherheitskette – einzelne, ungeschützte Nutzerkonten – strukturell abzusichern.

Was bedeutet das für die Schweiz?

Bexio gilt als Marktführer für Geschäftssoftware bei Schweizer Kleinst- und Kleinunternehmen; ein erfolgreicher Angriff auf das Ökosystem rund um einen derart verbreiteten Anbieter trifft potenziell einen grossen Teil der Schweizer KMU-Landschaft gleichzeitig – von Treuhandbüros über kleine Handwerksbetriebe bis zu Einzelunternehmen, die selten über eigene IT-Sicherheitsabteilungen verfügen. Weil KI-generierte Phishing-Mails kaum noch erkennbare sprachliche Fehler enthalten, verliert der bislang wichtigste Sensibilisierungstipp für Mitarbeitende – «auf schlechte Sprache achten» – spürbar an Wirksamkeit, was Schweizer KMU zwingt, ihre internen Schulungen grundlegend anzupassen.

Das Bundesamt für Cybersicherheit (BACS) und das KMU-Portal des Bundes empfehlen als konkrete Gegenmassnahme, zweifelhafte Nachrichten grundsätzlich über einen anderen Kommunikationskanal zu verifizieren und IBAN-Angaben auf Rechnungen von Lieferantinnen und Lieferanten sowie in eigenen Rechnungsentwürfen regelmässig zu kontrollieren – ein einfacher, aber in der Praxis oft vernachlässigter Schritt, der den aktuellen Betrugsfall entscheidend hätte verhindern können. Für Schweizer KMU, die zunehmend auf Cloud-Buchhaltungssoftware setzen, unterstreicht der Fall zudem, wie wichtig eine verpflichtende Zwei-Faktor-Authentifizierung als Mindeststandard bei der Wahl solcher Dienste geworden ist.

Häufige Fragen

Was ist die Kernaussage zu KI-generierte Phishing-Mails treffen Schweizer KMU-Software-Marktführer Bexio – 2FA wird für alle 100'000 Kunden Pflicht?

Kriminelle haben sich über Phishing-E-Mails Zugang zu Kundenkonten des Schweizer KMU-Software-Marktführers Bexio verschafft und dabei in Rechnungsstammdaten hinterlegte IBAN-Nummern manipuliert, ohne dass die Systeme von Bexio selbst kompromittiert wurden.

Warum ist diese KI-Meldung für die Schweiz relevant?

Bexio gilt als Marktführer für Geschäftssoftware bei Schweizer Kleinst- und Kleinunternehmen; ein erfolgreicher Angriff auf das Ökosystem rund um einen derart verbreiteten Anbieter trifft potenziell einen grossen Teil der Schweizer KMU-Landschaft gleichzeitig.

Welche Quelle nutzt KI News Schweiz für diese Einordnung?

borncity.com und watson.ch berichteten über die Phishing-Welle gegen Bexio-Kundschaft; 20 Minuten und Computerworld lieferten zusätzliche Details zum Angriffsmuster und zu den eingeführten Schutzmassnahmen.