Anfang Mai hat das BACS eine Angriffsform beschrieben, die uns in Kundenprojekten ständig begegnet – und die trotzdem die meisten unterschätzen: Double Phishing. Klingt nach Marketing-Buzzword, ist aber ziemlich genau das, was passiert.
Erst kommt eine SMS. Typisch: «Ihr Paket konnte nicht zugestellt werden.» Wer draufklickt und seine Daten eingibt – Name, Adresse, Kreditkarte – bekommt kurz darauf einen Anruf. Und hier wird’s fies. Der Anrufer kennt die gerade eingegebenen Daten, gibt sich als Bankmitarbeiter oder Polizist aus und klingt absolut professionell. Dann die Forderung: Zahlung freigeben, Zugangsdaten bestätigen, irgendeine Software installieren.
Zwei Kanäle, ein Angriff. Klingt simpel? Funktioniert erschreckend gut.
Warum das gerade jetzt explodiert
Ehrlich gesagt: Klassisches E-Mail-Phishing stösst an seine Grenzen. Die Leute sind skeptischer geworden – endlich. Spam-Filter werden besser. Phishing-Seiten leben manchmal nur noch Stunden, bevor sie abgeschaltet werden. Also machen die Angreifer das Naheliegende: Sie schalten einen Gang hoch.
Die SMS liefert den Vorwand und sammelt Daten. Der Anruf liefert die Glaubwürdigkeit. Und genau da liegt der Trick. Wenn jemand am Telefon deinen Namen kennt, deine Adresse, deine letzte angebliche Bestellung – wer denkt da schon an Betrug?
Proofpoint hat für 2025 einen Anstieg von 97 Prozent bei mehrkanaligen Phishing-Angriffen dokumentiert. Siebenundneunzig Prozent. Die Zeiten, in denen Phishing nur per E-Mail kam, sind definitiv vorbei.
Wie das konkret abläuft – das BACS-Beispiel
Eine SMS meldet ein Paket, das nicht zugestellt werden konnte. Link drücken, Seite sieht aus wie vom Paketdienst – täuschend echt. Name, Adresse, Kreditkartendaten eingeben, angeblich für eine kleine Nachgebühr von CHF 2.90 oder so.
Und dann, manchmal schon nach zehn Minuten, klingelt das Telefon. Der Anrufer kennt die Daten, die man gerade eingegeben hat. Gibt sich als Bankmitarbeiter aus, «verdächtige Transaktion verifizieren». Oder als Polizist, der den «Betrugsfall» aufnimmt. In Wahrheit geht es darum, das Opfer zu einer weiteren Handlung zu bewegen – Twint-Zahlung bestätigen, Sicherheitscode weitergeben.
Das Timing ist der Schlüssel. Das Opfer ist noch im Kontext. Die Paketgeschichte ist noch im Kopf. Die Verbindung zwischen SMS und Anruf wirkt logisch statt verdächtig. Genau das ist das Problem.
Und jetzt mal für KMU
Double Phishing trifft nicht nur Privatpersonen – weit gefehlt. Im Unternehmenskontext sieht das so aus: Mitarbeiter kriegt eine Phishing-Mail, angeblich vom Lieferanten. Klick, Login-Daten eingegeben. Kurz darauf ruft jemand an – «IT-Support» oder «der Lieferant selbst» – und nutzt die Infos, um den Angriff zu vertiefen.
Oder CEO-Fraud. Eine E-Mail vom «Geschäftsführer» kündigt eine dringende Überweisung an. Zehn Minuten später ruft der «Geschäftsführer» an und bestätigt. Die Stimme klingt vertraut – oder wird es bald, dank KI-Stimmklonen. Aber das ist nochmal eine eigene Geschichte.
Was die Kombination so gefährlich macht: Sie hebelt den natürlichen Gegencheck aus. Jede Sicherheitsschulung empfiehlt: «Wenn Sie eine verdächtige E-Mail erhalten, bestätigen Sie über einen zweiten Kanal.» Genau diesen zweiten Kanal liefern die Angreifer gleich mit. Ziemlich clever, oder?
Was dagegen hilft
Die wichtigste Regel – und wir können sie nicht oft genug wiederholen: Der Rückruf muss über eine selbst recherchierte Nummer erfolgen. Nicht die Nummer im Display. Nicht die Nummer in der E-Mail. Nicht die Nummer, die der Anrufer «hilfsbereit» diktiert. Die Nummer auf der offiziellen Website oder in den eigenen Unterlagen.
Für Unternehmen braucht es eine klare Eskalationsregel: Jede Zahlungsanweisung per E-Mail oder Telefon, die nicht dem üblichen Prozess folgt, wird pausiert und unabhängig verifiziert. Das kostet fünf Minuten. Wissen Sie, was ein erfolgreicher Double-Phishing-Angriff kostet? Ein Vielfaches.
Und – das übersehen viele – die Sensibilisierung muss über E-Mail-Phishing hinausgehen. Wer seine Mitarbeitenden nur mit simulierten Phishing-Mails testet, bereitet sie auf den Angriff von gestern vor. Die Kombination aus digitalem und telefonischem Vektor muss Teil des Trainings sein.
Das grössere Bild
Double Phishing ist kein Einzelphänomen. Es spiegelt einen Trend, den wir bei praktisch allen aktuellen Angriffen sehen: Mehr Aufwand pro Ziel, höhere Rendite pro Angriff. Statt zehntausend generische E-Mails rauszuhauen, konzentrieren sich die Gruppen auf weniger Ziele – dafür mit mehrstufiger Vorgehensweise. Für die Verteidigung heisst das: Einfache Filter und eine jährliche Schulungs-PowerPoint reichen nicht mehr. Es braucht Prozesse, die auch dann greifen, wenn der Angriff über mehrere Kanäle kommt und gut recherchiert ist.
In unseren Social-Engineering-Assessments simulieren wir genau solche mehrstufigen Angriffe – inklusive kombinierter E-Mail- und Telefon-Szenarien. Klingt unangenehm? Ist es auch. Aber besser bei uns als beim Ernstfall. Sprechen Sie mit uns.
Quellen und weiterführende Informationen: BACS Wochenrückblick KW 18, Proofpoint State of the Phish 2026