Gefälschte E-Mails vom «Handelsregister» fordern Datenaktualisierung – BACS und Polizei warnen Firmen

Die Welle beginnt mit einer E-Mail, die angeblich vom Eidgenössischen Amt für das Handelsregister (EHRA) stammt. Laut der Fallbeschreibung von cybercrimepolice.ch vom 4. November 2026 behauptet die Nachricht, bei Änderungen am Handelsregistereintrag habe sich gezeigt, dass die hinterlegten Firmendaten möglicherweise fehlerhaft seien. Die Empfänger sollen die Angaben innert sechs Arbeitstagen korrigieren. Wer das nicht tut, dem drohen laut Mail Verwaltungsmassnahmen, die vorübergehende Löschung des Eintrags und Schwierigkeiten bei geschäftlichen Vorgängen. Das BACS bestätigt in seiner Warnung vom 6. November 2026, dass es derzeit zahlreiche Meldungen zu dieser angeblich notwendigen Datenaktualisierung erhält – und stellt klar: Es handelt sich um Phishing.

Auffällig ist die Anrede «Grüezi, sehr geehrte Geschäftsleitung». Die Mail richtet sich laut cybercrimepolice.ch ausdrücklich an die Unternehmensleitung – möglicherweise, um Personen mit Entscheidungs- oder Verwaltungsverantwortung zu erreichen und der Aufforderung so mehr Gewicht zu geben. Wer in einer kleinen Firma die Post der Geschäftsleitung bearbeitet, soll die Nachricht als dringende Behördensache einstufen und nicht als Werbung.

Der Link in der Mail führt auf eine Website, die den Auftritt der Schweizerischen Eidgenossenschaft nachahmt und den Vorgang als behördliche Prüfung inszeniert. Zuerst ist eine Referenznummer einzugeben. Danach verlangt die Seite Angaben zur Person, zum Unternehmen und zur Kontaktaufnahme. Im nächsten Schritt soll die Berechtigung angeblich anhand der IBAN überprüft werden; zusätzlich wird der Name der Bank abgefragt.

Damit das alles plausibel wirkt, zeigt die Seite laut Polizei Fortschrittsanzeigen und schliesst mit einer Erfolgsmeldung ab. Die einzelnen Eingaben erscheinen so als Teile eines zusammenhängenden Verwaltungsprozesses – genau das, was man von einem Online-Schalter des Bundes erwarten würde. Wer am Ende die Bestätigung sieht, hat keinen Grund, Verdacht zu schöpfen, und merkt oft erst viel später, dass die Daten in falschen Händen sind.

Anders als bei vielen Phishing-Maschen verlangt die gefälschte EHRA-Seite keine Zahlung und keine Kreditkartennummer. Das macht sie nicht harmloser. Laut cybercrimepolice.ch könnten die erfassten Angaben als Grundlage für einen späteren, gezielten Betrugsversuch dienen – per E-Mail als Spear-Phishing oder per Telefon als Vishing. Wer Name, Funktion, Firma, Telefonnummer, IBAN und Bank einer Person kennt, kann sie beim nächsten Kontakt sehr glaubwürdig ansprechen.

Die Polizei hält es für denkbar, dass sich die Täter in einer zweiten Welle erneut als EHRA ausgeben – oder als Mitarbeitende der Bank, deren Name im Formular angegeben wurde. Dann könnten weitere sensible Informationen oder eine Zahlung verlangt werden, zum Beispiel unter dem Vorwand, eine angeblich fehlgeschlagene Prüfung abzuschliessen. Das Muster ist bekannt: Zuerst wird Vertrauen aufgebaut und Wissen gesammelt, dann wird kassiert.

Für Schweizer KMU ist das keine Randnotiz. Die Cyberstudie 2026, die wir in (→ Über 35'000 Schweizer KMU von schweren Cyberangriffen getroffen – nur jedes vierte testet seine Backups) ausgewertet haben, zeigt, dass Phishing bei rund einem Drittel der gemeldeten Vorfälle beteiligt war und 6 Prozent der befragten KMU in den letzten drei Jahren Opfer eines schweren Cyberangriffs wurden. Nur rund ein Drittel der Firmen schult die Mitarbeitenden regelmässig. Eine Mail, die wie ein Behördenbrief aussieht und an die Geschäftsleitung adressiert ist, trifft also auf viele Unternehmen, die darauf nicht vorbereitet sind.

Das Handelsregister ist eine öffentliche Datenbank. Das Eidgenössische Amt für das Handelsregister führt laut Bundesamt für Justiz (BJ) ein Firmenzentralregister, das täglich aktualisiert über den Zentralen Firmenindex Zefix zugänglich gemacht wird; Einzelabfragen sind unentgeltlich. Firmenname, Sitz, Handelsregisternummer und die Namen der Zeichnungsberechtigten kann also jeder nachschlagen – auch Kriminelle. Ob die aktuellen Phishing-Mails solche Angaben enthalten, geht aus den Warnungen von BACS und Polizei nicht hervor. Klar ist aber: Das Material für eine glaubwürdige Ansprache liegt offen.

Wie dieses Material missbraucht wird, hat das BACS bereits im Wochenrückblick 25/2025 vom 24. Juni 2025 beschrieben. Kriminelle nutzen demnach öffentlich einsehbare Firmendaten, insbesondere aus Zefix, um Firmen zu imitieren. Sie suchen gezielt Unternehmen ohne oder mit geringer Online-Präsenz – etwa kleine Kanzleien, Beratungs- oder Investmentfirmen – und übernehmen Firmenname, Adresse, Handelsregisternummer und Namen der Geschäftsführer für täuschend echte Auftritte. Damit werben sie für betrügerische Investitionen, verschicken gefälschte Rechnungen, betreiben Phishing oder erschleichen sich das Vertrauen von Geschäftspartnern. Die Empfehlungen aus der aktuellen Warnung – eine eigene Website betreiben, den eigenen Firmennamen regelmässig online suchen, Mitarbeitende sensibilisieren – stammen aus genau diesem Beitrag.

Dass das Register als Köder taugt, ist auch sonst nicht neu. Im Wochenrückblick 34/2022 vom 30. August 2022 warnte das damalige NCSC (heute BACS) vor Rechnungen eines «Registerverlags für Wirtschaft Schweiz», die den Anschein erweckten, es gehe um einen Eintrag im Zusammenhang mit dem Eidgenössischen Handelsregister. Im Formular waren bereits alle öffentlich verfügbaren Handelsregisterdaten eingetragen, und der Brief verwies auf eine Domain namens «Zeffix» – mit zwei f. Zefix wird allerdings nur mit einem ‹f› geschrieben, hielt das NCSC fest. In Wahrheit war das Schreiben eine Offerte für einen bedeutungslosen Eintrag.

Das Bundesamt für Justiz weist auf seiner Seite zum Handelsregister (Stand 9. Februar 2026) ebenfalls auf Rechnungen hin, die den Anschein erwecken, vom EHRA zu stammen. Es stellt klar: Für die Handelsregistergebühren sind ausschliesslich die Kantone zuständig, eine Bundesbehörde verschickt keine Rechnungen für Handelsregistereintragungen. Falsche Rechnungen können dem SECO gemeldet werden. Eine eigene Warnung zur aktuellen Phishing-Mail hatte das BJ bis zu unserer Prüfung am 9. November 2026 nicht veröffentlicht – die Warnungen stammen vom BACS und von der Polizei.

Mehrere Merkmale verraten die Mail, wenn man sie nebeneinanderlegt. Da ist die Anrede «Grüezi, sehr geehrte Geschäftsleitung», die höflich klingt, aber niemanden beim Namen nennt. Da ist die Frist von sechs Arbeitstagen, kombiniert mit der Drohung, der Eintrag werde gelöscht. Behörden setzen Fristen, aber sie drohen nicht per E-Mail mit dem Ende deiner Firma, wenn du nicht innert einer Woche auf einen Link klickst. Zeitdruck und Angst sind die klassischen Hebel des Phishings – sie sollen verhindern, dass du nachdenkst oder nachfragst.

Der entscheidende Hinweis ist die IBAN. Die gefälschte Seite behauptet, deine Berechtigung anhand der Kontonummer zu prüfen. Das ergibt keinen Sinn: Eine IBAN identifiziert ein Konto, nicht eine Person und schon gar nicht die Berechtigung, Einträge einer Firma zu ändern. Wer dich prüfen will, fragt nach einem Ausweis oder nach Unterschriften, nicht nach deiner Bankverbindung. Kommt dazu noch die Frage nach dem Namen der Bank, geht es offensichtlich darum, später einen passenden Anruf oder eine passende Mail im Namen dieser Bank vorzubereiten.

Das BACS rät allgemein, bei unerwarteter Kontaktaufnahme wachsam zu bleiben, selbst wenn Firmenname, Adresse oder Handelsregisternummer auf den ersten Blick korrekt erscheinen. Prüfe die Echtheit über einen unabhängigen Kanal: Such die offizielle Telefonnummer oder Website selbst heraus, statt die Angaben aus der Mail zu verwenden. Achte laut BACS auf kleine Abweichungen bei E-Mail-Adressen – das Amt nennt als Beispiel info@firma-schweiz.com statt info@firma.ch – und auf einen ungewöhnlichen Kommunikationsstil. Welche Absenderadresse die aktuelle Welle verwendet, haben BACS und Polizei nicht veröffentlicht; verlass dich also nicht darauf, eine bestimmte Domain zu erkennen.

Zuständig für das Handelsregister sind in der Praxis die Kantone: Laut Bundesamt für Justiz erheben ausschliesslich sie die Gebühren, und eine Bundesbehörde verschickt keine Rechnungen für Eintragungen. Bist du unsicher, ob an deinem Eintrag wirklich etwas nicht stimmt, ruf das Handelsregisteramt deines Kantons an oder schau deinen Eintrag direkt in Zefix nach – beides kostet nichts und dauert wenige Minuten. Auf keinen Fall solltest du Firmendaten über einen Link aus einer E-Mail «aktualisieren».

Hast du die Mail nur erhalten, ist der Fall einfach: Laut BACS nicht darauf eingehen und die Nachricht löschen. cybercrimepolice.ch empfiehlt zusätzlich, die E-Mail vor dem Löschen weiterzuleiten, damit die Polizei die Welle dokumentieren kann, und sie sonst in den Junk- oder Spam-Ordner zu verschieben. Folge grundsätzlich keinen Links aus E-Mails, SMS oder anderen Nachrichten, und gib keine sensiblen Daten preis, ohne gründlich abzuklären, wer wirklich fragt.

Hast du Daten eingegeben, rät die Polizei zu erhöhter Aufmerksamkeit: Sei besonders vorsichtig bei späteren E-Mails oder Anrufen, die auf deinen Angaben aufbauen – etwa, wenn sich jemand als EHRA oder als deine Bank meldet und den Vorgang «abschliessen» will. Achte auf ungewöhnliche Bestellungen, Rechnungen oder Vertragsunterlagen im Namen deiner Firma. Bewahre die E-Mail und Screenshots der Website als Beweismittel auf. Bei konkretem Missbrauch oder finanziellem Schaden wendest du dich an die Kantonspolizei; auch das BACS empfiehlt bei finanziellem Schaden eine Anzeige bei der kantonalen Polizei.

Hast du IBAN und Bankname eingetragen, empfehlen wir zusätzlich, deine Bank zu informieren. Sie kann auffällige Lastschriften oder Zahlungsaufträge genauer prüfen und weiss, dass Anrufe in ihrem Namen zu erwarten sind. Das ist ein allgemeiner Rat von DealsScout, keine Vorgabe von BACS oder Polizei. Melde den Vorfall ausserdem dem BACS: über das Meldeformular des Amts oder über antiphishing.ch, das Meldeportal des BACS gegen Phishing. Bei cybercrimepolice.ch kannst du den Fall unter «Ereignis melden» erfassen.

Einordnung von DealsScout: Dieser Angriff zielt auf Menschen, nicht auf Technik. Es wird kein Passwort gestohlen und kein Konto gehackt – jemand tippt freiwillig Firmendaten und IBAN in ein Formular, weil es aussieht wie ein Bundesportal. Zwei-Faktor-Authentifizierung (→ Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey) und Passkeys (→ Passkeys einrichten – ohne Passwort anmelden auf iPhone, Android und Windows) schützen deine Konten zuverlässig vor Übernahmen, und sie gehören in jede Firma. Aber keine dieser Massnahmen verhindert, dass ein Mitarbeiter eine Behörden-Mail für echt hält. Darum setzt das BACS auf Sensibilisierung: Mitarbeitende sollen wissen, dass sich Externe als Behörde, Partner oder Kunde ausgeben können, und dass eine unabhängige Rückfrage immer erlaubt ist. Ein VPN hilft hier übrigens nicht – es verschlüsselt deine Verbindung, nicht deine Entscheidung, Daten auf einer gefälschten Seite einzugeben (→ Was ist ein VPN? So funktioniert das virtuelle private Netzwerk).