Zweimal innerhalb von vier Wochen hat die Schaffhauser Polizei dieses Jahr vor derselben Sache gewarnt: Anfang Februar und Anfang März gingen jeweils innert zweier Tage mehrere Dutzend Meldungen über Anrufe ein, bei denen sich jemand als Bank, als Polizei oder als Spitex ausgab. Mitte März folgte die Warnung vor Schockanrufen, bei denen ein angeblicher Angehöriger einen Unfall verursacht haben soll und eine Kaution fällig sei. Eine Frau hatte bereits rund 60’000 Franken abgehoben, bevor sie stutzig wurde. Und im September 2025 verloren vier Personen im Kanton innert dreier Tage zusammen über 270’000 Franken, weil ein angeblicher Support-Mitarbeiter sie dazu brachte, eine Fernzugriffssoftware zu installieren.
Das sind keine Meldungen aus Zürich oder aus dem Ausland. Das sind Nummern aus dem Reiat, aus der Stadt, aus dem Klettgau. Und die Anrufe treffen nicht nur Privatpersonen. Sie landen auch am Empfang, in der Buchhaltung und auf dem Handy der Geschäftsführung.
Warum Betriebe ein besseres Ziel sind als Privatleute
Ein Betrieb hat, was ein Betrüger sucht: ein Geschäftskonto mit Spielraum, Mitarbeitende, die Anweisungen ausführen, und einen Computer, auf dem E-Banking, Kundendaten und die Buchhaltung liegen. Dazu kommt Zeitdruck als Normalzustand. Wer um 16.45 Uhr einen Anruf von der «Bank» bekommt, weil angeblich eine Zahlung blockiert ist, will das Problem vor Feierabend loswerden. Genau darauf baut die Masche.
Die drei Varianten aus den Polizeimeldungen funktionieren im Betrieb gleich wie zu Hause, nur mit anderen Rollen:
- Die «Bank» oder der «Support» will auf den Computer. Der Anrufer bittet, AnyDesk, TeamViewer oder ein ähnliches Werkzeug zu installieren, um ein Problem zu beheben. Sobald die Verbindung steht, sieht er alles, was auf dem Bildschirm passiert, auch das E-Banking.
- Die «Behörde» braucht Daten. Polizei, Betreibungsamt oder Steuerverwaltung verlangen angeblich eine Bestätigung von Kontodaten oder einen Zugangscode. Keine Behörde in der Schweiz tut das am Telefon.
- Der Schockanruf. Ein Familienmitglied sei verunfallt, es brauche sofort Bargeld oder Gold. Im Betrieb ist die Variante der angebliche Chef, der aus dem Ausland eine dringende Zahlung anordnet.
Vier Regeln, die in jedem Betrieb gelten sollten
1. Fernzugriff gibt es nur über den eigenen Weg. Wer Deine Informatik betreut, hat einen Fernwartungszugang eingerichtet, den Du kennst. Niemand im Betrieb installiert auf Zuruf am Telefon ein Fernzugriffsprogramm, auch nicht für die «Bank» und auch nicht für den «Microsoft-Support». Wer das verlangt, ist keiner von beiden. Die Schaffhauser Polizei sagt es in einem Satz: Unbekannten Anrufern niemals Zugriff auf den eigenen Computer gewähren.
2. Auflegen und selbst zurückrufen. Bank, Polizei, Lieferant, Spitex: Das Gespräch wird beendet, und der Rückruf geht an die Nummer, die Du selbst nachschlägst, nicht an die aus dem Display und nicht an die, die der Anrufer nennt. Ab dem 1. Juli 2026 müssen die Telefonanbieter gefälschte Schweizer Nummern aus dem Ausland auch bei Handynummern kennzeichnen oder blockieren. Das wird einen Teil der Anrufe verschwinden lassen, aber nicht die mit echten Auslandsnummern und nicht die über Messenger.
3. Zahlungen und Zugänge laufen nur mit vier Augen. Keine Überweisung, keine Änderung einer Bankverbindung, kein Zugangscode auf Anordnung eines einzelnen Anrufs. Die zweite Person im Betrieb ist keine Misstrauenserklärung, sondern der Grund, warum die Masche bei Euch nicht funktioniert. Eile ist das Signal, nicht der Grund, schneller zu handeln.
4. Melden, ohne Scham. Wer einen Anruf bekommen hat, sagt es weiter, im Team und an die Polizei. Die Schaffhauser Polizei ist unter 052 624 24 24 erreichbar, im Notfall unter 117. Betrugsversuche gehören zusätzlich ans Bundesamt für Cybersicherheit. Diese Anrufe leben davon, dass sie unter vier Augen bleiben. Ein Betrieb, in dem am Mittagstisch über den Anruf vom Vormittag gesprochen wird, ist schwer zu betrügen.
Was die Technik dazu beitragen kann
Regeln sind die erste Schicht, aber sie sollten nicht die einzige sein. Drei Dinge, die wir bei Betrieben in der Region einrichten:
- Keine Installationsrechte für den Alltag. Wer am Arbeitsplatz kein Programm installieren kann, kann auch kein AnyDesk installieren, egal wie überzeugend der Anrufer ist.
- Fernwartungsprogramme an der Firewall sperren. Eine richtige Firewall erkennt AnyDesk, TeamViewer und ähnliche Werkzeuge und lässt nur den Weg durch, den Dein IT-Partner nutzt. Alles andere bleibt draussen.
- E-Banking mit zweitem Faktor und Betragsgrenzen. Selbst wenn jemand den Bildschirm sieht, kommt er ohne den zweiten Faktor nicht an die Freigabe. Betragsgrenzen halten den Schaden klein, falls doch etwas durchrutscht.
Nichts davon ist teuer, und nichts davon ist neu. Es ist dieselbe Sorgfalt, die eine Bank in ihrem Tresor anwendet, angewandt auf ein Büro mit fünf Arbeitsplätzen in Thayngen oder eine Werkstatt in Neuhausen.
Quellen
Meldungen der Schaffhauser Polizei vom 6. Februar 2026, vom 3. März 2026 und vom 20. März 2026 sowie zum Fernzugriffsbetrug vom September 2025. Was wir für Betriebe in der Region tun, steht auf der Seite Informatik Schaffhausen.
