Phishing QR-Code Brief: Gefährliche Post in Ihrer Praxis?

Ein gefälschter Briefumschlag, ein QR-Code — und schon sind Patientendaten in Gefahr. Seit dem 16. Juni 2026 warnt das Bundesamt für Cybersicherheit (BACS) vor einer neuen Betrugsmasche, die physische Briefe mit digitalem Phishing kombiniert. Arztpraxen, Apotheken und Pflegeheime sind besonders gefährdet, weil täglich grosse Mengen an Post eingehen und der Zeitdruck im Alltag hoch ist.

Betrifft mich das?

Kurze Antwort: Ja — unabhängig von Grösse oder Kanton.

Die Masche richtet sich nicht gezielt gegen bestimmte Branchen. Wer einen Briefkasten hat, kann betroffen sein. Für Gesundheitsbetriebe gilt jedoch: Das Risiko ist höher, weil Mitarbeitende gewohnt sind, Post von Behörden, Lieferdiensten und Krankenkassen zu öffnen — und weil im Hintergrund Patientendaten auf den Computern gespeichert sind.

Konkret funktioniert der Angriff so: Die Täterschaft legt gefälschte Abholungseinladungen («Avis de passage») in die Briefkästen. Diese sehen täuschend echt aus und wirken wie offizielle Mitteilungen der Schweizerischen Post. Auf dem Dokument befindet sich ein QR-Code. Wer ihn scannt, landet auf einer gefälschten Website — und wird dort aufgefordert, Zugangsdaten, Kreditkarteninfos oder andere persönliche Angaben einzugeben.

Für medizinische Einrichtungen gilt zusätzlich: Kommt es durch einen solchen Vorfall tatsächlich zu einem Datenverlust von Patientendaten, können Melde- und Dokumentationspflichten nach dem nDSG (neues Datenschutzgesetz, gilt seit September 2023) ausgelöst werden — allerdings nur dann, wenn der Vorfall voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt (Art. 24 nDSG). Ein reiner Phishing-Versuch, bei dem keine Daten abgeflossen sind, löst diese Meldepflicht in der Regel noch nicht aus.

Was ist zu tun?

1. Sofortmassnahme: Brief prüfen, QR-Code NICHT scannen

Liegt ein «Avis de passage» im Briefkasten, gilt: Erst innehalten, dann prüfen.

  • Haben Sie tatsächlich ein Paket erwartet?
  • Stimmt die Absenderadresse genau? (Kleine Abweichungen sind oft schwer erkennbar)
  • Wirkt das Layout ungewohnt oder enthält der Brief Rechtschreibfehler?

Im Zweifel: QR-Code nicht scannen. Die echte Schweizerische Post informiert auf www.post.ch über laufende Sendungen — überprüfen Sie dort direkt mit Ihrer Sendungsnummer.

2. Alle Mitarbeitenden informieren — heute noch

Phishing-Angriffe scheitern, wenn das Team Bescheid weiss. Sprechen Sie das Thema beim nächsten Teambriefing an. Wichtig: Auch Mitarbeitende ohne PC-Arbeitsplatz (z. B. Pflegende, Reinigungspersonal) öffnen manchmal Post und sollen sensibilisiert sein.

Erklären Sie kurz und klar:

«Wir erhalten aktuell gefälschte Postbriefe mit QR-Codes. Diese dürfen wir auf Praxisgeräten NICHT scannen. Wer unsicher ist, legt den Brief auf die Seite und fragt erst nach.»

3. Vorfall gemeldet bekommen — und selbst melden

Seit April 2025 gilt in der Schweiz eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen nach dem Informationssicherheitsgesetz (ISG). Diese Pflicht betrifft primär Betreiber kritischer Infrastrukturen — im Gesundheitsbereich im Wesentlichen Listenspitäler und andere behördlich definierte Einrichtungen. Normale Arztpraxen und ambulante Einzelpraxen fallen nicht unter diese Meldepflicht.

Unabhängig davon empfiehlt das BACS allen Betroffenen, Vorfälle freiwillig zu melden: www.bacs.admin.ch/melden

Wenn ein Mitarbeitender einen QR-Code gescannt und Daten eingegeben hat, handeln Sie so:

  1. Betroffenes Gerät sofort vom Netzwerk trennen (WLAN aus, Netzwerkkabel ziehen)
  2. Zugangsdaten sofort ändern (E-Mail, Praxisverwaltungssystem, Online-Banking)
  3. Vorfall intern dokumentieren (Wer, was, wann, welches Gerät)
  4. Vorfall dem BACS melden
  5. Bei Verdacht auf Datenverlust von Patientendaten: Datenschutzbeauftragten oder Anwalt beiziehen

Für rechtliche Beratung wenden Sie sich an einen auf Datenschutz spezialisierten Anwalt.

4. Interne Regel für Post mit QR-Codes einführen

Legen Sie eine einfache Hausregel fest:

«QR-Codes auf Briefen werden grundsätzlich nicht mit Praxis-Geräten gescannt. Privatgerät? Nur nach Rücksprache.»

Diese Regel kostet nichts und schützt effektiv.

Checkliste: Phishing QR-Code Brief — Was Ihre Praxis jetzt tun sollte

  • [ ] Mitarbeitende informieren: Betrugsmasche «gefälschter Avis de passage» im nächsten Briefing besprechen
  • [ ] Hausregel einführen: Keine QR-Codes von unbekannten Briefen mit Praxisgeräten scannen
  • [ ] Posteingang sensibler behandeln: Bei unerwarteten Abholbenachrichtigungen direkt auf www.post.ch prüfen
  • [ ] Notfallplan griffbereit: Wer wird im Verdachtsfall zuerst informiert? (Praxisleitung, IT-Verantwortliche/r)
  • [ ] Incident-Protokoll vorbereiten: Vorlage für Dokumentation von Sicherheitsvorfällen bereithalten
  • [ ] BACS-Meldung kennen: Meldeformular unter bacs.admin.ch bookmarken
  • [ ] Zugangsdaten schützen: Zwei-Faktor-Authentifizierung (2FA) für E-Mail und Praxissoftware aktivieren, sofern noch nicht geschehen
  • [ ] Datenschutzpflicht im Blick: Bei tatsächlichem Datenverlust mit voraussichtlich hohem Risiko Beratung durch Fachperson einholen (Art. 24 nDSG)

Tool-Tipp: ISMShield Micro

Sie wollen nicht jedes Mal selbst recherchieren, welche neuen Bedrohungen für Ihre Praxis relevant sind?

ISMShield Micro ist speziell für kleine Gesundheitsbetriebe entwickelt worden: ohne IT-Fachwissen bedienbar, auf Schweizer Recht ausgerichtet und mit konkreten Handlungsempfehlungen statt abstrakten Sicherheitskonzepten.

Konkret hilft ISMShield Micro bei dieser Betrugsmasche so:

  • Bedrohungsradar: Sie erhalten automatisch eine Warnung, wenn das BACS oder andere Stellen neue Maschen wie den Phishing QR-Code Brief melden — gefiltert auf das, was für Ihre Praxisgrösse relevant ist
  • Awareness-Modul: Kurze Schulungsimpulse für Ihr Team, die Sie mit einem Klick als Aufgabe zuweisen können
  • Incident-Log: Einfaches Formular, um Vorfälle revisionssicher zu dokumentieren — wichtig für allfällige Meldungen nach nDSG

👉 Mehr über ISMShield Micro erfahren 👉 Zurück zum Praxis-Ratgeber

Dieser Artikel basiert auf der BACS-Meldung vom 16. Juni 2026 (Wochenrückblick 24, BACS). Er dient der allgemeinen Information und ersetzt keine Rechts- oder IT-Sicherheitsberatung. Für rechtliche Fragen wenden Sie sich an eine spezialisierte Anwaltskanzlei.

[[REVIEW-GATE — Vor Publikation zu prüfen:]] - - - ``

Diesen Schritt in 10 Minuten erledigen

Jetzt kostenlos starten →
Weitere Ratgeber-Artikel