Phishing im Bewerbungsprozess: Schutz für Spitäler

Warum HR-Prozesse zur Sicherheitslücke werden

Stellensuchende stehen unter Druck: Ein interessantes Inserat, eine schnelle Rückmeldung, ungewohnte Prozesse — all das senkt die Wachsamkeit. Genau diesen psychologischen Moment nutzen Cyberkriminelle gezielt aus. Das Bundesamt für Cybersicherheit (BACS) hat im Juni 2026 darauf hingewiesen, dass Angriffe auf Stellensuchende stark zunehmen — mit einem vollständigen Repertoire von Phishing über klassischen Betrug bis zur gezielten Schadsoftwareverteilung. Für Spitäler und Kliniken in der Schweiz ist das aus zwei Gründen besonders relevant: Einerseits sind Gesundheitsinstitutionen selbst attraktive Angriffsziele, andererseits sind HR-Abteilungen und Bewerbende strukturell anfällig für genau diese Angriffsvektoren. Wer den Bewerbungsprozess Schutz-technisch nicht absichert, öffnet eine Seitentür ins eigene Netzwerk.

Das Angriffsszenario: Wie Phishing im Bewerbungsprozess funktioniert

Das BACS beschreibt das Muster klar: Angreifer setzen auf die emotionale und zeitliche Drucksituation von Stellensuchenden. Wer eine neue Stelle sucht, ist gewohnt, auf unbekannte Absender zu reagieren, Anhänge zu öffnen und Links zu Jobplattformen oder Bewerbungsportalen zu folgen. Diese Gewohnheiten machen den Bewerbungskontext zu einem idealen Einfallstor.

Konkret werden folgende Angriffstypen beobachtet:

Gefälschte Stelleninserate und Recruiter-Profile: Angreifer erstellen täuschend echte Stellenangebote auf LinkedIn, Jobs.ch oder Indeed — teilweise unter dem Namen echter Spitäler. Der Bewerbende wird auf eine externe Seite geleitet, die Zugangsdaten abgreift oder Schadsoftware ausliefert.

Spear-Phishing via E-Mail: Eingehende Bewerbungen werden von Angreifern als Antwortvorlage genutzt. Sie täuschen vor, ein HR-Verantwortlicher zu sein, und senden manipulierte Dokumente (z. B. präparierte Word- oder PDF-Dateien) zurück — angeblich als Vertragsvorlage oder Onboarding-Unterlagen.

Malicious Attachments in Bewerbungsunterlagen: Klassisch, aber nach wie vor wirksam. Eine eingehende Bewerbung enthält ein präpariertes Dokument. Der HR-Mitarbeitende öffnet es — und löst damit eine Infektion aus. Im Gesundheitsumfeld kann das den Einstieg in klinische Systeme bedeuten.

Fake-Onboarding-Portale: Neue Mitarbeitende werden kurz vor oder nach Stellenantritt mit gefälschten Links zu HR-Self-Service-Portalen oder IT-Provisionierungsseiten angeschrieben. Sie geben dort Active-Directory-Credentials oder persönliche Daten ein.

Kombination mit Social Engineering: Angreifer rufen an, geben sich als IT-Helpdesk oder Personalabteilung aus und fordern unter dem Vorwand des Onboardings zur Preisgabe von Zugangsdaten auf.

Der gemeinsame Nenner: Der Bewerbungsprozess — sowohl auf Seiten der Stellensuchenden als auch der HR-Abteilung — ist normativ auf Offenheit ausgelegt. Diese Offenheit ist strukturell, und sie ist für Angreifer kalkulierbar.

Risikoprofil Spital: Warum Gesundheitsinstitutionen besonders exponiert sind

Spitäler weisen im Bereich HR und Recruiting spezifische Risikofaktoren auf, die in der industriellen IT-Welt so nicht vorkommen:

Hohe Fluktuation und Schichtbetrieb: Pflegepersonal, Assistenzärzte, administrative Kräfte — der Personalwechsel in Spitälern ist hoch. HR-Prozesse laufen unter Zeitdruck, Prüfprozesse werden verkürzt.

Breite E-Mail-Exposition: Generische Adressen wie bewerbung@spital-xyz.ch oder personal@klinik-abc.ch sind öffentlich bekannt und werden von Angreifern als erster Kontaktpunkt genutzt.

Medizinische Fachkräfte als Hochwertziele: Angreifer, die auf leitende Ärzteschaft oder IT-Administratoren abzielen, können den Rekrutierungsprozess als Vorstufe nutzen — mit Informationen aus öffentlichen Profilen auf LinkedIn oder Spital-Websites.

Kritische Infrastruktur als Ziel: Spitäler gelten in der Schweiz als kritische Infrastruktur und sind ein attraktives Ziel für Ransomware-Gruppen. Ein einziger kompromittierter Endpunkt in der HR-Abteilung kann der Ausgangspunkt für einen vollständigen Verschlüsselungsangriff sein.

Compliance-Dimension: Das nDSG (neues Datenschutzgesetz, gilt seit September 2023) verpflichtet Spitäler, Personendaten — auch Bewerberdaten — mit angemessenen technischen und organisatorischen Massnahmen zu schützen. Eine Kompromittierung der HR-Infrastruktur kann direkt zu einer meldepflichtigen Datenschutzverletzung führen. Seit April 2025 gilt zudem die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen gegenüber dem BACS. Ein durch Phishing ausgelöster Incident kann daher doppelte Meldekonsequenzen haben.

Technische Schutzmassnahmen: Was IT-Leitung und CISO umsetzen sollten

Der Bewerbungsprozess Schutz beginnt nicht beim Awareness-Training, sondern bei der Infrastruktur. Folgende technische Massnahmen sind für Spitäler priorisiert umzusetzen:

E-Mail-Sicherheit für eingehende Bewerbungen

  • Sandboxing und automatisierte Anhang-Analyse: Eingehende Bewerbungs-E-Mails sollten über eine Sandbox-Lösung (z. B. integriert in Microsoft Defender for Office 365, Proofpoint oder ähnliche Produkte) analysiert werden, bevor Anhänge zugestellt werden.
  • Attachment-Stripping oder Konversion: PDF- und Office-Dokumente aus externen Quellen können automatisiert in sichere Formate (z. B. PDF/A) konvertiert werden, bevor sie dem HR-Mitarbeitenden zugestellt werden (Content Disarm and Reconstruction, CDR).
  • SPF, DKIM, DMARC für die eigene Domain: Verhindert, dass Angreifer unter Ihrem Spitalnamen Phishing-Mails versenden. Insbesondere DMARC mit reject-Policy ist hier entscheidend.
  • External Sender Tagging: Eingehende externe E-Mails sollten im Client als solche gekennzeichnet werden — gerade für HR-Mitarbeitende, die viel externe Kommunikation haben.

Endpunkt-Härtung für HR-Arbeitsplätze

  • Makro-Deaktivierung: Office-Makros für Dokumente aus dem Internet sollten auf HR-Workstations per Policy deaktiviert sein.
  • Privilegienminimierung: HR-Mitarbeitende benötigen keine administrativen Rechte. Least-Privilege-Prinzip konsequent durchsetzen.
  • EDR-Abdeckung: Endpoint Detection and Response muss auch auf HR- und Verwaltungsarbeitsplätzen aktiv und überwacht sein — nicht nur auf klinischen Systemen.

Netzwerksegmentierung

HR-Systeme (Bewerbermanagement, Lohnbuchhaltung, Active Directory) sollten in einem eigenen Netzwerksegment betrieben werden, das nicht direkt Zugriff auf klinische Netze (KIS, PACS, Medizingeräte) hat. Ein Angriff auf HR darf nicht zum Lateral Movement in kritische Systeme führen.

Sichere Onboarding-Prozesse

  • Neue Mitarbeitende sollten Zugangsdaten nur persönlich oder über verifizierte interne Kanäle erhalten — nicht per E-Mail.
  • IT-Provisionierungslinks sollten intern generiert und per separatem Kanal kommuniziert werden.
  • Verifizierungsprozesse für neue Accounts vor der ersten Aktivierung einführen.

Organisatorische Massnahmen und HR-Awareness

Technische Massnahmen allein reichen nicht. Die HR-Abteilung muss als sicherheitsrelevante Einheit behandelt werden.

Gezielte Schulung für HR-Personal: Standard-Awareness-Trainings adressieren den spezifischen Kontext des Bewerbungseingangs oft nicht. HR-Mitarbeitende brauchen spezifische Szenarien: Was ist ein verdächtiger Anhang? Wie reagiere ich auf einen Anruf, der mich auffordert, Zugangsdaten zu bestätigen? Wie verifiziere ich, ob eine Stellensuchende wirklich die Person ist, die sie vorgibt zu sein?

Klare Prozessdefinition für Bewerbungseingang: Definieren Sie, welche Dateiformate akzeptiert werden, über welche Kanäle Bewerbungen eingehen dürfen, und wie mit unerwarteten Anhängen oder Links umgegangen wird. Dokumentieren Sie dies im ISMS als operativer Prozess.

Fake-Inserate-Monitoring: Beauftragen Sie — oder nutzen Sie automatisierte Tools — zur Überwachung von Stellenportalen auf gefälschte Inserate im Namen Ihres Spitals. Bei Fund: sofortige Meldung an den Plattformbetreiber und ggf. ans BACS.

Incident-Meldepfad für HR: HR-Mitarbeitende müssen wissen, wen sie im Verdachtsfall sofort kontaktieren. Der Meldepfad muss bekannt, niederschwellig und sanktionsfrei sein. Ein geöffneter verdächtiger Anhang, der sofort gemeldet wird, ist beherrschbar — ein verschwiegener nicht.

Externe Bewerbungsportale überprüfen: Wenn Ihr Spital externe Bewerbermanagementsysteme (z. B. Umantis, Rexx, SAP SuccessFactors) nutzt, muss die Sicherheitskonfiguration dieser Systeme regelmässig geprüft werden — inklusive Zugriffsrechte, Datenhaltung und Verschlüsselung.

Rechtliche Einordnung: nDSG, ISG und Meldepflichten

Aus Compliance-Perspektive berührt ein erfolgreicher Phishing-Angriff über den Bewerbungsprozess mehrere Rechtsbereiche gleichzeitig:

nDSG: Bewerberdaten sind Personendaten im Sinne des nDSG. Eine Kompromittierung dieser Daten — ob durch Exfiltration aus dem HR-System oder durch gestohlene Zugangsdaten eines HR-Mitarbeitenden — kann eine meldepflichtige Datenschutzverletzung darstellen. Verantwortliche müssen diese dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden, wenn sie voraussichtlich zu einem hohen Risiko für die betroffenen Personen führen. Die Meldung hat so rasch als möglich zu erfolgen.

ISG und Meldepflicht: Seit April 2025 sind Betreiber kritischer Infrastrukturen — zu denen Spitäler gehören können, je nach Kanton und Grösse — verpflichtet, erhebliche Cyberangriffe dem BACS zu melden. Ein Phishing-Angriff, der zu einer Kompromittierung von Systemen führt, kann diese Schwelle erreichen.

Kantonale Gesundheitsgesetze: Je nach Kanton können zusätzliche Meldepflichten oder Anforderungen an die Datensicherheit bestehen. Konsultieren Sie dazu die jeweils zuständige kantonale Aufsichtsbehörde.

Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Für die konkrete rechtliche Einordnung Ihrer Situation wenden Sie sich an einen auf Datenschutz- und IT-Recht spezialisierten Anwalt.

Checkliste: Phishing im Bewerbungsprozess — Schutzmassnahmen im Überblick

Massnahme Priorität Verantwortlich
E-Mail-Sandboxing für Bewerbungspostfach Hoch IT/CISO
CDR (Content Disarm & Reconstruction) für Anhänge Hoch IT
DMARC mit reject-Policy für eigene Domain Hoch IT
Makro-Deaktivierung auf HR-Workstations Hoch IT
EDR auf allen HR-Endpunkten Hoch IT/CISO
Netzwerksegmentierung HR ↔ Klinik Hoch IT/CISO
Least Privilege für HR-Accounts Mittel IT
Spezifisches Awareness-Training HR Mittel ISB/HR
Sicherer Onboarding-Prozess (keine Credentials per Mail) Hoch IT/HR
Monitoring auf Fake-Inserate Mittel HR/CISO
Incident-Meldepfad für HR dokumentiert Hoch ISB
Datenschutz-Folgeabschätzung HR-Systeme Mittel DSB
Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen