Cybersecurity in Schweizer KMU: sechs Beobachtungen aus der Praxis
Cybersecurity in Schweizer KMU: sechs Beobachtungen aus der Praxis
Was Security Assessments über Technik, Organisation und Verantwortlichkeiten zeigen
Der Cybersecurity-Monat Oktober bietet Anlass für eine ehrliche Bilanz: Wo stehen Schweizer KMU wirklich? In den vergangenen Monaten haben wir zahlreiche Security Assessments bei KMU durchgeführt. Die Befunde wiederholen sich – und fallen anders aus, als viele erwarten.
Das Bundesamt für Cybersicherheit (BACS) zeigt in seinem aktuellen Halbjahresbericht, wie Angreifende mithilfe künstlicher Intelligenz ihre Betrugsversuche gezielt auf einzelne Unternehmen zuschneiden. Die Angriffe werden ausgefeilter – die Schwachstellen, auf die sie treffen, sind seit Jahren dieselben.
Befund 1: Die technische Basis stimmt meist
Die gute Nachricht zuerst: Firewall, Virenschutz, Updates und Backups – bei den meisten KMU, die wir prüfen, ist die technische Grundausstattung solide. Die IT-Partner leisten gute Arbeit.
Eine gute Nachricht – und zugleich der Grund, warum viele Unternehmen sich in Sicherheit wiegen. Denn erfolgreiche Angriffe scheitern heute selten an der Technik.
Befund 2: Klare Abläufe fehlen
Was häufig fehlt, sind klare Zuständigkeiten, Abläufe und Entscheidungswege. Wer darf eine Zahlungsanweisung freigeben, die per E-Mail von der Geschäftsleitung kommt? Wem melden Mitarbeitende eine verdächtige Nachricht? Wer entscheidet um drei Uhr morgens, ob Systeme abgeschaltet werden? Meist gibt es darauf keine schriftliche Antwort – und oft auch keine mündliche.
Typische Beispiele: Zahlungen werden nach einer einzigen E-Mail und ohne Rückruf ausgelöst. Zugänge ehemaliger Mitarbeitender bleiben monatelang aktiv. Externe Dienstleister haben permanenten Zugriff, den niemand überprüft. Nichts davon ist ein technisches Problem – doch alles erhöht das Risiko.
Befund 3: Der IT-Partner ersetzt keinen Notfallplan
Viele Unternehmen gehen davon aus, dass ihr IT-Partner im Notfall alle notwendigen Aufgaben übernimmt. Diese Annahme begegnet uns häufig – und sie birgt Risiken. Der IT-Dienstleister stellt Systeme wieder her, sofern er damit beauftragt ist, Backups vorhanden sind und genügend Kapazität besteht. Bei einem grossflächigen Vorfall können jedoch mehrere Kundinnen und Kunden gleichzeitig betroffen sein.
Für die Weiterführung des Geschäfts bleibt jedoch das Unternehmen selbst verantwortlich. Wie lange kann die Produktion ohne Systeme laufen? Welche Kundinnen und Kunden müssen informiert werden? Wer kommuniziert mit Versicherung, Behörden und Medien? Diese Fragen kann kein IT-Partner beantworten. Ein Notfallplan, der nur aus dem Vertrag mit dem Dienstleister besteht, ist kein Notfallplan.
Befund 4: Der Ernstfall wird zu selten geübt
Die meisten KMU haben noch nie durchgespielt, was bei einem Angriff konkret passiert. Es fehlt oft schon ein Dokument mit den wichtigsten Kontakten und Entscheidungen, das auch dann verfügbar ist, wenn kein Computer mehr läuft.
Ein aktuelles Beispiel zeigt, warum das wichtig ist: Im Sommer 2026 wurde ein Treuhandbüro in Yverdon-les-Bains Opfer eines Erpressungsangriffs. Das Unternehmen reagierte vorbildlich: Es isolierte die Systeme, spielte ein Backup ein und bezahlte kein Lösegeld. Dennoch landeten mehr als 100’000 Dossiers von Privatpersonen, Unternehmen und rund 15 Gemeinden im Darknet, weil die Angreifenden die Daten vor der Verschlüsselung kopiert hatten. Wer Daten Dritter verwaltet, muss wissen, wie und wann die betroffenen Personen und Organisationen im Ernstfall informiert werden.
Befund 5: Wirksame Sensibilisierung braucht Kontinuität
Viele KMU führen einmal jährlich eine Sensibilisierung durch und betrachten das Thema damit als erledigt. Die Erfahrung zeigt jedoch: Was im Januar gelernt wurde, ist im Juni oft vergessen – und die Angriffsmethoden entwickeln sich laufend weiter. Wirksamer ist ein Jahresprogramm mit kurzen, regelmässigen Impulsen und Beispielen aus der eigenen Branche.
Moderne Lösungen gehen dabei über Schulungen und Test-E-Mails hinaus und unterstützen Mitarbeitende im Alltag. Ein Zusatzmodul in Outlook kann bereits beim Öffnen einer E-Mail auf verdächtige Merkmale hinweisen. Wirkt eine Nachricht ungewöhnlich, lässt sie sich mit einem Klick melden und innert Minuten beurteilen. Wird dennoch ein Link angeklickt, kann dieser zunächst in einer geschützten Umgebung geprüft und bei einem Betrugsversuch blockiert werden, bevor Schaden entsteht.
Sensibilisierung wird so vom jährlichen Pflichttermin zu einem Sicherheitsnetz, das jeden Tag mitläuft – und den Menschen als Teil der Verteidigung behandelt, nicht als Schwachstelle.
Befund 6: Cyberrisiken gehören in die Geschäftsleitung
Der wichtigste Befund kommt zum Schluss. In vielen KMU gilt Cybersicherheit als IT-Thema, das die IT-verantwortliche Person oder der externe Partner «im Griff hat». Ein Cyberangriff ist jedoch kein rein technischer Zwischenfall, sondern ein Unternehmensrisiko – vergleichbar mit einem Brand, dem Wegfall eines Schlüsselkunden oder einem Produkthaftungsfall.
Ein Angriff kann den Betrieb wochenlang lahmlegen und die Existenz des Unternehmens gefährden. Solche Risiken gehören auf die Ebene von Geschäftsleitung und Verwaltungsrat – mit klaren Verantwortlichkeiten, einem regelmässigen Blick auf den Stand der Dinge und Entscheiden, die vor der Krise getroffen werden, nicht erst währenddessen.
Selbstcheck für die nächste GL-Sitzung
- Verantwortung – Ist in der Geschäftsleitung eine Person namentlich für Cyberrisiken verantwortlich, und steht das Thema mindestens einmal jährlich auf der Traktandenliste von Geschäftsleitung oder Verwaltungsrat?
- Notfallplan – Liegt ein Notfallplan in Papierform vor, der auch ohne IT-Systeme zugänglich ist und in den vergangenen zwölf Monaten aktualisiert wurde?
- Rolle des IT-Partners – Ist schriftlich festgehalten, was der IT-Dienstleister im Ernstfall leistet – und was nicht? Wissen Sie, wie lange eine Wiederherstellung dauern würde?
- Zahlungen – Wird jede Zahlungsanweisung per E-Mail oder Telefon über einen zweiten, unabhängigen Kanal bestätigt – ohne Ausnahme für die Geschäftsleitung?
- Mitarbeitende – Gibt es ein ganzjähriges Sensibilisierungsprogramm, und wissen alle Mitarbeitenden, wem sie eine verdächtige Nachricht umgehend melden können?
- Übung – Haben Sie in den letzten zwölf Monaten einen Angriff mit der Geschäftsleitung durchgespielt?
Jedes Nein weist auf eine Massnahme für die nächsten 90 Tage hin. Beginnen Sie mit Frage 1: Ohne klare Verantwortung bleiben die übrigen fünf Punkte oft unbearbeitet.
Vorbereitet sein, bevor es darauf ankommt
Cybersecurity entscheidet sich nicht allein an der Firewall. Entscheidend ist, ob Verantwortlichkeiten geklärt, Abläufe eingeübt und Mitarbeitende im Alltag unterstützt werden. KMU müssen dafür nicht alles auf einmal lösen. Wer die grössten Risiken kennt, klare Prioritäten setzt und den Ernstfall vorbereitet, schafft Schritt für Schritt mehr Widerstandsfähigkeit – und gewinnt im entscheidenden Moment Zeit und Handlungssicherheit.
