Es steht schlecht um die Cybersicherheit in der Schweizer Wirtschaft. Nicht zuletzt aufgrund der künstlichen Intelligenz (KI) steigen die Gefahren massiv. Kleine und mittlere Unternehmen stecken bei der Cyberabwehr jedoch auch heute noch in den Kinderschuhen.
«Wir hatten in den letzten Jahren keinerlei Probleme, weshalb sollten wir mehr in die Cybersicherheit investieren?»
Drei kritische Bereiche der Cybersicherheit
- Cyberrisiken werden massiv unterschätzt, da Sicherheit Zeit und Geld kostet. Der Effekt, wenn es richtig umgesetzt ist, ist in der Regel unsichtbar (man wird in der Regel einfach nicht gehackt, auch wenn es keine 100%-Sicherheit gibt).
- Einfache Schutzmassnahmen sind nicht umgesetzt, wie beispielsweise eine Authentifizierung ohne Passwort (biometrisch), eine 2-Faktor-Authentifizierung (2FA) oder auch Single-Sign-On (SSO).
- Keine Versicherungen vorhanden. Nur rund 10 Prozent der in der Schweiz ansässigen Unternehmen sind gegen Cyberrisiken versichert (Stand: August 2026).
Zahlreiche Schweizer KMU messen der eigenen Cybersicherheit zu wenig Bedeutung bei. Gleichzeitig steigt die Bedrohung stetig an. Phishing-Mails, Malware sowie Deepfakes werden immer professioneller.
Skalierbare Angriffe über E-Mail (Phishing), gestohlene Zugangsdaten der Website (Admin-Login) oder anderen Systemen sowie auch manipulierte Zahlungsprozesse. Dabei spielt es keine Rolle, ob dein KMU kritische Daten verarbeitet oder nicht. Diese Angriffe finden grösstenteils automatisiert statt.
Primär muss die Cyberresilienz gestärkt werden. Technische Standards müssen seitens Mitarbeiter konsequent eingehalten werden, weitergehende Sicherheitsmassnahmen werden integriert, möglicherweise eine Cyberversicherung abgeschlossen werden, die IT soll professionell betrieben und somit ausgelagert werden und zu guter Letzt sollten Zahlungs- und Freigabeprozesse nach dem Vier-Augen-Prinzip gehandhabt werden.
Notfallkonzept erstellen und testen
Ein IT-Notfallkonzept für KMU als Eckpfeiler der Cybersicherheit:
- Phase: Vorbereitung
Die wichtigste Phase. Es müssen Grundschutzmassnahmen umgesetzt werden. Danach gilt es, einen Krisen- und Notfallplan zu erstellen und diesen auch zu testen. Schliesslich müssen mögliche Cyberrisiken in der Lieferkette überprüft und Zuständigkeiten klar geregelt werden.
- Phase: Vorfall tritt ein
Je nachdem muss der Vorfall mit Hilfe des Notfallblatts gemeldet werden. Dieses Blatt wird vom Bundesamt für Cybersicherheit (BACS) zur Verfügung gestellt. Anschliessend sollte der Vorfall intern geprüft werden, nach Bedarf externe Spezialisten beiziehen und informieren. Schlussendlich müssen wirksame Sofortmassnahmen eingeleitet werden, um weiteren Schaden zu vermeiden.
- Phase: Vorfallsbewältigung
In der Bewältigung ist es zentral, den Notfall- und Krisenplan anzuwenden. Die definierte Notfall- und Krisenorganisation wird zu einer dringenden Sitzung einberufen, um die weiteren Schritte zu besprechen. Danach folgt die Krisenkommunikation, sowohl intern als auch extern und ggf. mittels Pressemitteilung.
- Phase: Nachbearbeitung
Die interne Krisenorganisation trifft sich für ein Debriefing. Was lief gut, was kann künftig punkto Cyberabwehr verbessert werden? Die Verbesserungen fliessen in das Notfallkonzept ein und werden intern geschult.
Beratung und Kontakt
Michael Sutter
E-Mail: michael@michaelh.ch
Tel. +41 55 511 34 30
Quellen
– Deloitte-Studie «Unterschätzt, ungeschützt, unterversichert: KMU-Cyberrisiken in der Schweiz»
– Notfallkonzept, Bundesamt für Cybersicherheit BACS