Cyberrisiko wird Chefsache
Der Angriff beginnt selten im Serverraum. Er landet als glaubwürdige Mail im Postfach, kommt als Anruf einer vermeintlichen Führungskraft oder tarnt sich als geänderter Zahlungsauftrag. Schweizer KMU erleben Cybervorfälle häufig, bewerten das eigene Risiko jedoch erstaunlich tief. Diese Lücke zwischen Erfahrung und Wahrnehmung wird zur Schwachstelle.
49 Prozent der befragten Mitarbeitenden in Schweizer KMU berichten, in den vergangenen drei Monaten einen ernsten Cybervorfall bei ihrem Arbeitgeber erlebt zu haben. Dennoch stufen nur 22 Prozent das Cyberrisiko ihres Unternehmens als hoch ein. Bei Mikrounternehmen mit ein bis neun Mitarbeitenden klafft die Differenz besonders weit auseinander. 38 Prozent berichten von Vorfällen, doch lediglich 15 Prozent sehen ein hohes Risiko.
Das ist brisant. Cyberkriminalität sucht heute kaum mehr nach grossen Namen. Angriffe laufen automatisiert, skalierbar und gezielt. Ein kleines Unternehmen kann über kompromittierte Zugangsdaten, Rechnungen oder Zahlungsprozesse direkt geschädigt werden. Es kann zugleich zur Eintrittstür in Lieferketten und Kundennetzwerke werden.
Der Grundschutz bleibt lückenhaft
Phishing ist mit 25 Prozent die am häufigsten wahrgenommene Bedrohung. Es trifft Unternehmen jeder Grösse fast gleich häufig. Dahinter folgen unter anderem Schadsoftware, CEO-Fraud, Identitätsdiebstahl, mögliche Datenabflüsse und Betriebsstörungen.
Der neue Deloitte-KMU-Cybersicherheitsindex erreicht 58 von 100 Punkten. Er misst sechs mitarbeiterbezogene Grundmassnahmen. Im Schnitt sind diese Schutzvorkehrungen somit erst zu 58 Prozent umgesetzt.
Besonders auffällig ist die Authentifizierung. Multi-Faktor-Authentifizierung nutzen 66 Prozent der Unternehmen. Passwortlose Verfahren und Single Sign-On liegen je bei 45 Prozent. Bei Mikrounternehmen erreicht der Index lediglich 44 Punkte. Regelmässige Schulungen setzen dort 32 Prozent ein, Phishing-Tests 24 Prozent. Mittlere Unternehmen liegen bei diesen beiden Werten bei 82 respektive 63 Prozent.
Versicherung ersetzt keine Vorsorge
Cyberversicherung gewinnt an Bedeutung, doch ihre Verbreitung bleibt gering. 2025 bestanden in der Schweiz rund 72’000 Firmenkundenpolicen. Das entspricht 11,5 Prozent der hier domizilierten Unternehmen. Besonders Mikro- und Kleinunternehmen bleiben oft ohne Absicherung, obwohl ein Schaden sie relativ zum Umsatz besonders hart treffen kann.
Eine Police löst das Problem ohnehin kaum allein. Versicherer verlangen zunehmend nachvollziehbare Mindeststandards. Fehlen Zugriffsregeln, getestete Back-ups oder ein geregelter Notfallprozess, fehlt oft bereits die Basis für eine wirksame Absicherung.
Resilienz ist Führungsaufgabe
Cybersicherheit gehört auf die Agenda der Geschäftsleitung. Entscheidend sind wenige, konsequent umgesetzte Grundlagen. Starke Authentifizierung, restriktive Zugriffsrechte, kurze regelmässige Schulungen, getestete Back-ups und ein klarer Notfallplan erhöhen die Handlungsfähigkeit im Ernstfall.
Es geht um weit mehr als IT. Cyberresilienz bewahrt den Betrieb vor Ausfällen, schützt Zahlungsprozesse und sichert Vertrauen bei Kundschaft und Partnern.