Cybersicherheit für KMU bezeichnet die technischen und organisatorischen Massnahmen, mit denen kleine und mittlere Unternehmen ihre Computer, Netzwerke und Daten vor unbefugtem Zugriff, Datendiebstahl und Erpressung schützen. Weil den meisten KMU eine eigene IT-Sicherheitsabteilung fehlt, geraten sie überdurchschnittlich oft ins Visier von Kriminellen. Wie das Bundesamt für Cybersicherheit (BACS) Anfang 2026 meldete, gingen allein im zweiten Halbjahr 2025 rund 29’006 freiwillige Meldungen zu Cybervorfällen ein, dazu kamen 145 meldepflichtige Angriffe auf Schweizer Unternehmen. Diese Grössenordnung widerlegt die verbreitete Annahme, kleinere Betriebe seien für Angreiferinnen und Angreifer schlicht uninteressant.
Warum gerade kleinere Betriebe im Visier stehen
Massgeblich für die Zielauswahl ist die Schwachstelle eines Betriebs, kaum je seine Grösse. Viele kleinere Unternehmen nutzen veraltete Software, verzichten auf Zwei-Faktor-Authentifizierung oder schulen ihr Personal nur unregelmässig im Umgang mit verdächtigen E-Mails – oft auch deshalb, weil der spürbare Fachkräftemangel in Schweizer KMU schlicht die Zeit für solche Massnahmen fehlen lässt. Ransomware bleibt die grösste Einzelbedrohung: Im zweiten Halbjahr 2025 registrierte das BACS fast 80 solcher Vorfälle, gegenüber 47 im gleichen Zeitraum des Vorjahres, ein Anstieg von 59 Prozent. Besonders aktiv war die Gruppierung Akira, die Unternehmensdaten verschlüsselt und anschliessend Lösegeld fordert; sie zeichnete laut BACS für 26 gemeldete Angriffe im zweiten Halbjahr 2025 verantwortlich. Für den Betrieb bedeutet ein erfolgreicher Angriff oft tagelangen Stillstand, weil Bestellungen, Buchhaltung oder die digitale Zeiterfassungssoftware plötzlich nicht mehr zugänglich sind.
Cybersicherheit für KMU: Die wichtigsten Schutzmassnahmen
Wer bei der Cybersicherheit für KMU ansetzen will, braucht selten teure Spezialsoftware. Wichtiger sind einfache organisatorische Massnahmen, die sich in den meisten Betrieben innerhalb weniger Wochen umsetzen lassen. Laut der Studie «KMU Cybersicherheit 2025», die Anfang 2026 vorgestellt wurde, sind technische Basisschutzmassnahmen zwar oft vorhanden, doch in der Mehrheit der Betriebe fehlen Notfallpläne, klare Zuständigkeiten und regelmässige Schulungen. Wer plant, eine GmbH zu gründen, sollte IT-Sicherheit von Anfang an mitdenken, statt sie erst nachträglich zu ergänzen, wenn die ersten Systeme längst laufen.
Folgende Massnahmen zeigen in der Praxis die grösste Wirkung:
- Zwei-Faktor-Authentifizierung für E-Mail-Konten und zentrale Systeme aktivieren
- Regelmässige, getrennt gelagerte Backups aller geschäftskritischen Daten erstellen
- Software und Betriebssysteme konsequent und zeitnah aktualisieren
- Mitarbeitende mindestens einmal jährlich zu Phishing und verdächtigen Anhängen schulen
Notfallplan, Meldepflicht und der Ernstfall
Seit die Meldepflicht für kritische Vorfälle in Kraft ist, müssen betroffene Unternehmen bestimmte Angriffe dem BACS innerhalb von 24 Stunden melden. Betroffen sind dabei oft auch Kundendaten, weshalb sich diese Meldepflicht eng mit den Vorgaben zum Datenschutz für Unternehmen in der Schweiz überschneidet. Ein schriftlicher Notfallplan hilft in diesem Moment enorm, weil er festlegt, wer informiert wird, welche Systeme zuerst vom Netz getrennt werden und wie die Kommunikation gegenüber Kundinnen und Kunden abläuft. Jedes 25. Unternehmen in der Schweiz wurde in den vergangenen drei Jahren Opfer eines Cyberangriffs, was hochgerechnet auf rund 26’000 Betriebe zutrifft, mit eher steigender als sinkender Tendenz. Wer im Ernstfall improvisiert, verliert wertvolle Stunden, in denen sich Schäden oft noch begrenzen liessen. Ein jährlicher Testlauf, bei dem der Ernstfall einmal durchgespielt wird, deckt Lücken auf, bevor sie ein echter Angreifer ausnutzt.
FAQ
Reicht ein Antivirenprogramm als Schutz aus?
Nein. Antivirensoftware blockiert bekannte Schadprogramme, doch die meisten erfolgreichen Angriffe beginnen mit Phishing-E-Mails, die auf menschliches Fehlverhalten setzen. Erst die Kombination aus Technik, Schulung und Notfallplan bietet einen wirksamen Rundumschutz.
Wie schnell müssen Vorfälle gemeldet werden?
Meldepflichtige Angriffe auf kritische Infrastrukturen müssen dem Bundesamt für Cybersicherheit innerhalb von 24 Stunden nach Entdeckung gemeldet werden. Freiwillige Meldungen sind für alle anderen Betriebe jederzeit möglich und helfen, das Lagebild zu verbessern.
Was kostet ein solider Basisschutz für ein kleines Unternehmen?
Viele wirksame Massnahmen wie Zwei-Faktor-Authentifizierung, Backups und Schulungen verursachen kaum Zusatzkosten, da sie oft bereits in bestehenden Softwarelizenzen enthalten sind. Der grösste Aufwand liegt meist in der Zeit für Einrichtung und Schulung, nicht im Budget.
Welche Branchen sind besonders gefährdet?
Besonders betroffen sind Betriebe mit sensiblen Kundendaten, etwa im Gesundheitswesen, im Detailhandel und in der Finanzbranche. Doch auch kleine Handwerksbetriebe geraten zunehmend ins Visier, weil sie oft schlechter geschützt sind als grosse Firmen.
Fazit
Cybersicherheit für KMU hängt weniger vom IT-Budget ab als von der Konsequenz, mit der ein Betrieb die Basismassnahmen tatsächlich umsetzt. Backups, Zwei-Faktor-Authentifizierung und ein schriftlicher Notfallplan senken das Risiko eines folgenschweren Ausfalls spürbar, und alle drei lassen sich mit vorhandenen Mitteln einrichten. Die BACS-Zahlen für das zweite Halbjahr 2025, fast 80 Ransomware-Fälle und 26 gemeldete Angriffe allein durch die Gruppierung Akira, belegen, dass Abwarten keine Option mehr ist. Betriebe, die schon jetzt eine verantwortliche Person für IT-Sicherheit benennen und das Personal jährlich schulen, verkürzen im Ernstfall die Reaktionszeit erheblich. Genau diese Reaktionszeit entscheidet häufig darüber, ob ein Angriff ein teurer Zwischenfall bleibt oder zur existenziellen Bedrohung für den Betrieb wird.