Cybersecurity für KMU: Die grössten Risiken und wie Sie sich schützen

«Uns trifft das nicht — wir sind zu klein.» Das ist der gefährlichste Satz in der IT-Sicherheit. Gerade KMU sind für Cyberkriminelle attraktive Ziele, weil sie oft weniger geschützt sind als Grossunternehmen.

Die Bedrohungslage in der Schweiz

Das Nationale Zentrum für Cybersicherheit (NCSC) verzeichnet jährlich tausende Meldungen. Die Dunkelziffer ist deutlich höher. Besonders betroffen: KMU mit 10-250 Mitarbeitenden. Die Angreifer wissen, dass hier die Sicherheitsmassnahmen oft lückenhaft sind.

Ein erfolgreicher Cyberangriff kostet ein Schweizer KMU durchschnittlich CHF 100'000-500'000 — durch Betriebsausfall, Datenwiederherstellung, Reputationsschaden und teilweise Lösegeldzahlungen.

Die Top 5 Bedrohungen für KMU

1. Ransomware

Verschlüsselungstrojaner sind die grösste Bedrohung. Sie verschlüsseln alle Daten und fordern Lösegeld. Ohne funktionierendes Backup steht das Unternehmen still. Die Einfallstore: E-Mail-Anhänge, kompromittierte Websites, unsichere Fernzugänge.

2. Phishing

Gefälschte E-Mails, die zum Klicken auf schädliche Links oder zur Preisgabe von Zugangsdaten verleiten. Phishing wird immer raffinierter — dank KI sind die Mails kaum noch von echten zu unterscheiden.

3. Business Email Compromise (BEC)

Angreifer geben sich als Geschäftsführer oder Lieferant aus und fordern eine dringende Überweisung. Sogenannte «CEO-Fraud»-Angriffe haben Schweizer KMU bereits Millionen gekostet.

4. Schwache Passwörter

«Firma2024!» ist kein sicheres Passwort. Und doch verwenden viele Mitarbeitende solche Muster — oder dasselbe Passwort für alles. Brute-Force-Angriffe und Credential Stuffing machen sich das zunutze.

5. Ungesicherte Fernzugänge

Seit Corona hat sich Homeoffice etabliert. Aber viele VPN-Lösungen und Remote-Desktop-Zugänge sind schlecht konfiguriert oder nicht aktualisiert.

Der Cybersecurity-Grundschutz: 10 Massnahmen

1. Multi-Faktor-Authentifizierung (MFA): Für alle Zugänge. Sofort. Ohne Ausnahme.
2. Regelmässige Backups: 3-2-1-Regel: 3 Kopien, 2 Medien, 1 offsite. Backups testen!
3. Updates und Patches: Automatisch, zeitnah, lückenlos. Ungepatchte Systeme sind offene Türen.
4. E-Mail-Security: Spam-Filter, Malware-Scan, SPF/DKIM/DMARC konfigurieren.
5. Passwort-Manager: Für das ganze Team. Schluss mit Post-Its am Monitor.
6. Mitarbeiterschulung: Regelmässig, praxisnah, mit simulierten Phishing-Tests.
7. Netzwerksegmentierung: Trennen Sie Gast-WLAN, Produktionsnetz und Büronetz.
8. Endpoint Protection: Moderne Antivirenlösung auf allen Geräten — inkl. Smartphones.
9. Incident Response Plan: Wer macht was, wenn es passiert? Dokumentieren und üben.
10. Cyberversicherung: Kein Ersatz für Schutzmassnahmen, aber ein wichtiges Sicherheitsnetz.

Was das kostet

Grundschutz für ein KMU mit 20 Arbeitsplätzen:

• MFA-Lösung: Oft im Microsoft 365 inklusive
• Backup-Lösung: CHF 200-500/Monat
• Endpoint Protection: CHF 100-300/Monat
• Awareness-Training: CHF 2'000-5'000/Jahr
• Security-Audit (einmalig): CHF 5'000-15'000

Zusammen: CHF 5'000-15'000 pro Jahr. Verglichen mit den Kosten eines erfolgreichen Angriffs (CHF 100'000+) eine sehr lohnende Investition.

Fazit

100% Sicherheit gibt es nicht. Aber 95% aller Angriffe lassen sich mit den genannten Grundmassnahmen abwehren. Der wichtigste Schritt ist der erste: Nehmen Sie das Thema ernst, und fangen Sie heute an.