Schweizer KMU unterschätzen die geschäftliche Gefahr durch Cyberangriffe

Cybervorfälle gelten seit fünf Jahren in Folge als das weltweit grösste Unternehmensrisiko. Schweizer kleine und mittlere Unternehmen behandeln viele dieser Bedrohungen laut einer Studie des VZ VermögensZentrums und der Hochschule Luzern dennoch so, als wären sie das Problem anderer.

Die Warnung kommt zu einem Zeitpunkt, an dem Cyberrisiken weit über die IT-Abteilung hinausreichen. Ein Angriff kann die Produktion oder den Verkauf unterbrechen, Daten beschädigen, Systeme beeinträchtigen, Kundinnen und Kunden verunsichern und rechtliche Pflichten auslösen. Er kann zudem die Liquidität unmittelbar unter Druck setzen, wenn ein Unternehmen den Betrieb wiederherstellen, Geräte ersetzen oder Umsatzeinbussen verkraften muss. Für ein kleineres Unternehmen mit begrenzten Reserven kann ein längerer Unterbruch den Fortbestand gefährden.

Laut der Studie gehen viele KMU davon aus, dass es sie wahrscheinlich nicht treffen wird. Diese Annahme macht Unternehmen angreifbar, denn digitale Systeme unterstützen heute in fast allen Branchen die alltägliche Arbeit, von Kundendaten und Buchhaltung bis hin zu Logistik und Kommunikation. Ein Unternehmen muss kein Technologieunternehmen sein, um von Technologie abhängig zu sein.

Das Ausmass weltweit ist beträchtlich. Die Kosten der Cyberkriminalität beliefen sich 2024 Schätzungen zufolge auf 9,5 Billionen US-Dollar oder 7,88 Billionen Franken. Wäre die Cyberkriminalität ein Land, wäre sie damit die drittgrösste Volkswirtschaft der Welt.

Schweizer Behörden registrierten 2025 knapp 58'000 Straftaten unter Einsatz digitaler Methoden. Diese Zahl zeigt nicht das ganze Ausmass des Problems, denn laut der Studie gibt es viele nicht gemeldete Fälle. Die Aufklärungsquote lag bei 17,6 Prozent, sodass für viele Betroffene keine klare Lösung gefunden wurde.

Bei KMU kann die mangelnde Meldung mit Unsicherheit beginnen. Ein Unternehmen weiss möglicherweise nicht, ob eine verdächtige Zahlungsaufforderung, ein gesperrtes Konto oder eine fehlende Datei auf eine Straftat, einen technischen Fehler oder ein internes Versehen zurückzuführen ist. Manche Unternehmen zögern möglicherweise auch, einen Vorfall offenzulegen, weil sie einen Reputationsschaden oder eine Beeinträchtigung der Kundenbeziehungen befürchten.

Diese Unsicherheit hat praktische Folgen. Wenn ein Unternehmen nicht festhält, was geschehen ist, fällt es ihm möglicherweise schwer, seine digitalen Abhängigkeiten zu erkennen, betroffene Parteien zu informieren oder nachzuweisen, dass es verantwortungsvoll reagiert hat. Ausserdem können wertvolle Informationen verloren gehen, die den Ermittlungsbehörden helfen könnten, Fälle miteinander in Verbindung zu bringen.

Die Studie stellt Kriminalstatistiken nicht als vollständiges Mass der Gefährdung dar. Sie zeigen einen sichtbaren Teil eines umfassenderen Risikobilds, zu dem versuchte Angriffe, spät entdeckte Vorfälle und Fälle gehören, die nie den Behörden gemeldet werden. Für kleinere Unternehmen besteht die erste Aufgabe deshalb in einem grundlegenden, aber wichtigen Schritt: Es muss festgelegt werden, wer für das Erkennen, Dokumentieren und Weiterleiten eines Cybervorfalls zuständig ist.

Ein KMU muss wissen, welche digitalen Systeme den Betrieb am Laufen halten, bevor eines davon ausfällt. Laut der Studie des VZ VermögensZentrums und der HSLU können Unternehmen Cyberrisiken wirksamer bewältigen, indem sie ihre digitalen Abhängigkeiten erfassen und klare Zuständigkeiten festlegen.

Diese Bestandsaufnahme sollte über Server und Software hinausgehen. Ein Unternehmen ist möglicherweise für Zahlungen, Cloud-Speicher, Kundenkommunikation, Lohnabrechnungen oder die Produktionsplanung von einem externen Anbieter abhängig. Es verlässt sich vielleicht auf eine einzelne Mitarbeiterin oder einen einzelnen Mitarbeiter, die oder der weiss, wie die Systeme funktionieren, oder auf einen Lieferanten, dessen Zugriffsrechte nie überprüft wurden. Jede Abhängigkeit schafft einen möglichen Unterbruchspunkt und eine Entscheidung, die während einer Krise getroffen werden muss.

Die Studie fordert KMU auf, Notfallpläne auszuarbeiten und die finanziellen Folgen verschiedener Vorfälle zu beurteilen. Dazu gehört, die Kosten von Betriebsunterbrüchen, der Wiederherstellung von Daten, externer Fachunterstützung, der Kommunikation mit Kundinnen und Kunden sowie möglicher rechtlicher Pflichten zu schätzen. Ebenso muss entschieden werden, welche Risiken das Unternehmen vermeiden, vermindern, selbst tragen oder durch eine Versicherung übertragen will.

Technische Warnungen sind erst dann hilfreich, wenn die Geschäftsleitung sie mit Betrieb und Finanzen in Verbindung bringen kann. Ein ausgefallenes System ist ein IT-Problem. Eine Woche ohne Bestellungen, Rechnungen oder Lieferungen ist ein Geschäftsproblem. KMU brauchen Pläne, die beides berücksichtigen.

Weniger als 12 Prozent der Schweizer Unternehmen haben derzeit eine Cyberversicherung. Die Studie nennt die Komplexität der Versicherungsprodukte als einen Grund dafür, dass KMU den Versicherungsschutz möglicherweise nur schwer vergleichen können. Sie betont zudem, dass eine Versicherung Prävention oder wirksames Risikomanagement nicht ersetzen kann.

Für eine Inhaberin oder einen Inhaber geht es um mehr, als einfach eine Police aus einer Liste auszuwählen. Der Versicherungsschutz muss möglicherweise Verluste durch Betriebsunterbrüche, die Wiederherstellung von Daten, Rechtskosten, Informationspflichten und die Unterstützung durch externe Fachleute abdecken. Wie wertvoll dieser Schutz ist, hängt von den Systemen, Verträgen und Kundinnen und Kunden des Unternehmens sowie von seiner Fähigkeit ab, einen längeren Ausfall zu verkraften. Eine Police, die diesen Gegebenheiten nicht entspricht, kann ein falsches Sicherheitsgefühl vermitteln.

Eine Versicherung greift zudem erst, nachdem das Unternehmen grundlegende Vorsichtsmassnahmen getroffen hat. Versicherer prüfen möglicherweise Zugriffskontrollen, Datensicherungen, Abläufe bei Vorfällen und die Zuständigkeiten der Mitarbeitenden, bevor sie Versicherungsschutz gewähren oder eine Forderung begleichen. Diese Anforderungen können einem KMU helfen, Schwachstellen zu erkennen, beseitigen aber nicht die Notwendigkeit eines internen Plans.

Die Botschaft der Studie ist praxisorientiert: Zuerst die Gefährdung verstehen, dann entscheiden, was verhindert, vermindert, selbst getragen oder versichert werden soll. Für viele Unternehmen kann sich dabei zeigen, dass eine bescheidene Investition in die Vorbereitung den Geldfluss unmittelbarer schützt als eine isoliert betrachtete Versicherungspolice.

Der Fortbestand eines KMU kann von Entscheidungen abhängen, die vor dem Beginn eines Vorfalls getroffen werden. Die Studie des VZ VermögensZentrums und der HSLU fordert Unternehmen auf, Cyberrisiken als Führungsaufgabe zu behandeln, mit klar zugewiesenen Zuständigkeiten, getesteten Notfallplänen und nachvollziehbaren finanziellen Berechnungen.

Dieser Ansatz ist in der ganzen Schweiz wichtig, wo viele kleinere Unternehmen mit schlanken Teams arbeiten und enge Beziehungen zu Kundinnen, Kunden und Lieferanten pflegen. Eine Störung kann sich rasch auf Bestellungen, Löhne, Lieferungen und das Vertrauen auswirken. Selbst wenn die Systeme wieder funktionieren, können beschädigte Daten oder unklare rechtliche Pflichten die Folgen verlängern.

Die unmittelbaren Prioritäten sind klar. Die Geschäftsleitung sollte kritische Systeme und externe Anbieter identifizieren, bestimmen, wer bei einem Vorfall die Führung übernimmt, praktikable Wiederherstellungsmassnahmen sicherstellen und die Kosten eines Betriebsunterbruchs berechnen. Mitarbeitende brauchen zudem einen klaren Weg, um verdächtige Aktivitäten zu melden, bevor aus einem kleinen Warnzeichen ein grosser Unterbruch wird. Unternehmen sollten diese Vorkehrungen überprüfen, statt sie in einem Ordner abzulegen, den niemand geöffnet hat.

Die verfügbaren Zahlen zeigen, warum Verzögerungen kostspielig sind. 2025 registrierte die Schweiz knapp 58'000 Straftaten unter Einsatz digitaler Methoden, während weniger als 12 Prozent der Unternehmen eine Cyberversicherung hatten. Vorbereitung wird Angriffe nicht verhindern, und eine Versicherung wird nicht jede verlorene Beziehung wiederherstellen. Beides gehört zu einem umfassenderen Risikoplan, der digitale Resilienz als Teil der gewöhnlichen Geschäftskontinuität behandelt.