Kleine Firmen, grosse Lücke bei Cyberrisiken
Schweizer Mikrounternehmen und Kleinbetriebe erleben laut einer Deloitte-Umfrage vom April 2026 überdurchschnittlich häufig Cybervorfälle, schätzen ihr Risiko aber am niedrigsten ein: 38 Prozent der Mikrounternehmen berichten von Vorfällen, nur 15 Prozent sehen ein hohes Risiko. Mittlere Unternehmen erreichen im Sicherheitsindex 67 von 100 Punkten, Mikrounternehmen nur 44, während die Versicherungsdichte bei kleinen Firmen ebenfalls deutlich geringer ausfällt.
Fast jede zweite Schweizer KMU-Mitarbeiterin oder jeder zweite Mitarbeiter hat in den letzten drei Monaten einen ernsten Cybervorfall am Arbeitsplatz erlebt, doch nur gut jeder Fünfte hält das Risiko für hoch. Diese Wahrnehmungslücke dokumentiert eine Deloitte-Umfrage vom April 2026 unter 924 Arbeitnehmenden von Schweizer Unternehmen mit bis zu 249 Mitarbeitenden. Am grössten fällt der Abstand zwischen erlebter Realität und eingeschätztem Risiko ausgerechnet bei den kleinsten Betrieben aus.
Wie stark unterschätzen Schweizer KMU insgesamt ihr Cyberrisiko?
Laut der Deloitte-Umfrage von April 2026 berichten 49 Prozent der befragten KMU-Mitarbeitenden von einem ernsten Cybervorfall in den letzten drei Monaten, während nur 22 Prozent das Cyberrisiko ihres Unternehmens als hoch einschätzen.
Die Erhebung stützt sich auf 924 Arbeitnehmende, die für Schweizer Betriebe mit bis zu 249 Mitarbeitenden gemäss BFS-Klassifizierung arbeiten und beruflich am Computer tätig sind. Ergänzend führte Deloitte im Juni und Juli 2026 Gespräche mit Cyberexpertinnen und Cyberexperten von Versicherungen.
Die Differenz von 27 Prozentpunkten zwischen erlebten Vorfällen und eingeschätztem Risiko zeigt sich bei Unternehmen aller untersuchten Grössenklassen. Wie stark die Lücke ausfällt, hängt jedoch deutlich von der Betriebsgrösse ab.
Warum ist die Wahrnehmungslücke bei den kleinsten Unternehmen am grössten?
Bei Mikrounternehmen berichten 38 Prozent von einem ernsten Cybervorfall, doch nur 15 Prozent schätzen das eigene Risiko als hoch ein, was die grösste Diskrepanz aller Grössenklassen darstellt.
Kleine Unternehmen mit 10 bis 49 Mitarbeitenden melden mit 52 Prozent sogar den höchsten Anteil an Vorfällen aller Kategorien, während lediglich 21 Prozent das Risiko als hoch einstufen. Die Lücke bleibt damit auch bei etwas grösseren Betrieben bestehen, verändert sich aber in ihrer Ausprägung.
Mikrounternehmen verfügen oft über keine eigene IT-Abteilung, wie sie etwa Managed Services für ausgelagerten IT-Betrieb bereitstellen, und keine Person, die Sicherheitsfragen systematisch verfolgt. Ein Vorfall wird dadurch häufig als Einzelfall wahrgenommen statt als Hinweis auf eine strukturelle Lücke.
Welche Bedrohungen erleben KMU am häufigsten, und wie gut sind sie geschützt?
Phishing ist mit 25 Prozent die am häufigsten wahrgenommene Bedrohung, gefolgt von Malware mit 13 Prozent, wobei sich Mikrounternehmen mit 24 Prozent und mittlere Unternehmen mit 25 Prozent bei Phishing kaum unterscheiden.
Der von Deloitte erstmals berechnete KMU-Cybersicherheitsindex misst die Verbreitung von sechs grundlegenden Sicherheitsmassnahmen und liegt gesamthaft bei 58 von 100 Punkten. Mikrounternehmen erreichen darin nur 44 Punkte, mittlere Unternehmen dagegen 67 Punkte, ein Unterschied, den priorisierte Basismassnahmen für kleinere Betriebe gezielt schliessen können.
66 Prozent der befragten Unternehmen setzen Multi-Faktor-Authentifizierung ein, während passwortlose Authentifizierung und Single Sign-on je bei 45 Prozent liegen und 48 Prozent regelmässige Phishing-Tests durchführen. Gerade kleinere Betriebe schöpfen dieses Potenzial seltener aus als grössere KMU.
Wie gross ist die Versicherungslücke bei kleinen Schweizer Unternehmen?
Nur rund 11,5 Prozent der in der Schweiz domizilierten Unternehmen verfügen laut Zahlen des Schweizerischen Versicherungsverbands von 2025 über eine Cyberversicherung, wobei die Lücke bei Mikro- und Kleinunternehmen besonders ausgeprägt ist.
Der Schweizerische Versicherungsverband zählte 2025 rund 72'000 Firmenkundenpolicen für Cyberversicherungen, nach eigener Erhebung vom August 2025 waren es 67'000 Firmenpolicen sowie über 400'000 Policen für Privatpersonen. Während weit über die Hälfte der international tätigen Grosskonzerne abgesichert ist, verfügen nur fünf bis zehn Prozent der KMU über eine Cyberversicherung.
KMU stellen laut Verband rund 99 Prozent aller Unternehmen in der Schweiz und gelten trotzdem als attraktive Ziele für Cyberkriminelle. Die Kombination aus geringem Grundschutz und fehlender Versicherung trifft damit genau jene Betriebe, die sich einen Vorfall am wenigsten leisten können.
Was können KMU jetzt konkret tun, um die Lücke zu schliessen?
IT-Verantwortliche und Geschäftsführungen sollten die Diskrepanz zwischen erlebten Vorfällen und eingeschätztem Risiko als Ausgangspunkt nehmen, um Basismassnahmen wie MFA, Phishing-Tests und getestete Backups gezielt bei den schwächsten Bereichen einzuführen.
Das Bundesamt für Cybersicherheit verarbeitete 2025 insgesamt 64'733 freiwillige Meldungen zu Cybervorfällen, rund 2'000 mehr als im Vorjahr. Wer die eigene Vorfallhistorie kennt, kann die BACS-Meldestatistik richtig einordnen und daraus passende Prioritäten für den eigenen Betrieb ableiten.
87 Prozent der befragten Unternehmen befürworten eine weitergehende Regulierung im Bereich Cybersicherheit, wobei 62 Prozent Branchenstandards oder eine Kombination mit staatlichen Vorgaben bevorzugen und nur 19 Prozent eine rein staatliche Lösung wünschen. Ein naheliegender erster Schritt ist eine Bestandsaufnahme der sechs Deloitte-Basismassnahmen im eigenen Betrieb, gefolgt von einer Priorisierung nach Aufwand und Wirkung.
Häufige Fragen
Wie viele Schweizer KMU-Mitarbeitende haben schon einen Cybervorfall erlebt?
Laut einer Deloitte-Umfrage vom April 2026 unter 924 Arbeitnehmenden Schweizer Unternehmen mit bis zu 249 Mitarbeitenden berichteten 49 Prozent von einem ernsten Cybervorfall in den letzten drei Monaten. Gleichzeitig schätzten nur 22 Prozent der Befragten das Cyberrisiko ihres Unternehmens als hoch ein, was auf eine deutliche Wahrnehmungslücke hinweist.
Warum unterschätzen kleine Unternehmen ihr Cyberrisiko besonders stark?
Mikrounternehmen verfügen oft über keine eigene IT-Abteilung und keine Person, die Sicherheitsvorfälle systematisch verfolgt. Ein einzelner Vorfall wird dadurch häufig als Ausnahme wahrgenommen statt als Hinweis auf eine strukturelle Schwäche. Laut Deloitte-Umfrage vom April 2026 berichten 38 Prozent der Mikrounternehmen von einem Vorfall, nur 15 Prozent schätzen ihr Risiko als hoch ein.
Wie viele Schweizer KMU haben eine Cyberversicherung?
Gemäss dem Schweizerischen Versicherungsverband verfügten 2025 rund 11,5 Prozent aller in der Schweiz domizilierten Unternehmen über eine Cyberversicherung. Bei kleinen und mittleren Unternehmen, die rund 99 Prozent aller Schweizer Firmen ausmachen, liegt die Quote mit fünf bis zehn Prozent deutlich tiefer als bei international tätigen Grosskonzernen, von denen weit über die Hälfte versichert ist.
Was ist der KMU-Cybersicherheitsindex von Deloitte?
Der von Deloitte erstmals berechnete KMU-Cybersicherheitsindex misst die Verbreitung von sechs grundlegenden Sicherheitsmassnahmen wie Multi-Faktor-Authentifizierung, Phishing-Tests und Backups. Gesamthaft erreichen Schweizer KMU 58 von 100 Punkten. Mikrounternehmen liegen mit 44 Punkten deutlich unter mittleren Unternehmen, die 67 Punkte erzielen, was auf einen klaren Grössenunterschied bei der Sicherheitsreife hinweist.
Welche Cyberbedrohung erleben Schweizer KMU am häufigsten?
Phishing ist laut der Deloitte-Umfrage vom April 2026 die am häufigsten wahrgenommene Bedrohung für Schweizer KMU, genannt von 25 Prozent der befragten Arbeitnehmenden. An zweiter Stelle folgt Malware mit 13 Prozent. Mikrounternehmen und mittlere Unternehmen sind bei Phishing mit rund 24 bis 25 Prozent nahezu gleich stark betroffen.
Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung fachlich geprüft und freigegeben. Die inhaltliche Verantwortung liegt bei n'cloud.swiss AG.