Vom blinden Fleck zum Basisschutz: Leitfaden für Schweizer KMU

Wie gross ist die Lücke zwischen wahrgenommenem und tatsächlichem Risiko?

Bei Schweizer KMU klafft laut Deloitte Schweiz eine deutliche Lücke zwischen tatsächlich erlebten Vorfällen und der eigenen Risikoeinschätzung, am stärksten bei Kleinstunternehmen.

Deloitte Schweiz stellt fest, dass 49 Prozent der befragten Mitarbeitenden in den drei Monaten vor der Erhebung im April 2026 einen ernsten Cybervorfall miterlebt haben, während nur 22 Prozent das Risiko als hoch einstufen. Bei Mikrounternehmen ist der Abstand noch grösser: In den vergangenen drei Monaten berichteten 38 Prozent von Vorfällen, aber nur 15 Prozent schätzten das Risiko als hoch ein, so Deloitte Schweiz. Phishing gilt branchenübergreifend als häufigste wahrgenommene Bedrohung, mit 25 Prozent Nennungen gemäss der Deloitte-Erhebung vom April 2026.

Woran lässt sich das tatsächliche Schutzniveau von Schweizer KMU messen?

Deloitte misst das Schutzniveau mit einem Cybersicherheitsindex, der die Verbreitung von sechs elementaren Sicherheitsmassnahmen erfasst und im Schnitt bei 58 von 100 Punkten liegt.

Nach Unternehmensgrösse zeigt sich ein deutliches Gefälle: Laut dem im August 2026 von SwissCybersecurity.net veröffentlichten Index erreichen Mikrounternehmen nur 44 Punkte, mittlere Unternehmen dagegen 67 Punkte. Gemessen werden laut SwissCybersecurity.net unter anderem Multi-Faktor-Authentifizierung, E-Mail-Warnungen, Schulungen und Phishing-Tests. Im Detail setzen 66 Prozent der Unternehmen MFA ein, passwortlose Authentifizierung und Single Sign-on nutzen je 45 Prozent, und 48 Prozent führen regelmässige Phishing-Tests durch, wie SwissCybersecurity.net im August 2026 berichtete.

Welche Massnahme sollten Schweizer KMU zuerst umsetzen?

Schweizer KMU schliessen die Lücke am schnellsten, indem sie zuerst MFA flächendeckend einführen und danach feste Schulungs- und Phishing-Test-Intervalle etablieren.

Für die Priorisierung eignet sich eine klare Reihenfolge: zuerst MFA für alle zentralen Zugänge, danach feste Intervalle für Awareness-Trainings mit Phishing-Tests, danach getestete Backups. Die Geschäftsleitung erkennt den Erfolg daran, dass die Abdeckungsquote pro Massnahme regelmässig erhoben wird, statt die Einführung als einmaliges Projekt zu betrachten. Kleinere Betriebe profitieren von dieser Reihenfolge besonders, weil sie im Deloitte-Index systematisch schwächer abschneiden als grössere Unternehmen.

• MFA für E-Mail-, Cloud- und VPN-Zugänge aktivieren
• Phishing-Tests und Schulungen in festem Intervall durchführen
• Backups regelmässig testen, nicht nur erstellen
• Internen Meldeweg für Vorfälle festlegen, auch ohne gesetzliche Pflicht

Welche Meldefristen gelten seit 2025 für Cyberangriffe in der Schweiz?

Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innerhalb von 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit melden und die Meldung innert 14 Tagen vervollständigen, wie das NCSC/BACS festhält.

Seit dem 1. Oktober 2025 drohen Betreibern, die dieser Pflicht nicht nachkommen, Bussen bis zu 100'000 Franken, so das Bundesamt für Cybersicherheit. In den ersten sechs Monaten der Meldepflicht gingen beim NCSC insgesamt 164 Meldungen von kritischen Infrastrukturen ein, wie das NCSC/BACS mitteilt. Die meisten Schweizer KMU zählen nicht zu den meldepflichtigen Betreibern, profitieren aber von derselben Disziplin bei internen Meldewegen. Wie sich Meldezahlen und tatsächliche Vorfälle zueinander verhalten, zeigt die Auswertung der BACS-Meldestatistik.

Welche geschäftlichen Folgen hat fehlender Basisschutz?

Fehlender Basisschutz erhöht das Geschäftsrisiko messbar, denn laut dem Bundesamt für Cybersicherheit war bereits jedes dritte Schweizer KMU Opfer eines Cyberangriffs.

Nur rund 72'000 Firmenkundenpolicen für Cyberrisiken waren 2025 registriert, was laut dem Schweizerischen Versicherungsverband SVV lediglich 11,5 Prozent der in der Schweiz domizilierten Unternehmen entspricht, wie Deloitte Schweiz berichtet. Parallel dazu geben laut der KMU Cybersicherheit 2025 Studie von cyberstudie.ch 28 Prozent der KMU an, dass Cybersicherheit für sie keine Priorität mehr ist, ein deutlicher Anstieg gegenüber 18 Prozent im Vorjahr, während nur 30 Prozent über ein Sicherheitskonzept, Schulungen oder einen Notfallplan verfügen. Besonders exponiert sind gemäss der Branchenanalyse zu Manufacturing und Technology Betriebe mit hohen Betriebsunterbruchskosten und schwach getrennten Netzwerken.

Mit welchem ersten Schritt beginnen Schweizer KMU sinnvoll?

Der wirksamste erste Schritt ist eine Bestandsaufnahme der sechs vom Deloitte-Index gemessenen Massnahmen, aus der sich innert weniger Wochen ein priorisierter Umsetzungsplan mit Zielwerten ableiten lässt.

IT-Verantwortliche legen für jede Massnahme einen Zielwert und ein Datum fest und prüfen den Fortschritt quartalsweise, statt Sicherheit als einmaliges Projekt zu behandeln. Der Erfolg zeigt sich daran, dass MFA und Phishing-Tests innert drei Monaten über die von SwissCybersecurity.net ausgewiesenen 66 respektive 48 Prozent hinaus ausgeweitet werden. 87 Prozent der im April 2026 von Deloitte befragten Personen befürworten ohnehin eine Regulierung der Cybersicherheit, wobei die Mehrheit Branchenstandards statt starrer staatlicher Vorgaben bevorzugt.