KMU-Cybersicherheit: der Leitfaden 2026

Cybersicherheit ist nicht mehr das Vorrecht grosser Unternehmen. Schweizer KMU sind heute bevorzugte Ziele, gerade weil sie sensible Daten verarbeiten und gleichzeitig über begrenzte Verteidigungsmittel verfügen. Dieser Leitfaden zeigt, was Sie 2026 konkret wissen und tun müssen.

Die Bedrohungslage 2026

Ransomware bleibt die kostspieligste Bedrohung

Ransomware verschlüsselt sämtliche Ihrer Daten und verlangt ein Lösegeld, um sie zu entschlüsseln. Die betroffenen Unternehmen sind oft mehrere Tage oder Wochen lang lahmgelegt. Die Gesamtkosten eines Ransomware-Vorfalls. Lösegeld, Zeit für die Wiederinbetriebnahme, Umsatzverlust, Krisenkommunikation. übersteigen für ein KMU mit 20 Personen häufig 50 000 CHF, selbst ohne Zahlung des Lösegelds.

2024 verzeichnete das Schweizer Nationale Zentrum für Cybersicherheit (NCSC) einen deutlichen Anstieg der Ransomware-Meldungen, die KMU betreffen. Die am stärksten betroffenen Branchen: Treuhand, Gesundheitswesen, Industrie und Handel.

Phishing ist professioneller geworden

Die Phishing-E-Mails von 2026 gleichen nicht mehr den ungeschickten Versuchen der 2010er-Jahre. Sie imitieren perfekt Ihre Bank, Ihren Cloud-Anbieter oder einen Kollegen. Sie nutzen öffentliche Informationen (LinkedIn, Website), um die Nachricht zu personalisieren. Die Klickrate ist deutlich höher als bei generischen Kampagnen.

Der "Business Email Compromise" (Identitätsdiebstahl eines Geschäftsleitungsmitglieds, um eine dringende Überweisung zu verlangen) ist die kostspieligste Variante. und eine der am schwierigsten zu erkennenden ohne Schulung der Teams.

Ungesicherte Zugänge. der banalste Einbruchsvektor

Die Mehrheit der Einbrüche erfolgt nicht über eine ausgeklügelte technische Schwachstelle. Sie erfolgen über:

• Schwache oder wiederverwendete Passwörter (dieselben privat und beruflich)
• Das Fehlen einer Mehrfaktor-Authentifizierung bei Fernzugriffen
• Netzwerkgeräte (Router, Firewalls), die seit ihrer Installation nie aktualisiert wurden
• Konten ehemaliger Mitarbeitender, die nie deaktiviert wurden

Was das Datenschutzgesetz (DSG) verlangt

Die Revision des Datenschutzgesetzes (DSG), in Kraft seit dem 1. September 2023, erlegt Schweizer Unternehmen mehrere Pflichten im Bereich der Sicherheit auf:

• Privacy by Design und by Default: der Datenschutz muss von der Konzeption Ihrer Systeme und Prozesse an integriert werden, nicht nachträglich hinzugefügt
• Meldung von Verletzungen: jede Datenschutzverletzung, die ein hohes Risiko für die betroffenen Personen darstellt, muss dem EDÖB "so rasch als möglich" gemeldet werden
• Verzeichnis der Bearbeitungstätigkeiten: obligatorisch für Unternehmen, die sensible Daten bearbeiten oder ein Profiling in grossem Umfang betreiben
• Angemessene Sicherheitsmassnahmen: Pflicht zur Umsetzung technischer und organisatorischer Massnahmen, die den Risiken angemessen sind

Die prioritären Massnahmen. der Reihe nach

1. Mehrfaktor-Authentifizierung (MFA) überall

Das ist die Massnahme mit dem besten Kosten-Nutzen-Verhältnis. Die Aktivierung der MFA auf Ihrem E-Mail-System, Ihrem VPN und Ihrem Microsoft 365 oder Google Workspace dauert einen halben Tag und blockiert die grosse Mehrheit der Einbruchsversuche über gestohlene Zugangsdaten.

2. Geprüfte und ausgelagerte Backups

Ein Backup, das nie getestet wurde, ist kein Backup. Es ist vielleicht beschädigt, unvollständig oder unzugänglich genau in dem Moment, in dem Sie es brauchen. Die 3-2-1-Regel bleibt der Standard: 3 Kopien, auf 2 verschiedenen Datenträgern, davon 1 ausgelagert.

"Ausgelagert" bedeutet physisch getrennt von Ihrer Hauptinfrastruktur, nicht eine Festplatte im selben Büro. Im Falle von Ransomware oder eines Brandes sind Ihre lokalen Backups unbrauchbar.

3. EDR auf allen Arbeitsplätzen und Servern

Das herkömmliche signaturbasierte Antivirenprogramm erkennt moderne Bedrohungen nicht. Ein EDR (Endpoint Detection & Response) überwacht das Verhalten der Prozesse in Echtzeit und kann einen kompromittierten Arbeitsplatz automatisch isolieren, bevor sich die Infektion ausbreitet.

Richtkosten: 5 bis 15 CHF pro Arbeitsplatz pro Monat je nach Lösung. Für ein KMU mit 20 Arbeitsplätzen sind das 100 bis 300 CHF/Monat. weit unter den Kosten eines Vorfalls.

4. Aktualisierung der Netzwerkgeräte

Überprüfen Sie, wann Ihre Firewall und Ihre Netzwerk-Switches ihr letztes Firmware-Update erhalten haben. Wenn Sie es nicht wissen, ist das bereits ein Problem. Schwachstellen in Netzwerkgeräten werden nach ihrer öffentlichen Bekanntgabe aktiv und schnell ausgenutzt.

5. Schulung der Mitarbeitenden

Eine jährliche Sitzung von 1 bis 2 Stunden zum Erkennen von Phishing, zur Passwortverwaltung und zu den richtigen Reflexen bei einem verdächtigen Vorfall. Es braucht keine zertifizierende Schulung. es braucht Konkretes, echte Beispiele und klare Abläufe ("wenn Sie eine verdächtige E-Mail erhalten, ist hier, was zu tun ist").

Was das kostet

Für ein KMU mit 20 Personen bedeutet die korrekte Absicherung seiner Infrastruktur:

• EDR 20 Arbeitsplätze: 200 bis 300 CHF/Monat
• Managed Firewall: 150 bis 300 CHF/Monat (je nach Hardware)
• Ausgelagertes Cloud-Backup: 50 bis 150 CHF/Monat je nach Volumen
• Jährliche Schulung: 500 bis 1 500 CHF für die komplette Sitzung
• Jährliches Sicherheitsaudit: 1 500 bis 4 000 CHF je nach Tiefe

Total: 400 bis 750 CHF/Monat im Betrieb, plus eine einmalige Investition für Audits und Schulungen. Das ist erheblich, aber in Relation zu den Kosten eines einzigen ernsthaften Vorfalls zu setzen.

Wo anfangen

Wenn Sie noch nichts umgesetzt haben, beginnen Sie mit der MFA und geprüften Backups. das sind die beiden kurzfristig wirksamsten Massnahmen. Lassen Sie anschliessend von einem unabhängigen Dienstleister ein KMU-Cybersicherheitsaudit durchführen, um Ihre tatsächlichen Lücken zu ermitteln, nicht die, die Sie vermuten.

Ein vollständiges Cybersicherheitsaudit für ein KMU mit 20 bis 50 Personen erstreckt sich je nach Umfang in der Regel über ein bis zwei Wochen und liefert einen Bericht mit priorisierten Empfehlungen. Das ist der beste Ausgangspunkt, um einen realistischen Aktionsplan aufzubauen. Um diese Massnahmen langfristig aufrechtzuerhalten (EDR, getestete Backups, MFA, Updates), integriert ein Managed-IT-Angebot wie AlpenCare sie in eine monatliche Pauschale.