Wie erhöhe ich die IT-Sicherheit in meinem KMU?

Viele Geschäftsführerinnen und Geschäftsführer von KMU denken: «Wir sind zu klein, uns greift niemand an.» Das Gegenteil ist der Fall. Die meisten Angriffe laufen automatisiert und suchen nicht nach grossen Namen, sondern nach offenen Türen. Und die finden sich bei kleineren Unternehmen häufiger, weil dort niemand Vollzeit für IT-Sicherheit zuständig ist. In diesem Leitfaden erfährst du, welche Bedrohungen für KMU am relevantesten sind, wie du deine Risiken einschätzt, welche technischen und organisatorischen Massnahmen am meisten bringen, was das Schweizer Datenschutzgesetz verlangt und was im Ernstfall zu tun ist. Die häufigsten Bedrohungen für KMU. Phishing: Gefälschte E-Mails, SMS oder Anrufe verleiten dazu, Zugangsdaten preiszugeben oder Schadsoftware zu öffnen. Phishing ist der häufigste Einstieg für Angriffe. Mehr dazu unter Was ist Phishing und wie erkenne ich gefährliche E-Mails? Ransomware: Schadsoftware verschlüsselt Dateien und Systeme, die Angreifer verlangen ein Lösegeld. Für ein KMU bedeutet das oft tagelangen Stillstand. Gestohlene Zugangsdaten: Mit einem einzigen erbeuteten Passwort ohne Zwei-Faktor-Schutz haben Angreifer Zugriff auf E-Mails, Dateien und Kundendaten. Ungepatchte Schwachstellen: Veraltete Software und Geräte mit bekannten Sicherheitslücken werden automatisiert gesucht und ausgenutzt. DDoS-Angriffe: Server oder Websites werden mit Anfragen überflutet, bis sie nicht mehr erreichbar sind. Relevant vor allem für Online-Shops und öffentlich erreichbare Dienste. Schutz bieten in erster Linie der Hosting-Anbieter oder ein spezialisierter Schutzdienst. Fehler und Innentäter: Falsch vergebene Berechtigungen, versehentlich geteilte Dateien oder Zugänge ehemaliger Mitarbeitender, die nie gesperrt wurden. Zuerst die Risiken kennen: die IT-Risikoanalyse. Statt wahllos in einzelne Sicherheitsprodukte zu investieren, lohnt sich zuerst eine Risikoanalyse. Sie zeigt, wo eine Investition am meisten bringt. In vier Schritten: Werte erfassen: Welche Systeme und Daten sind für dein Geschäft unverzichtbar, etwa Kundendaten, Buchhaltung, E-Mail oder die Branchensoftware? Bedrohungen und Schwachstellen zuordnen: Was könnte diese Werte gefährden, und wo bist du heute angreifbar? Wahrscheinlichkeit und Schaden abschätzen: Für konkrete Szenarien, zum Beispiel ein kompromittiertes Passwort oder eine verschlüsselte Festplatte, wird geschätzt, wie wahrscheinlich ein Vorfall ist und was er finanziell, rechtlich und für deinen Ruf bedeuten würde. Priorisieren und Massnahmen festlegen: Die grössten Risiken werden zuerst angegangen. Die Analyse wird mindestens jährlich aktualisiert. Bei den meisten KMU zeigt sich dabei: Gezielte Massnahmen kosten deutlich weniger als der mögliche Schaden eines einzigen Vorfalls. Technische Massnahmen mit der grössten Wirkung. Updates konsequent einspielen: Betriebssysteme, Programme, Firewalls und Router werden regelmässig aktualisiert. Geräte ohne Herstellersupport werden ersetzt. Zwei-Faktor-Authentifizierung (MFA): für E-Mail, Microsoft 365, Fernzugänge und alle Systeme mit sensiblen Daten. Das ist eine der wirksamsten einzelnen Massnahmen überhaupt. Sichere Passwörter mit einem Passwort-Manager: Für jeden Dienst ein eigenes, starkes Passwort, ohne dass sich jemand alles merken muss. Mehr dazu unter Warum braucht mein KMU einen Passwort-Manager? Firewall und Schutz auf den Geräten: Eine aktuelle Firewall und ein moderner Schutz auf allen Computern, der verdächtiges Verhalten erkennt. Berechtigungen minimal halten: Mitarbeitende erhalten nur Zugriff auf das, was sie brauchen. Administratorrechte werden nicht im Alltag verwendet, und Zugänge ausscheidender Mitarbeitender werden sofort gesperrt. Netzwerk segmentieren: Gäste, Mitarbeitende und Geräte wie Drucker oder Kameras sind in getrennten Netzwerken. Verschlüsselung: Laptops und mobile Geräte sind verschlüsselt, und Daten werden verschlüsselt übertragen. Backups getrennt aufbewahren: Mindestens eine Kopie liegt getrennt vom Firmennetzwerk, damit Ransomware sie nicht mitverschlüsseln kann. Warum Backups oft im Ernstfall versagen, erklären wir im Video Warum dein Backup genau dann versagt, wenn du es brauchst. Mobile Geräte und Home-Office. Smartphones und Laptops verlassen täglich das Büro und sind damit besonders gefährdet. Mit einer Geräteverwaltung (Mobile Device Management, MDM) legst du zentral fest, dass Geräte verschlüsselt sind, eine Bildschirmsperre haben und Updates erhalten. Geht ein Gerät verloren, lassen sich Firmendaten aus der Ferne löschen. Apps werden nur aus offiziellen Stores installiert, und Zugriffe auf Firmendaten aus öffentlichen WLANs laufen über eine gesicherte Verbindung. Warum Technik allein nicht reicht. Firewall, Passwörter und Verschlüsselung schützen Systeme technisch vor unbefugtem Zugriff. Sie helfen aber nicht, wenn eine Mitarbeiterin im Stress auf einen gefälschten Link klickt und ihre Zugangsdaten selbst preisgibt. Der Mensch bleibt die grösste Schwachstelle, unabhängig davon, wie gut die Technik ist. Deshalb gehören regelmässige, praxisnahe Sensibilisierungen dazu: kurze Schulungen mit echten Beispielen, klare Regeln, wie verdächtige Nachrichten gemeldet werden, und eine Kultur, in der niemand Angst haben muss, einen Fehler zuzugeben. Ob sich simulierte Phishing-Angriffe lohnen, erfährst du unter Lohnen sich Phishing-Simulationen für KMU? Ein weiteres oft unterschätztes Risiko sind Tools, die Mitarbeitende ohne Wissen der IT nutzen. Mehr dazu unter Was ist Schatten-IT? Datenschutz: Was das Schweizer Datenschutzgesetz verlangt. Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (nDSG oder revDSG). Es verpflichtet Unternehmen, personenbezogene Daten mit angemessenen technischen und organisatorischen Massnahmen zu schützen, transparent über die Bearbeitung zu informieren und die Rechte der betroffenen Personen zu wahren. Führt eine Datenschutzverletzung voraussichtlich zu einem hohen Risiko für die Betroffenen, muss sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden. Bearbeitest du Daten von Personen in der EU, etwa weil du Kundinnen und Kunden im EU-Raum hast, kann zusätzlich die europäische Datenschutz-Grundverordnung (DSGVO) gelten. Das nDSG orientiert sich in vielen Punkten an der DSGVO. In der Praxis bedeutet Datenschutz in der IT vor allem: Zugriffe einschränken, Daten verschlüsseln, festhalten, wo welche Daten liegen, und die Mitarbeitenden schulen. Sicherheit prüfen lassen: Audit, Penetrationstest und ISO 27001. IT-Security-Audit: Eine systematische Prüfung von Infrastruktur, Berechtigungen, Prozessen und Datenschutz mit einem Bericht und priorisierten Massnahmen. Mehr dazu unter Was beinhaltet ein IT-Audit? Penetrationstest: Sicherheitsfachleute simulieren einen echten Angriff, um Lücken zu finden, bevor es Kriminelle tun. Der Test wird geplant, die Zielsysteme werden auf Schwachstellen untersucht und gefundene Lücken kontrolliert ausgenutzt. Am Ende steht ein Bericht mit Schweregrad und Empfehlungen. Sinnvoll vor allem für öffentlich erreichbare Systeme und nach grösseren Umbauten. ISO 27001: Der internationale Standard für Informationssicherheits-Managementsysteme. Eine Zertifizierung ist für die meisten KMU nicht nötig, kann aber bei Ausschreibungen oder Grosskunden verlangt werden. Als Orientierung für einen strukturierten Umgang mit Risiken ist der Standard aber auch ohne Zertifikat wertvoll. Wenn es doch passiert: der Notfallplan. Kein Schutz ist hundertprozentig. Entscheidend ist, dass im Ernstfall alle wissen, was zu tun ist: Betroffene Geräte vom Netzwerk trennen, aber nicht ausschalten, damit Spuren erhalten bleiben. Sofort den IT-Partner informieren und den Vorfall dokumentieren. Betroffene Passwörter ändern und verdächtige Zugänge sperren. Prüfen, ob personenbezogene Daten betroffen sind und eine Meldung an den EDÖB nötig ist. Den Vorfall dem Bundesamt für Cybersicherheit (BACS) melden und bei einer Straftat Anzeige erstatten. Erst nach der Bereinigung aus sauberen Backups wiederherstellen. Was nach einem Klick auf einen Phishing-Link sofort zu tun ist, haben wir unter Was tun nach einem Klick auf einen Phishing-Link? zusammengestellt. Eine Cyberversicherung kann die finanziellen Folgen abfedern, zahlt aber nur, wenn die vereinbarten Schutzmassnahmen umgesetzt sind. Mehr dazu im Video Warum deine Cyberversicherung im Ernstfall nicht zahlt. Sicherheit ist Chefsache. Cybersicherheit, Datenschutz und Lizenzmanagement sind wichtig, schaffen es im Tagesgeschäft aber selten auf die oberste Priorität. Oft werden sie erst zum Thema, wenn etwas passiert ist, und kosten dann an einem einzigen Tag mehr, als vorausschauende Arbeit gekostet hätte. Die Geschäftsführung muss die Technik nicht selbst verstehen, aber sie muss sicherstellen, dass jemand die Verantwortung trägt, die Lage laufend überwacht und regelmässig berichtet. Fazit. IT-Sicherheit im KMU beginnt nicht mit teuren Produkten, sondern mit einem klaren Bild der eigenen Risiken. Updates, Zwei-Faktor-Authentifizierung, getrennte Backups, minimale Berechtigungen und regelmässig geschulte Mitarbeitende decken einen Grossteil der Angriffe ab. Ein getesteter Notfallplan sorgt dafür, dass ein Vorfall nicht zur Krise wird. BeeBase kombiniert als externe IT-Abteilung technische Schutzmassnahmen mit praxisnaher Sensibilisierung deiner Mitarbeitenden, erstellt eine strukturierte Risikoanalyse und hält die Geschäftsführung regelmässig auf dem Laufenden. Mehr zu stabilen Abläufen findest du im Leitfaden Wie vermeidet ein KMU den Ausfall der IT-Infrastruktur? Wenn du eine konkrete Sicherheitsfrage klären möchtest, kannst du eine Expertensession buchen.