Cyberrisiken: Schweizer KMU unterschätzen die Gefahr
Eine neue Erhebung zeigt eine gefährliche Lücke zwischen erlebten Cybervorfällen und der Risikowahrnehmung in Schweizer KMU. Für Unternehmer ist die wichtigste Botschaft nicht die Schlagzeile, sondern der Handlungsbedarf bei Zugängen, Back-ups und Zahlungsprozessen.
Was die neue Erhebung tatsächlich zeigt
Gemäss Deloitte gaben 49 Prozent von 924 befragten Mitarbeitenden an, in den drei Monaten vor der Befragung einen ernsten Cybervorfall bei ihrem Arbeitgeber erlebt zu haben. Gleichzeitig schätzten nur 22 Prozent das Cyberrisiko ihres Unternehmens als hoch ein.
Bei Mikrounternehmen mit höchstens neun Mitarbeitenden war die Wahrnehmungslücke ebenfalls deutlich: 38 Prozent berichteten von Vorfällen, aber nur 15 Prozent stuften das Risiko als hoch ein. Phishing war mit 25 Prozent die am häufigsten wahrgenommene Bedrohung.
Die Zahlen müssen sauber gelesen werden: Befragt wurden im April 2026 insgesamt 924 Arbeitnehmende von Schweizer Unternehmen mit bis zu 249 Mitarbeitenden, die beruflich am Computer arbeiten. Die 49 Prozent sind deshalb eine Aussage über die Erfahrungen der Befragten und keine gemessene Quote betroffener Unternehmen.
Grundschutz ist noch nicht Standard
Der erstmals berechnete Deloitte-KMU-Cybersicherheitsindex liegt bei 58 von 100 Punkten. Er misst die Verbreitung von sechs grundlegenden, mitarbeiterbezogenen Sicherheitsmassnahmen. Der Index ist keine technische Prüfung einzelner Firmen.
Bei der Authentifizierung bleiben Lücken: 66 Prozent der Befragten arbeiten laut Studie in Unternehmen mit Multi-Faktor-Authentifizierung. Passwortlose Authentifizierung und Single Sign-on kommen jeweils auf 45 Prozent.
Besonders gross ist der Abstand bei kleinen Betrieben. Mikrounternehmen erreichen im Index 44 Punkte. Nur 32 Prozent der Befragten aus dieser Gruppe berichten von Cybersicherheitsschulungen, verglichen mit 82 Prozent bei mittleren Unternehmen. Phishing-Tests führen 24 Prozent der Mikrounternehmen durch; bei mittleren Unternehmen sind es 63 Prozent.
Warum das für Unternehmer relevant ist
Ein Cybervorfall ist kein reines IT-Problem. Manipulierte Zahlungsanweisungen können direkt Geld kosten. Kompromittierte E-Mail-Konten gefährden Kunden- und Lieferantendaten. Verschlüsselte Systeme oder unbrauchbare Back-ups können Verkauf, Produktion und Administration gleichzeitig stoppen.
Auch der Versicherungsschutz ist begrenzt. Nach den von Deloitte zitierten Zahlen des Schweizerischen Versicherungsverbands bestanden 2025 rund 72’000 Firmenkundenpolicen. Das entspricht 11,5 Prozent der in der Schweiz domizilierten Unternehmen. Eine Police ersetzt den Grundschutz allerdings nicht; Versicherer verlangen häufig definierte Sicherheitsvorkehrungen.
Diese sechs Kontrollen gehören jetzt auf die Traktandenliste
Multi-Faktor-Authentifizierung für E-Mail, Cloud-Dienste, Fernzugriffe und Administratorkonten erzwingen.
Administrative Rechte auf die tatsächlich benötigten Personen und Geräte begrenzen.
Back-ups automatisieren, getrennt aufbewahren und die Wiederherstellung regelmässig praktisch testen.
Änderungen von Bankverbindungen nur nach Rückruf über eine bekannte Telefonnummer und mit Vier-Augen-Freigabe ausführen.
Mitarbeitende kurz und wiederholt zu Phishing, verdächtigen Anhängen und dringlichen Zahlungsaufforderungen schulen.
Einen einfachen Notfallplan mit Verantwortlichkeiten, erreichbaren Kontakten und einer klaren Eskalationskette festlegen.
Für die Geschäftsleitung genügt es nicht, nach dem Vorhandensein einer Software oder eines Back-ups zu fragen. Entscheidend ist, ob die Schutzmassnahmen aktiviert, Zuständigkeiten geklärt und Wiederanlaufprozesse getestet sind.
Der erste Schritt kostet vor allem Aufmerksamkeit
Die Studie liefert keinen Beweis, dass jedes zweite Schweizer KMU angegriffen wurde. Sie zeigt aber, dass viele Mitarbeitende Vorfälle wahrnehmen, während das eigene Risiko weiterhin tief eingeschätzt wird. Genau diese Differenz ist unternehmerisch relevant: Wer das Risiko unterschätzt, verschiebt grundlegende Kontrollen – und entdeckt Lücken oft erst im Ernstfall.
Eine kurze Bestandsaufnahme zu Zugängen, Zahlungsfreigaben, Back-ups und Notfallkontakten ist deshalb ein sinnvoller nächster Schritt. Sie schafft eine belastbare Grundlage für weitere Investitionen und für die Prüfung einer Cyberversicherung.
