Cybersicherheit: zwei Irrtümer, die Ihr KMU gefährden (1/5)

„Ehrlich, wer sollte sich schon für einen Betrieb wie unseren interessieren?“ Sophie B., geschäftsführende Partnerin einer Treuhandkanzlei in der Westschweiz, glaubte das aufrichtig – bis zu dem Morgen, an dem eine Kundin sie schlicht fragte, wie sie ihre Daten schütze. An diesem Tag ersetzten in ihrer Kanzlei noch immer zwei Irrtümer der Cybersicherheit eine echte Sicherheitsstrategie.

Diese Überzeugungen hört man in fast jedem Schweizer KMU. Sie sind kein Zeichen von Nachlässigkeit: Sie klingen einfach nach gesundem Menschenverstand – und genau das macht sie so wirksam. Diese fünfteilige Serie nimmt zehn Irrtümer unter die Lupe, welche die Sicherheit kleinerer Unternehmen schwächen. Dieser erste Teil widerlegt zwei davon – die verbreitetsten und wohl teuersten.

Zwei Irrtümer der Cybersicherheit, die KMU gefährden

Ein kleines Unternehmen wird nicht gehackt, weil es bekannt ist. Es gerät in die Falle, weil eine Tür offenstand. Hier die beiden Denkweisen, die diese Tür am häufigsten einen Spalt offen lassen.

„Wir sind zu klein, um interessant zu sein“

Das ist der beruhigendste Gedanke – und der irreführendste. Er beruht auf einem veralteten Bild des Angreifers: jemand, der geduldig sein Ziel auswählt und nur grosse Konzerne ins Visier nimmt. Die Wirklichkeit ist nüchterner. Die meisten Angriffe sind heute automatisiert: Programme durchsuchen das Internet unablässig nach bekannten Schwachstellen, ohne Rücksicht auf Grösse oder Branche des dahinterstehenden Unternehmens. Eine schlecht aktualisierte Software, ein falsch konfigurierter Zugang – und das Programm dringt ein, meist ohne dass ein Mensch Sie je „ausgewählt“ hätte.

Man könnte es die Illusion der Unsichtbarkeit nennen: zu glauben, wer am Markt unauffällig sei, sei auch online unsichtbar. Doch im Cyberraum ist alles, was vernetzt ist, sichtbar. Unauffällig zu bleiben schützt vor nichts; es verschiebt nur den Moment, in dem man merkt, dass man exponiert war.

Für eine Treuhandkanzlei ist dieser Irrtum umso riskanter, als das Büro genau das bündelt, was Wert hat: Löhne, Steuerdaten, Bankverbindungen von Dutzenden Kunden-KMU. Nicht der Bekanntheitsgrad von Sophie B. interessiert einen Angreifer, sondern diese Daten – und der Hebel, den sie darstellen. Ransomware (Software, die Ihre Dateien verschlüsselt und ein Lösegeld verlangt, um sie wieder lesbar zu machen) muss nicht wissen, wer Sie sind, um Ihren Betrieb an einem Montagmorgen lahmzulegen. Und für eine Kanzlei, deren Geschäft das Vertrauen ist, kostet ein Datenleck nicht nur Franken: Es kostet Kunden.

Hinzu kommt eine ausgesprochen schweizerische Dimension. Diese Daten fallen unter das revDSG, das revidierte Datenschutzgesetz. Bei einem Leck hängt die Verantwortung der Kanzlei – und die mögliche Pflicht, die Verletzung der Bundesbehörde (BACS/NCSC, dem Bundesamt für Cybersicherheit) zu melden – nicht von der Grösse ab, sondern von der Sensibilität der betroffenen Daten.

„Unser Virenschutz schützt uns“

Der zweite beruhigende Reflex: „Der Dienstleister hat einen Virenschutz installiert, also sind wir abgedeckt.“ Virenschutz bleibt nützlich – doch er bewacht nur eine Tür von vielen. Historisch erkennt er bekannte Bedrohungen an ihrer „Signatur“, ein wenig wie ein Türsteher mit einem Foto der üblichen Störenfriede. Das Problem: Die heutigen Angriffe sind darauf ausgelegt, auf dem Foto nicht aufzutauchen.

Das beste Beispiel ist Phishing (eine E-Mail oder Nachricht, die einen vertrauenswürdigen Dritten – Bank, Lieferant, Behörde – nachahmt, um Sie zum Klicken, Zahlen oder zur Preisgabe eines Passworts zu bewegen). Kein Virenschutz hindert eine unter Zeitdruck stehende Mitarbeiterin daran, eine gefälschte Rechnung eines gewohnten Lieferanten zu öffnen und ihre Zugangsdaten auf einer Seite einzugeben, die derjenigen ihrer Bank zum Verwechseln ähnelt. Die Schwachstelle ist hier nicht die Software: Es ist ein zutiefst menschlicher Moment der Unaufmerksamkeit.

Sich allein auf den Virenschutz zu verlassen, heisst, die Haustür abzuschliessen und die Fenster offen zu lassen. Echter Schutz besteht aus mehreren einfachen Schichten, die sich ergänzen: ein zweiter Identitätsnachweis für die Anmeldung, aktuell gehaltene Software, Sicherungen, die man wiederherstellen kann, und ein Team, das eine Falle erkennt. Keine dieser Schichten kostet ein Vermögen; teuer wird erst ihr Fehlen.

Kurz gesagt, wie es Camille – die Beraterin, die KMU wie jenes von Sophie B. begleitet – oft formuliert: Ein guter Virenschutz ist der Sicherheitsgurt. Nützlich, ja unverzichtbar – aber niemand fährt mit geschlossenen Augen, nur weil er angeschnallt ist.

Was Sie sich merken sollten

• Grösse schützt nicht. Die häufigsten Angriffe sind automatisch und opportunistisch: Sie zielen auf Schwachstellen, nicht auf Reputationen. Eine kleine Struktur mit sensiblen Daten ist ein durchaus lohnendes Ziel.
• Ein einziges Werkzeug genügt nicht. Virenschutz ist eine Schicht, kein Schild. Die wirksamsten Fallen laufen über den Menschen – eine E-Mail, ein Anruf –, dort, wo keine Software für Sie entscheidet.
• In der Schweiz gilt für alle dieselbe Verantwortung. Das revDSG erwartet von einem KMU Sicherheitsmassnahmen, die der Sensibilität der gehaltenen Daten „angemessen“ sind – nicht seinem Umsatz.

Schritte für diese Woche

1. Zwei-Faktor-Authentifizierung dort aktivieren, wo es zählt

Die Zwei-Faktor-Authentifizierung (MFA: zusätzlich zum Passwort ein zweiter Nachweis – zum Beispiel ein Code auf Ihrem Telefon) bietet den besten Schutz bei geringstem Aufwand. Aktivieren Sie sie zuerst für E-Mail, die Buchhaltungssoftware und das Online-Banking. Selbst wenn ein Passwort abfliesst, bleibt die Tür verschlossen.

2. Prüfen, ob sich alles von selbst aktualisiert

Die meisten automatisierten Angriffe nutzen Schwachstellen, die der Hersteller längst behoben hat … die aber nie installiert wurden. Nehmen Sie sich zehn Minuten, um zu bestätigen, dass automatische Updates auf Computern, Browsern und Fachsoftware aktiviert sind. Das ist keine Ausgabe: Es ist ein Häkchen.

3. Einen realen Test mit dem Team machen

Versammeln Sie das Team für eine Viertelstunde und schauen Sie sich gemeinsam zwei oder drei echte gefälschte E-Mails an: eine seltsame Absenderadresse, künstliche Dringlichkeit, ein Link, der nicht dorthin führt, wohin er vorgibt. Ziel ist nicht, jemanden hereinzulegen, sondern den Reflex zu schaffen: Im Zweifel prüft man über einen anderen Kanal, bevor man klickt oder zahlt. Das ist genau die Schicht, die kein Virenschutz je ersetzen wird.

Wo stehen Sie wirklich?

Diese Irrtümer der Cybersicherheit haben eines gemeinsam: Sie erzeugen den Eindruck, geschützt zu sein, ohne dass je etwas überprüft wurde. Der erste Schritt ist nicht, ein weiteres Werkzeug zu kaufen, sondern eine ehrliche Bestandsaufnahme zu machen – Frage für Frage, ohne Fachjargon.

Genau das bietet die Selbsteinschätzung Cyber Passport. Sie zertifiziert nichts und verspricht keine Konformität: Sie zeigt Ihnen Bereich für Bereich, wo Ihre Organisation solide ist und wo sie noch auf einer Überzeugung ruht. Genug, um aus einem „Ich glaube, wir sind abgedeckt“ ein „Ich weiss, wo ich stehe“ zu machen – und danach das zu priorisieren, was wirklich zählt, statt planlos Werkzeuge zu stapeln.

Teil 2 dieser Serie nimmt sich zwei weitere, ebenso hartnäckige Irrtümer vor. Bis dahin, wenn Sie sich nur eines merken: Die Sicherheit eines KMU entscheidet sich nicht an einer Software, sondern an einigen einfachen Gewohnheiten, die man dauerhaft beibehält.