Eines Morgens stellt ein langjaehriger Kunde Sophie B., Partnerin einer Schweizer Treuhandgesellschaft, eine ganz einfache Frage: «Wie schuetzen Sie konkret meine Buchhaltungsdaten?» Sophie weiss, dass alles «mehr oder weniger in Ordnung» ist — doch sie kann nichts vorweisen. An diesem Tag hoert die Cyber-Reife auf, ein Thema fuer die IT zu sein: Sie wird zum Verkaufsargument.
Cyber-Reife: eine Sprache, die Ihre Kunden verstehen
Beginnen wir mit dem Begriff. Cyber-Reife ist der Grad, in dem Ihre Sicherheit strukturiert ist: nicht die Anzahl der Werkzeuge, die Sie besitzen, sondern Ihre Faehigkeit zu wissen, was Sie schuetzen, wie, und dies zu belegen. Ein KMU kann ein gutes Antivirenprogramm und geringe Reife haben; ein anderes kann bescheidene Mittel, aber solide Reife haben, weil es genau weiss, wo es steht.
Fuer eine Kanzlei wie jene von Sophie B. ist das keine Nebensache. Was sie im Grunde verkauft, ist Vertrauen: Ihre Kunden geben ihre Buchhaltung, Loehne und Steuerdaten in ihre Hand. An dem Tag, an dem ein Kunde sich fragt, ob diese Informationen gut geschuetzt sind, genuegt «ich denke schon» nicht mehr. Eine strukturierte Antwort dagegen beruhigt — und hebt Sie ab.
Man stellt sich Sicherheit oft wie einen Schalter vor: Man ist geschuetzt oder nicht. Die Realitaet gleicht eher einer Leiter. Man kann sie in fuenf Stufen beschreiben:
- Reaktiv: Man loescht Braende, wenn sie ausbrechen, ohne Methode. «Schauen wir mal, wenn es passiert.»
- Strukturiert: Einige Verfahren bestehen, aber vor allem in den Koepfen der Leute, selten schriftlich.
- Dokumentiert: Die Praktiken sind festgehalten und werden von allen gleich angewandt.
- Gemessen: Man verfolgt einige einfache Kennzahlen und weiss, wo die Schwachstellen liegen.
- Proaktiv: Man antizipiert, testet und verbessert, bevor das Problem auftritt.
Die meisten Schweizer KMU befinden sich zwischen den ersten beiden Stufen — und das ist normal. Es geht nicht darum, sofort die Spitze anzustreben, sondern zu wissen, auf welcher Stufe man steht und die naechste zu erklimmen. Genau diese Bewegung, sichtbar und erzaehlbar, wird zum Wettbewerbsvorteil.
Camille, unsere Cyber-Beraterin, fasst es so zusammen: «Klar gesagt verlangt ein Kunde nicht, dass Sie perfekt sind. Er verlangt, dass Sie wissen, wovon Sie reden. Ein KMU, das seine zwei Schwachstellen ehrlich einraeumt und seinen Plan zeigt, sie zu beheben, schafft mehr Vertrauen als eines, das schwoert, alles sei bestens.» Reife ist nicht das Fehlen von Luecken: Sie ist das Bewusstsein fuer die eigenen Luecken und die Methode, sie anzugehen.
Diese Umkehrung veraendert den Platz der Cybersicherheit in Ihrem Verkaufsgespraech. Solange sie ein unsichtbarer Kostenfaktor bleibt, rangiert sie in den Prioritaeten hinter der Kaffeemaschine. An dem Tag, an dem sie zu einer klaren Antwort fuer einen Kunden wird, der zwischen Ihnen und einem Mitbewerber zoegert, aendert sich ihr Wesen: Sie bringt ein, statt zu kosten. In Branchen, in denen Vertraulichkeit das Kerngeschaeft ist — Treuhand, Beratung, Gesundheit —, wird diese Faehigkeit zu beruhigen zu gewonnenen Auftraegen und zu Kunden, die bleiben.
Diese abgestufte Sichtweise ist nichts Esoterisches: Sie deckt sich damit, wie anerkannte Rahmenwerke Sicherheit ordnen. Das NIST CSF 2.0 — ein internationales Rahmenwerk, das die Cybersicherheit in grosse Funktionen gliedert (steuern, identifizieren, schuetzen, erkennen, reagieren, wiederherstellen) — dient genau als Landkarte, um sich zu verorten. Und die Norm ISO/IEC 27001:2022, die Sprache grosser Auftraggeber und Lieferantenaudits, beschreibt die guten Praktiken, die ein anspruchsvoller Kunde erwartet. Es geht nicht darum, ein Zertifikat zu erlangen, sondern dieselbe Sprache zu sprechen wie jene, die Sie bewerten.
Das Wichtigste in Kuerze
Cyber-Reife wird gezeigt, nicht behauptet. «Wir nehmen Sicherheit ernst» zu sagen, hat vor einem besorgten Kunden kein Gewicht. Zeigen zu koennen, wo Sie stehen, was Sie bereits tun und was Sie verbessern wollen, aendert alles. Der Beweis ersetzt das Versprechen.
In der Schweiz besteht der Rahmen bereits und spielt zu Ihren Gunsten. Das revDSG — das revidierte Datenschutzgesetz, seit September 2023 in Kraft — erwartet von einem KMU, das sensible Daten haelt, «angemessene» Sicherheitsmassnahmen. Ihre Reife zu strukturieren, ist also kein weiterer Zwang: Es erfuellt eine gesetzliche Erwartung und baut zugleich ein Verkaufsargument auf. Wenn Sie mit Kunden in der Europaeischen Union arbeiten, verlangt die DSGVO (die entsprechende europaeische Verordnung) dieselben Reflexe.
Sicherheit ist nicht nur Sache der IT. Ein grosser Teil der Reife beruht auf organisatorischen Entscheidungen: Wer macht was, welche Regeln gelten fuer die Freigabe einer Zahlung, wer hat auf was Zugriff. Das sind Fuehrungsthemen, nicht nur technische. Genau das macht sie fuer ein KMU ohne interne IT zugaenglich: Viele Stufen erklimmt man mit Sorgfalt, nicht mit dem Scheckbuch.
Reife ist ein Weg, kein Haekchen. Niemand erwartet von einer Kanzlei mit vierzehn Personen, ueber Nacht das Niveau einer Bank zu erreichen. Was Ihre Kunden — und das Bundesamt fuer Cybersicherheit (BACS/NCSC), die Schweizer Referenz — schaetzen, ist ein stetiger, dokumentierter Fortschritt. Eine kleine Verbesserung pro Quartal ist mehr wert als ein grosses Projekt, das nie fertig wird.
Gewohnheiten fuer diese Woche
Sie brauchen weder ein Budget noch ein IT-Projekt, um in Bewegung zu kommen. Drei Gewohnheiten genuegen, um von «ich denke, es ist in Ordnung» zu «hier stehen wir» zu gelangen.
1. Erfassen, was Ihnen Ihre Kunden anvertrauen
Nehmen Sie ein Blatt Papier und listen Sie die sensibelsten Daten auf, die Sie halten: Buchhaltung, Loehne, Steuerdaten, Bankverbindungen. Notieren Sie fuer jede, wo sie gespeichert ist und wer Zugriff hat. Dieses Inventar, so grob es auch ist, ist der Ausgangspunkt jeder Reife: Man schuetzt nur gut, was man benannt hat. Es ist auch die erste Frage, die ein Kunde oder ein Auditor stellen wird.
2. Aufschreiben, was Sie bereits tun
Sie befolgen mit ziemlicher Sicherheit mehr gute Praktiken, als Sie denken: Backups, Passwoerter, Vorsicht bei Rechnungen. Das Problem ist, dass sie in Gewohnheiten leben, nicht auf Papier. Widmen Sie eine Stunde dem Notieren, in wenigen Zeilen, wie diese Dinge bei Ihnen ablaufen. Vom Stillschweigenden zum Schriftlichen zu gelangen, ist bereits eine Reifestufe — und gibt Ihnen etwas zum Vorzeigen.
3. Sich ehrlich auf der Leiter verorten
Nehmen Sie die fuenf Stufen von oben und ordnen Sie sich ein, ohne Schoenfaerberei und ohne Panik. Fragen Sie sich bei zwei oder drei Kernthemen — Datenzugriff, Backups, Zahlungspruefung —: reaktiv, strukturiert, dokumentiert? Die Ehrlichkeit dieser Selbstdiagnose ist mehr wert als eine schmeichelhafte Note. Sie sagt Ihnen, wo Sie Ihren naechsten Aufwand hinlenken sollen, und gibt Ihnen eine glaubwuerdige Geschichte, die Sie mit einem Kunden teilen koennen.
Wo stehen Sie wirklich?
Diese drei Gewohnheiten bringen Sie in Bewegung, aber sie bleiben handgemacht. Um diese Intuition in ein klares Bild zu verwandeln, Frage fuer Frage, braucht es eine Methode. Genau das bietet die Cyber-Passport-Selbsteinschaetzung: Sie fuehrt Sie durch Ihre Cyber-Reife in den Bereichen, die zaehlen, gestuetzt auf anerkannte Rahmenwerke wie das revDSG, ISO 27001:2022 und NIST CSF 2.0, und erstellt dann einen strukturierten Bericht — einen, den Sie mit einem Kunden oder einem Auditor teilen koennen.
Seien wir klar: Cyber Passport zertifiziert nichts und behauptet nicht, Sie «konform» zu machen. Es zeigt Ihnen ehrlich, wo Ihre Organisation solide ist und wo sie noch auf zwischenmenschlichem Vertrauen ruht. Es ist diese Klarheit und die Faehigkeit, sie zu praesentieren, die Cyber-Reife zu einem echten Wettbewerbsvorteil machen. An dem Tag, an dem ein Kunde Sophie B. seine Frage stellt, wird sie endlich etwas zu antworten haben — und zu zeigen.
