An einem Morgen öffnet Sophie B. eine Rechnung eines Lieferanten, mit dem sie seit Jahren zusammenarbeitet. Das Logo stimmt, der Ton ist vertraut, doch die Kontonummer hat sich geändert – «neue Bank», erklärt die E-Mail. In einer Treuhandgesellschaft, die täglich die Bankdaten von Hunderten Kundinnen und Kunden verarbeitet, entscheidet ein solches Detail manchmal über einen ganzen Tag, und manchmal über weit mehr.
Die gute Nachricht: Es gibt nicht fünfzig Bedrohungen zu kennen, sondern nur eine kleine Handvoll, die immer wiederkehren. Sie zu verstehen heisst bereits, die Kontrolle zurückzugewinnen.
Warum ein KMU so viele Cyber-Risiken bündelt
Man stellt sich oft vor, Cyber-Risiken zielten auf Grosskonzerne. Es ist umgekehrt. Ein Schweizer KMU ist gerade deshalb ein Ziel, weil es erreichbar ist: wenig oder keine interne IT, knappe Budgets und vor allem kurze Entscheidungswege, auf denen man sich unter Kolleginnen und Kollegen vertraut. Für Angreifer ist das ein hervorragendes Verhältnis von Aufwand und Ertrag – sie müssen keinen Tresor knacken, sondern nur einen Moment der Unaufmerksamkeit ausnutzen.
Ein Dienstleistungsbetrieb wie eine Treuhandgesellschaft ist aus einem einfachen Grund besonders exponiert: Er verwaltet nicht nur sein eigenes Geld, sondern die Finanz- und Bankdaten seiner Kundschaft. Was seinen Wert ausmacht, bildet zugleich seine Angriffsfläche. Wer in das Postfach eindringt, erreicht nicht ein einzelnes Konto, sondern ein ganzes Portfolio möglicher Zahlungen und monatelange Korrespondenz, die sich perfekt nachahmen lässt.
Ein weiterer verschärfender Faktor ist die in kleinen Betrieben verbreitete Überzeugung, «kein interessantes Ziel» zu sein. Genau dieser Rückgang der Wachsamkeit macht KMU für Angreifer wertvoll – sie streuen breit und automatisieren, ohne ihre Opfer einzeln auszuwählen. In der Praxis lassen sich die Cyber-Risiken eines KMU auf vier Familien zurückführen, hier ohne Dramatik beschrieben.
Phishing: die fast bezahlte Fake-Rechnung
Phishing bedeutet, eine Nachricht zu erhalten, die einen vertrauenswürdigen Absender nachahmt – eine Bank, einen Lieferanten, eine Behörde –, um Sie zum Klicken, Bezahlen oder zur Herausgabe eines Passworts zu bewegen. Die Nachricht von Sophie B. ist ein Musterbeispiel: Nichts wirkt falsch, man wird lediglich gebeten, das zu tun, was man ohnehin täglich tut – nur an den falschen Empfänger.
Es ist mit Abstand das häufigste Einfallstor. Es zielt nicht auf eine Softwarelücke, sondern auf einen menschlichen Reflex: Routine und Vertrauen. Man wehrt es nicht mit einem Wunderwerkzeug ab, sondern mit einer Gewohnheit – prüfen, bevor man handelt.
CEO-Betrug: «der Chef» verlangt eine dringende Überweisung
CEO-Betrug ist eine gezielte Variante des Phishings: Eine Nachricht gibt sich als Vorgesetzter oder Partner aus und verlangt eine dringende, vertrauliche Überweisung, «noch vor heute Abend zu erledigen». In einer kleinen Struktur, in der man die Person, die Zahlungen freigibt, persönlich kennt, erledigt der soziale Druck den Rest: Wer widerspricht schon seinem Partner in einer eiligen Sache?
Die ganze Falle steckt im Gefühl der Dringlichkeit. Eine Aufforderung, die das Prüfen verbietet – «sag es niemandem», «das ist vertraulich», «es ist für heute» –, sollte genau das Prüfen auslösen.
Ransomware: der Montag, an dem alles verschlüsselt ist
Ransomware ist Schadsoftware, die Ihre Dateien verschlüsselt – unlesbar macht – und dann ein Lösegeld für die Rückgabe des Zugriffs verlangt. Oft gelangt sie über einen unbedacht geöffneten Anhang hinein, breitet sich still aus und sperrt dann alles auf einen Schlag, meist im ungünstigsten Moment.
Für ein KMU steht nicht nur das Lösegeld auf dem Spiel, sondern der Stillstand. Keine Buchhaltung, keine E-Mail, keine Kundendossiers – tagelang, mitten in der Abschlussphase. Der wahre Schutz besteht nicht im Bezahlen – nichts garantiert, dass man seine Dateien zurückerhält –, sondern in der Möglichkeit, von aktuellen Backups neu zu starten, sofern diese wirklich existieren und bereits getestet wurden.
Datenlecks: wenn ein Kundendossier nach aussen gelangt
Ein Datenleck ist die ungewollte Preisgabe vertraulicher Informationen: eine Datei an den falschen Empfänger, ein gehacktes Postfach, ein im Zug verlorener USB-Stick. Kein raffinierter Hacker nötig – ein Fehlklick genügt.
In der Schweiz hat dieses Risiko eine rechtliche Dimension. Das revDSG, das seit 2023 geltende Datenschutzgesetz, erwartet von einem KMU «angemessene» Sicherheitsmassnahmen und die Meldung von Verletzungen, die den betroffenen Personen schaden können, an die eidgenössische Behörde (den EDÖB). Für eine dem Berufsgeheimnis verpflichtete Treuhandgesellschaft wiegt der Verlust des Kundenvertrauens oft schwerer als der Vorfall selbst.
Was Sie sich merken sollten
Drei Gedanken sind besser als eine lange Liste von Ängsten.
Erstens zielen die meisten Cyber-Risiken nicht auf Ihre Geräte, sondern auf Ihre Gewohnheiten: ein Klick, ein Moment des Vertrauens, eine Eile. Das ist eine gute Nachricht, denn Gewohnheiten lassen sich ohne IT-Budget ändern.
Zweitens überschneiden sich diese Bedrohungen. Derselbe Prüfreflex blockiert die Fake-Rechnung, den CEO-Betrug und einen guten Teil der Passwortdiebstahl-Versuche. Man kommt also rasch voran, wenn man an wenigen, gut gewählten Punkten ansetzt.
Drittens ist Datenschutz in der Schweiz keine Komfortoption: Das revDSG macht ihn zur Führungsverantwortung, gleichrangig mit der Buchführung. Niemand erwartet, dass ein KMU zur Festung wird – nur, dass es angemessene Massnahmen ergreift und erklären kann, was es mit dem entgegengebrachten Vertrauen macht.
Gewohnheiten, die Sie diese Woche einführen
1. Jede Geldforderung über einen bekannten Kanal prüfen
Jede Änderung von Bankdaten, jede ungewöhnliche oder drängende Überweisungsanfrage prüfen Sie, indem Sie die Person über eine Nummer zurückrufen, die Sie bereits kennen – niemals über jene aus der Nachricht. Dieser eine Reflex neutralisiert sowohl die Fake-Rechnung als auch den CEO-Betrug. Ab einem Betrag, den Sie festlegen, verlangen Sie zwei Freigaben.
2. Zwei-Faktor-Authentifizierung überall aktivieren, wo möglich
Die Zwei-Faktor-Authentifizierung (MFA) fügt zusätzlich zum Passwort einen zweiten Nachweis hinzu – zum Beispiel einen Code auf Ihrem Telefon. Selbst wenn ein Passwort abfliesst, bleibt das Konto verschlossen. Aktivieren Sie sie zuerst für E-Mail und Ihre Branchensoftware: Es ist kostenlos und die Massnahme mit dem grössten Nutzen.
3. Wissen, wo Ihre Daten liegen, und Backups prüfen
Nehmen Sie sich zehn Minuten, um aufzulisten, wo Ihre sensiblen Informationen liegen (E-Mail, Buchhaltungssoftware, gemeinsame Laufwerke), und stellen Sie sicher, dass ein aktuelles Backup existiert. Prüfen Sie vor allem, dass es bereits mindestens einmal wiederhergestellt wurde: Ein nie getestetes Backup ist eine Annahme, kein Schutz. Das eidgenössische Amt für Cybersicherheit (BACS/NCSC) veröffentlicht dazu praktische Empfehlungen.
Wo stehen Sie wirklich?
Diese Gewohnheiten senken die Exposition eines KMU deutlich, sagen Ihnen aber nicht, wo genau Ihre Schwachstellen liegen. Hier hilft eine strukturierte Selbstbeurteilung: Ihre tatsächlichen Cyber-Risiken Frage für Frage durchgehen, statt nach Gefühl zu handeln.
Cyber Passport zertifiziert nichts und erklärt Sie nicht für «sicher». Es zeigt Ihnen Bereich für Bereich, wo Ihre Organisation solide ist und wo sie noch auf Vertrauen oder Gewohnheit beruht – damit Sie danach mit klarem Blick entscheiden, wo Sie beginnen.
