An einem Dienstagmorgen erhält Sophie B. eine E-Mail, die von einem gewohnten Lieferanten zu kommen scheint: neue Bankverbindung, vor der nächsten Zahlung zu berücksichtigen. Nichts Alarmierendes — eine Mitarbeiterin im Stress hätte das ohne Nachdenken freigegeben. In ihrem Treuhandbüro dienen, wie in vielen Schweizer KMU, zwei beruhigende Überzeugungen als Sicherheitspolitik: «meine Leute wissen, wie man aufpasst» und «wir haben Backups». Genau das sind die zwei Cybersecurity-Mythen, die die Tür einen Spalt offen lassen.
Zwei Cybersecurity-Mythen, die in jedem KMU auftauchen
Sophie B. leitet ein Treuhandbüro: Buchhaltung, Löhne und Steuerdaten von Dutzenden Kundinnen und Kunden laufen täglich durch die Postfächer ihres Teams. Wie viele Führungskräfte beruhigt sie sich mit zwei Ideen des gesunden Menschenverstands. Die erste: «meine Leute sind seriös, sie erkennen einen Betrug.» Die zweite: «wir machen ein Backup, wir sind abgedeckt.»
Das Problem ist nicht, dass diese Sätze falsch wären. Es ist, dass sie eine Absicht beschreiben, kein System. Eine Absicht hält weder einer gut gemachten Fallen-E-Mail an einem Abschlusstag stand noch einer Festplatte, die an einem Freitagabend ausfällt. Schauen wir uns diese zwei Überzeugungen genau an, ohne zu dramatisieren: Es geht nicht darum, Ihnen Angst zu machen, sondern darum, zwei Wünsche in zwei Reflexe zu verwandeln, die halten.
«Meine Leute wissen, wie man aufpasst»
Räumen wir zuerst ein Missverständnis aus: Hereinzufallen ist keine Frage der Intelligenz. Phishing-Angriffe (eine E-Mail, eine SMS oder ein Anruf, der einen vertrauenswürdigen Dritten nachahmt, um Sie zum Klicken, Zahlen oder zur Herausgabe eines Passworts zu bewegen) zielen nicht auf die Naiven. Sie zielen auf den Kontext. Und ein Treuhandbüro bietet den idealen Kontext: laufend eintreffende Rechnungen, Steuerfristen, Änderungen von Bankverbindungen, die zum Alltag gehören.
Die gewissenhafteste Mitarbeiterin klickt, weil die Nachricht zum richtigen Zeitpunkt, im richtigen Ton, zum richtigen Dossier kommt. «Aufpassen» setzt voraus, dass man immer aufmerksam ist, auf dieselbe Weise, für alle. Das ist kein Prozess, sondern eine Geisteshaltung — und eine Geisteshaltung wird müde, lässt sich ablenken, geht in die Ferien.
Für ein Treuhandbüro steht Besonderes auf dem Spiel: Durch diese Postfächer laufen die Konten, Löhne und Steuerunterlagen von Kundinnen und Kunden, die Ihnen vertrauen. Ein gekaperter Zugang trifft nicht nur Ihre Organisation — er bricht die Vertraulichkeit, die Ihre Kundschaft Ihnen anvertraut hat. Die grösste Sorge von Sophie B. ist nicht der IT-Ausfall, sondern der Anruf, bei dem sie einem Kunden mitteilen muss, dass seine Daten abgeflossen sind.
Sensibilisierung bleibt nützlich: Ein Team, das weiss, wie ein Betrugsversuch aussieht, erkennt mehr davon. Aber sie nutzt sich ab, wenn man nie darauf zurückkommt, und vor allem sollte sie nicht das einzige Bollwerk sein. Hinter dem Menschen braucht es ein technisches Auffangnetz: ein anständiges Filtern unerwünschter Nachrichten und die Zwei-Faktor-Authentifizierung («MFA» — zusätzlich zum Passwort ein zweiter Nachweis, etwa ein Code auf dem Telefon) für sensible Zugänge. Das Bundesamt für Cybersicherheit (BACS/NCSC), die Schweizer Referenz in diesem Bereich, empfiehlt gerade, Verhalten und technische Massnahmen zu kombinieren, statt alles auf die Wachsamkeit jedes Einzelnen abzustützen.
«Ein Backup pro Monat reicht»
Der zweite Mythos ist heimtückischer, weil er verantwortungsvoll klingt. «Wir machen Backups»: gut. Aber hinter diesem Satz verbergen sich zwei Fragen, und es sind diese, die zählen.
Erstens: wie oft? Ein Backup (eine getrennt aufbewahrte Kopie Ihrer Daten), das einmal im Monat gemacht wird, bedeutet, dass ein Vorfall Sie vier Wochen zurückwerfen kann. Für ein Treuhandbüro mitten im Abschluss ist das ein Monat an Buchungen, Löhnen und Deklarationen, die neu erfasst werden müssen — im besten Fall.
Zweitens: Ist diese Kopie tatsächlich wiederherstellbar? Ein Backup, das Sie nie über eine Wiederherstellung (der Vorgang, die Daten aus der Kopie wieder in Betrieb zu nehmen) getestet haben, ist ein Backup, von dem Sie nicht wissen, ob es funktioniert. Und wenn es dauerhaft mit dem Netzwerk verbunden bleibt, verschlüsselt es eine Ransomware (Software, die Ihre Dateien verschlüsselt und ein Lösegeld verlangt, um sie wieder lesbar zu machen) zusammen mit allem anderen. Sie glauben, einen Fallschirm zu haben; er liegt im brennenden Flugzeug.
Die richtige Frage lautet also nicht «machen wir Backups?», sondern «wie viel Arbeit kann ich mir leisten zu verlieren, und habe ich je versucht, alles wieder in Betrieb zu nehmen?». Das revDSG (das Schweizer Datenschutzgesetz) erwartet von einem KMU, das Kundendaten hält, ohnehin eine «angemessene» Sicherheit — dazu gehört die Fähigkeit, diese Daten nach einem Vorfall wiederzufinden.
Was Sie sich merken sollten
- Sicherheit ist ein Prozess, keine Absicht. «Aufpassen» und «Backups haben» schützen nur, wenn sie sich in wiederholbare, überprüfte Handgriffe übersetzen.
- Der Mensch ist eine Schicht unter mehreren, nicht die einzige Mauer. Man stützt die Wachsamkeit des Teams mit einem technischen Netz — Filterung, Zwei-Faktor-Authentifizierung — damit eine Sekunde Unaufmerksamkeit nicht alles kostet.
- Ein Backup zählt nur, wenn es aktuell, getestet und ausser Reichweite ist. Eine nie wiederhergestellte oder dauerhaft ans Netzwerk gehängte Kopie ist ein falsches Sicherheitsgefühl.
Schritte für diese Woche
1. «Aufpassen» in einen gemeinsamen Reflex verwandeln
Legen Sie eine einfache, allen bekannte Regel fest: Jede Änderung von Bankverbindungen oder jede ungewöhnliche Zahlungsaufforderung wird durch einen Rückruf auf eine bereits hinterlegte Nummer überprüft — nie über den in der Nachricht angegebenen Kontakt. Erinnern Sie in fünf Minuten an einem Teammeeting mündlich daran. Es ist kostenlos und nimmt die Entscheidung von den Schultern einer einzelnen Person im Stress.
2. Prüfen, ob Ihre Backups wirklich existieren — und eine Wiederherstellung testen
Stellen Sie sich drei Fragen: Werden meine Daten mindestens täglich kopiert, wird eine Kopie offline aufbewahrt (vom Netzwerk getrennt), und ist es mir je gelungen, eine Datei wiederherzustellen? Machen Sie den Test diese Woche mit einem einzigen Dokument: Kommt es intakt zurück, wissen Sie, dass das Netz hält. Kommt es nicht zurück, haben Sie gerade eine sehr böse Überraschung vermieden.
3. Ein technisches Netz hinzufügen: Zwei-Faktor-Authentifizierung für sensible Zugänge
Aktivieren Sie die Zwei-Faktor-Authentifizierung (MFA) für Postfächer und für den Zugang zu den Werkzeugen mit Kundendaten. Bei einer Bürosuite wie Microsoft 365 geht das ohne Dienstleister und ohne Budget. Ein gestohlenes Passwort reicht dann nicht mehr, um die Tür zu öffnen.
Wo stehen Sie wirklich?
Diese drei Schritte betreffen Sensibilisierung und Basishygiene — zwei Bereiche, die die Selbsteinschätzung von Cyber Passport durchgeht. Sie zertifiziert nichts: Frage für Frage zeigt sie Ihnen, wo Ihre Organisation solide ist und wo sie noch auf Vertrauen und «das haben wir immer so gemacht» beruht. Oft werden beim Beantworten dieser Fragen diese Cybersecurity-Mythen sichtbar — und damit korrigierbar.
Dieser Artikel ist der zweite Schritt einer fünfteiligen Serie. Um beim ersten dieser beiden Punkte weiterzugehen, entfaltet unser Blueprint «Sensibilisierung der Teams» den vollständigen Plan: kurze Formate, ein jährlicher Rhythmus, Fortschrittsmessung und Einführung neuer Mitarbeitender.
