Cybersicherheits-Audit: Mit welchen Kontrollen ein KMU beginnt

An einem Freitagabend schreibt ein Kunde an Sophie B.: «Wie schützen Sie unsere Buchhaltungsdaten konkret?» Sie weiss, dass ihre Kanzlei die Dinge «einigermassen» richtig macht. Aber könnte sie es auch Punkt für Punkt belegen, wenn man sie darum bittet? Genau das legt ein Cybersicherheits-Audit offen — nicht um Angst zu machen, sondern um endlich zu wissen, wo man steht.

Ein Cybersicherheits-Audit ist nicht nur etwas für Grosskonzerne

Das Wort «Audit» wirkt einschüchternd. In der Praxis bedeutet ein Cybersicherheits-Audit schlicht, die Schutzmassnahmen rund um Ihre Daten und Arbeitsmittel geordnet durchzugehen. Kein Urteil, keine Note: eine Momentaufnahme dessen, was solide ist und was noch auf Vertrauen oder Gewohnheit beruht.

In einer Treuhandkanzlei mit rund einem Dutzend Personen, ohne eigene IT-Fachkraft, hängt die Sicherheit oft an zwei Dingen: den Reflexen des Teams und «dem Dienstleister, der das regelt». Das Problem ist, dass niemand den Gesamtüberblick hat. Wer hat heute wirklich Zugriff auf die Buchhaltungssoftware? Hat die Sicherung von letzter Nacht funktioniert? Ist der Laptop des Mitarbeiters, der letztes Jahr gegangen ist, irgendwo noch aktiv? Ein Audit beantwortet diese Fragen eine nach der anderen, statt sie offen zu lassen.

Für eine Treuhandkanzlei steht besonders viel auf dem Spiel. Sie verwahren das Vertraulichste, was ein Unternehmen hat: seine Buchhaltung, seine Löhne, seine Steuer- und Bankdaten. Das Berufsgeheimnis ist keine Option, es ist der Kern der Tätigkeit — und ein Leck kostet nicht nur Geld, es untergräbt das Vertrauen, von dem Sie leben. Genau das schützt ein Audit: nicht die Geräte um ihrer selbst willen, sondern die Beziehung zu Ihren Kundinnen und Kunden.

Es ist zunehmend auch die Sprache, die Ihre Kunden und deren eigene Prüfer sprechen. Wenn ein Kunden-KMU Ihnen seine Löhne und seine Buchhaltung anvertraut, erwartet es — manchmal schriftlich —, dass Sie Ihre Sicherheitsmassnahmen beschreiben können. Ein Audit, so bescheiden es auch sei, macht aus einem «wir passen auf» etwas Überprüfbares.

Kurz gesagt (Camille, Cyber-Passport-Beraterin). Ein Audit ist keine Prüfung, die man besteht oder nicht. Es ist eine Liste einfacher Fragen, auf die Sie heute mit «ja», «nein» oder «weiss ich nicht» antworten. Die «weiss ich nicht» sind Ihre Prioritäten: Das sind keine Fehler, das sind blinde Flecken. Sie ans Licht zu holen, ist bereits der grösste Teil der Arbeit.

Gut zu wissen: Ein erstes Audit muss weder von einer externen Firma durchgeführt werden noch mehrere tausend Franken kosten. Die nützlichste Variante für den Anfang ist eine ehrliche Selbstdiagnose — eine Selbsteinschätzung, bei der Sie sich in Ruhe die richtigen Fragen stellen, bevor die Umstände sie für Sie stellen.

Was Sie sich merken sollten

Es geht nicht darum, alles auf einmal zu prüfen, sondern die wenigen Bereiche abzudecken, die den grössten Teil des Risikos für ein Dienstleistungs-KMU ausmachen.

• Ein Audit beantwortet eine sehr konkrete Frage. Käme es morgen zu einem Vorfall — eine manipulierte E-Mail, ein gesperrter Arbeitsplatz, ein Kunde, der die Historie seiner Daten verlangt —, wüssten Sie sofort, was geschützt ist und was nicht? Das Audit ist diese Antwort, im Voraus und in Ruhe vorbereitet statt unter Zeitdruck.
• Vier Bereiche decken das Wesentliche ab. Zugänge (wer kann wohin), Sicherungen (lässt sich wirklich alles wiederherstellen), Updates (sind die Werkzeuge noch unterstützt und aktuell) und der Mensch (erkennt das Team eine Falle). Dazu kommt für eine Treuhandkanzlei die Frage der sensiblen Daten im Sinne des revDSG, des revidierten Schweizer Datenschutzgesetzes, das seit 2023 in Kraft ist.
• Anfangen ist besser, als auf das perfekte Audit zu warten. Ein unvollkommener erster Durchgang diese Woche bringt Ihnen mehr als der ideale Bericht, der nie kommt. Man notiert die blinden Flecken, schliesst die dringendsten und verfeinert danach in regelmässigen Abständen.

Schritte, die Sie diese Woche einführen können

Drei Schritte, ohne Budget und ohne technisches Können, um aus der Absicht ein echtes erstes Audit zu machen.

1. Auflisten, wer worauf Zugriff hat

Nehmen Sie ein Blatt Papier und listen Sie die Werkzeuge auf, die Kundendaten enthalten: E-Mail, Buchhaltungssoftware, Ablage zum Teilen von Dateien. Notieren Sie neben jedem, wer heute Zugriff hat. Fast immer tauchen zwei oder drei Überraschungen auf: eine ehemalige Mitarbeiterin, die noch aktiv ist, ein geteiltes Konto, dessen Passwort niemand mehr wirklich kennt, ein «vorübergehender» Zugang, der nie entzogen wurde. Allein das Schliessen dieser Türen senkt das Risiko ganz konkret. Prüfen Sie bei der Gelegenheit, dass sensible Zugänge durch die Zwei-Faktor-Authentifizierung (MFA) geschützt sind — zusätzlich zum Passwort ein zweiter Identitätsnachweis, zum Beispiel ein Code auf dem Telefon.

2. Prüfen, dass eine Sicherung existiert — und dass Sie sie wiederherstellen können

«Wir haben Sicherungen» ist der trügerischste Satz zum Thema, weil er beruhigt, ohne etwas zu beweisen. Der echte Test besteht aus einer Frage: Wäre die Buchhaltungssoftware morgen früh nicht verfügbar, in welcher Zeit — und woraus — wären Sie wieder arbeitsfähig? Bitten Sie Ihren Dienstleister, Ihnen eine echte Wiederherstellung zu zeigen, nicht nur zu bestätigen, dass «es läuft». Ein guter Anhaltspunkt, ohne technisch zu werden: die sogenannte 3-2-1-Regel — drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, eine davon ausserhalb Ihrer Räume aufbewahrt. Es geht nicht darum, alles an diesem Montag umzusetzen, sondern zu wissen, wo Sie gegenüber diesem Anhaltspunkt stehen. Eine Sicherung, die nie durch Wiederherstellen getestet wurde, ist nur eine Annahme — und der schlechteste Moment, das zu merken, ist der Tag, an dem Sie sie brauchen.

3. Dem Team die Frage nach der «schlimmsten E-Mail» stellen

Versammeln Sie das Team zehn Minuten lang und beschreiben Sie gemeinsam das glaubwürdigste Szenario: eine gefälschte Rechnung eines üblichen Lieferanten oder eine dringende Nachricht, die von einer Partnerin zu kommen scheint und eine sofortige Überweisung verlangt. Das Phishing — jene betrügerischen E-Mails, die einen vertrauten Kontakt nachahmen, um Sie zum Zahlen oder Klicken zu bewegen — zielt gerade auf die Berufe, die mit Geld und Daten umgehen. Sich laut auf einen einfachen Reflex zu einigen («bei Zweifeln an einer Zahlung legen wir auf und rufen auf einer bekannten Nummer zurück») schützt besser als jede Software und kostet nichts.

Wo stehen Sie wirklich?

Diese drei Schritte sind buchstäblich die ersten Zeilen eines Cybersicherheits-Audits. Sie geben Ihnen einen Eindruck — nicht das vollständige Bild. Um weiterzugehen, ohne unterzugehen, nimmt die Selbsteinschätzung von Cyber Passport diese Bereiche Frage für Frage auf und stellt sie anerkannten Rahmenwerken gegenüber: dem revDSG für Ihre Schweizer Pflichten und strukturierenden Rahmen wie dem NIST CSF 2.0 oder dem Anhang A der Norm ISO 27001:2022, die Ihre Auftraggeber sprechen, wenn sie Sie prüfen.

Seien wir klar: Cyber Passport zertifiziert nichts und erklärt Sie nicht für «konform». Es tut etwas anderes, im Alltag wohl Nützlicheres: Es zeigt Ihnen schwarz auf weiss, wo Ihre Kanzlei solide ist und wo sie noch auf zwischenmenschlichem Vertrauen beruht — und gibt Ihnen dann die Mittel, gelassen darüber zu sprechen, mit Ihren Kunden wie mit Ihrem Dienstleister. Es ist der Ausgangspunkt eines Audits, das Sie führen, statt es zu erleiden — und der erste Schritt, um jenem Kunden vom Freitagabend das nächste Mal ohne Zögern zu antworten.