An einem Montagmorgen erhaelt Sophie B. die Nachricht eines "Lieferanten", der beilaeufig eine geaenderte Bankverbindung fuer die naechste Rechnung ankuendigt. Das Logo stimmt, der Ton ist hoeflich, die Bitte wirkt alltaeglich. An diesem Tag hat keine Firewall ihre Treuhandkanzlei geschuetzt, sondern eine Mitarbeiterin, die zum Hoerer griff und beim echten Kontakt nachfragte. In einem KMU geht Cybersicherheit alle an, lange bevor sie eine Sache der IT ist.
Warum Cybersicherheit zuerst alle angeht
Sicherheit stellen wir uns oft als technische Mauer vor: eine Firewall, ein Virenschutz, ein externer Dienstleister, der "die IT macht". Diese Werkzeuge sind noetig, aber sie schuetzen etwas, das Angreifer fast nie zuerst ins Visier nehmen — die Maschinen. Ins Visier nehmen sie einen Menschen, einen Moment der Unaufmerksamkeit, eine Gewohnheit.
Die meisten Angriffe auf ein Schweizer KMU beginnen mit einer voellig gewoehnlichen menschlichen Handlung: einen Link anklicken, einen Anhang oeffnen, eine Zahlung freigeben, auf eine dringende Anfrage antworten. Das nennt man Social Engineering: Statt eine technische Tuer aufzubrechen, manipuliert der Angreifer Vertrauen, Dringlichkeit oder Routine, um zu bekommen, was er will. Die haeufigste Form ist Phishing — eine Nachricht, die sich als legitimer Kontakt ausgibt (ein Lieferant, eine Bank, eine Kollegin, die Geschaeftsleitung), damit Sie schnell und ohne Nachdenken handeln.
In einer Treuhandkanzlei ist das besonders heikel. Die Daten, die taeglich durchlaufen — Buchhaltung, Loehne, Steuer- und Bankangaben von Dutzenden Kundinnen und Kunden — sind fuer einen Betrueger unbezahlbar. Und sie laufen nicht nur ueber den Computer der IT-Person: Sie laufen ueber den Posteingang am Empfang, die geteilte Tabelle der Buchhalterin, das Telefon des Partners, der zwischen zwei Terminen eine Zahlung freigibt. Jede Funktion verarbeitet sensible Informationen, also ist jede Funktion Teil der Verteidigung.
Das beste Werkzeug der Welt ersetzt diesen menschlichen Reflex nicht. Eine gut geschriebene Phishing-Nachricht rutscht durch die Filter, wenn niemand am Ende der Kette eine Sekunde zweifelt. Umgekehrt faengt ein Team, das im richtigen Moment zu zoegern weiss, das ab, was die Technik durchlaesst. Deshalb beruht Sicherheit zuerst auf zwei sehr untechnischen Dingen: dem taeglichen Verhalten jedes Einzelnen und der Governance — den einfachen Entscheidungen der Fuehrung darueber, wer was tut und nach welchen Regeln.
Dieser Perspektivwechsel veraendert fuer eine kleine Organisation alles. Solange Sie Sicherheit als IT-Problem sehen, delegieren Sie sie an einen Dienstleister und vergessen sie — bis zu dem Tag, an dem etwas schiefgeht. Sobald Sie sie als Organisationsproblem sehen, faellt sie in den Bereich, den eine Geschaeftsleitung beherrscht: Regeln festlegen, mit dem Team sprechen, entscheiden, wer was freigibt. Ein KMU braucht keine interne Expertin, um voranzukommen; es braucht ein paar gute Gewohnheiten, die zur gemeinsamen Norm werden. Das ist beruhigend, denn so wird Sicherheit fuer alle erreichbar — ohne Fachjargon und ohne schwere Investition.
Was Sie sich merken sollten
Technik ist noetig, aber sie genuegt nicht. Firewall und Virenschutz leisten ihren Teil, aber sie entscheiden nicht anstelle einer Kollegin in Eile. Die echte Sicherheit eines KMU entsteht in einer Reihe kleiner menschlicher Entscheidungen, jeden Tag, auf jeder Ebene.
Die Verantwortung ist geteilt — und das ist eine gute Nachricht. Waere Sicherheit allein Sache des Dienstleisters, stuende ein KMU ohne interne IT hilflos da. Das ist nicht der Fall: Die wirksamsten Massnahmen (nachfragen, sprechen, melden) verlangen weder Budget noch technisches Koennen. Sie verlangen eine gemeinsame Gewohnheit, getragen von der Fuehrung.
In der Schweiz erwartet genau das auch das Gesetz. Das revDSG — das revidierte Datenschutzgesetz, in Kraft seit September 2023 — verlangt von jedem Unternehmen, das Personendaten haelt, "angemessene" Sicherheitsmassnahmen. Diese sind ebenso organisatorisch (klare Regeln, sensibilisierte Mitarbeitende) wie technisch. Mit anderen Worten: Das Gesetz selbst behandelt Cybersicherheit als Sache der Governance, nicht nur der IT. Auf der praktischen Seite veroeffentlicht das Bundesamt fuer Cybersicherheit (BACS, bekannt unter dem Kuerzel NCSC) regelmaessig Ratschlaege fuer KMU — auch dort geht es ebenso um menschliche Reflexe wie um technische Einstellungen.
Gewohnheiten fuer diese Woche
Keine dieser Handlungen verlangt ein Budget, eine Software oder die Hilfe eines Dienstleisters. Sie verlangen eine Entscheidung der Fuehrung und ein Gespraech mit dem Team.
1. Eine Ansprechperson benennen und es laut sagen
Bestimmen Sie eine Person — nicht zwingend die technisch versierteste — als Ansprechperson fuer "Sicherheit". Ihre Rolle ist nicht, alles zu wissen, sondern diejenige zu sein, an die man sich im Zweifel wendet: eine seltsame Nachricht, ein Anruf, der falsch wirkt, ein auf dem Parkplatz gefundener USB-Stick. Kuendigen Sie es dem ganzen Team an. Allein zu wissen, wen man fragen kann, macht aus einem einzelnen Zweifel einen gemeinsamen Reflex. Das ist der erste Akt der Governance, und er ist gratis.
2. Die Regel "Ich pruefe ueber einen anderen Kanal" einfuehren
Jede sensible Anfrage, die schriftlich eingeht — eine geaenderte Bankverbindung, eine ungewoehnliche Ueberweisung, die dringende Bitte, ein vertrauliches Dokument zu senden — wird ueber einen zweiten Kanal geprueft, den Sie waehlen und nicht der Absender. Sie legen auf und rufen die bekannte Nummer an; Sie antworten nicht auf die E-Mail, Sie telefonieren. Diese Regel passt in einen Satz, gilt fuer alle und entschaerft die meisten Betruegereien, die auf Dringlichkeit setzen. Es ist genau der Reflex, der die Kanzlei von Sophie B. gerettet hat.
3. Das Melden zum Reflex machen, nie zum Fehler
Der schlimmste Feind der Sicherheit ist nicht der Fehler, sondern das Schweigen danach. Eine Kollegin, die auf einen falschen Link geklickt hat und es binnen einer Minute sagt, ermoeglicht eine Reaktion; wer Angst vor Vorwuerfen hat, laesst das Problem ein ganzes Wochenende wachsen. Sagen Sie einmal klar, dass das Melden eines Fehlers eine gute Handlung ist und keine zu verbergende Dummheit. Dieser Satz, von der Fuehrung ausgesprochen, ist mehr wert als viele Werkzeuge. Um ihn zu verankern, vereinbaren Sie einen einfachen Kanal — ein kurzes Wort, eine Nachricht an die Ansprechperson — und danken Sie stets der Person, die meldet, auch wenn sich der Alarm als harmlos erweist. So setzt sich ein Reflex durch: indem man ihn angenehm macht.
Wo stehen Sie wirklich?
Diese drei Gewohnheiten gehoeren zu Sensibilisierung und Governance — zwei Bereiche, in denen man oft nicht weiss, wo man steht, bevor man die richtigen Fragen gestellt hat. Genau das bietet die Cyber-Passport-Selbsteinschaetzung: Sie zertifiziert nichts und vergibt kein Label; sie zeigt Ihnen Frage fuer Frage, wo Ihre Organisation solide ist und wo sie noch allein auf dem guten Willen jedes Einzelnen beruht.
Weil Cybersicherheit immer alle angehen wird, ist der wahre Ausgangspunkt nicht der Kauf eines weiteren Tools, sondern das Sichtbarmachen Ihrer blinden Flecken. Um weiterzugehen und einen konkreten Sensibilisierungsplan fuer ein Schweizer KMU aufzubauen, zeigt Ihnen unser eigener Blueprint den Weg Schritt fuer Schritt.
