Cybersicherheit im KMU: die 3 oft vernachlässigten Grundlagen

Sophie B. führt ein kleines Treuhandbüro in der Westschweiz. Letzten Monat bot ihr IT-Dienstleister ihr ein brandneues Sicherheitswerkzeug an, mit einer vierstelligen Offerte, und sie unterschrieb, etwas beruhigt. Dann holte sie eines Abends ein Zweifel ein: Weiss sie überhaupt, welche Daten sie schützt und wo diese wirklich liegen?

Warum die Grundlagen der Cybersicherheit wichtiger sind als Werkzeuge

Diese Frage umgehen viele KMU-Verantwortliche. Man kauft eine Firewall, ein Antivirenprogramm, manchmal eine Überwachungsleistung, und sagt sich, man habe „Cybersicherheit gemacht“. Das beruhigt, ist greifbar und passt in ein Budget. Doch ohne ein paar zuvor gelegte Grundlagen schützen diese Werkzeuge ein Haus, dessen Haustür sich nicht abschliessen lässt.

Und ein Treuhandbüro verarbeitet keine belanglosen Daten. Buchhaltung, Löhne, Steuererklärungen, Bankverbindungen von Dutzenden KMU-Kunden: Das ist der Kern des Berufsgeheimnisses und das Erste, was ein Angreifer zu Geld machen oder als Geisel nehmen will. Der häufigste Fehler ist dabei nicht das Fehlen eines ausgefeilten Werkzeugs — sondern das Fehlen der Grundlagen, die diesem Werkzeug erst einen Sinn geben.

Klar gesagt: Ein leistungsfähiges Sicherheitsprodukt auf einer Organisation, die Passwörter teilt, ihre Backups nie testet und ihre Daten nie inventarisiert hat, ist eine Spitzenalarmanlage an einer weit offen stehenden Tür. Camille, unsere Cyber-Beraterin, bringt es so auf den Punkt: „Technologie verstärkt, was schon da ist. Fehlen die Grundlagen, verstärkt sie vor allem das Durcheinander.“

Das revDSG — das revidierte Schweizer Datenschutzgesetz, in Kraft seit September 2023 — verlangt im Übrigen nicht, dieses oder jenes Produkt zu kaufen. Es erwartet von jedem Unternehmen, das Personendaten hält, eine „angemessene“ Sicherheit: dem Risiko angepasst, durchdacht und erklärbar. Mit anderen Worten: ein Vorgehen, keine Rechnung. Das Bundesamt für Cybersicherheit (BACS, auch NCSC genannt) sieht es genauso: Seine Empfehlungen für KMU beginnen stets mit der Basishygiene, nie mit dem Wunderwerkzeug.

Diese Grundlagen ruhen auf drei Säulen, die fast immer in derselben Reihenfolge vernachlässigt werden: wissen, was man schützt, die Basics über die Zeit halten und die Menschen einbinden. Keine der drei verlangt ein grosses Budget. Alle drei verlangen vor allem etwas, das Technologie nicht liefert: Klarheit über die eigene Organisation.

Was Sie sich merken sollten

• Ein Werkzeug ersetzt nie eine fehlende Grundlage. In fortgeschrittene Überwachung zu investieren, bevor Zugänge und Backups gesichert sind, heisst das Pferd von hinten aufzuzäumen — und oft doppelt zu zahlen: für das Werkzeug und dann für den Schaden, den es nicht verhindert hat.
• Die vom revDSG erwartete „angemessene“ Sicherheit ist ein Vorgehen, kein Kauf. Sie entsteht aus einfachen, wiederholten Handgriffen und einem klaren Bild dessen, was man hält. Ein kleiner, gut organisierter Betrieb ist besser geschützt als ein grosser, schlecht geführter.
• Der entscheidende Faktor bleibt der Mensch. Die grosse Mehrheit der Vorfälle beginnt mit einem Klick, einem wiederverwendeten Passwort oder einem zu schnell geöffneten Anhang — nicht mit einer exotischen Lücke, die nur ein Experte ausnutzen könnte. Das ist eine gute Nachricht: Was von alltäglichen Gewohnheiten abhängt, lässt sich ohne schwere Investition korrigieren.

Die Schritte für diese Woche

Drei Schritte, einer je Grundlage. Sie ersetzen keine vollständige Roadmap, bringen Ihr KMU aber von „wir hoffen, es hält“ zu „wir wissen, wo wir stehen“.

1. Eine Bestandsaufnahme Ihrer Daten machen

Bevor man schützt, muss man wissen, was zu schützen ist. Nehmen Sie sich eine Stunde, um schwarz auf weiss die sensibelsten Daten aufzulisten, die Sie halten (Löhne, Steuerdaten, Bankverbindungen Ihrer Kunden), wo sie wirklich liegen (Ihre Buchhaltungssoftware, Ihr Postfach, ein geteiltes Laufwerk, der USB-Stick einer Mitarbeitenden?) und wer Zugriff hat. Dieses einfache Inventar bringt fast immer das unangenehm Offensichtliche ans Licht: sensible Dateien, die niemand mehr überwacht, und ehemalige Mitarbeitende, die vielleicht noch ein aktives Konto haben. Das ist der erste Schritt jedes ernsthaften Vorgehens — und konkret der Ausgangspunkt einer Selbsteinschätzung. Solange man nicht weiss, was man hält und wo, kann man es weder schützen noch einem Kunden belegen, dass man es richtig schützt.

2. Die Basics über die Zeit halten

Drei Reflexe genügen für das Wesentliche, sofern man sie dauerhaft pflegt:

• Die Zwei-Faktor-Authentifizierung (genannt MFA oder 2FA). Zusätzlich zum Passwort ein zweiter Nachweis — meist ein Code auf Ihrem Telefon — blockiert die grosse Mehrheit der Kontodiebstähle, selbst wenn das Passwort geleakt ist. Aktivieren Sie sie überall, wo möglich, beginnend mit Ihrem Geschäftspostfach, das der Schlüssel zu allem Übrigen ist.
• Die Updates. Software, die man nicht aktualisiert, ist eine Tür, die der Hersteller sorgfältig geschlossen hat, die Sie aber offen lassen. Aktivieren Sie automatische Updates auf Geräten, Telefonen und Fachanwendungen.
• Getestete Backups. Ein Backup nützt nichts, wenn Sie nie geprüft haben, dass Sie es wiederherstellen können. Verlangen Sie einmal pro Quartal, eine Datei von gestern zurückzuholen: Am Tag eines Vorfalls wissen Sie dann, ob Ihr Sicherheitsnetz wirklich existiert oder nur auf dem Papier.

Das sind Grundlagen, kein detaillierter Plan. Sie sauber auszurollen — genauer Umfang, Ausnahmen, Notfallkonten, Rhythmus — gehört in eine eigene Roadmap. Doch schon diese drei Handgriffe verändern die Angriffsfläche eines KMU radikal.

3. Menschen zur ersten Linie machen

Das beste Werkzeug der Welt rettet keine gestresste Mitarbeitende, die am Freitag um 17 Uhr auf eine gefälschte Rechnung klickt. Phishing — jene betrügerischen E-Mails, die einen Lieferanten, eine Bank oder einen Kunden nachahmen, um ein Passwort zu erschleichen oder eine Zahlung auszulösen — bleibt der Zugang Nummer eins in KMU.

Die gute Nachricht: Man schult seine Teams nicht mit einer einstündigen Sitzung einmal im Jahr, die am nächsten Tag vergessen ist. Man verankert den Reflex in kleinen Schritten — eine Zwei-Minuten-Erinnerung in der Teamsitzung, eine echte Fallen-E-Mail, gemeinsam besprochen, eine einfache, allen bekannte Regel („beim geringsten Zweifel an einer Zahlung antworten Sie nicht: Sie greifen zum Hörer und rufen die bekannte Nummer an“). Über einige Wochen wiederholt, wird dieser Reflex zur Kultur, und diese Kultur ist mehr wert als jede Lizenz. In einem Treuhandbüro, wo jeder täglich Kundendaten verarbeitet, ist es wohl die Grundlage, die für den geringsten Aufwand am meisten bringt.

Wo stehen Sie wirklich?

Diese drei Grundlagen — seine Daten kennen, die Basics halten, die Menschen einbinden — kosten fast nichts. Was meist fehlt, ist nicht Budget: Es ist ein ehrlicher Blick darauf, wo man solide ist und wo man noch auf Vertrauen und Gewohnheit baut.

Genau das strukturiert eine Cyber-Passport-Selbsteinschätzung. Sie zertifiziert nichts und verkauft Ihnen kein weiteres Werkzeug: Frage für Frage zeigt sie Ihnen, welche Grundlagen wirklich stehen und welche noch auf Sand gebaut sind — damit Ihre nächste Investition endlich etwas Solides verstärkt, statt eine offene Tür zu schmücken.