Ein wichtiger Kunde schreibt Sophie B.: Bevor er sein Mandat verlängert, möchte er verstehen, «wie Sie meine Daten schützen». Als geschäftsführende Partnerin eines Schweizer Treuhandbüros weiss Sophie, wie sensibel ihre Dossiers sind – Löhne, Steuererklärungen, Bankverbindungen von Dutzenden KMU-Kunden – und doch merkt sie, dass ihr die Antwort schwerfällt. Die IT war bisher «Sache des Dienstleisters». Wo fängt man an, wenn man weder Informatiker noch Grossunternehmen ist?
Cybersicherheit im KMU ist eine Frage der Daten, nicht der Grösse
Der erste Gedanke, den Sie loslassen sollten, ist jener, den Sophie sich jahrelang eingeredet hat: «Wir sind zu klein, als dass sich jemand für uns interessiert.» Das ist falsch – aus einem beruhigenden Grund. Die allermeisten Angriffe zielen auf niemanden im Besonderen. Es sind automatisierte Kampagnen, die das Internet durchkämmen und dort stehen bleiben, wo eine Tür angelehnt ist. Der Angreifer kennt den Namen Ihres Unternehmens nicht: Er kennt den Wert dessen, was er findet.
Ein Treuhandbüro bündelt genau das, was sich zu Geld machen lässt: Bankverbindungen, Löhne, Identitäten, Zugänge zu Konten Dritter. Nicht Ihr Umsatz macht Sie interessant, sondern Ihr Datenbestand. Und dieser Wert ist derselbe, ob Sie vierzehn oder vierhundert Personen sind.
Der zweite Reflex, den es zu korrigieren gilt, ist der Glaube, Sicherheit finde anderswo statt, «beim Dienstleister». Ein externer Dienstleister hält die Maschinen am Laufen; er hat aber kein Mandat zu entscheiden, wer in Ihrem Team auf welches Dossier zugreifen darf, noch monatlich zu prüfen, ob Ihre Sicherungen halten. Sicherheit ist keine Leistung, die man einmal kauft: Sie ist eine Haltung, die man pflegt. Solange sie ausdrücklich niemandem gehört, gehört sie niemandem.
Zwei Begriffe tauchen häufig auf und verdienen eine einfache Erklärung. Phishing ist eine E-Mail oder SMS, die einen vertrauenswürdigen Absender nachahmt – eine Bank, einen Lieferanten, eine Kollegin –, damit Sie klicken, zahlen oder ein Passwort preisgeben. Ransomware ist ein Programm, das Ihre Dateien verschlüsselt und ein Lösegeld fordert, um sie wieder lesbar zu machen; es gelangt meist durch einen einzigen Klick hinein. Diese beiden Bedrohungen machen den Grossteil dessen aus, was KMU tatsächlich trifft – und keine davon setzt voraus, dass Sie ein ausgewähltes Ziel sind.
Schliesslich gibt es einen Rahmen, den man kennen sollte – nicht um sich zu fürchten, sondern um sich einzuordnen. Seit September 2023 erwartet das neue Schweizer Datenschutzgesetz (revDSG) von jeder Organisation, die Personendaten bearbeitet, «angemessene» Sicherheitsmassnahmen und die Meldung einer schweren Verletzung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Das revDSG schreibt keine bestimmte Software vor; es macht Sie dafür verantwortlich, im Verhältnis zur Sensibilität Ihrer Daten nachgedacht und gehandelt zu haben. Für Sophie, deren Dossiers das Geschäftsgeheimnis ihrer Kunden berühren, ist das ein guter Anstoss: anzufangen heisst bereits, dieser Erwartung zu begegnen.
Die gute Nachricht: Sie stehen mit diesen Fragen nicht allein da. Das Bundesamt für Cybersicherheit (BACS, auch NCSC) veröffentlicht konkrete Empfehlungen für Schweizer KMU – kostenlos und regelmässig aktualisiert. Es ist die erste offizielle Anlaufstelle, wenn ein technischer Zweifel auftaucht, statt des erstbesten Artikels. Sich einzuordnen heisst auch zu wissen, wo man vertrauenswürdige Informationen findet.
Was Sie mitnehmen sollten
Drei Gedanken genügen, um die Haltung zu ändern – noch vor der ersten technischen Massnahme.
- Sie sind ein Ziel wegen dem, was Sie besitzen, nicht wegen Ihrer Grösse. Die Daten eines Dienstleistungs-KMU lassen sich sofort zu Geld machen, und Angriffe sortieren nicht nach Belegschaft.
- Sicherheit ist eine Gewohnheit, kein Kauf. Wenige gut gepflegte Gewohnheiten decken den grössten Teil des Alltagsrisikos ab. Es geht nicht darum, alles auf einmal zu panzern, sondern zuerst die meistgenutzten Türen zu schliessen.
- Sie fangen ohne Budget und ohne Informatiker an. Die allerersten Schritte sind organisatorisch: zu wissen, was Sie schützen und wer darauf zugreift. Das ist kostenlos und die Grundlage für alles Weitere.
Mit anderen Worten: «Wo fangen Sie an» ist keine Frage der Mittel. Es ist eine Frage der Reihenfolge: die richtigen Dinge in der richtigen Abfolge tun, beginnend mit dem Einfachsten und Lohnendsten.
Die Schritte für diese Woche
Drei Handlungen, machbar ohne technisches Können und ohne Ausgaben. Sie lösen nicht alles – genau deshalb sind sie der Ausgangspunkt eines Fahrplans.
1. Bestandsaufnahme dessen, was wirklich zählt
Man schützt nur gut, was man benannt hat. Nehmen Sie ein Blatt Papier und listen Sie ohne Hilfsmittel die drei oder vier Dinge auf, deren Verlust oder Abfluss am schwersten wöge: die Buchhaltungssoftware, das Postfach, die Kundendossiers, der Zugang zum Online-Banking. Notieren Sie für jedes eine einzige Angabe: Wer im Team kann heute darauf zugreifen? Diese einstündige Übung fördert fast immer Überraschungen zutage – ein geteiltes Konto, das alle nutzen, ein offen gebliebener Zugang einer ausgeschiedenen Person, ein sensibles Dossier an einem für alle sichtbaren Ort. Sie beheben noch nichts: Sie machen sichtbar, was unscharf war. Es ist die Landkarte, ohne die nichts Folgende Sinn ergibt.
2. Die Zwei-Faktor-Authentifizierung (MFA) aktivieren
Die Zwei-Faktor-Authentifizierung (MFA, für Multi-Faktor-Authentifizierung) fügt dem Passwort einen zweiten Nachweis hinzu – meist einen Code auf Ihrem Telefon oder eine Bestätigung in einer App. Konkret: Selbst wenn jemand Ihr Passwort errät oder stiehlt, kommt er ohne Ihr Telefon nicht hinein. Mit nahezu keinem Aufwand ist es die Massnahme, die die meisten Eindringversuche blockiert. Beginnen Sie beim exponiertesten Konto: dem geschäftlichen Postfach, dem Tor zu fast allem anderen. Die meisten Dienste aktivieren sie in wenigen Minuten in den Sicherheitseinstellungen, ohne dass Sie etwas installieren müssen. Weiten Sie sie danach Konto für Konto auf Ihre sensiblen Zugänge aus.
3. Die richtige Frage zu Ihren Sicherungen stellen
«Wir haben Backups» ist ein Satz, den Sophie tausendmal gehört hat, ohne je den Beweis gesehen zu haben, dass sie funktionieren. Der Schritt dieser Woche ist nicht, alles neu einzurichten, sondern Ihrem Dienstleister drei Fragen zu stellen – und die Antwort schriftlich zu erhalten. Wo sind meine Sicherungen? Wann wurde die letzte Wiederherstellung tatsächlich getestet? Wie lange würde es dauern, meine Dossiers wiederzuerlangen, wenn morgen früh alles verloren wäre? Eine Sicherung, die Sie nie wiederherstellen konnten, ist keine Sicherung, sondern eine Annahme. Dieses einfache Gespräch sagt Ihnen, wo Sie wirklich stehen, ohne dass Sie eine einzige Einstellung berühren.
Wo stehen Sie wirklich?
Diese drei Schritte sind ein Anfang, kein Plan. Sie schliessen die häufigsten Türen, doch Sophies eigentliche Frage – in welcher Reihenfolge das Übrige in den kommenden Monaten anzugehen ist und wie weit man gehen soll – verlangt einen Fahrplan. Genau das enthält ein Artikel nicht: Das ausführliche «Wie», Schritt für Schritt, mit Prioritäten und Kontrollpunkten, steht im eigens dafür gedachten Blueprint.
Bevor Sie dorthin gelangen, müssen Sie wissen, wo Sie stehen. Die Cyber-Passport-Selbstbewertung zeigt Ihnen Frage für Frage, wo Ihre Organisation solide ist und wo sie auf Vertrauen oder Gewohnheit beruht. Sie zertifiziert nichts und erklärt Sie mit nichts als konform: Sie strukturiert eine ehrliche Momentaufnahme, die Sie mit einem Kunden oder Prüfer teilen können, der Sie – wie Sophie – fragt: «Wie schützen Sie meine Daten?». Cybersicherheit im KMU zu starten heisst nicht, in einer Woche alles zu lösen – es heisst, sich eine Landkarte zu geben und dann in der richtigen Reihenfolge voranzugehen.
