An einem Morgen öffnet Sophie B. eine E-Mail von einem ihrer grössten Kunden. Es ist keine Buchhaltungsfrage: Es ist die Bitte um Zusicherungen, wie ihr Büro die anvertrauten Daten schützt, bevor das Mandat verlängert wird. Zum ersten Mal ist IT-Sicherheit kein fernes technisches Thema mehr — sie wird zur Bedingung, um Umsatz zu behalten.
Sophie führt ein Treuhandbüro. Ihr Geschäft lässt sich im Grunde auf ein Wort bringen: Vertrauen. Ihre Kunden übergeben ihr das Sensibelste, was sie haben — Löhne, Konten, Steuer- und Bankdaten. An dem Tag, an dem dieses Vertrauen Risse bekommt, verliert sie keine Server, sondern Mandate.
Warum Cybersicherheit Ihren Umsatz direkt beeinflusst
Cybersicherheit wird oft als Ausgabe dargestellt: ein technischer Kostenpunkt, ein Häkchen, eine weitere Auflage. Diese Lesart verfehlt das Wesentliche. Für ein Dienstleistungs-KMU steht Datensicherheit nicht neben dem Umsatz — sie steckt darin.
Der Mechanismus ist einfach. Ihre Kunden vertrauen Ihnen Informationen an, weil sie Ihnen vertrauen. Ein Vorfall — eine bezahlte gefälschte Rechnung, ein gekapertes Postfach, eine durchgesickerte Lohndatei — kostet nicht nur Zeit und Geld für die Behebung. Er beschädigt dieses Vertrauen. Und ein Kunde, der an der Sicherheit seiner Daten zweifelt, sagt es nicht immer: Er geht bei der nächsten Verlängerung, ganz leise.
Die andere Hälfte des Mechanismus ist jünger und interessanter. Zunehmend stellen die Kunden selbst die Frage, bevor sie unterschreiben. Ein einigermassen strukturierter Auftraggeber schickt einen sogenannten Lieferanten-Sicherheitsfragebogen: eine Liste von Fragen zu Ihren Praktiken — wer worauf Zugriff hat, wie Sie sichern, wie Sie auf einen Vorfall reagieren. Er will Sie nicht in die Falle locken; er deckt sein eigenes Risiko ab. Denn wenn er Ihnen seine Daten anvertraut und Sie sie verlieren, muss er sich vor seinen eigenen Kunden rechtfertigen.
In der Schweiz wird dieser Reflex durch das Gesetz verstärkt. Das revDSG (das revidierte Datenschutzgesetz, in Kraft seit September 2023) erwartet von jedem Unternehmen, das Personendaten bearbeitet, «angemessene» Sicherheitsmassnahmen — und die Meldung schwerwiegender Verletzungen an die zuständige Bundesbehörde (den EDÖB). Ein KMU, das nicht sagen kann, wie es die Daten seiner Kunden schützt, ist also nicht nur technisch verwundbar: Es wird zum schwachen Glied, das Partner zu meiden beginnen.
Hier lauert eine Falle für KMU wie das von Sophie B.: zu glauben, «das ist geregelt». Viele Treuhandbüros haben keine interne IT und stützen sich auf einen externen Dienstleister, den man ruft, wenn etwas kaputt ist. Dieser Dienstleister ist reaktiv, aber bei der Sicherheit selten vorausschauend: Er repariert, er antizipiert nicht. Die Folge: Die Inhaberin denkt, das Thema sei abgedeckt, während es in Wahrheit niemand wirklich in die Hand genommen hat. An dem Tag, an dem ein Kunde seine Fragen stellt, löst sich diese Illusion schlagartig auf — und das ist der schlechteste Moment, um es zu merken. Zu wissen, was Ihr Dienstleister tut (und nicht tut), gehört zur geschäftlichen Antwort.
Der Ruf wirkt in dieselbe Richtung, stiller. Ein schlecht bewältigter Vorfall endet nicht immer in einer Schlagzeile; er wandert zuerst von Mund zu Mund, zwischen Unternehmerinnen und Unternehmern derselben Region, die sich ihre Dienstleister empfehlen. In einem Geflecht Schweizer KMU, in dem viele Mandate über das Netzwerk kommen, ist dieser Ruf Gold wert — und ein Leck, das die Runde macht, kann eine Kundenquelle weit sicherer versiegen lassen als eine Busse. Umgekehrt wird ein Ruf für den ernsthaften Umgang mit Daten zum Empfehlungsgrund.
Drehen Sie die Logik um, und das Argument wird positiv. Ein Unternehmen, das ruhig zeigen kann, wo es bei der Sicherheit steht, beruhigt. Es macht aus einer Auflage einen geschäftlichen Vorteil. Vor zwei gleichwertigen Dienstleistern wählt ein Kunde denjenigen, der antwortet «so schützen wir Ihre Daten», statt denjenigen, der ins Stottern gerät. Cybersicherheit, gut erklärt, ist keine defensive Ausgabe mehr: Sie ist ein Verkaufsargument.
Was Sie sich merken sollten
Sicherheit schützt Ihren Umsatz, sie knabbert ihn nicht an. Jedes Mandat beruht auf Vertrauen; jeder Vorfall nagt daran. Das Denken in «Kosten des Angriffs» verdeckt den wahren Einsatz: die Kosten der Kunden, die nicht zurückkommen.
Ihre Kunden prüfen Sie bereits, oder werden es bald tun. Der Lieferanten-Sicherheitsfragebogen sickert von den grossen Konzernen zu ihren Unterlieferanten und Dienstleistern durch. Ihn beantworten zu können, wird zur Zugangsbedingung für die guten Verträge, nicht zum Luxus.
Sie müssen nicht perfekt sein — Sie müssen wissen, wo Sie stehen. Ein seriöser Kunde verlangt keine Perfektion; er verlangt Klarheit und eine Richtung. Ein KMU, das seine Schwachstellen und seinen Plan kennt, weckt mehr Vertrauen als eines, das behauptet, überhaupt kein Problem zu haben.
Schritte für diese Woche
1. Halten Sie auf einer Seite fest, wie Sie Kundendaten schützen
Kein technisches Dokument: eine lesbare Seite in klarer Sprache, die ein Kunde lesen könnte. Wo die Daten liegen, wer Zugriff hat, wie Sie sichern, wen man bei einem Problem anruft. Die Übung hat zwei Vorzüge: Sie bereitet Sie auf die Antwort an einen Kunden vor und deckt Ihre eigenen Lücken auf. Sophie B. brauchte eine Stunde für ihre — und stellte beim Schreiben fest, dass drei ehemalige Mitarbeitende noch aktive Zugänge hatten.
2. Sichern Sie den Zugang zu Ihren sensibelsten Daten
Aktivieren Sie die Zwei-Faktor-Authentifizierung (MFA) — zusätzlich zum Passwort ein zweiter Nachweis, etwa ein Code auf Ihrem Telefon — für Ihr Postfach und Ihre Fachsoftware. Das ist der Schritt mit dem besten Verhältnis von Aufwand und Schutz, und genau die Art Massnahme, die ein Kunde gerne hört: konkret, überprüfbar, ohne Fachchinesisch.
3. Bereiten Sie Ihre Antwort auf «Wie schützen Sie meine Daten?» vor
Entdecken Sie sie nicht erst an dem Tag, an dem ein grosser Kunde sie stellt. Legen Sie fest, wer im Büro diese Frage beantwortet und womit. Eine ruhige, ehrliche Antwort — «das tun wir, das verbessern wir gerade» — ist besser als ein leeres Versprechen. Halten Sie das Ein-Seiten-Dokument aus dem ersten Schritt bereit: Es dient als Gerüst für alle Ihre Antworten. Und niemand muss improvisieren: Ein auf diesem Feld gut behandelter Kunde fühlt sich respektiert, nicht inspiziert. Genau dort entscheidet sich oft, ganz leise, der Unterschied zwischen einem Mandat, das man behält, und einem Vertrag, der aus purem Mangel an Vorbereitung verloren geht.
Wo stehen Sie wirklich?
Diese drei Schritte öffnen die Tür, ersetzen aber keine Gesamtsicht. Die wahre Frage einer Führungskraft ist nicht «Werde ich angegriffen?», sondern «Kann ich einem Kunden oder einem Auditor zeigen, dass ich das Thema ernst nehme?».
Genau das strukturiert eine Selbsteinschätzung von Cyber Passport: eine Bestandsaufnahme, Frage für Frage, wo Ihre Organisation solide ist und wo sie noch auf Vertrauen und Gewohnheit beruht. Das Ergebnis ist ein klarer Bericht, teilbar mit einem Kunden oder einem Auditor. Cyber Passport zertifiziert nichts und verspricht keine Konformität — es gibt Ihnen die Klarheit und die Sprache, um aus Ihrer Sicherheit einen Vorteil statt eines blinden Flecks zu machen. Und diesen blinden Fleck in ein Argument zu verwandeln, wirkt direkt auf Ihren Umsatz.
