An einem Freitagabend liest Sophie B. eine Anfrage eines Lieferanten noch einmal, der seine Bankverbindung ändern möchte. Auf den ersten Blick stimmt alles: Die E-Mail ist sauber, das Logo passt. Wie so oft beruhigt sie sich mit einem „die IT regelt ja der Dienstleister“. In diesem sehr menschlichen Reflex verbergen sich zwei Irrtümer in der Cybersicherheit — und genau sie kosten Schweizer KMU am meisten.
Zwei Irrtümer in der Cybersicherheit, die Ihr KMU gefährden
Eine Treuhandgesellschaft verarbeitet das Sensibelste, was ein Unternehmen hat: Buchhaltung, Löhne, Steuer- und Bankdaten von Dutzenden Kundinnen und Kunden. Dennoch ruht die Sicherheit dort oft auf zwei bequemen Überzeugungen, die zusammen die Tür einen Spalt offen lassen. Schauen wir sie uns ehrlich an, ohne zu dramatisieren.
„Die Sicherheit regelt der Dienstleister“
Viele KMU ohne eigene IT übergeben ihre Infrastruktur einem externen Dienstleister und schliessen daraus, sich nicht mehr darum kümmern zu müssen. Das verwechselt zwei verschiedene Dinge: Eine Aufgabe zu delegieren heisst nicht, die Verantwortung zu übertragen.
Nach dem revDSG — dem Schweizer Datenschutzgesetz, in Kraft seit September 2023 — bleiben Sie als Unternehmen, das über die Nutzung der Kundendaten entscheidet, die „verantwortliche Person“. Anders gesagt: Werden Ihre Daten gestohlen, bleibt die Verantwortung bei Ihnen, auch wenn die Systeme von jemand anderem betrieben wurden. Der Dienstleister ist im Sinne des Gesetzes ein „Auftragsbearbeiter“: Er führt aus, trägt aber nicht Ihre Pflicht zu schützen.
Das revDSG hört hier nicht auf: Es erwartet eine dem Risiko „angemessene“ Sicherheit und sieht vor, dass eine Datenpanne dem Eidgenössischen Datenschutzbeauftragten gemeldet werden muss. Konkret wird ein geschädigter Kunde nicht fragen „wer hat den Server betrieben?“, sondern „haben Sie angemessene Massnahmen getroffen?“. Sich ganz auf einen Dritten zu verlassen, ohne je zu prüfen, was er tut, ist keine angemessene Massnahme: Es ist eine Annahme. Und eine Annahme schützt weder Ihre Kunden noch Ihre Verantwortung.
Der zweite blinde Fleck ist konkreter. Ein schlecht eingerahmter Dienstleister erzeugt eine falsche Sicherheit. Grosse Organisationen wurden nicht durch eine eigene Schwachstelle angegriffen, sondern über die Zugänge eines schlecht geschützten Lieferanten, die als Eintrittstor ins Hauptnetz dienten. Für ein KMU gilt dieselbe Logik im Kleinen: Ihr Dienstleister hat weitreichenden Zugang zu Ihren Systemen. Ist dieser Zugang schlecht verwaltet, wird er zu Ihrer Schwachstelle — ohne dass Sie das je entschieden hätten.
Das Problem ist nicht, einen Dienstleister zu haben: Das ist völlig vernünftig und oft die beste Option. Das Problem ist, nicht zu wissen, was er tatsächlich abdeckt. Wer prüft, ob die Backups funktionieren? Wer installiert die Sicherheitsupdates, und wie oft? Wen ruft man an einem Sonntagabend an, wenn etwas schiefläuft? Solange diese Antworten in einem „ich dachte, das sei geregelt“ leben, trägt sie niemand.
„Einen Angriff sieht man sofort“
Der zweite Irrtum ist noch hartnäckiger: Wir stellen uns einen Cyberangriff als roten Bildschirm vor, einen Computer, der nicht mehr startet, einen unüberhörbaren Alarm. In Wirklichkeit sind die teuersten Angriffe leise.
Ein Eindringling, der ein Passwort stiehlt, zerstört nichts. Er meldet sich wie ein normaler Nutzer an, liest E-Mails, beobachtet, wer mit wem spricht, erkennt die Zahlungsgewohnheiten. Fachleute nennen „Verweildauer“ (englisch dwell time) die Zeit, in der ein Angreifer im System bleibt, bevor er entdeckt wird. Sie beträgt oft Wochen, manchmal Monate.
Klar gesagt, wie es unsere Cyber-Beraterin Camille formuliert: Stille ist kein Beweis, dass alles in Ordnung ist. Sehr oft ist sie die Signatur eines gut geführten Angriffs. Der Moment, in dem „man es sieht“ — eine abgeflossene Zahlung, verschlüsselte Dateien, eine Kundin, die eine seltsame E-Mail von Ihrer Adresse meldet — kommt am Ende der Geschichte, nicht am Anfang.
Für eine Treuhandgesellschaft ist diese unsichtbare Verzögerung besonders gefährlich: Es genügt, dass ein Angreifer Ihre Rechnungsabläufe versteht, um im richtigen Moment eine gefälschte Änderung der Bankverbindung einzuschleusen, die niemanden überrascht. Diskretion ist kein technisches Detail: Sie ist der Kern des Geschäftsmodells der Betrüger.
Was Sie sich merken sollten
- Die Verantwortung für Ihre Daten lässt sich nicht auslagern. Sie können den technischen Betrieb übergeben, doch die Pflicht zu schützen bleibt bei Ihnen. Ein Dienstleister ist ein Partner, den man einrahmt, kein juristischer Regenschirm.
- Stille ist kein Beweis, dass alles in Ordnung ist. Wirksame Angriffe sind darauf ausgelegt, so lange wie möglich unsichtbar zu bleiben. Keinen Vorfall zu sehen bedeutet nicht, dass es keinen gibt.
- Diese beiden blinden Flecken summieren sich. Zu glauben „der Dienstleister regelt es“ und anzunehmen „einen Angriff würden wir sehen“ heisst, weder die Tür zu bewachen noch das, was passiert, wenn sie durchschritten ist.
Schritte für diese Woche
1. Festhalten, wer was mit Ihrem Dienstleister macht
Nehmen Sie eine Seite. Halten Sie schwarz auf weiss mit Ihrem Dienstleister fest, was er abdeckt und was nicht: Backups und Wiederherstellungstests, Sicherheitsupdates, Überwachung der Anmeldungen und vor allem die Nummer, die im Ernstfall anzurufen ist. Drei Fragen genügen für den Start: „Was genau sichern Sie, und haben Sie es je getestet?“, „Wer hat bei uns Zugang, und seit wann?“, „Was tun wir konkret, wenn ich Sie an einem Sonntag anrufe?“ Das Bundesamt für Cybersicherheit (BACS / NCSC) empfiehlt ausdrücklich, schriftlich festzuhalten, was ein Dienstleister leistet.
2. Leise Angriffe weniger leise machen
Sie nutzen wahrscheinlich schon Microsoft 365: Es kann eine ungewöhnliche Anmeldung melden (ein fernes Land, eine unwahrscheinliche Uhrzeit). Lassen Sie diese Warnungen aktivieren und benennen Sie vor allem, wer sie ansieht. Aktivieren Sie zudem die Zwei-Faktor-Authentifizierung (MFA) — zusätzlich zum Passwort ein zweiter Nachweis, etwa ein Code auf Ihrem Telefon: Genau das verhindert, dass ein gestohlenes Passwort ausreicht. Ein Zugang, der nicht mehr allein am Passwort hängt, und Warnungen, die jemand liest, verkürzen schlagartig die Zeit, in der ein Eindringling unbemerkt bleibt.
3. Einen Prüfreflex fürs Geld einführen
Jede ungewöhnliche Anfrage rund um eine Zahlung — eine geänderte Bankverbindung, eine dringende Überweisung — wird über einen bekannten Kanal geprüft: Sie rufen den Lieferanten unter der Nummer zurück, die Sie bereits in Ihren Unterlagen haben, nie unter der aus der E-Mail. Ergänzen Sie eine fünfminütige vierteljährliche Überprüfung: „Wer hat Zugang zu was, bei uns und bei unseren Dienstleistern?“ Diese beiden Reflexe kosten nichts und schliessen die Tür, die die beiden Irrtümer offen liessen.
Wo stehen Sie wirklich?
Diese Irrtümer in der Cybersicherheit zu entkräften ist bereits ein Fortschritt — doch eine beruhigende Überzeugung ersetzt keine klare Standortbestimmung. Die ehrliche Frage lautet nicht „bin ich geschützt?“, sondern „was beruht bei mir noch auf einer nie überprüften Annahme?“
Genau das strukturiert die Cyber-Passport-Selbsteinschätzung. Sie zertifiziert nichts und erklärt Sie nicht für „konform“: Frage für Frage zeigt sie, wo Ihre Organisation stabil steht und wo sie auf einem „ich dachte, das sei geregelt“ ruht. Genug, um aus zwei Irrtümern einen klaren Plan zu machen.
