An einem Dienstagmorgen öffnet Sophie B. eine E-Mail von einem "Lieferanten", der kurz vor Fälligkeit einer Rechnung eine geänderte Bankverbindung ankündigt. Sie hält kurz inne, spricht eine Kollegin an, und gemeinsam entdecken sie das kleine Detail, das nicht stimmt. Sechs Monate früher wäre die Rechnung wohl ohne zweiten Blick hinausgegangen. Was sich in der Kanzlei verändert hat, ist nicht die Software: es ist der Reflex — und dieser Reflex ist der erste Nutzen einer Security-Awareness-Schulung.
Ein Security-Awareness-Programm: warum Ihr KMU an vorderster Front steht
Die meisten Angriffe auf ein KMU zielen nicht auf eine technische Lücke, sondern auf einen Menschen. Eine gut nachgemachte E-Mail, ein drängender Anruf, ein als "dringend" bezeichneter Anhang. Man nennt das Phishing — eine Nachricht, die sich als vertrauenswürdiger Kontakt ausgibt, um Sie zum Klicken, Bezahlen oder zur Herausgabe eines Passworts zu bewegen. Kein Virenschutz stoppt eine menschliche Entscheidung, die in der Eile getroffen wird.
In einer Treuhandkanzlei ist diese Realität noch greifbarer. Die Mitarbeitenden bearbeiten täglich Löhne, Steuererklärungen und Kontoauszüge — mit die sensibelsten Informationen überhaupt, gedeckt durch das Berufsgeheimnis. Die Entscheidungswege sind kurz und informell: man kennt sich, man vertraut sich, man gibt schnell frei. Genau diese Nähe, im Alltag so wertvoll, wird zum idealen Spielfeld für einen Angreifer, der einen Tonfall nachahmen und ein Gefühl der Dringlichkeit erzeugen kann.
Ein Security-Awareness-Programm ist deshalb nicht "noch eine IT-Schulung mehr". Es ist die fehlende Schicht zwischen Ihren Werkzeugen und Ihren Menschen: ein schwaches Signal erkennen lernen, wissen, was man mit einem Zweifel anfängt, und sich vor allem erlaubt fühlen, vor dem Klick langsamer zu werden. Man spricht manchmal von einer "menschlichen Firewall" — der Idee, dass die geteilte Wachsamkeit eines Teams aufhält, was die Technik durchlässt. Es ist das Glied, das Werkzeuge allein nie abdecken werden: Software filtert Nachrichten, aber sie ersetzt nicht den gesunden Menschenverstand der Person, welche die Maus in der Hand hält.
Klar gesagt: die Frage lautet nicht "sind meine Mitarbeitenden vorsichtig?", sondern "hat man ihnen die Mittel gegeben, es zu sein?". Niemand kommt mit dem Wissen zur Welt, wie man eine gefälschte Rechnung oder eine gefälschte E-Mail der Geschäftsleitung erkennt. Das sind Fähigkeiten, die man lernt, wiederholt und auffrischt — genau wie man die Handgriffe der Ersten Hilfe repetiert. Eine Person, die zögert, eine Frage stellt oder eine seltsame Nachricht meldet, verliert keine Zeit: sie bringt das Programm zum Laufen. Dieser veränderte Blick — vom Fehler, den man bestraft, hin zum Reflex, den man fördert — unterscheidet ein KMU, das erleidet, von einem KMU, das lernt.
Was Sie sich merken sollten
Ein seriös geführtes Programm — kein Plakat, das neben der Kaffeemaschine vergessen wird, sondern ein regelmässiger Termin — bewirkt drei Dinge, die für ein KMU wirklich zählen.
Es schafft eine Kultur, keine Auflage. Wenn Sicherheit zu einem geteilten Reflex wird statt zu einer Liste von Verboten, hört sie auf, "das Problem der IT" zu sein. Jede Person versteht, warum eine Zahlungsprüfung oder ein einmaliges Passwort sie selbst und die Kundschaft schützt. Aus diffuser Sorge werden einfache Gewohnheiten, die sich alle zu eigen machen — und oft eine bessere Verständigung zwischen Menschen, die sich früher die Verantwortung zuschoben. Sicherheit wird zu einem Thema, über das man ohne Verlegenheit spricht, wo ein laut geäusserter Zweifel mehr wert ist als ein stiller Fehler.
Es senkt die Zahl der Vorfälle an der Quelle. Die grosse Mehrheit der Vorfälle beginnt mit einer menschlichen Handlung — einem Klick, einer Überweisung, einem von Dienst zu Dienst wiederverwendeten Passwort. Geschulte Mitarbeitende erkennen die gefälschte Rechnung, melden die verdächtige E-Mail, statt sie zu öffnen, und stellen die Frage, die den Fehler verhindert. Jeder vermiedene Vorfall bedeutet Stunden, die nicht in die Behebung fliessen, Daten, die dort bleiben, wo sie hingehören, und ruhige Nächte. Sensibilisierung beseitigt das Risiko nicht, aber sie nimmt einen grossen Teil davon weg, bevor es etwas kostet.
Es stärkt das Vertrauen Ihrer Kundschaft. Für eine Treuhandkanzlei ist Vertrauen kein netter Zusatz: es ist das Geschäft selbst. Wer Ihnen seine Buchhaltung anvertraut, will wissen, dass die Daten in umsichtigen Händen sind. Das revDSG (das revidierte Schweizer Datenschutzgesetz, in Kraft seit 2023) erwartet ohnehin "angemessene" Sicherheitsmassnahmen von jeder Organisation, die Personendaten bearbeitet — und die Sensibilisierung der Teams gehört dazu. Sagen zu können "bei uns sind alle geschult und wissen, wie sie reagieren", wird zu einem echten Verkaufsargument und nicht zu einem Häkchen zur Beruhigung.
Gewohnheiten, die Sie diese Woche einführen können
Sie brauchen weder Budget noch Software noch einen externen Dienstleister, um zu starten. Drei Gewohnheiten genügen, um eine gute Absicht in eine dauerhafte Routine zu verwandeln.
1. Reservieren Sie einen kurzen, wiederkehrenden Termin
Fünfzehn Minuten, einmal im Monat, im Kalender des ganzen Teams. Ein Thema aufs Mal, erzählt anhand eines echten und greifbaren Falls: eine gefälschte Rechnung, ein auf einem Notizzettel geteiltes Passwort, ein Anruf "vom Chef", der etwas zu drängend wirkt. Das Format zählt mehr als die Dauer: kurz, konkret, regelmässig. Eine Sensibilisierung, die das ganze Jahr lebt, prägt viel tiefer als eine grosse Jahressitzung, die rasch vergessen ist. Und es muss nicht die Leitung sein, die alles moderiert: die Moderation reihum weiterzugeben, verteilt bereits die Verantwortung.
2. Halten Sie Ihre Regel zur Zahlungsprüfung schriftlich fest
Rechnungsbetrug gedeiht in der Unschärfe. Halten Sie eine einfache, allen bekannte Regel fest: jede Änderung einer Bankverbindung, wie auch jede ungewöhnliche Überweisungsanfrage, wird durch ein zweites Augenpaar und durch einen Rückruf auf eine bereits bekannte Nummer geprüft — nie auf die im Schreiben angegebene. Ein einziger Satz, ausgehängt und wiederholt, schützt besser als ein langes Protokoll, das niemand liest. Das Ziel ist nicht, die Arbeit zu erschweren, sondern den Reflex automatisch zu machen: im Zweifel langsamer werden und prüfen, ohne Angst, jemanden zu "stören".
3. Machen Sie den Eintritt einer neuen Person zu einem Sicherheitsmoment
Am ersten Tag zeigt man die Kaffeemaschine und den Drucker; das Wesentliche vergisst man oft. Nutzen Sie das Onboarding — die Gesamtheit der Schritte, mit denen ein neuer Mensch aufgenommen wird —, um schlicht zu sagen: das sind die sensiblen Daten, die wir bearbeiten, das ist die Person, die man im Zweifel fragt, das sind die zwei, drei Reflexe des Hauses. Sicherheit lernt sich von Beginn an viel leichter, als man Monate später bereits eingeschliffene Gewohnheiten korrigiert. Dasselbe Prinzip gilt beim Austritt: daran zu denken, die Zugänge zu sperren, gehört zur selben Kultur.
Wo stehen Sie wirklich?
Diese Gewohnheiten bringen die Dynamik in Gang, aber sie stellen auch eine ehrliche Frage: jenseits guter Absichten — wo steht Ihre Organisation tatsächlich? Ein Security-Awareness-Programm misst sich nicht am Plakat an der Küchenwand, sondern daran, was eine Person allein an einem Dienstagmorgen vor einer verdächtigen E-Mail tut.
Genau das hilft Ihnen die Selbsteinschätzung von Cyber Passport zu kartieren. Sie zertifiziert nichts und erklärt Sie nicht für "konform": sie zeigt Ihnen, Frage um Frage, wo Ihre Sicherheitskultur fest steht und wo sie noch auf Glück oder auf einer einzigen Person beruht. Genug, um aus gutem Willen ein Programm zu machen und aus einem Programm einen konkreten Nachweis, den Sie Ihrer Kundschaft zeigen können.
