Was ein Sicherheitscheck in einem KMU wirklich zeigt

An einem Morgen nimmt sich Sophie B. eine Stunde Zeit für einen selbst durchgeführten Sicherheitscheck. Als Partnerin eines kleinen Treuhandbüros in der Westschweiz erwartet sie nichts Besonderes: «Wir sind vorsichtig, das sollte passen.» Eine Stunde später hat sie drei Dinge notiert, mit denen sie nie gerechnet hätte — ein Passwort, das das ganze Team teilt, ein Backup, das noch nie jemand wiederherzustellen versucht hat, und das Konto eines vor Monaten ausgeschiedenen Mitarbeiters, das immer noch funktioniert. Nichts Dramatisches. Aber auch nichts, das wirklich warten kann.

Warum ein Sicherheitscheck mehr verrät, als man denkt

Ein Sicherheitscheck — also ein strukturierter Fragebogen, der Ihre Praktiken Bereich für Bereich methodisch durchgeht — sucht nicht nach der spektakulären Sicherheitslücke. Er stellt die einfachen Fragen, die im Alltagsstress niemand stellt. Und genau dort verstecken sich die echten blinden Flecken eines KMU.

Denn ein Büro wie jenes von Sophie B. tappt fast nie in eine ausgeklügelte Attacke vom anderen Ende der Welt. Es stolpert über gewöhnliche Details, auf die niemand achtet. Drei davon tauchen bei fast jedem Check auf.

Der erste ist das geteilte Konto. Ein einziger Login für die Buchhaltungssoftware, den das ganze Team benutzt, «weil es einfacher ist». An dem Tag, an dem eine Klientenakte versehentlich verändert wird, lässt sich nicht mehr feststellen, wer was getan hat. Und wenn jemand die Firma verlässt, kann man ihm den Zugang nicht entziehen, ohne alle anderen auszusperren.

Der zweite ist das Backup, das nie getestet wurde. «Wir haben Backups» ist ein beruhigender Satz — bis zu dem Tag, an dem man wirklich eine Datei wiederherstellen muss und feststellt, dass die Kopie unvollständig, beschädigt oder drei Wochen alt ist. Ein Backup, das man nie wiederhergestellt hat, ist kein Backup: Es ist eine Annahme.

Der dritte ist der Zugang, der die Person überlebt, die ihn genutzt hat. Der Praktikant vom letzten Sommer, der zur Konkurrenz gewechselte Buchhalter, der Dienstleister, den man nicht mehr anruft: Ihre Konten bestehen oft noch, mit denselben Rechten wie am ersten Tag. Niemand hat sie geschlossen, denn einen Zugang zu schliessen ist an einem Montagmorgen nie die Priorität.

Diese drei blinden Flecken haben dieselbe Wurzel: Sie entstehen aus einer organisatorischen Lücke, nicht aus Nachlässigkeit. In einer Struktur, in der niemand offiziell für die Sicherheit zuständig ist — keine interne IT-Person, keine dedizierte Verantwortliche — häufen sich diese kleinen Bequemlichkeitsentscheide, ohne dass jemand nochmals darüber geht. Jeder einzelne schien an dem Tag, an dem er getroffen wurde, vernünftig. Es ist ihre Summe, Jahr für Jahr, die die Kluft öffnet zwischen dem, was ein KMU über seine Sicherheit glaubt, und dem, was es tatsächlich ist. Ein Check übernimmt genau jene Kontrolle, die der Alltag nie zulässt.

Für ein Treuhandbüro ist nichts davon nebensächlich. Es verwaltet die Buchhaltung, die Löhne und die Steuerdaten zahlreicher Klienten-KMU — ein faktisches Berufsgeheimnis. Das revDSG, das revidierte Schweizer Datenschutzgesetz, das 2023 in Kraft getreten ist, erwartet von einem Unternehmen, das mit solchen Informationen umgeht, genau dies: «angemessene» Massnahmen zu deren Schutz. Ein geteiltes Konto und ein ungetestetes Backup sind keine technischen Details: Es sind Fragen, denen Sophie B. ins Auge sehen können muss, falls ein Klient — oder die Behörde — sie eines Tages stellt.

Das Bundesamt für Cybersicherheit (BACS, auch unter dem Namen NCSC bekannt) veröffentlicht praktische Empfehlungen für KMU, die genau in diese Richtung gehen: mit der Basishygiene beginnen — wer hat Zugriff worauf, wo liegen die Backups, wer darf was — statt mit fortgeschrittenen Werkzeugen. Ein Check ist nichts anderes als diese Basishygiene, schwarz auf weiss festgehalten.

Was Sie sich merken sollten

Ein Check soll Ihnen keine Angst machen, er soll Ihnen die Augen öffnen. Die meisten KMU-Leitenden stellen fest, dass sie weder «hoffnungslos» noch «exponiert» sind, sondern irgendwo dazwischen: einige solide Grundlagen und einige klaffende Lücken, die sie schlicht nie angeschaut haben.

• Blinde Flecken sind keine Fehler, sondern Unbedachtes. Niemand hat beschlossen, ein Passwort zu teilen, um die Firma zu schwächen — es geschah aus Bequemlichkeit, an einem Tag, an dem es half. Ein Check rückt diese kleinen Arrangements wieder ins Licht.
• Was nicht getestet ist, existiert nicht wirklich. Ein Backup, ein Ablauf, ein Notzugang: Solange man sie nicht mindestens einmal ausprobiert hat, weiss man nicht, ob sie funktionieren. Der Check verwandelt das «ich glaube schon» in ein «ich weiss es».
• Die Sicherheit eines KMU beruht vor allem auf organisatorischen Schritten. Nicht auf teuren Werkzeugen. Ein Konto entfernen, einen persönlichen Login vergeben, eine Wiederherstellung testen: Nichts davon braucht ein IT-Budget, nur einen halben Tag Aufmerksamkeit.

Schritte für diese Woche

Sie brauchen kein vollständiges Audit und keinen externen Dienstleister, um anzufangen. Hier sind drei Schritte, die Sophie B. gleich am nächsten Tag selbst anstossen konnte.

1. Die geteilten Konten erfassen

Erstellen Sie die Liste der Logins, die mehrere Personen nutzen — die Fachsoftware, das generische Postfach, den Zugang zum Online-Banking. Stellen Sie zu jedem eine einzige Frage: «Wenn morgen jemand ginge, könnte ich diesen Zugang entziehen, ohne die anderen zu behindern?» Jedes «Nein» ist ein Konto, das mit der Zeit in einen persönlichen Login umzuwandeln ist — eine Kennung pro Person. Beginnen Sie mit dem sensibelsten.

2. Eine einzige Wiederherstellung testen

Prüfen Sie nicht, ob das Backup «läuft»: Prüfen Sie, ob Sie eine Datei daraus holen können. Wählen Sie ein Dokument, lassen Sie es wiederherstellen und beobachten Sie, wie lange es dauert und ob die zurückgewonnene Version aktuell ist. Notieren Sie, wer es geschafft hat und wie lange es gedauert hat: Diese beiden Angaben sind am Tag eines echten Vorfalls Gold wert. Weiss niemand, wie man vorgeht, haben Sie gerade etwas Nützliches gelernt — bevor Sie es unter Druck brauchten.

3. Die Zugänge aufräumen

Nehmen Sie die Liste der Personen, die Zugang zu Ihren Werkzeugen haben — E-Mail, Buchhaltungssoftware, Dateifreigabe. Vergleichen Sie sie mit der Liste jener, die heute tatsächlich bei Ihnen arbeiten. Jede Abweichung ist ein Zugang, den es zu schliessen gilt. Es ist der schnellste Schritt der Liste und oft der aufschlussreichste: Es ist nicht selten, ein oder zwei aktive Konten zu finden, an die sich niemand erinnert. Halten Sie dabei fest, wer die weitreichendsten Rechte besitzt — sie sind zuerst im Auge zu behalten.

Wo stehen Sie wirklich?

Diese drei Schritte schliessen nicht jeden blinden Fleck — vor allem zeigen sie, wie sehr ein einfacher Sicherheitscheck den Blick auf die eigene Organisation verändert. Man geht von «ich glaube, wir sind mehr oder weniger geschützt» zu einem klaren, Frage für Frage entstehenden Bild dessen, was hält und was nur auf Vertrauen und Gewohnheit beruht.

Genau das bietet die Selbstbeurteilung von Cyber Passport: ein strukturierter Weg, der Ihre Praktiken durchgeht und Ihnen eine lesbare Standortbestimmung liefert, die Sie mit Ihren Klienten oder Ihren Prüfenden teilen können. Sie zertifiziert nichts und erklärt Sie nie für «konform» — sie zeigt Ihnen, wo Sie wirklich stehen und womit Sie beginnen. Und um über diese drei Schritte hinauszugehen und einen priorisierten Massnahmenplan aufzubauen, übernimmt das dazugehörige Blueprint.