Zu klein für Hacker?

«Wir sind zu klein» – der gefährliche Irrtum

«Ich brauche doch keine Cyberversicherung, mir passiert schon nichts.» Dieser Satz ist in Schweizer KMU, Kleinstbetrieben und bei Selbständigen weit verbreitet und brandgefährlich. Denn Cyberangriffe treffen längst nicht mehr nur Grosskonzerne, sondern jeden Betrieb, der E-Mail, Internet und digitale Kundendaten nutzt.

Viele Unternehmerinnen und Unternehmer sind überzeugt: «Bei uns gibt es nichts zu holen, wir sind zu unbedeutend.» Die Realität sieht anders aus. Das Bundesamt für Cybersicherheit (BACS, früher NCSC) verarbeitet jedes Jahr zehntausende Meldungen zu Cybervorfällen aus Bevölkerung und Unternehmen – Tendenz steigend.

Gemäss Bundesverwaltung war bereits jedes dritte KMU in der Schweiz Opfer eines Cyberangriffs. Kleinbetriebe sind für Kriminelle attraktiv, weil sie oft weniger geschützt sind als grosse Unternehmen, aber trotzdem wertvolle Daten und Zahlungsströme haben. Das Geschäftsmodell der Angreifer basiert nicht auf einzelnen «Grosscoups», sondern auf Masse: automatisierte Angriffe scannen das Netz nach schlecht gesicherten Systemen, egal ob 1 oder 3’000 Mitarbeitende.

Ein KMU, das Kundendaten, Offerten und Buchhaltung digital führt, ist für Cyberkriminelle bereits interessant (unabhängig von Branche oder Grösse).

Warum kleine Unternehmen besonders verletzlich sind

Schweizer Studien zeigen: Die Bedrohungslage bleibt hoch, aber viele KMU reagieren nur zögerlich. In der Cyberstudie 2024/2025 zur IT-Sicherheit in Schweizer KMU wird festgehalten, dass Cybersicherheit in vielen Betrieben an Priorität verliert, obwohl Angriffe und Vorfälle konstant bleiben.

Typische Schwachpunkte kleiner Unternehmen:

• Kein eigenes IT-Sicherheits-Team: IT wird «nebenbei» betreut, Updates, Backups und Zugriffsrechte sind nicht konsequent geregelt.
• Unklare Verantwortlichkeiten: Niemand ist formell zuständig für Cybersicherheit; Sicherheitsmassnahmen werden eher ad hoc als systematisch umgesetzt.
• Veraltete Systeme und schwache Passwörter: Das BACS warnt ausdrücklich vor kurzen, wiederverwendeten Passwörtern und fehlender Zwei-Faktor-Authentifizierung.
• Unzureichende Sensibilisierung der Mitarbeitenden: Phishing-Mails, gefälschte Rechnungen oder Fake-CEO-Maschen funktionieren besonders dort, wo Schulungen fehlen.

Hinzu kommt: Viele KMU sind stark von wenigen Schlüsselpersonen abhängig. Wenn die Geschäftsführerin oder der Inhaber wegen eines Cyberangriffs tagelang mit Krisenmanagement beschäftigt ist, steht das operative Geschäft faktisch still.

Was im Ernstfall passiert: Vom Klick zur Krise

Ein Cyberangriff ist selten ein «Hollywood-Hack». Oft beginnt alles mit einem scheinbar banalen Fehler: eine angeklickte Phishing-Mail, eine Rechnung im PDF-Anhang, ein Login auf einer gefälschten Website. Die Folgen können für kleine Unternehmen existenzbedrohend sein.

1. Betriebsunterbruch: Ransomware verschlüsselt Server, Kasse, Buchhaltung, Produktionsdaten – plötzlich geht nichts mehr. Keine Offerten, keine Rechnungen, keine Auftragsbestätigungen. Selbst Dienstleister oder Handwerksbetriebe können Kunden nicht mehr bedienen, weil sie nicht auf Termine und Kundendaten zugreifen können.
2. Datenverlust und Datenabfluss: Angreifer kopieren Kundendaten, vertrauliche Dokumente oder Personalinformationen. Selbst wenn Backups existieren, bleiben gestohlene Daten im Umlauf. Im schlimmsten Fall landen sie im Darknet oder werden gezielt für Betrugsversuche gegenüber Ihren Kunden genutzt.
3. Erpressung und Lösegeldforderungen: «Zahlen Sie innerhalb von 72 Stunden in Kryptowährung, sonst veröffentlichen wir Ihre Daten.» Solche Szenarien beschreibt das BACS regelmässig in seinen Lageberichten. Der Druck ist enorm, insbesondere wenn es um sensible Kundendaten oder vertrauliche Geschäftsinformationen geht.
4. Reputationsschaden und Vertrauensverlust: Wer meldet seinen Kunden gerne, dass deren Daten kompromittiert wurden? Fehlende Transparenz kann zu Misstrauen führen, offene Kommunikation wiederum zu kritischen Medienberichten. In Branchen mit hohem Vertrauensbedarf (etwa Beratung, Gesundheit, Finanzen oder Bildung) kann ein Vorfall direkt zu Kündigungen und Auftragsverlust führen.
5. Kosten für IT-Spezialisten und Wiederherstellung: Professionelle Forensik, Datenwiederherstellung, Neuaufbau der Infrastruktur und zusätzliche Sicherheitsmassnahmen sind teuer. Gerade KMU unterschätzen, wie viel externe Unterstützung im Ernstfall notwendig ist, um Systeme seriös zu bereinigen und zukünftige Angriffe zu verhindern.
6. Rechtsfragen, Meldepflichten und Behörden: Mit der neuen sektorübergreifenden Meldepflicht für Cyberangriffe auf kritische Infrastrukturen müssen bestimmte Organisationen Vorfälle innerhalb von 24 Stunden dem BACS melden und erhalten bei Verstössen Bussen von bis zu CHF 100’000. Auch wenn die meisten KMU keine kritische Infrastruktur betreiben, sind sie an Datenschutzrecht und nDSG gebunden: Je nach Art der Daten und Vorfall sind Informations- und Meldepflichten gegenüber Betroffenen und Behörden zu prüfen.

Konkrete Beispiele – «nur eine Rechnung» mit Folgen

Behörden und Fachstellen berichteten in den letzten Jahren immer wieder über Fälle, die typisch für Schweizer KMU sind:

• Gefälschte Zahlungsanweisungen («Business E-Mail Compromise»), bei denen Buchhaltungen angewiesen werden, grössere Beträge an Konten von Kriminellen zu überweisen.
• Manipulierte QR-Rechnungen oder PDF-Rechnungen, deren Zahlungsinformationen unauffällig verändert wurden.
• Verschlüsselung ganzer Praxis- oder Kanzleiverwaltungs­systeme im Gesundheits- und Dienstleistungsbereich durch Ransomware, inklusive Drohung, Patientendaten zu veröffentlichen.
• Diese Fälle zeigen: Oft genügt ein einziger Fehler oder fehlender Schutzmechanismus, um einen Betrieb tagelang lahmzulegen, auch bei Unternehmen mit wenigen Mitarbeitenden.

«Aber wir haben doch ein Antivirus» – warum das nicht reicht

Viele Betriebe verlassen sich auf Standard-Antivirus und Firewall und fühlen sich damit sicher. Das BACS betont jedoch, dass technische Schutzmassnahmen allein nicht ausreichen. Entscheidend ist die Kombination aus:

• aktueller Software, klaren Berechtigungen und regelmässigen Backups
• geschulten Mitarbeitenden, die Phishing und Social Engineering erkennen
• definierten Notfallprozessen für den Fall eines Vorfalls

Selbst sehr gut geschützte Organisationen kommen nicht ohne Restrisiko aus, und genau hier beginnt seriöses Risikomanagement: Man nimmt an, dass ein Vorfall passieren kann, und bereitet sich darauf vor.

Cyberrisiko ist Chefsache – gerade im Kleinbetrieb

Die Bundesverwaltung hält fest, dass Cybersicherheit bei KMU «Chefsache» ist. Wer ein Unternehmen führt (ob als Inhaberin, Geschäftsführer oder Bereichsleiter) trägt Verantwortung für Daten, Verfügbarkeit von Systemen und das Vertrauen der Kundschaft. Ein paar unbequeme Fragen, die sich jede Führungskraft stellen sollte:

• Wie lange könnte unser Betrieb ohne Zugriff auf IT-Systeme weiterarbeiten?
• Wie viele Tage Betriebsunterbruch würden wir finanziell verkraften?
• Wie würden wir Kunden informieren, wenn deren Daten betroffen sind?
• Wer entscheidet im Krisenfall über Zahlung oder Nichtzahlung von Lösegeld?

Wer diese Fragen nur mit einem Schulterzucken beantworten kann, trägt faktisch ein erhebliches, schlecht gesteuertes Cyberrisiko.

Rolle der Cyberversicherung – kein Allheilmittel, aber wichtiger Baustein

Ein Missverständnis hält sich hartnäckig: Cyberversicherung werde «anstatt» von Sicherheitsmassnahmen gekauft. Seriöse Anbieter und auch Fachstellen betonen das Gegenteil: Eine Cyberversicherung ersetzt keine IT-Sicherheit, sondern ergänzt diese aus finanzieller und organisatorischer Sicht. Typischerweise decken Cyberversicherungen (je nach Produktgestaltung) unter anderem:

• Kosten für IT-Forensik und Wiederherstellung nach einem Angriff
• Unterstützung durch externe Spezialisten (Hotline, Krisenmanagement, PR-Beratung)
• bestimmte Haftpflichtansprüche von Kunden wegen Datenverlust oder Betriebsunterbruch
• eigene Ertragsausfälle infolge eines gedeckten Cybervorfalls

Für KMU und Selbständige in der Schweiz bieten verschiedene Versicherer und Organisationen spezifische Lösungen an, die sich auf Unternehmen mit begrenztem Umsatz und Ressourcen fokussieren. Der Schweizerische Kaderverband (SKV) hat gemeinsam mit einem Spezialversicherer ein Produkt für Selbständigerwerbende und KMU lanciert, das auf einfache Online-Abschlüsse und klare Deckungsbausteine setzt.

Entscheidend ist: Cyberversicherung ist kein Verkaufsargument gegen Angst, sondern ein Baustein im professionellen Risikomanagement, ähnlich wie Haftpflicht- oder Sachversicherung für betriebliche Risiken.

Fazit: «Uns passiert schon nichts» ist keine Strategie

Die Datenlage und Erfahrungsberichte aus der Schweiz zeichnen ein klares Bild: Cyberangriffe sind für KMU real, häufig und oft existenzbedrohlich, unabhängig von der Unternehmensgrösse. Wer sich auf Hoffnung verlässt («Wir sind zu klein, uns passiert nichts»), handelt grob fahrlässig gegenüber Mitarbeitenden, Kunden und dem eigenen Unternehmen.

Wer Verantwortung trägt, sollte Cybersicherheit und Cyberrisiken bewusst führen: mit technischen und organisatorischen Massnahmen, klaren Notfallprozessen – und einer sauberen Entscheidung, ob und wie eine Cyberversicherung als finanzieller und organisatorischer Schutzbaustein eingebunden wird.

Ein sachlicher Hinweis zum Schluss: Für viele Schweizer KMU, Kleinstunternehmen und Selbständige kann eine gut konzipierte Cyberversicherung ein sinnvoller Bestandteil des Risikomanagements sein, nicht als Ersatz, sondern als Ergänzung zu einem strukturierten Sicherheitskonzept.