Cyberrisiken im KMU: Was die Studie von VZ und HSLU zeigt

Worum es geht

Das VZ VermögensZentrum hat Anfang Oktober 2026 zusammen mit der Hochschule Luzern (HSLU) die Studie «Cyberrisiken für KMU» veröffentlicht. Die Kernaussage: Viele Betriebe gehen weiterhin davon aus, dass sie nicht betroffen sind. Die Studie nennt das eine gefährliche Annahme.

Die wichtigsten Zahlen, auf die sie sich stützt:

• Die Polizeiliche Kriminalstatistik registrierte 2025 in der Schweiz 57'761 Straftaten mit digitalem Tatvorgehen. Aufgeklärt wurden 17,6 Prozent. Das Bundesamt für Statistik weist auf eine Dunkelziffer hin.
• Nur 11,5 Prozent der in der Schweiz domizilierten Unternehmen hatten 2025 eine Cyberversicherung. Die Lücke ist bei Mikro- und Kleinunternehmen am grössten.
• In einer von der Studie zitierten Befragung von 515 Kleinunternehmen verfügten nur rund 30 Prozent über ein IT-Sicherheitskonzept, einen Notfallplan oder regelmässige Schulungen.

Warum das Risiko in der Administration liegt

Die Studie betont, dass die Folgen eines Angriffs weit über die IT hinausgehen: Betriebsunterbruch, beschädigte Daten, belastete Kundenbeziehungen, rechtliche Pflichten und Druck auf die Liquidität. In einem Dienstleistungsbetrieb trifft das zuerst die Administration. Offerten, Rechnungen, offene Posten, Lohnabrechnungen, Kundenstamm und Stundenrapporte sind die Daten, ohne die nach einem Vorfall keine Rechnung mehr verschickt wird.

Genau diese Daten liegen in vielen KMU verstreut: in Excel-Dateien auf einem Laptop, in Mail-Anhängen, auf einem Netzwerkspeicher im Büro und in zwei oder drei Cloud-Diensten. Die erste der zehn Massnahmen der Studie lautet deshalb, die kritischen digitalen Abhängigkeiten sichtbar zu machen.

Wie Angreifer konkret vorgehen, beschreiben zwei frühere Beiträge: zum Anstieg der Angriffe auf Finanzinstitute in Ein Drittel mehr Cyberangriffe auf Banken und zu den Behörden-Hacks über ungepatchte Systeme in Wenn sogar der Bund gehackt wird.

Checkliste für die Admin-Daten

1. Wo liegen die Daten

Eine Tabelle mit vier Spalten genügt. Ein Beispiel für einen kleinen Dienstleistungsbetrieb:

Die letzte Spalte ist die wichtigste, denn aus ihr ergibt sich die Reihenfolge im Notfall. Und die Zeile «Laptop, Mail-Anhänge» zeigt meist sofort, wo das grösste Risiko liegt.

2. Zugänge absichern

Mehrfaktor-Authentifizierung für E-Mail, E-Banking, Buchhaltung, Cloud-Speicher und Administratorkonten. Die Studie formuliert die Frage an die Geschäftsleitung so: Welche Systeme dürfen nie nur mit einem Passwort geschützt sein? Dazu kommt der Zugriff nach dem Need-to-know-Prinzip. Wer keine Löhne bearbeitet, braucht keinen Zugang zur Lohnsoftware.

3. Backups, die wiederhergestellt wurden

Laut Studie haben viele KMU Backups, aber nur wenige wissen, ob sie damit im Ernstfall rasch wieder arbeiten können. Drei Punkte machen den Unterschied: Backups getrennt vom Hauptsystem aufbewahren, die Wiederherstellung regelmässig testen und festlegen, welcher Prozess in welcher Zeit wieder laufen muss und wie viel Datenverlust tragbar ist. Bei Cloud-Software gehört die Frage dazu, ob ein vollständiger Export möglich ist. Geschäftsbücher und Belege müssen zehn Jahre lang wieder lesbar gemacht werden können (Art. 958f OR), auch nach einem Vorfall.

4. Notfallplan

Das Bundesamt für Cybersicherheit (BACS) stellt ein Notfallkonzept für KMU bereit, mit einer Vorlage für einen IT-Notfall- und Krisenplan und einem Notfallblatt zum Melden. Die Studie empfiehlt, den Schadenfall mindestens einmal pro Jahr durchzuspielen: Wer entscheidet? Wer ruft wen an? Welche Systeme werden isoliert? Wann werden Kunden informiert? Wer prüft Meldepflichten? Wer dokumentiert den Vorfall?

Zu den Meldepflichten: Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen, ist sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich zu melden (Art. 24 DSG). Ebenfalls in den Plan gehört eine Regel für Zahlungen: Eine geänderte Bankverbindung eines Lieferanten wird telefonisch über eine bekannte Nummer bestätigt, nie über die Angaben in der Mail.

5. Versicherung prüfen

Die Studie hat Cyberversicherungen verglichen. Ihr Befund: Viele Angebote wirken ähnlich, unterscheiden sich in den Allgemeinen Versicherungsbedingungen aber deutlich. Vor Abschluss oder Verlängerung lohnt der Blick auf diese Punkte:

• zeitliche Geltung und Nachdeckung
• Obliegenheiten, also welche Sicherheitsmassnahmen die Police voraussetzt
• Daten- und Systemwiederherstellung, Betriebsunterbruch, Sofortmassnahmen
• Cyberdiebstahl, Cyberbetrug und Cyber-Erpressung
• Haftpflicht- und Rechtsschutzleistungen

Die Obliegenheiten sind der heikelste Punkt. Laut Studie müssen sie im Betrieb tatsächlich umgesetzt und dokumentiert sein, sonst drohen im Schadenfall Deckungskonflikte. Eine Police ersetzt weder Prävention noch klare Zuständigkeiten.

Was jetzt sinnvoll ist

Die Reihenfolge ist wichtiger als der Umfang. Zuerst die Datentabelle, dann Mehrfaktor-Authentifizierung für E-Mail und E-Banking, dann ein Wiederherstellungstest und eine Seite Notfallplan mit der Vorlage des BACS. Die Versicherungsfrage lässt sich danach fundiert beantworten, weil klar ist, welche Risiken der Betrieb selbst tragen kann und welche nicht. Ein Restrisiko bewusst selbst zu tragen ist nach der Studie kein Versäumnis. Problematisch ist es erst, wenn niemand diese Entscheidung getroffen hat.

Quellen

• VZ VermögensZentrum und HSLU: Cyberrisiken für KMU (Studie, Oktober 2026)
• Studie als PDF auf kmu.admin.ch
• blue News: Cyberrisiken werden laut Studie von vielen KMU unterschätzt (05.10.2026)
• BACS: Das Notfallkonzept als Schlüssel zur Cyberresilienz
• Datenschutzgesetz (DSG), SR 235.1 (Art. 24)
• Obligationenrecht (OR), SR 220 (Art. 958f)