Ein gefälschtes E-Mail mit einer scheinbar dringenden Zahlungsanweisung, ein kompromittiertes Microsoft-365-Konto oder ein IT-Dienstleister, der selbst zum Angriffsziel wird: Trends bei KMU-Cyberrisiken zeigen sich selten zuerst in einer grossen Schlagzeile. Meist beginnen sie mit einer kleinen Unachtsamkeit im Betriebsalltag. Für Schweizer KMU kann daraus rasch ein Unterbruch entstehen - mit blockierten Systemen, verzögerten Lieferungen, verlorenen Daten und hohen Folgekosten.

Cyberrisiken betreffen nicht nur Firmen mit eigener IT-Abteilung oder grossen Kundendatenbanken. Wer Rechnungen per E-Mail versendet, Termine online verwaltet, Mitarbeitendendaten speichert oder auf Cloud-Software angewiesen ist, hat digitale Abhängigkeiten. Entscheidend ist deshalb nicht die Unternehmensgrösse allein, sondern wie gut Prozesse, Verantwortlichkeiten und Versicherungsdeckung zusammenpassen.

Trends bei KMU-Cyberrisiken: Angriffe werden gezielter

Viele Cyberangriffe sind heute nicht mehr technisch auffällig, sondern kommunikativ überzeugend. Kriminelle recherchieren öffentlich verfügbare Informationen über Unternehmen, imitieren bekannte Absender und formulieren Nachrichten passend zu Buchhaltung, Geschäftsleitung oder Personalabteilung. Mit künstlicher Intelligenz lassen sich Texte sprachlich sauberer erstellen, fremdsprachige Vorlagen schnell anpassen und teilweise sogar Stimmen täuschend echt nachbilden.

Besonders verbreitet ist der sogenannte Zahlungsumleitungsbetrug. Dabei wird etwa eine Rechnung mit veränderter IBAN verschickt oder eine E-Mail im Namen der Geschäftsführung versendet. Das Ziel ist nicht zwingend, Systeme zu verschlüsseln. Oft genügt eine einzige Überweisung auf ein falsches Konto. Kleine Betriebe sind hier nicht automatisch weniger interessant: Flache Hierarchien und Zeitdruck können Kontrollen erschweren.

Auch Ransomware bleibt ein zentrales Risiko. Angreifer verschlüsseln Daten oder drohen mit deren Veröffentlichung, falls kein Lösegeld bezahlt wird. Der Schaden besteht dabei nicht nur im möglichen Erpressungsbetrag. Produktionsausfälle, die Wiederherstellung von Daten, externe IT-Forensik, Krisenkommunikation und Ansprüche von betroffenen Kunden können deutlich stärker ins Gewicht fallen.

Der IT-Dienstleister wird Teil des Risikoprofils

KMU lagern E-Mail, Buchhaltung, Hosting, Lohnadministration oder Sicherheitsaufgaben häufig an externe Partner aus. Das ist sinnvoll, denn spezialisierte Dienstleister bringen Know-how und Skaleneffekte. Es verändert jedoch die Risikolage: Fällt ein wichtiger Anbieter aus oder wird dessen Zugang kompromittiert, kann der eigene Betrieb ebenfalls betroffen sein.

Die Frage lautet deshalb nicht nur: Ist unser Netzwerk geschützt? Ebenso wichtig ist: Welche externen Stellen haben Zugriff auf unsere Daten und Systeme? Gibt es klare Vereinbarungen zu Datensicherung, Meldewegen und Wiederanlaufzeiten? Werden Zugänge ehemaliger Mitarbeitender oder externer Partner zeitnah entfernt?

Ein Vertrag mit einem IT-Partner ersetzt die eigene Verantwortung nicht vollständig. Umgekehrt ist ein externer Dienstleister kein Nachteil, wenn Rollen, Leistungen und Notfallabläufe sauber geregelt sind. Für viele KMU ist gerade diese Klarheit wirksamer als eine lange Liste technischer Massnahmen, die im Alltag niemand konsequent umsetzt.

Cloud, mobiles Arbeiten und Identitätsdiebstahl

Cloud-Dienste und mobiles Arbeiten haben Abläufe flexibler gemacht. Gleichzeitig ist der Schutz nicht mehr nur an ein Büro oder einen Serverraum gebunden. Der Zugang zum Benutzerkonto wird zum entscheidenden Sicherheitsfaktor. Gelangen Passwort und Anmeldedaten in falsche Hände, können Angreifer E-Mails lesen, Weiterleitungen einrichten, Zahlungsprozesse manipulieren oder sich innerhalb des Unternehmens als vertrauenswürdige Person ausgeben.

Mehrstufige Anmeldung, eindeutig geregelte Zugriffsrechte und getrennte Benutzerkonten sind deshalb oft wirksamere Grundlagen als komplexe Einzellösungen. Besonders bei administrativen Konten, Buchhaltung und Geschäftsleitung sollte der Zugriff restriktiv vergeben werden. Wer alles sehen und ändern kann, schafft nicht nur Komfort, sondern auch ein grösseres Schadenspotenzial.

Hinzu kommt ein menschlicher Faktor: Mitarbeitende sind keine Schwachstelle, die man mit einer einmaligen Schulung beseitigt. Sie sind Teil der Abwehr. Kurze, regelmässige Hinweise zu verdächtigen E-Mails, Zahlungsfreigaben und Meldewegen helfen mehr als komplizierte Regeln, die nach zwei Wochen vergessen sind. Entscheidend ist eine Kultur, in der Nachfragen ausdrücklich erwünscht sind.

Warum der Betriebsunterbruch oft unterschätzt wird

Bei Cybervorfällen denken viele zuerst an den Verlust von Daten. In der Praxis kann der Unterbruch des Tagesgeschäfts gravierender sein. Ein Handwerksbetrieb kann keine Aufträge disponieren. Eine Praxis erreicht Patientendaten nicht. Ein Handelsunternehmen kann Lieferungen nicht auslösen. Eine Treuhandfirma verliert während der Fristsaison den Zugriff auf zentrale Unterlagen.

Die Folgen hängen von der Branche ab. Deshalb sollte jedes KMU realistisch prüfen, welche Systeme für den Betrieb innerhalb von Stunden, Tagen oder Wochen unverzichtbar sind. Ebenso relevant ist die Frage, wie lange ein Ausfall finanziell tragbar wäre. Eine Datensicherung ist nur dann hilfreich, wenn sie im Ernstfall schnell verfügbar ist und tatsächlich wiederhergestellt werden kann.

Ein Notfallplan muss nicht umfangreich sein. Er sollte jedoch festhalten, wer bei einem Vorfall entscheidet, wie der IT-Partner erreicht wird, welche Systeme priorisiert werden und wie Kunden, Lieferanten oder Mitarbeitende informiert werden. Diese Vorbereitung reduziert den Stress in einer Situation, in der Zeit und Übersicht fehlen.

Cyberversicherung: Schutz prüfen, nicht nur abschliessen

Eine Cyberversicherung kann finanzielle Folgen eines Angriffs abfedern. Je nach Vertrag können beispielsweise IT-Forensik, Datenwiederherstellung, Krisenkommunikation, Haftpflichtansprüche, Datenschutzverletzungen oder Ertragsausfälle versichert sein. Doch Cyberversicherungen sind keine Standardpolicen, die für jedes Unternehmen automatisch gleich passen.

Wichtig sind die konkreten Deckungsbausteine, Sublimiten, Selbstbehalte und Ausschlüsse. Nicht jede Police deckt jeden Betriebsunterbruch gleich lange ab. Bei Zahlungen an Betrüger, Vertragsstrafen, Reputationsschäden oder Schäden bei externen Dienstleistern können die Regelungen ebenfalls unterschiedlich sein. Auch die Unterstützung im Schadenfall zählt: Wer wird rund um die Uhr kontaktiert, und sind IT-Spezialisten sowie Rechtsberatung organisiert?

Versicherer erwarten zudem häufig grundlegende Sicherheitsmassnahmen. Dazu können Mehrfaktor-Authentifizierung, regelmässige Backups, aktuelle Software oder klare Zugriffsrechte gehören. Das ist keine Schikane, sondern nachvollziehbar: Gute Prävention senkt die Wahrscheinlichkeit und das Ausmass eines Schadens. Wer die Anforderungen nicht kennt oder sie nicht dokumentieren kann, riskiert im ungünstigen Fall Diskussionen über den Versicherungsschutz.

Fünf Fragen für eine praxisnahe Prüfung

Für eine erste Einordnung reichen oft fünf konkrete Fragen:

• Welche digitalen Systeme müssen funktionieren, damit wir Umsätze erzielen oder unsere Leistung erbringen können?
• Wer darf Zahlungen freigeben, Kontodaten ändern oder auf besonders schützenswerte Daten zugreifen?
• Sind Backups getrennt vom produktiven System gespeichert und wurde die Wiederherstellung getestet?
• Kennen Mitarbeitende den Weg, verdächtige E-Mails oder ungewöhnliche Anweisungen sofort zu melden?
• Deckt unsere bestehende Cyberversicherung die Risiken unseres Geschäftsmodells und unsere wichtigsten Abhängigkeiten tatsächlich ab?

Wer bei einer oder mehreren Fragen zögert, hat nicht zwingend ein akutes Sicherheitsproblem. Es zeigt aber, wo eine genauere Prüfung sinnvoll ist. Gerade bei wachsenden Unternehmen verändern neue Mitarbeitende, zusätzliche Standorte, Online-Shops oder externe Softwareanbieter das Risikoprofil schneller, als die Versicherungspolice angepasst wird.

Prävention und Versicherung gehören zusammen

Technische und organisatorische Schutzmassnahmen verhindern nicht jeden Vorfall. Eine Versicherung verhindert ihn ebenfalls nicht. Erst die Kombination ist überzeugend: Prävention reduziert die Eintrittswahrscheinlichkeit, klare Abläufe begrenzen den Schaden, und eine passend gestaltete Cyberdeckung schützt die finanzielle Stabilität, wenn trotz allem etwas passiert.

Dabei lohnt sich ein unabhängiger Blick auf bestehende Policen. Brokerhouse prüft mit KMU, welche Risiken bereits gedeckt sind, wo Überschneidungen oder Lücken bestehen und welche Lösung zur tatsächlichen Betriebssituation passt. Im Vordergrund steht nicht möglichst viel Versicherung, sondern nachvollziehbarer Schutz ohne unnötige Kosten.

Cyberrisiken lassen sich nicht auf null reduzieren. Aber ein KMU, das seine kritischen Prozesse kennt, Zuständigkeiten klärt und den Versicherungsschutz regelmässig überprüft, gewinnt im Ernstfall etwas sehr Wertvolles: Handlungsfähigkeit.