In den meisten KMU verläuft die Sensibilisierung für Cybersicherheit immer nach demselben Muster: Die Mitarbeitenden werden geschult, Anweisungen werden ausgehängt, und die Geschäftsleitung ist bei der ersten Viertelstunde dabei, bevor sie zu einem Termin aufbricht.
Das ist genau das Gegenteil von dem, was richtig wäre. Nicht weil Führungspersonen unvorsichtiger wären als andere, sondern weil sie die für einen Angreifer interessanteste Position innehaben, und die einzige, die dem ganzen Unternehmen ein Vorbild gibt.
Aus Sicht des Angreifers sind Sie das beste Ziel
Ein Angreifer wählt seine Opfer in einem Unternehmen nicht zufällig aus. Er sucht das Konto, das für den investierten Aufwand am meisten einbringt. Nach diesem Massstab liegt die Geschäftsleitung jedes Mal vorne, und das aus vier ganz konkreten Gründen.
Ihre Zugriffsrechte sind die umfassendsten. Eine Führungsperson hat in der Regel Zugriff auf Verträge, Finanzdaten, Personalakten, den Austausch mit Kundinnen und Kunden und häufig auf Verwaltungswerkzeuge. Dieses Konto zu kompromittieren bedeutet, auf einen Schlag zu erhalten, was sonst anderswo mühsam zusammengetragen werden müsste.
Sie geben Zahlungen frei. In einem KMU reicht häufig die Unterschrift oder die mündliche Zusage des Chefs, um eine Überweisung auszulösen. Ein Angreifer, der Ihr Postfach kontrolliert, muss nichts mehr erzwingen: Es reicht ihm zu schreiben.
Ihre Identität ist Geld wert, selbst ohne jeden Hackerangriff. Der CEO-Betrug besteht genau darin, eine Führungsperson zu imitieren, um eine dringende Überweisung zu erlangen. Schweizer Unternehmen meldeten dem Nationalen Zentrum für Cybersicherheit im ersten Halbjahr 2025 605 solcher Fälle und im zweiten Halbjahr 366. Der Angreifer muss nicht einmal in Ihre Systeme eindringen, es reicht ihm, Ihren Namen, Ihre Funktion und Ihre Schreibweise zu kennen.
Ihr Terminplan ist öffentlich. Website, Handelsregister, Berufsnetzwerke, lokale Presseartikel, Konferenzen: Die Informationen, mit denen man Sie ins Visier nehmen kann, sind für alle zugänglich. Ein Angreifer weiss oft, wann Sie unterwegs sind, was eine dringende Anfrage bei Ihrer Buchhalterin oder Ihrem Buchhalter besonders glaubwürdig macht.
Ein KMU kündigt auf seiner Website an, dass sein Geschäftsführer vom 12. bis 15. des Monats an einer Fachmesse im Ausland teilnimmt. Am 13. erhält die Buchhalterin eine Nachricht, die vom Geschäftsführer unterschrieben ist: Er sei in einer Sitzung, könne nicht telefonieren, eine Anzahlung von 24'000 Franken müsse noch heute überwiesen werden, um einen Vertrag zu sichern. Der Ton stimmt, die Unterschrift auch. Kein System wurde gehackt. Der Angreifer hat lediglich die Website des Unternehmens gelesen.
Das Paradox der Ausnahmen
In vielen Unternehmen enden die Sicherheitsregeln vor der Tür der Geschäftsleitung. Das Muster ist fast immer dasselbe, und es hat nichts Böswilliges an sich: Es entsteht aus Zeitmangel.
Die Zwei-Faktor-Authentifizierung, dieser zusätzliche Code bei der Anmeldung, wird allen ausser der Führungsperson auferlegt, weil es lästig ist, wenn man sich zwanzigmal am Tag anmeldet. Administratorrechte, mit denen sich alles auf einem Gerät installieren und ändern lässt, bleiben auf ihrem Computer dauerhaft aktiv, um nicht jemanden anrufen zu müssen. Und geschäftliche E-Mails treffen auch auf dem privaten Telefon ein, dem der Familie, das durch nichts Besonderes geschützt ist.
Jede dieser Ausnahmen ist für sich genommen nachvollziehbar. Zusammen ergeben sie ein absurdes Ergebnis: Das begehrteste Konto des Unternehmens ist zugleich das am wenigsten geschützte.
Die Geschäftsleitung auszunehmen senkt nicht das Gesamtrisiko des Unternehmens, es verschiebt es. Und es verschiebt sich zu dem Konto, das Zugriff auf das meiste gibt, das Zahlungen auslöst und dessen Missbrauch am glaubwürdigsten ist. Das ist die einzige Ausnahme, die die Folgen vervielfacht, statt sie zu verteilen.
Die Abhilfe ist einfach zu formulieren: Die Geschäftsleitung wendet dieselben Regeln an wie alle anderen, teils sogar strengere. Die Zwei-Faktor-Authentifizierung auf dem Postfach und ein vom täglichen Arbeitskonto getrenntes Administratorkonto bilden das Minimum.
Ein Team richtet sich nach dem, was es sieht, nicht nach dem, was es liest
Sie können das beste IT-Reglement der Welt verteilen. Wenn Ihre Mitarbeitenden sehen, wie Sie eine Regel umgehen, ist diese Regel tot.
Die Überlegung des Teams ist völlig rational. Wäre die Vorgabe wirklich wichtig, würde sich der Chef auch daranhalten. Da er es nicht tut, ist es eine administrative Formalität, und man wird sie so behandeln: diskret umgangen, sobald sie stört.
Das Umgekehrte funktioniert genauso gut, und das ist eine gute Nachricht. Eine Führungsperson, die in einer Sitzung erklärt, dass sie selbst die Zwei-Faktor-Authentifizierung aktiviert hat, dass sie selbst fast auf eine gefälschte Zustellbenachrichtigung geklickt hätte, und dass sie es gemeldet hat, erreicht in fünf Minuten, was ein schriftliches Verfahren niemals erreicht.
Dieser Punkt ist entscheidend für die Meldekultur. Ein Mitarbeitender, der einen Fehler gemacht hat, wird ihn nur rasch melden, wenn er sicher ist, nicht blossgestellt zu werden. Diese Gewissheit lässt sich nicht in einem Dokument verordnen, sie zeigt sich im Verhalten der Geschäftsleitung.
Was müssen Sie verstehen, ohne zur Technikerin oder zum Techniker zu werden?
Es geht nicht darum, Sie zur Fachperson zu machen. Von einer Führungsperson wird nicht erwartet, dass sie eine Firewall konfigurieren kann, ebenso wenig, wie von ihr erwartet wird, die Buchhaltung Zeile für Zeile zu führen. Erwartet wird, dass sie eine Bilanz lesen kann. Genau dasselbe Anspruchsniveau gilt hier.
Vier Fähigkeiten reichen aus, und keine davon ist technisch.
Ein Budget beurteilen. Wissen, was Sie kaufen, wenn Ihnen eine Sicherheitsofferte vorgelegt wird, was diese Ausgabe tatsächlich abdeckt und was sie aussen vor lässt.
Wissen, was Sie Ihren Dienstleister fragen sollten. Das ist wahrscheinlich der lohnendste Punkt. Eine Führungsperson, die drei gute Fragen stellt, erhält mehr als eine, die alles akzeptiert.
Im Krisenfall entscheiden. Unter Druck, mit unvollständigen Informationen und einem Telefon, das klingelt.
Ihre rechtlichen Pflichten kennen. Um sie nicht erst an dem Tag zu entdecken, an dem sie sich konkretisieren.
Hier sind die Fragen, die eine seriöse von einer bloss beruhigenden Antwort unterscheiden.
| Die zu stellende Frage | Was eine gute Antwort enthält | Was Sie alarmieren sollte |
|---|---|---|
| Wann haben Sie zuletzt eine vollständige Wiederherstellung getestet? | Ein Datum, eine gemessene Dauer, einen Bericht | «Die Backups laufen jeden Tag» |
| Wer verfügt bei uns über Administratorrechte, und warum? | Eine aktuelle, namentliche Liste | Eine vage oder vertagte Antwort |
| Was passiert konkret, wenn morgen früh ein Gerät verschlüsselt wird? | Ein Schritt-für-Schritt-Ablauf mit Fristen | «Wir haben einen Virenschutz» |
| Welche Zugriffe behalten ehemalige Mitarbeitende und Dienstleister? | Ein dokumentiertes Entzugsverfahren | «Normalerweise ist alles abgeschaltet» |
Sie müssen die Technik hinter der Antwort nicht verstehen. Sie müssen erkennen, ob sie präzise oder vage ist. Das ist eine Fähigkeit einer Führungsperson, nicht einer IT-Fachperson.
Welche persönlichen Verantwortlichkeiten haben Sie?
Das schweizerische Datenschutzgesetz enthält eine Besonderheit, die Führungspersonen oft überrascht: Die Busse, die bis zu CHF 250’000 betragen kann, richtet sich gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen.
Ihre Tragweite muss sofort eingeordnet werden, denn dieser Punkt kursiert in stark übertriebener Form. Nur vorsätzliche Verstösse sind strafbar: Eine Nachlässigkeit, selbst eine bedauerliche, fällt nicht darunter. Die Verfolgung erfolgt meist auf Antrag, sie löst sich nicht automatisch aus. Und Artikel 64 Absatz 2 erlaubt es, statt der Person das Unternehmen zu verurteilen, wenn die vorgesehene Busse CHF 50’000 nicht übersteigt.
Mit anderen Worten: Das ist kein Damoklesschwert, das täglich über Ihnen hängt. Es ist jedoch eine Verantwortung, die besteht, die sich nicht an die IT-Abteilung delegieren lässt, und die man besser kennt, als sie zu entdecken. Die konkreten Pflichten, die sich daraus ergeben, insbesondere die Meldung einer Datenschutzverletzung, werden in unserem Artikel zum nDSG für KMU im Detail behandelt. Für eine konkrete Situation bleibt eine rechtliche Beratung unverzichtbar.
Welche Entscheidungen liegen nur bei Ihnen?
Bei einem Vorfall ist der Grossteil der Arbeit technisch und liegt bei Fachpersonen. Doch drei Entscheidungen kann niemand ausser der Geschäftsleitung treffen, und sie fallen alle in den ersten Stunden.
Ob ein Lösegeld gezahlt wird. Das ist eine Abwägung zwischen dem Überleben des Unternehmens, der fehlenden Garantie, überhaupt etwas wiederzuerlangen, und der Finanzierung einer kriminellen Tätigkeit. Das Thema wird ausführlich in unserem Artikel Lösegeld zahlen oder nicht behandelt.
Ob, mit wem und wann kommuniziert wird. Ihre Kundinnen und Kunden, Ihre Partner, Ihre Mitarbeitenden, allenfalls die lokale Presse. Schweigen schützt selten, aber eine improvisierte Kommunikation richtet dauerhaften Schaden an.
Ob die Produktion gestoppt wird. Den Stecker zu ziehen begrenzt die Ausbreitung und kostet sofort Geld. Zu warten erhält den Betrieb aufrecht und kann aus einem eingegrenzten Vorfall ein Grossereignis machen.
Keine dieser Entscheidungen lässt sich sachgerecht kalt treffen, um drei Uhr morgens, ohne je darüber nachgedacht zu haben. Genau das bringt eine Vorbereitung: nicht die richtige Antwort im Voraus, sondern die Tatsache, die Frage bereits durchdacht zu haben. Die Reflexe für die ersten Stunden werden unter die ersten Stunden beschrieben.
Was können Sie diese Woche tun?
Drei Massnahmen, die ohne Budget und ohne Dienstleister umsetzbar sind.
Aktivieren Sie die Zwei-Faktor-Authentifizierung auf Ihrem eigenen Postfach, bevor Sie sie von jemand anderem verlangen. Verzichten Sie auf dauerhafte Administratorrechte zugunsten eines separaten Kontos, das nur bei Bedarf genutzt wird. Und nehmen Sie sich zwanzig Minuten Zeit, um auf einer Seite festzuhalten, welches Szenario Ihr Unternehmen tatsächlich in Schwierigkeiten bringen würde.
Kündigen Sie in einer Sitzung an, dass Sie sich künftig dieselben Regeln auferlegen wie alle anderen, und sagen Sie, warum. Dieser Satz wirkt stärker auf das Verhalten als jedes per E-Mail verteilte Verfahren. Ein Team ahmt seine Geschäftsleitung nach, es gehorcht keinem Dokument.
Diese Massnahmen bilden eine Grundlage, sie ersetzen keine Analyse Ihrer eigenen Situation. Ihre tatsächlichen Risiken zu kennen setzt voraus, dass man Ihre Finanzflüsse, Ihre Dienstleister und Ihre Daten betrachtet, was keine allgemeine Liste an Ihrer Stelle leisten kann. Und zu prüfen, ob das Vorhandene tatsächlich funktioniert, erfordert eine Kontrolle durch jemanden, der weiss, wo hinzuschauen ist.
Genau dort ist eine Begleitung für eine Führungsperson am nützlichsten. Es geht nicht darum, Sie zur Fachperson zu machen, sondern Ihnen die richtigen Fragen und die Kriterien zur Beurteilung der Antworten zu geben. Der Cyber-Check-up ordnet Ihr Unternehmen innerhalb weniger Minuten ein, und die weiteren Artikel im Themenbereich Teams schulen führen diese Überlegung weiter zu Ihren Mitarbeitenden.