Cyberangriffe sind längst kein Grossunternehmen-Problem mehr. Schweizer KMU geraten zunehmend ins Visier von Hackern, weil sie oft weniger gut gesichert sind als grosse Konzerne. Die Folgen reichen von Datenverlust über Betriebsunterbruch bis zu empfindlichen Bussen nach dem neuen Datenschutzgesetz (nDSG). Wer 2026 gut aufgestellt sein will, muss die fünf grössten Risiken kennen und konkret gegensteuern. Dieser Artikel zeigt, wo die echten Gefahren liegen und was du als KMU-Inhaber praktisch tun kannst.
1. Ransomware: Wenn die Daten als Geisel gehalten werden
Bei einem Ransomware-Angriff verschlüsseln Kriminelle deine Daten und verlangen Lösegeld für die Freigabe. Für ein KMU mit 20 Mitarbeitenden kann ein solcher Vorfall schnell CHF 30’000 bis 80’000 kosten, wenn man Ausfallzeiten, IT-Forensik und allfällige Lösegeldzahlungen zusammenrechnet. Das Gefährliche: Ransomware gelangt oft unbemerkt über ein einziges infiziertes E-Mail-Anhang ins System.
Der wirksamste Schutz ist eine saubere Backup-Strategie. Backups müssen regelmässig erstellt, getrennt vom Hauptnetzwerk gespeichert und regelmässig auf Wiederherstellbarkeit getestet werden. Wer das ignoriert, zahlt im Ernstfall doppelt.
2. Phishing und CEO-Fraud: Der Mensch als Schwachstelle
Phishing-Mails sind heute kaum noch als solche erkennbar. Kriminelle imitieren Lieferanten, Banken oder sogar die Geschäftsleitung täuschend echt. Beim sogenannten CEO-Fraud (Betrug, bei dem Angreifer sich als Vorgesetzte ausgeben) werden Mitarbeitende im Finanzbereich gezielt manipuliert, um Überweisungen auszulösen.
Wichtig zu wissen: Ein Treuhandbüro oder eine Buchhaltungssoftware kann in diesem Szenario keine Zahlungen auslösen. Die Zahlungshoheit liegt immer beim Unternehmen selbst. Das ist nicht nur gute Praxis, sondern auch die gesetzliche Realität. Schutzmassnahmen beginnen mit klaren internen Prozessen: Überweisungen über einem bestimmten Betrag müssen grundsätzlich durch eine zweite Person freigegeben werden.
3. KI-gestützte Angriffe: Neue Dimension der Bedrohung
Künstliche Intelligenz verändert die Bedrohungslage grundlegend. Angreifer nutzen KI heute, um personalisierte Phishing-Nachrichten in perfektem Deutsch zu verfassen, Stimmen zu klonen oder falsche Identitäten überzeugend darzustellen. Was früher durch schlechte Grammatik oder merkwürdige Formulierungen auffiel, ist heute oft nicht mehr erkennbar.
Für KMU bedeutet das: Technische Schutzmassnahmen allein reichen nicht. Mitarbeiterschulungen müssen regelmässig stattfinden und konkrete Beispiele aus der Praxis zeigen, wie solche Angriffe aussehen. Einmal im Jahr reicht nicht mehr.
4. Veraltete Software und ungepatchte Systeme
Viele KMU arbeiten mit Software, die nicht mehr aktuell ist. Ob Windows-Version, ERP-System (Warenwirtschaftssoftware) oder Buchhaltungslösung: Veraltete Programme enthalten bekannte Sicherheitslücken, die Angreifer aktiv ausnutzen. Laut Nationalen Zentrum für Cybersicherheit (NCSC) sind ungepatchte Systeme eine der häufigsten Ursachen für erfolgreiche Einbrüche.
Die Lösung klingt einfach, wird aber oft aufgeschoben: automatische Updates aktivieren, ein Inventar der eingesetzten Software führen und für veraltete Systeme konkrete Abkündigungstermine festlegen. Wer das strukturiert angeht, schliesst damit einen grossen Teil der Angriffsfläche.
5. Datenverlust und nDSG-Verletzungen
Seit September 2023 gilt das revidierte Datenschutzgesetz (nDSG). Es verlangt, dass Datenpannen mit hohem Risiko innerhalb von 72 Stunden dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden. Verstösse können zu empfindlichen Bussen führen, bei Vorsatz bis zu CHF 250’000 für verantwortliche Personen.
KMU sollten daher unbedingt dokumentieren, welche Personendaten sie wo und wie lange speichern. Ein einfaches Datenverzeichnis (Verzeichnis der Bearbeitungstätigkeiten gemäss Art. 12 nDSG) ist Pflicht und hilft im Ernstfall nachzuweisen, dass man seine Sorgfaltspflicht ernst genommen hat.
Was du jetzt konkret tun kannst
Der Einstieg muss nicht teuer sein. Drei Massnahmen bringen sofort viel: erstens ein vollständiges, getrennt gespeichertes Backup einrichten, zweitens alle Mitarbeitenden auf Phishing sensibilisieren und drittens Software-Updates auf automatisch stellen. Wer darüber hinaus geht, lässt einmal jährlich einen externen Penetrationstest (simulierter Hackerangriff zur Schwachstellenanalyse) durchführen. Das kostet je nach Anbieter ab CHF 2’000 und ist gut investiertes Geld im Vergleich zu den Kosten eines echten Vorfalls.