IT-Sicherheit für die Schweiz — Lücken, revDSG und Schutz für KMU
Die häufigsten Lücken, Pflichten nach revDSG und praxisnahe Schutzmassnahmen für KMU.
- 2FAdie wirksamste einzelne Grundmassnahme
- revDSGgilt für nahezu jeden Betrieb mit Personendaten
- BACSAnlaufstelle für Cybervorfälle in der Schweiz
Bei der IT-Sicherheit in Schweizer Unternehmen entscheidet selten die Technik, sondern der Prozess. Diese Übersicht zeigt die häufigsten Lücken im Mittelstand, die Pflichten nach dem revidierten Datenschutzgesetz und die Massnahmen mit dem grössten Effekt — von der Zwei-Faktor-Authentifizierung über getestete Backups bis zum knappen Notfallplan, der im Ernstfall Stunden spart.
Die drei häufigsten Lücken
Reale Angriffe nutzen selten spektakuläre Zero-Days, sondern schwache Passwörter, fehlende Zwei-Faktor-Authentifizierung und nicht eingespielte Updates. Phishing bleibt der häufigste Einstieg — entsprechend wirksam ist Schulung neben rein technischen Massnahmen.
Was Betriebe erwarten
- Ein technisch raffinierter Angriff von aussen
- Die Firewall als entscheidende Verteidigungslinie
- Virenschutz deckt das Wesentliche ab
- Kleine Betriebe sind kein interessantes Ziel
Was tatsächlich passiert
- Eine Phishing-Mail an eine reale Adresse
- Gestohlene Zugangsdaten ohne zweiten Faktor
- Ein Update, das seit Monaten aussteht
- Automatisierte Angriffe treffen jede Grösse
Aus dieser Verschiebung folgt eine unbequeme Erkenntnis: Der grösste Sicherheitsgewinn kostet meist wenig Geld, aber Disziplin. Ein zweiter Faktor auf allen Zugängen, ein verlässlicher Update-Rhythmus und Mitarbeitende, die eine verdächtige Mail melden statt sie zu öffnen, wiegen mehr als zusätzliche Software.
-
Zwei-Faktor-Authentifizierung überall aktivieren
Beginnend bei E-Mail und Fernzugängen — genau dort setzen gestohlene Zugangsdaten an. Ein zweiter Faktor entwertet ein geleaktes Passwort.
-
Updates in einen festen Rhythmus bringen
Nicht "wenn Zeit ist", sondern an einem festen Termin mit benannter Zuständigkeit. Offene Lücken werden automatisiert gesucht, nicht von Hand.
-
Backups anlegen — und die Wiederherstellung testen
Mindestens eine Kopie vom Netzwerk getrennt. Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme, keine Absicherung.
-
Schulung und Notfallplan auf eine Seite bringen
Wer entscheidet, wer stellt wieder her, wer informiert Kunden und das BACS. Eine Seite reicht — sie muss nur existieren, bevor sie gebraucht wird.
revDSG in der Praxis
Das revidierte Datenschutzgesetz gilt für nahezu jedes Unternehmen, das Personendaten bearbeitet. In der Praxis heisst das: ein Bearbeitungsverzeichnis führen, transparent informieren und angemessene technische Schutzmassnahmen umsetzen — unabhängig von der Firmengrösse. Wer diese drei Punkte dokumentiert hat, ist bei einer Anfrage auskunftsfähig, und genau daran scheitert es in der Praxis häufiger als an der Technik.
Backups und Notfallplan
Die wirksamste einzelne Massnahme gegen die Folgen eines Angriffs ist ein funktionierendes Backup. Entscheidend ist nicht, dass Sicherungen existieren, sondern dass sie regelmässig auf Wiederherstellbarkeit getestet werden und mindestens eine Kopie vom Netzwerk getrennt liegt — sonst verschlüsselt Ransomware im Ernstfall auch die Sicherung mit. Ein knapper Notfallplan, der festhält, wer im Fall eines Vorfalls was tut und wen er informiert, verkürzt die Reaktionszeit erheblich.
Gerade kleinere Betriebe unterschätzen, wie schnell ein Ausfall ins Geld geht: Nicht der einzelne verschlüsselte Rechner ist teuer, sondern der Stillstand des Betriebs. IT-Sicherheit ist damit weniger eine Frage der Technik als eine Frage der Vorbereitung — und diese Vorbereitung ist auch mit kleinem Budget möglich. Ein realistischer Notfallplan beantwortet drei Fragen: Wer entscheidet im Ernstfall, wie werden Systeme sauber wiederhergestellt, und wie kommuniziert der Betrieb mit Kunden und Behörden? Wer diese Punkte einmal durchdenkt und jährlich prüft, gewinnt im Ernstfall wertvolle Stunden.
Sicherheit als laufender Prozess
IT-Sicherheit ist kein Projekt mit Enddatum, sondern ein laufender Prozess. Software ändert sich, Angreifer passen ihre Methoden an, und jede neue Anwendung öffnet potenziell neue Wege. Sinnvoll ist deshalb ein fester Rhythmus: regelmässige Updates, wiederkehrende Schulungen und eine jährliche Überprüfung, ob die getroffenen Massnahmen noch zur tatsächlichen Nutzung passen. Kleine Betriebe müssen dafür keine eigene Sicherheitsabteilung aufbauen — entscheidend ist, dass Verantwortung klar zugewiesen ist und die Grundlagen konsequent gepflegt werden. So wird aus punktuellen Massnahmen eine Sicherheitskultur, die auch unter Druck trägt.
Analysen zum Thema
Rechnungsmanipulation: der Angriff, der ohne Schadprogramm auskommt
Kein Anhang, kein Virus, keine Warnmeldung. Der Angriff nutzt eine echte Rechnung, einen echten Verlauf und eine geänderte Kontonummer.
Meldepflicht für Cyberangriffe: wer meldet was innert 24 Stunden
Die Frist beträgt 24 Stunden und beginnt mit der Entdeckung, nicht mit der Klärung. Wer erst den Vorfall verstehen will, hat sie meist schon verpasst.
Verwandte Themen
Was sind die häufigsten IT-Sicherheitslücken im Mittelstand?
Am häufigsten sind es nicht exotische Angriffe, sondern schwache Zugangsdaten, fehlende Zwei-Faktor-Authentifizierung und nicht eingespielte Updates. Phishing bleibt der wichtigste Einstiegsweg — der Mensch, nicht die Firewall, ist meist die erste Hürde.
Muss ein KMU das revidierte Datenschutzgesetz (revDSG) beachten?
Ja. Das revDSG gilt für nahezu alle Unternehmen, die Personendaten bearbeiten. Kernpflichten sind Transparenz, ein Bearbeitungsverzeichnis und angemessene technische Schutzmassnahmen — unabhängig von der Firmengrösse.
Wie fängt ein KMU mit IT-Sicherheit an?
Mit den Grundlagen: Zwei-Faktor-Authentifizierung, regelmässige Backups mit Wiederherstellungstest, konsequentes Patch-Management und Mitarbeiterschulung gegen Phishing. Diese vier Massnahmen wehren einen Grossteil der realen Angriffe ab.
Wohin melden Schweizer Unternehmen einen Cybervorfall?
Anlaufstelle ist das Bundesamt für Cybersicherheit (BACS), das freiwillige und teils meldepflichtige Vorfälle entgegennimmt und unterstützt. Eine frühe Meldung hilft, Schäden einzugrenzen und andere zu warnen.
Reicht ein Virenschutz als IT-Sicherheit aus?
Nein. Ein Virenschutz ist nur ein Baustein. Ohne Zwei-Faktor-Authentifizierung, aktuelle Updates, getestete Backups und geschulte Mitarbeitende bleibt eine gefährliche Lücke — die meisten erfolgreichen Angriffe umgehen den klassischen Virenschutz ohnehin über Phishing und gestohlene Zugangsdaten.