Stimme geklont, Millionen weg: Warum Cyber-Resilienz Führungsaufgabe ist

Würden Sie die Stimme Ihres wichtigsten Geschäftspartners am Telefon erkennen? Ein Unternehmen im Kanton Schwyz war sich sicher. Anfang 2026 überwies es mehrere Millionen Franken an Kriminelle, die diese Stimme mit KI nachgebaut hatten.

Der Fall zeigt, wie sich die Lage verschoben hat. Eine fehlerfreie E-Mail beweist nichts mehr, eine vertraute Stimme auch nicht. Vertrauen bleibt im Geschäftsleben wichtig. Bei kritischen Vorgängen wie Zahlungen braucht es aber eine unabhängige Kontrolle, zum Beispiel einen Rückruf auf die bekannte Nummer.

Angriffe als Dienstleistung

Cyberangriffe sind für KMU längst ein Geschäftsrisiko wie jedes andere. Professionelle Gruppen handeln mit Zugangsdaten, vermieten Schadsoftware und verkaufen Angriffe als Dienstleistung. KI beschleunigt das: Sie automatisiert Abläufe und macht Täuschungen glaubwürdiger und billiger.

Dieselbe Technologie hilft auch bei der Abwehr. KI wertet Sicherheitsdaten aus Endgeräten, Netzwerken und Cloud-Diensten aus, erkennt Auffälligkeiten und isoliert kompromittierte Geräte teilweise automatisch. Sicherheitsfachleute gewinnen so Zeit für die kritischen Fälle.

Blind vertrauen sollte man ihr trotzdem nicht. Defensive KI kann Fehlalarme erzeugen, Zusammenhänge übersehen oder Entscheide treffen, die niemand mehr nachvollzieht. Sie verstärkt gute Strukturen und ebenso schlechte. Datenqualität, Datenschutz und menschliche Kontrolle bleiben deshalb zentral.

Die Lücken liegen zwischen den Systemen

Viele Unternehmen investieren zuerst in Firewalls, Endgeräteschutz und Zugriffskontrollen. Das ist richtig. Die grössten Lücken finden sich aber oft woanders: bei unklaren Verantwortlichkeiten, bei Prozessen, die nur auf dem Papier funktionieren, und bei einem Ernstfall, den nie jemand geübt hat.

Darum ist Cyber Security eine Führungsaufgabe. Die Geschäftsleitung legt fest, wie viel Risiko das Unternehmen tragen will, klärt Zuständigkeiten und stellt Ressourcen bereit. Umsetzen können das andere. Die Verantwortung lässt sich nicht wegdelegieren.

Genauso wichtig ist das Vorleben. Wer von den Mitarbeitenden sicheres Verhalten erwartet, muss selbst Rückfragen akzeptieren, Freigabeprozesse einhalten und auch unter Zeitdruck auf Abkürzungen verzichten. Technik schützt Systeme, Menschen schützen Organisationen, und die Kultur entscheidet am Ende über die Resilienz.

Am Anfang steht eine Standortbestimmung

Der erste Schritt muss kein weiteres Tool sein. Sinnvoller ist eine Standortbestimmung der Cyberrisiken: Welche Geschäftsprozesse sind kritisch, wo bestehen Abhängigkeiten, welche Massnahmen bringen den grössten Nutzen? Dabei zählt nicht, ob eine Kontrolle dokumentiert ist, sondern ob sie im Alltag wirkt.

Daraus entsteht eine risikobasierte Roadmap, pragmatisch statt perfekt. Starke Identitäten, aktuelle Systeme, getestete Backups und klare Prozesse senken bereits viele reale Risiken.

Ein KMU braucht dafür nicht zwingend einen eigenen CISO. Fehlt die interne Sicherheitsverantwortung, kann ein externes Security-Management Risiken beurteilen, Massnahmen priorisieren und der Geschäftsleitung eine unabhängige Sicht geben. Cyber Security wird so zu einem laufenden Managementprozess statt zu einer Einmal-Initiative nach dem nächsten Audit oder Vorfall.

Fragen für Ihren eigenen Cyber-Prüfstand

Ob ein Unternehmen angegriffen wird, lässt sich kaum beeinflussen. Wie gut es vorbereitet ist, schon. Resilienz zeigt sich darin, Angriffe früh zu erkennen, den Schaden zu begrenzen, den Betrieb rasch wiederherzustellen und aus dem Vorfall zu lernen. Diese Fragen sollte die Geschäftsleitung regelmässig und ehrlich beantworten:

• Sind Entscheide möglich, wenn die Systeme ausfallen?
• Werden Auffälligkeiten gemeldet, und landen sie bei jemandem, der handelt?
• Lassen sich die Backups wirklich wiederherstellen? Wann wurde das zuletzt getestet?
• Ist klar, wer im Ernstfall kommuniziert und Prioritäten setzt?

Wer hier Lücken findet und sie pragmatisch schliesst, gewinnt mehr als Sicherheit. Kunden und Partner merken, dass ein Unternehmen auch unter Druck handlungsfähig bleibt.

Fünf Empfehlungen für Unternehmerinnen und Unternehmer

• Cyber Security als Geschäftsrisiko steuern. Das Thema gehört mit klaren Entscheiden und Zuständigkeiten auf die Agenda der Geschäftsleitung. Im Zentrum stehen die Folgen für Betrieb, Finanzen und Reputation.
• Identitäten und Zahlungen absichern. Mehrfaktor-Authentifizierung, ein sauberes Berechtigungskonzept und die Prüfung privilegierter Konten sind Mindeststandard. Zahlungen und geänderte Bankverbindungen werden über einen unabhängigen Kanal und nach dem Vier-Augen-Prinzip bestätigt.
• Mitarbeitende befähigen und Sicherheit vorleben. Schulungen wirken nur, wenn die Führung die Regeln selbst einhält, Rückfragen begrüsst und gemeldete Fehler als Lernchance behandelt. Angst vor Konsequenzen lässt Warnsignale verstummen.
• Den Ernstfall üben. Notfallpläne, getrennte und getestete Backups sowie klare Entscheidungswege müssen unter realistischen Bedingungen funktionieren. Übungen zeigen, ob Rollen, Stellvertretungen und Wiederanlaufziele tragen.
• KI gezielt einsetzen. Dort, wo sie Risiken nachweisbar senkt und Mitarbeitende entlastet, mit menschlicher Kontrolle und überprüfbaren Ergebnissen. Ein KI-Label allein bringt keine Sicherheit.

Zuerst erschienen als Beitrag «Cyber-Resilienz als Vorteil» von Daniel Frei in Handel Heute, Ausgabe 4/2026 (Special Digital Retail, S. 18 bis 19). Daniel Frei ist Strategic Cyber Security Advisor, Dozent an der Hochschule Luzern (HSLU) und Beirat von SAFEROUTE. Er bringt über 30 Jahre Erfahrung in Cyber Security, Governance, Risk und Compliance mit.