Ist Ihr IT-Dienstleister für Cybersicherheit zuständig? Wer im KMU was verantwortet

Für die technische Umsetzung ja, für das Risiko nein. Ihr IT-Dienstleister betreibt, aktualisiert und sichert die Systeme so, wie es vereinbart ist. Die Verantwortung für Cyberrisiken bleibt bei der Geschäftsleitung, und das sagt nicht ein Berater, sondern das Bundesamt für Cybersicherheit.

Dieser Beitrag richtet sich an Inhaber und Geschäftsleitungen von KMU, die ihre IT an einen externen Partner ausgelagert haben. Er zeigt, wer was verantwortet, was in den Vertrag gehört und welche Fragen Sie Ihrem IT-Partner stellen können, ohne das Vertrauen zu beschädigen.

Die kurze Antwort: Er betreibt, Sie verantworten

Viele KMU haben keine eigene IT-Abteilung, und das ist vernünftig. Laut der Studie «KMU Cybersicherheit 2026» arbeitet mehr als ein Viertel der KMU beim Thema Cyberrisiken mit einem externen Partner zusammen. Das BACS empfiehlt in seinen Hinweisen zur Zusammenarbeit mit IT-Dienstleistern, die Zuständigkeiten klar zu regeln, und fügt einen Satz an, den jede Geschäftsleitung kennen sollte: «Zu betonen ist jedoch, dass die Verantwortung nicht ausgelagert oder delegiert werden kann. Bei einem Vorfall kann Ihr Unternehmen am Ende der Haftungskette stehen.»

An anderer Stelle nennt das BACS Cybersicherheit eine zentrale Aufgabe der Geschäftsleitung: Die IT setzt operativ um, die Einstufung der Risiken und die Geschäftsfortführung bleiben bei der Führung.

Das ist keine Kritik am IT-Partner. Es ist Arbeitsteilung, und sie funktioniert nur, wenn beide Seiten wissen, wo ihre Aufgabe endet.

Was Ihr IT-Dienstleister typischerweise macht

Ein guter IT-Partner hält den Betrieb am Laufen, und das ist viel Arbeit. Typischerweise gehört dazu:

• Server, Arbeitsplätze und Netzwerk betreiben und warten
• Sicherheitsupdates einspielen
• Backups einrichten und überwachen
• Firewall und Virenschutz betreiben
• Benutzerkonten anlegen, ändern und löschen
• Support, wenn etwas nicht funktioniert

Das ist sein Handwerk. Bei Cloud-Diensten wie Microsoft 365 bringt das BACS die Aufteilung auf eine einfache Formel: Der Anbieter schützt die Plattform, das Unternehmen schützt die eigentlichen Daten.

Entscheidend ist der Vertrag. Ein Wartungsvertrag regelt meist, dass die Systeme laufen und Störungen behoben werden. Er ist kein Sicherheitsvertrag. Was nicht drinsteht, passiert in der Regel nur auf Zuruf.

Was typischerweise niemand macht, wenn es nicht vereinbart ist

Zwischen Betrieb und Geschäftsleitung liegen Aufgaben, die oft niemandem zugeteilt sind. Drei fallen im Ernstfall besonders auf.

Risiken bewerten und priorisieren

Welche Systeme sind geschäftskritisch? Welcher Ausfall wäre nach einem Tag ärgerlich und welcher nach einer Woche existenzbedrohend? Welche Daten dürfen auf keinen Fall abfliessen? Das sind Geschäftsfragen. Der IT-Partner kann technische Informationen liefern, die Gewichtung muss aber jemand vornehmen, der das Geschäft verantwortet. Dazu gehört auch der IT-Partner selbst als Risiko: Er hat oft weitreichende Fernzugriffe. Die Studie «Cyberrisiken für KMU» von VZ VermögensZentrum und Hochschule Luzern formuliert die Führungsfrage dazu: «Welche externen Zugriffe auf unsere Systeme akzeptieren wir bewusst und welche nicht?»

Meldepflichten und Verträge

Nach Art. 24 Abs. 1 DSG muss ein Unternehmen dem EDÖB eine Verletzung der Datensicherheit «so rasch als möglich» melden, wenn sie voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Eine feste Frist gibt es nicht. Der Leitfaden des EDÖB hält fest, dass bei Ransomware je nach Umständen schon in einer ersten Analyse von einem voraussichtlich hohen Risiko auszugehen ist und man nicht lange Abklärungen abwarten kann.

Die Meldung obliegt dem Verantwortlichen, also Ihrem Unternehmen. Der IT-Partner als Auftragsbearbeiter muss Sie über eine Verletzung der Datensicherheit informieren. Ob gemeldet wird, entscheiden Sie. Dazu kommen Sicherheits- und Meldeklauseln in Kunden- und Lieferantenverträgen, die der IT-Partner in der Regel gar nicht kennt. Was solche Pflichten im Ernstfall kosten können, zeigt der Beitrag Was ein Cyberangriff ein KMU wirklich kostet.

Mitarbeitende, Notfallplan und Übung

Ein Filter fängt viele Phishing-Mails ab, aber nicht alle. Ob Mitarbeitende eine gefälschte Zahlungsanweisung erkennen, ist eine Frage von Schulung und klaren Regeln. Und wer im Ernstfall was tut, legt ein Notfallplan vorher fest. Eine Übung zeigt, ob er taugt. Beides gehört selten zum Auftrag eines IT-Partners.

Das Problem der Selbstkontrolle: Buchhalter und Revisor

In der Finanzwelt ist die Aufteilung selbstverständlich. Der Buchhalter führt die Bücher, die Revisionsstelle prüft sie, und der Verwaltungsrat verantwortet das Ergebnis. Niemand würde verlangen, dass der Buchhalter seine eigene Arbeit revidiert, auch wenn er hervorragend arbeitet. Bei der IT fehlt die mittlere Rolle oft: Der IT-Partner richtet das Backup ein und meldet selbst, dass es funktioniert.

Das BACS sieht das ähnlich. Die Umsetzung der vertraglich vereinbarten Leistungen soll periodisch kontrolliert werden: «Nehmen Sie dafür die Dienste unabhängiger Prüfstellen in Anspruch». Schon bei der Auswahl empfiehlt es, die Eignung eines Dienstleisters durch eine unabhängige Stelle prüfen oder bestätigen zu lassen. In der Praxis ist das die Ausnahme: Laut der Studie «KMU Cybersicherheit 2026» bewerten 28 Prozent der KMU die IT-Sicherheit ihrer Lieferanten, und nur 15 Prozent führen Sicherheitsaudits durch. Es ist die am seltensten umgesetzte Massnahme überhaupt.

Wie eine solche unabhängige Prüfung abläuft und wann sie sich lohnt, beschreibt die Seite Zweitmeinung zur IT-Sicherheit.

Drei Rollen, klar getrennt

So sieht die Aufteilung aus, wenn die Rollen sauber getrennt sind. Die unabhängige Stelle kann eine interne Fachperson oder ein externer Partner sein.

Zwei Grundsätze stecken in dieser Tabelle. Die Geschäftsleitung muss nichts Technisches tun, aber entscheiden und einfordern. Und wer betreibt, prüft nicht sich selbst. Wie das im Alltag aussieht, zeigt die Seite Security-Management. Warum die Verantwortung oben bleibt, erklärt Security Governance ist Chefsache, ob es dafür eine eigene Funktion braucht, der Beitrag Externer CISO für KMU.

«SafeRoute nimmt uns als Geschäftsleitung die Cybersicherheit ab, ohne uns aus der Verantwortung zu nehmen. Sie übersetzen ein komplexes Thema in klare, machbare Schritte und kümmern sich um die Umsetzung», sagt Christoph Meng, Partner bei Meng & Partner, Wirtschaftsprüfung, Steuern und Treuhand.

Auch Versicherer fragen nach Nachweisen. Wer sie liefert, steht in Cyberversicherung oder Cybersicherheit? und in Voraussetzungen für eine Cyberversicherung.

Was im Vertrag mit dem IT-Dienstleister stehen sollte

Wer einem IT-Dienstleister Personendaten anvertraut, bleibt für den Datenschutz verantwortlich. Der EDÖB verweist dazu auf Art. 9 DSG: Das Unternehmen muss seinen Auftragsbearbeiter sorgfältig auswählen, angemessen instruieren und soweit nötig überwachen, vergleichbar mit der Geschäftsherrenhaftung nach Art. 55 OR. Der Vertrag ist das wichtigste Werkzeug dafür. Gestützt auf die Empfehlungen von BACS und EDÖB gehört Folgendes hinein:

• Zuständigkeiten für die Sicherheit. Wer ist für welche technischen und organisatorischen Massnahmen zuständig, und was wird separat beauftragt?
• Haftung. Was gilt, wenn vereinbarte Sicherheitsmassnahmen nicht eingehalten wurden?
• Auftragsbearbeitungsvertrag nach Art. 9 DSG. Er regelt den Umgang mit Personendaten.
• Datenstandort. Schweiz, EU oder Drittstaat?
• Unterauftragnehmer. Nur mit Ihrer vorgängigen Genehmigung.
• Notfall-Erreichbarkeit und Reaktionszeiten. Wer ist nachts und am Wochenende erreichbar, wie schnell, zu welchen Kosten?
• Information bei Vorfällen. Der Dienstleister informiert Sie umgehend, damit Sie Ihre Meldepflichten wahrnehmen können.
• Geheimhaltung. Geregelte Geheimhaltungspflichten, kein unnötiger Zugang zu besonders schützenswerten Personendaten.
• Recht auf Prüfung. Sie oder eine beauftragte unabhängige Stelle dürfen die Leistungen periodisch prüfen.

Diese Liste ersetzt keine juristische Prüfung. Sie zeigt, worüber Sie vor der nächsten Vertragsverlängerung sprechen sollten.

Fünf Fragen an Ihren IT-Partner

Das BACS hat fünf Fragen formuliert, die jede Geschäftsleitung ihrem IT-Dienstleister stellen kann. In Alltagssprache lauten sie so:

• Wo genau liegen unsere Daten, und haben wir einen Auftragsbearbeitungsvertrag? Ein kompetenter Partner nennt den Speicherort und bietet den Vertrag an.
• Wann haben Sie zuletzt ein Backup erfolgreich zurückgespielt? Kopieren allein genügt nicht. Das BACS empfiehlt das 3-2-1-Prinzip: drei Kopien, zwei Medien, eine Kopie ausser Haus und idealerweise offline. Laut «KMU Cybersicherheit 2026» testet nur rund ein Viertel der KMU das Zurückspielen regelmässig.
• Sind alle Systeme und Cloud-Zugänge mit Mehrfaktor-Authentifizierung geschützt? Etwa Microsoft 365, Fernwartung und Buchhaltung. Nennt ein Partner das «optional», ist laut BACS Vorsicht geboten.
• Was überwachen Sie, ohne dass wir anrufen müssen? Etwa fehlgeschlagene Updates oder verdächtige Anmeldeversuche.
• Was passiert bei einem Angriff am Wochenende oder nachts? Gibt es eine Notfallnummer, wie schnell wird reagiert, was kostet das?

Diese Fragen sind kein Misstrauensvotum. Das BACS schreibt, ein qualifizierter Dienstleister werde diese Transparenz schätzen. Weicht ein Anbieter dagegen aus oder spielt die Themen herunter, könne das ein Zeichen sein, dass er eher auf kurzfristige Problembehebung setzt als auf langfristige Sicherheit.

Sean Horvath erlebt in der Praxis, dass IT-Partner auf die Ankündigung einer unabhängigen Prüfung zuerst meist skeptisch reagieren. Das ist verständlich, denn niemand lässt sich gern über die Schulter schauen. Entscheidend ist, ob der Partner die Fragen danach offen beantwortet.

Aus der Praxis: Was passiert, wenn niemand zuständig ist

Ein kleines Treuhandunternehmen in der Deutschschweiz, Frühjahr 2026: An einem Freitagmittag meldet der IT-Dienstleister, dass jemand in den Server eingedrungen ist und alle Daten verschlüsselt hat. Er ist auf einen solchen Angriff nicht vorbereitet, will keine weiteren Schritte verantworten und steht danach das ganze Wochenende nicht mehr zur Verfügung. Eine Unterstützung ausserhalb der Geschäftszeiten war nie vereinbart worden. Was er genau leistet, wie er die Daten schützt und ob er im Notfall erreichbar ist, stand nirgends schriftlich.

Die Inhaber suchten in ihrem persönlichen Umfeld Hilfe, und es dauerte Stunden, bis sie Spezialisten für die Bewältigung des Angriffs gefunden hatten. Am meisten Zeit ging mit Fragen verloren, die nichts mit Technik zu tun haben: wie man vorgeht, wen man anruft und was man den Mandanten sagt. Diese Fragen musste die Geschäftsführung weitgehend allein beantworten. Einen Vorfall organisatorisch zu führen, gehört auch nicht zum Auftrag eines IT-Dienstleisters. Sean Horvath beschreibt den Fall im Fachbeitrag «Freitagmittag: Die IT fällt aus, der Betrieb steht still» in der Zeitschrift TREX Der Treuhandexperte.

Unabhängig vom Einzelfall lohnt eine einfache Probe. Beantworten Sie für Ihr Unternehmen diese Fragen, bevor etwas passiert:

• Wen ruft der IT-Partner als Erstes an, wenn er einen Angriff bemerkt?
• Wer entscheidet innert Stunden, ob dem EDÖB gemeldet wird?
• Wer informiert Kunden, Lieferanten und Mitarbeitende, und mit welchen Worten?
• Wer kennt die Sicherheitsklauseln in Ihren wichtigsten Verträgen?

Lautet eine Antwort «das klären wir dann», ist die Lücke gefunden, und zwar in der Organisation, nicht beim IT-Partner.

Häufige Fragen

Ist mein IT-Dienstleister für die Cybersicherheit verantwortlich?

Für die technische Umsetzung ja, für das Risiko nein. Der IT-Dienstleister betreibt, aktualisiert und sichert die Systeme so, wie es vereinbart ist. Die Verantwortung für Cyberrisiken bleibt bei der Geschäftsleitung. Das Bundesamt für Cybersicherheit hält fest, dass sie sich nicht auslagern oder delegieren lässt. Zuständigkeiten und Haftung gehören deshalb klar in den Vertrag.

Wer ist bei einem Cyberangriff verantwortlich, mein IT-Partner oder ich?

Gegenüber Kunden, Behörden und Mitarbeitenden steht das Unternehmen in der Verantwortung, also die Geschäftsleitung. Sie muss etwa entscheiden, ob dem EDÖB eine Datensicherheitsverletzung gemeldet wird, und Kunden informieren. Der IT-Partner haftet nur so weit, wie es der Vertrag regelt, zum Beispiel wenn vereinbarte Sicherheitsmassnahmen nicht eingehalten wurden. Ohne klaren Vertrag bleibt das Risiko beim KMU.

Wer prüft, ob mein IT-Partner gute Arbeit macht?

Idealerweise eine unabhängige Stelle, nicht der IT-Partner selbst. Wie in der Buchhaltung gilt: Wer betreibt, sollte nicht gleichzeitig kontrollieren. Das Bundesamt für Cybersicherheit empfiehlt, die Eignung eines IT-Dienstleisters durch eine unabhängige Stelle prüfen oder bestätigen zu lassen. Für ein KMU reicht oft eine periodische Standortbestimmung mit Bericht an die Geschäftsleitung.

Der nächste Schritt

Wer wissen will, wo das eigene Unternehmen steht, beginnt mit dem Selbstcheck: rund fünf Minuten, ohne Angabe von Kontaktdaten. Wer danach eine unabhängige Sicht auf Rollen, Vertrag und Ist-Zustand braucht, bespricht das im Erstgespräch. Nach 30 Minuten haben Sie ein klares Bild Ihrer Risikolage.

SAFEROUTE. ersetzt Ihren IT-Partner nicht, sondern arbeitet mit ihm zusammen. Ihr IT-Partner schützt Ihre Systeme. Wer schützt Ihr Unternehmen?

Quellen

• Bundesamt für Cybersicherheit BACS: Zusammenarbeit mit IT-Dienstleistern, Stand November 2026.
• BACS: Strong cybersecurity foundations for businesses and public authorities, Stand November 2026.
• EDÖB: Outsourcing (Auftragsdatenbearbeitung), Stand November 2026.
• EDÖB: Leitfaden betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG, Ziffern 1.2 und 1.3.
• Die Mobiliar mit BACS, digitalswitzerland, HES-SO, HWZ und SATW: KMU Cybersicherheit 2026, Oktober 2026, Kapitel 7 und Massnahmenübersicht.
• VZ VermögensZentrum und Hochschule Luzern: Cyberrisiken für KMU, Oktober 2026, Massnahme 8 «Lieferanten und IT-Dienstleister in die Cyberprüfung einbeziehen».
• Sean Horvath: «Freitagmittag: Die IT fällt aus, der Betrieb steht still», TREX Der Treuhandexperte 6/2026, Seiten 32 bis 35.