Zu klein für Hacker? Warum Cyberangriffe heute jedes KMU treffen

«Wir sind zu klein, uns sucht doch niemand aus.» Diesen Satz höre ich in Gesprächen mit KMU regelmässig. Er stimmt sogar: Niemand sucht Sie aus. Ihr Unternehmen verfängt sich im Netz.

Vom Walfang zum Schleppnetz

Wer an Cyberkriminalität denkt, stellt sich oft eine gezielte Jagd vor. Der Angreifer wählt ein lohnendes Ziel, beobachtet es und schlägt zu, wie beim Walfang mit der Harpune. Solche Angriffe gibt es. Sie treffen aber vor allem Konzerne, Behörden und grosse Organisationen.

Die Masse der Angriffe auf Schweizer Unternehmen läuft anders. Am Anfang steht ein Programm, das rund um die Uhr Millionen von Internetadressen abklopft: Wo ist ein Fernzugriff offen? Wo läuft Software mit einer bekannten Lücke? Wo reicht ein triviales Passwort? Suchmaschinen wie Shodan zeigen jedem, welche Systeme aus dem Internet erreichbar sind. Was dort auftaucht, muss niemand mehr suchen.

Solange Angriffe Handarbeit waren, lohnten sie sich nur bei grosser Beute. Ein kleines Unternehmen fiel durchs Raster. Die Automatisierung hat diese Rechnung gekippt. Wenn ein Programm Millionen Ziele gleichzeitig prüft, kostet jeder zusätzliche Versuch praktisch nichts. Dem Schleppnetz ist egal, ob hinter der offenen Tür ein Konzern steht oder ein Büro mit acht Mitarbeitenden.

Die Zeitfenster werden kürzer

Laut dem Global Threat Landscape Report 2026 von Fortinet vergehen zwischen der Veröffentlichung einer Schwachstelle und ihrer ersten Ausnutzung im Schnitt noch 24 bis 48 Stunden. Ein Jahr zuvor waren es knapp fünf Tage. Wer Updates auf «nächsten Monat» verschiebt, lässt die Tür also nicht wochenlang offen, sondern bis das Netz vorbeikommt.

Beim Bundesamt für Cybersicherheit (BACS) gingen allein im zweiten Halbjahr 2025 rund 29'000 freiwillige Meldungen zu Cybervorfällen ein. Die tatsächliche Zahl dürfte höher liegen, denn über Vorfälle wird meistens geschwiegen. Wer im eigenen Umfeld noch nie von einem Angriff gehört hat, kann daraus nicht schliessen, dass es keine gibt.

KI macht die Maschen feiner

Phishing-Mails liessen sich früher an holprigem Deutsch erkennen. Heute sind sie fehlerfrei und auf die Branche zugeschnitten, etwa als angebliche Mail der Steuerverwaltung im Februar oder der Ausgleichskasse kurz vor dem Lohnlauf. Das BACS beschreibt zudem Anrufe mit täuschend echten, künstlich erzeugten Stimmen.

Damit fällt das wichtigste Erkennungsmerkmal weg. Was bleibt, ist geschultes Misstrauen gegenüber unerwarteten Aufforderungen, Zeitdruck und ungewohnten Zahlungswegen. Zwei Regeln helfen sofort:

• Zahlungen und geänderte Bankverbindungen nie allein wegen einer Mail oder eines Anrufs freigeben. Immer über einen zweiten, bekannten Weg rückfragen, zum Beispiel mit einem Rückruf auf die hinterlegte Nummer.
• Mitarbeitende regelmässig und passend zu ihrer Rolle auf aktuelle Betrugsmaschen schulen.

Drei Annahmen, die teuer werden können

«Unser IT-Dienstleister kümmert sich darum.» Er betreibt Server und Netzwerk, richtet Arbeitsplätze ein und behebt Störungen. Welche Risiken das Unternehmen tragen kann, was im Ernstfall zuerst wieder laufen muss und wer dann führt, sind dagegen Unternehmensfragen. Sie stehen selten im Pflichtenheft des Dienstleisters. Eine einfache Merkregel: Wer nicht ausdrücklich für Sicherheit bezahlt, hat sie meist auch nicht bestellt.

«Wir sind versichert.» Cyberversicherungen knüpfen ihre Leistung an Bedingungen wie Mehrfaktor-Authentifizierung, getestete Backups, zeitnahe Updates und Schulungen. Im Schadenfall zählt der Nachweis. Was nicht dokumentiert ist, gilt oft als nicht erfüllt, und dann kürzt der Versicherer genau dann, wenn das Geld am dringendsten fehlt.

«KI-Tools sind nur ein Effizienzgewinn.» Sie sind einer, und es wäre falsch, darauf zu verzichten. Wer aber Kunden- oder Personaldaten in einen frei zugänglichen KI-Dienst kopiert, überträgt die Bearbeitung an einen Dritten, ohne Vertrag und ohne Kontrolle. Das revidierte Datenschutzgesetz (Art. 8 und 9 DSG) lässt die Verantwortung trotzdem beim Unternehmen. Eine kurze interne Weisung, welche Werkzeuge erlaubt sind und welche Daten hineindürfen, schafft hier Klarheit.

Fünf Massnahmen, die jedes KMU selbst angehen kann

Weil die meisten Angriffe ungezielt sind und die einfachste offene Tür nehmen, reichen wenige Massnahmen, um aus dem Netz zu fallen. Keine davon verlangt technisches Wissen in der Geschäftsleitung. Jede verlangt aber, dass die Geschäftsleitung sie einfordert.

• Fernzugriffe schliessen. Kein Fernwartungszugang gehört direkt ins offene Internet. Zugriff von aussen nur über VPN und mit einem zweiten Faktor. Fragen Sie Ihren IT-Dienstleister: Welche Zugänge bestehen, seit wann und wofür?
• Wissen, was von aussen sichtbar ist. Lassen Sie sich eine Liste aller aus dem Internet erreichbaren Systeme geben und prüfen Sie bei jedem, ob es nötig ist.
• Updates ohne Verzug. Klären Sie, wer Updates einspielt, in welchem Rhythmus und was bei dringenden Lücken passiert.
• Passwörter ernst nehmen. Lange, einzigartige Passwörter in einem Passwortmanager, dazu Mehrfaktor-Authentifizierung per App oder Sicherheitsschlüssel. Wo ein Dienst Passkeys anbietet, diese nutzen.
• Mitarbeitende regelmässig sensibilisieren. Eine Viertelstunde pro Quartal mit Beispielen aus dem eigenen Postfach wirkt mehr als eine jährliche Pflichtschulung.

Diese fünf Punkte decken nach dem 80/20-Prinzip einen grossen Teil des Risikos ab. Vollständig sind sie nicht. Welche Massnahmen danach folgen sollten, hängt von den grössten Risiken des einzelnen Unternehmens ab. Einen Rahmen dafür bietet der IKT-Minimalstandard des Bundes.

Und wer prüft, ob es stimmt?

In den meisten KMU kommt die Auskunft über den Sicherheitsstand vom IT-Dienstleister, also von derselben Stelle, die die Arbeit ausführt. Das ist keine böse Absicht, aber ein blinder Fleck. In der Buchhaltung ist das Prinzip selbstverständlich: Wer die Bücher führt, prüft sie nicht selbst.

Die sinnvolle Arbeitsteilung sieht so aus: Was das Unternehmen selbst stemmen kann, macht es selbst. Die Standortbestimmung und die unabhängige Prüfung gehören in Hände, die sich auf Sicherheit konzentrieren. Daraus bekommen Geschäftsleitung und Verwaltungsrat, was sie für ihre Sorgfaltspflicht brauchen: eine belegte Einschätzung statt Annahmen.

Zuerst erschienen als Fachbeitrag «Vom Walfang zum Schleppnetz» von Sean Horvath in TREX Der Treuhandexperte (Ausgabe 5/2026). Dort gibt es den vollständigen Text auch als Audiodatei.