Was kostet Cybersicherheit für ein KMU? Die Faktoren und die Vergleichszahlen

Eine Pauschalzahl für die Kosten von Cybersicherheit gibt es nicht. Es gibt aber vier Faktoren, die Ihren Betrag bestimmen, und belegte Vergleichszahlen, an denen Sie jedes Angebot messen können.

Dieser Beitrag richtet sich an Inhaber und Geschäftsleitungen von KMU, nicht an die IT. Er hilft, ein Budget oder Angebot einzuordnen.

Die kurze Antwort

Was Cybersicherheit Ihr Unternehmen kostet, hängt von vier Faktoren ab: Grösse, IT-Landschaft, Anforderungen von Kunden, Versicherern und Gesetz sowie der Frage, ob Sie intern oder mit externer Unterstützung arbeiten. Vergleichen lässt sich der Betrag mit Grössen, die öffentlich belegt sind: was ein Vorfall kostet, was eine Cyberversicherung kostet und was eine Sicherheitsfachperson verdient.

Die vier Faktoren, die Ihre Kosten bestimmen

1. Grösse

Mit jeder Person, jedem Gerät und jedem Standort wächst die Zahl der Konten, die geschützt, geschult und verwaltet werden müssen. Versicherer rechnen genauso: Laut der Studie «Cyberrisiken für KMU» von VZ VermögensZentrum und Hochschule Luzern dienen Umsatz und Mitarbeiterzahl als Indikator für das Schadenspotenzial.

• Verteuert: mehrere Standorte, häufige Wechsel im Personal, private Geräte im Geschäftseinsatz.
• Verbilligt: ein Standort, einheitliche Geräte, geregelte Ein- und Austritte.

2. IT-Landschaft

Jedes System muss gesichert, aktualisiert und im Notfall wiederhergestellt werden. Entscheidend ist, wie viele Systeme es gibt und wie stark der Betrieb von einzelnen abhängt.

• Verteuert: eigene Server im Haus, viele Einzelanwendungen, Fernzugriffe für Mitarbeitende und Lieferanten, eine Branchensoftware, ohne die nichts läuft.
• Verbilligt: wenige, standardisierte Cloud-Dienste mit sauber eingerichteten Schutzfunktionen und eine aktuelle Übersicht, was wo läuft.

3. Regulierung und Anforderungen von aussen

Teuer wird oft nicht die Massnahme selbst, sondern der Nachweis. Ein Grosskunde schickt einen Sicherheitsfragebogen, der Versicherer verlangt Belege, ein Auftrag setzt eine Zertifizierung voraus. Laut VZ/HSLU zahlen regulierte oder datenintensive Branchen tendenziell höhere Versicherungsprämien.

• Verteuert: Gesundheits- oder Finanzdaten, Kundenfragebögen, ISO-Nachweise, eine Police mit strengen Obliegenheiten.
• Verbilligt: wenige heikle Daten und eine Dokumentation, die sich für mehrere Nachweise wiederverwenden lässt.

4. Intern oder extern

Eine eigene Fachperson ist ein fixer Kostenblock, externe Unterstützung wird nach Pensum bezahlt. Dazu kommt der Reifegrad: Wer bei null anfängt, braucht anfangs mehr.

• Verteuert: eine Vollzeitstelle für Aufgaben, die einige Tage im Monat füllen, und Massnahmen, die mehrfach angepackt werden, weil niemand steuert.
• Verbilligt: ein geklärter Ist-Zustand als Ausgangspunkt, Unterstützung im passenden Pensum und ein IT-Partner, der die Umsetzung übernimmt.

Die Kostenblöcke

Cybersicherheit ist kein einzelner Posten. Die Übersicht zeigt, woraus sich das Budget zusammensetzt. Beträge fehlen bewusst, weil sie von den vier Faktoren abhängen.

Die erste Zeile bezahlen die meisten KMU bereits. Die Lücken liegen meist in den anderen. Laut der Studie «KMU Cybersicherheit 2026» testet nur jedes vierte KMU, ob sich gesicherte Daten im Ernstfall wiederherstellen lassen. Nur rund ein Drittel schult die Mitarbeitenden regelmässig, Notfallpläne und Sicherheitsaudits sind noch seltener.

Vergleichsgrössen mit Quelle

Die folgenden Zahlen sind keine Preise für Ihr Unternehmen, sondern Massstäbe für Budget und Angebot.

Schäden: Die Spannweite ist gross

Ein durchschnittlicher Versicherungsfall der Mobiliar liegt bei rund 8'000 bis 10'000 Franken, ein schwerer Angriff auf einen Produktionsbetrieb kann Millionen kosten. Für Ihre Planung zählt, welcher Ausfall Ihren Betrieb wie lange lahmlegen würde. Mehr dazu im Beitrag Was ein Cyberangriff ein KMU wirklich kostet.

Versicherung: eine eigene Rechnung und ein Beispiel mit Einschränkung

Laut VZ/HSLU stieg das Prämienvolumen im Schweizer Firmenkundengeschäft von 2021 bis 2025 von 71 auf 153 Millionen Franken, die Zahl der Policen von 38'000 auf 72'000. Daraus ergibt sich rund CHF 2'100 pro Police. Das ist unsere eigene Rechnung, kein Marktpreis: Darin stecken auch Policen grösserer Unternehmen.

Ein öffentlich einsehbares Beispiel ist das Antragsformular, das der Schweizerische Anwaltsverband seinen Mitgliedern anbietet: CHF 880 pro Jahr bei bis zu CHF 1 Million Umsatz und CHF 500'000 Deckung, CHF 2'834 bei bis zu CHF 10 Millionen Umsatz und CHF 1 Million Deckung. Das sind Sonderkonditionen für Anwaltskanzleien, keine typische KMU-Prämie.

Was Ihre Prämie tatsächlich bestimmt, fasst die VZ/HSLU-Studie in fünf Faktoren zusammen: Branche, Umsatz und Mitarbeiterzahl, IT-Sicherheitsniveau, Selbstbehalt und Versicherungssumme. Ein nachweislich hohes Sicherheitsniveau kann zu Rabatten führen, Mängel erhöhen die Prämie oder führen zur Ablehnung. Versichert waren 2025 erst rund 11,5 Prozent der Schweizer Unternehmen. Was die Police leistet und was nicht, erklärt der Beitrag Cyberversicherung oder Cybersicherheit?

Personal: Lohn ist nicht gleich Kosten

Zum Lohn kommen Arbeitgeberbeiträge, Weiterbildung und eine Stellvertretung bei Ferien und Krankheit. Anbieter externer Mandate beziffern einen Vollzeit-CISO auf über CHF 200'000 pro Jahr (Anbieterangabe, keine Lohnstatistik). Für die meisten KMU ist deshalb nicht die Vollzeitstelle die Frage, sondern wie viel Steuerung sie brauchen. Die Modelle vergleicht der Beitrag Externer CISO für KMU.

Was Sie kostenlos zuerst tun können

• Der IKT-Minimalstandard. Das Bundesamt für Cybersicherheit (BACS), seit März 2024 zuständig, stellt die Version 2023 mit 108 Massnahmen und ein Self-Assessment-Tool als Excel bereit. Der Standard ist laut Wortlaut «grundsätzlich für jedes Unternehmen oder jede Organisation anwendbar und frei verfügbar». Mehr dazu im Beitrag IKT-Minimalstandard Schweiz.
• Die BACS-Empfehlungen zur Zusammenarbeit mit IT-Dienstleistern. Sie helfen, Zuständigkeiten mit dem IT-Partner schriftlich zu regeln. Das BACS hält dort fest, dass die Verantwortung nicht ausgelagert oder delegiert werden kann.
• Der Selbstcheck von SafeRoute. Rund fünf Minuten, ohne Angabe von Kontaktdaten, mit einer ersten Einschätzung, wo Ihr Unternehmen steht.

Das ersetzt keine Prüfung: Der Standard ist für kritische Infrastrukturen geschrieben, und eine Selbsteinschätzung zeigt, was Sie glauben, nicht, was belegt ist. Als Grundlage für das Gespräch mit dem IT-Partner taugt beides.

Was es kostet, nichts zu tun

Die grosse Mehrheit der KMU blieb in den letzten drei Jahren von schweren Angriffen verschont. Laut der Studie «KMU Cybersicherheit 2026» erlebten aber 6 Prozent der KMU in dieser Zeit einen schwerwiegenden Cyberangriff, hochgerechnet über 35'000 Unternehmen. Bei KMU ab zehn Mitarbeitenden sind es bis zu 16 Prozent.

Am häufigsten nennen Betroffene grossen Arbeitsaufwand für die Behebung und emotionale Belastung, erst danach finanziellen Schaden. Nichtstun kostet also vor allem Zeit und Nerven.

Wie schnell trotzdem Geld zusammenkommt, zeigt ein Fall aus dem Frühjahr 2026: Ein Treuhandbüro mit weniger als fünf Mitarbeitenden wurde über einen offenen Fernwartungszugang angegriffen. Der Vorfall kostete direkt einen Betrag im mittleren fünfstelligen Bereich, die Cyberversicherung übernahm davon nur einen sehr kleinen Teil. Dazu kamen Monate Arbeitsrückstand und Mandanten, die den Treuhänder gewechselt haben. Die offene Tür zu schliessen, dauerte nach dem Angriff weniger als eine Stunde.

Was allein der Ausfall kostet, zeigt eine einfache Rechnung aus demselben Fachbeitrag: fünf Mitarbeitende, die je sechs Stunden pro Tag zu 150 Franken abrechnen.

Die Rechnungen der Spezialisten sind darin nicht enthalten, und jede weitere Woche Stillstand kostet rund 22'500 Franken. Welche Kosten nach einem Angriff sonst noch anfallen, zeigt Was ein Cyberangriff ein KMU wirklich kostet.

Dazu kommt die Verantwortung: Art. 717 OR verlangt von Verwaltungsrat und Geschäftsführung, ihre Aufgaben mit aller Sorgfalt zu erfüllen, und nach einem Vorfall stellt sich diese Frage auch beim Umgang mit bekannten Cyberrisiken.

So kommen Sie zu einer Zahl für Ihr Unternehmen

1. Die Faktoren beantworten

Gehen Sie diese Fragen mit Ihrem Team durch. Jedes «Ja» erhöht den Aufwand, jedes «Weiss nicht» ist ein Prüfpunkt.

• Arbeiten bei uns mehr als zehn Personen mit eigenem Konto, oder an mehreren Standorten?
• Betreiben wir eigene Server oder eine Anwendung, ohne die der Betrieb stillsteht?
• Greifen Mitarbeitende oder Lieferanten von aussen auf unsere Systeme zu?
• Bearbeiten wir Gesundheits-, Finanz- oder andere besonders schützenswerte Daten?
• Verlangen Kunden, Versicherer oder Aufträge Sicherheitsnachweise von uns?
• Gibt es bei uns jemanden, der Sicherheit steuert, oder liegt alles beim IT-Partner?
• Wissen wir, wann die Wiederherstellung aus dem Backup zuletzt getestet wurde?

2. Den Ist-Zustand prüfen lassen

Erst wenn klar ist, was umgesetzt und belegt ist, lässt sich sagen, was fehlt. Diese Prüfung sollte jemand machen, der die Massnahmen nicht selbst betreibt.

3. Ein Angebot einholen und abgleichen

Legen Sie jedes Angebot neben die Vergleichsgrössen oben. Ein Sicherheitspaket des IT-Partners sollte jemand einordnen, der nicht am Verkauf beteiligt ist, etwa mit einer Zweitmeinung zur IT-Sicherheit.

Häufige Fragen

Was kostet Cybersicherheit für ein KMU?

Eine Pauschalzahl gibt es nicht. Die Kosten hängen von vier Faktoren ab: Grösse des Unternehmens, Komplexität der IT, regulatorische und vertragliche Anforderungen sowie die Frage, ob intern oder extern gearbeitet wird. Als Vergleich dienen belegte Grössen: Schadenskosten eines Vorfalls, Prämien einer Cyberversicherung und der Lohn einer Sicherheitsfachperson.

Was kostet eine Cyberversicherung für ein KMU?

Die Prämie hängt laut einer Studie von VZ und HSLU von Branche, Umsatz, Mitarbeiterzahl, IT-Sicherheitsniveau, Selbstbehalt und Versicherungssumme ab. Ein öffentliches Beispiel für Anwaltskanzleien nennt 880 Franken pro Jahr bei bis zu einer Million Umsatz und 500'000 Franken Deckung, zu Sonderkonditionen des Verbands. Für Ihr Unternehmen braucht es eine Offerte.

Ist eine interne Sicherheitsfachperson günstiger als externe Unterstützung?

Für die meisten KMU nicht. Eine Security-Fachperson verdient in der Schweiz laut Robert Half im Median 145'500 Franken, dazu kommen Arbeitgeberkosten und Stellvertretung. Externe Mandate werden nach Pensum abgerechnet. Entscheidend ist, wie viel Steuerung Ihr Unternehmen braucht und ob jemand die Arbeit des IT-Partners unabhängig prüft.

Gibt es eine Faustregel in Prozent des IT-Budgets?

Für Schweizer KMU haben wir keine belegte Faustregel gefunden, deshalb nennen wir keine. Ein Prozentsatz sagt zudem nichts darüber, ob das Geld richtig eingesetzt wird. Aussagekräftiger ist der Abgleich der vier Faktoren mit dem Ist-Zustand.

Der nächste Schritt

Am Anfang steht das Erstgespräch: In 30 Minuten klären wir Ihre Ausgangslage und welche der vier Faktoren bei Ihnen den Ausschlag geben.

Der konkrete Einstieg ist die Cyber-Risiko Standortbestimmung: Ist-Zustand, Risiken und ein priorisierter Massnahmenplan, abgestimmt auf Ihre Grösse und Ihre IT. Die Cyber-Risiko Standortbestimmung kostet CHF 2'950 pauschal (exkl. MWST). Für die laufende Begleitung im Security-Management gilt: Ein konkretes Angebot erhalten Sie nach dem Erstgespräch.

Quellen

• VZ VermögensZentrum und Hochschule Luzern: Cyberrisiken für KMU, Oktober 2026, Abbildungen 3 und 6, Kapitel 3.6 (Marktzahlen nach SVV).
• Die Mobiliar mit BACS, digitalswitzerland, HES-SO, HWZ und SATW: KMU Cybersicherheit 2026, Oktober 2026. 507 Interviews mit Geschäftsleitenden von KMU mit 1 bis 49 Mitarbeitenden.
• Bundesamt für Cybersicherheit BACS: Medienmitteilung zur Studie «KMU Cybersicherheit 2026», 22. Oktober 2026.
• Moneycab: Schweizer KMU erwarten weitere Zunahme von Cyberangriffen, 22. Oktober 2026, Schadensschätzung der Mobiliar.
• Sophos: Ransomware-Report Schweiz 2026.
• Schweizerischer Anwaltsverband: Antrag SwissCyberRisk in Zusammenarbeit mit Markel, Prämientableau, abgerufen am 2. November 2026.
• Robert Half: Security Specialist Salary, abgerufen am 2. November 2026.
• ITBoard: Security Engineer Lohn Schweiz, abgerufen am 2. November 2026.
• Marktpreise externe CISO-Mandate: eigene Auswertung öffentlich ausgeschriebener Angebote von drei Schweizer Anbietern, Stand 2. November 2026.
• Bundesamt für Cybersicherheit BACS: IKT-Minimalstandards und IKT-Minimalstandard 2023 (PDF).
• Bundesamt für Cybersicherheit BACS: Zusammenarbeit mit IT-Dienstleistern.
• Obligationenrecht: Art. 717 OR.
• Sean Horvath: «Freitagmittag: Die IT fällt aus, der Betrieb steht still», TREX Der Treuhandexperte 6/2026, Seiten 32 bis 35.