Cybersicherheit: Schweizer KMU sind geschützt, aber nicht auf einen Angriff vorbereitet

Kleine und mittlere Unternehmen in der Schweiz investieren in Informatiksicherheit, wissen aber oft nicht, was zu tun ist, wenn ein Angriff tatsächlich gelingt. Das zeigt die Studie «KMU Cybersicherheit 2026», die am 22. Oktober von der Mobiliar zusammen mit digitalswitzerland, der SATW (Schweizerische Akademie der Technischen Wissenschaften) sowie den Hochschulen HES-SO Valais-Wallis und HWZ Zürich veröffentlicht wurde, mit Unterstützung des Bundesamts für Cybersicherheit.

Die Umfrage befragte 507 Führungskräfte von Schweizer KMU mit 1 bis 49 Mitarbeitenden, zwischen dem 24. Juni und dem 10. Juli 2026. Die Ergebnisse gelten als repräsentativ für rund 614'400 KMU in allen Sprachregionen des Landes, also auch für die italienischsprachige Schweiz.

6 Prozent der befragten Unternehmen waren in den letzten drei Jahren von einem schwerwiegenden Cybervorfall betroffen, und 7 Prozent waren bereits Opfer eines Erpressungsversuchs im digitalen Bereich. Auf die Gesamtheit der Schweizer KMU hochgerechnet, entspricht dieser Anteil rund 35'000 betroffenen Unternehmen. Unternehmen mit mindestens zehn Mitarbeitenden sind deutlich häufiger betroffen als kleinere Betriebe.

Besondere Sorge bereitet die künstliche Intelligenz: 81 Prozent der KMU erwarten eine Verschärfung der damit verbundenen Bedrohungen, auch wenn fast die Hälfte der befragten Unternehmen diese Technologie in ihren eigenen Projekten noch nicht einsetzt.

Technischer Schutz ja, Organisation nein

Die Studie unterscheidet zwischen technischen Massnahmen, die inzwischen weit verbreitet sind, und organisatorischen Massnahmen, die noch Lücken aufweisen. Über 80 Prozent der KMU aktualisieren ihre Software regelmässig, neun von zehn Unternehmen erstellen Backups, und die Mehrfaktor-Authentifizierung ist inzwischen verbreitet. Nur ein Drittel der Unternehmen hingegen schult das Personal regelmässig oder führt ein systematisches Inventar der eigenen IT-Systeme. Notfallpläne, Sicherheitsaudits und Kontrollen der Lieferanten bleiben noch seltener: Nur ein Viertel der Unternehmen überprüft regelmässig, ob die eigenen Backups im Ernstfall tatsächlich wiederherstellbar sind.

Für Marc Peter, Dozent an der Hochschule HES-SO Valais-Wallis und Projektverantwortlicher, beginnt Cybersicherheit nicht bei der Firewall, sondern bei einer klaren digitalen Strategie: Unternehmen mit einer höheren digitalen Reife schätzen sich auch als widerstandsfähiger gegenüber Cyberangriffen ein.

Jesús Pampín, Leiter des Kompetenzzentrums Cyber Risk bei der Mobiliar, betont, dass Informatiksicherheit nicht allein ein Thema der IT-Abteilung bleiben darf: Sie müsse Teil der Strategie und der Verantwortung der Unternehmensleitung werden. Eine Cyberversicherung, so fügt er an, verringere die finanziellen Folgen eines Angriffs, ersetze diese Verantwortung aber nicht.

Fast jedes zweite KMU beurteilt Cybersicherheit heute als wichtig oder sehr wichtig, und rund zwei von fünf Unternehmen planen, ihre Sicherheitsmassnahmen in den nächsten drei Jahren weiter zu verstärken. Für Anu Anthamatten, Projektverantwortliche bei digitalswitzerland, reicht es nicht, nur Daten zu sichern: Unternehmen müssten auch regelmässig überprüfen, ob sie nach einem Vorfall rasch wieder betriebsfähig sind.