Viele kleine und mittlere Unternehmen gehen davon aus, dass sie für Cyberkriminelle zu unbedeutend sind. Der Gedanke klingt zunächst nachvollziehbar: In einem KMU stehen Kundenprojekte, Personalfragen, Liefertermine und operative Entscheidungen im Vordergrund. Cybersecurity wirkt in diesem Umfeld schnell wie ein Thema für Konzerne, Banken oder internationale Organisationen.

Doch genau diese Annahme ist riskant. Viele Cyberangriffe beginnen heute nicht mit einer bewussten Entscheidung gegen ein bestimmtes Unternehmen, sondern automatisiert. Systeme scannen rund um die Uhr das Internet nach offenen Zugängen, schwachen Passwörtern, veralteter Software, ungepatchten Servern, unsicheren VPN-Zugängen oder fehlender Multi-Faktor-Authentifizierung. Für Angreifer zählt dabei nicht in erster Linie, wie bekannt ein Unternehmen ist. Entscheidend ist, ob der Einstieg einfach genug erscheint.

Gerade deshalb geraten auch KMU ins Visier. Nicht, weil sie zwingend besonders prominent sind, sondern weil sie oft dieselben digitalen Risiken tragen wie grössere Unternehmen, aber weniger Ressourcen für Schutz, Überwachung und laufende Pflege zur Verfügung haben.

Cyberangriffe auf KMU sind längst kein Ausnahmefall mehr

Cyberangriffe gehören heute zum Geschäftsrisiko. Das gilt nicht nur für grosse Unternehmen, sondern ebenso für kleine und mittlere Betriebe. Das Bundesamt für Cybersicherheit BACS erhielt allein im ersten Halbjahr 2025 über 35’000 Meldungen zu Cybervorfällen. Gleichzeitig fühlt sich laut der Schweizer KMU-Cybersicherheitsstudie 2025 nur noch rund jedes zweite bis dritte KMU wirklich gut auf einen Cyberangriff vorbereitet.

Diese Zahlen zeigen, dass die Frage nicht mehr nur lautet, ob ein Unternehmen für Angreifer interessant genug ist. Wichtiger ist, wie einfach es wäre, bei diesem Unternehmen einzudringen. Viele Angriffe laufen automatisiert ab. Angreifer suchen nicht manuell nach einzelnen Firmen und entscheiden dann, welches Unternehmen sie attackieren. Stattdessen werden technische Schwachstellen in grossem Stil gesucht, etwa offene VPN-Zugänge, ungepatchte Systeme, veraltete Firewalls, unsicher konfigurierte WLANs oder schlecht gewartete Netzwerkgeräte wie Drucker, NAS-Systeme oder Router.

Sobald eine solche Schwachstelle sichtbar wird, kann aus einem unbekannten KMU ein potenzielles Ziel werden. Die Unternehmensgrösse spielt dabei eine kleinere Rolle, als viele glauben. Entscheidend ist nicht, ob ein Unternehmen bekannt ist, sondern ob es angreifbar erscheint.

Warum KMU für Angreifer attraktiv sind

Viele KMU haben im Alltag ähnliche digitale Risiken wie grosse Organisationen, verfügen aber über deutlich weniger interne Ressourcen. Die IT wird häufig neben dem Tagesgeschäft betrieben, Sicherheitsprojekte werden verschoben und Updates werden installiert, wenn Zeit dafür bleibt. Zuständigkeiten sind nicht immer eindeutig geregelt, IT-Umgebungen sind über Jahre gewachsen, alte Konten bleiben bestehen und Zugriffsrechte werden nicht regelmässig überprüft. Auch Backups sind zwar oft vorhanden, wurden aber nicht immer sauber getestet.

Aus Sicht eines Angreifers sind solche Bedingungen attraktiv. Ein Unternehmen muss nicht international bekannt sein, um wertvolle Informationen zu besitzen. Auch kleinere Betriebe arbeiten mit Kundendaten, Verträgen, Finanzinformationen, internen Dokumenten, Zugangsdaten, E-Mail-Konten, Lieferantenportalen und Geschäftspartnern. All diese Informationen haben einen Wert und können für Erpressung, Betrug oder weitere Angriffe missbraucht werden.

Bei Cyberangriffen geht es jedoch nicht nur um Daten. Für viele Unternehmen ist eine andere Frage mindestens genauso entscheidend: Was kostet es, wenn der Betrieb stillsteht? Ein Tag ohne Zugriff auf E-Mails, Kundendaten, Projektunterlagen oder Produktionssysteme kann bereits erhebliche Folgen haben. Eine Woche Ausfall kann Aufträge verzögern, Mitarbeitende blockieren, Kundenbeziehungen belasten und Liefertermine gefährden.

Genau dort entsteht häufig der eigentliche Schaden. Nicht jedes Unternehmen besitzt Daten von internationalem Interesse, aber fast jedes Unternehmen hat Prozesse, deren Ausfall teuer wird. Für KMU kann diese Abhängigkeit besonders kritisch sein, weil finanzielle, personelle und organisatorische Reserven oft begrenzter sind als bei grossen Unternehmen.

Ein Angriff beginnt oft unscheinbar

Ein Cyberangriff beginnt selten spektakulär. In der Realität gibt es meist keine dramatische Warnmeldung und keine sofort sichtbare Katastrophe. Häufig beginnt alles mit einer Phishing-Mail, einer Datei aus einer scheinbar vertrauenswürdigen Quelle, einem kompromittierten Passwort, einem Benutzerkonto ohne Multi-Faktor-Authentifizierung oder einem Gerät, das seit Monaten nicht aktualisiert wurde.

Solche Situationen wirken im ersten Moment unscheinbar, sind aber genau deshalb gefährlich. In vielen Fällen reicht ein einzelner Einstiegspunkt aus, um Angreifern Zugang zu weiteren Systemen zu ermöglichen. Von dort aus bewegen sie sich weiter, prüfen Berechtigungen, suchen nach gespeicherten Passwörtern und verschaffen sich Zugriff auf E-Mails, Dateien, Server oder Backup-Systeme.

Die meisten Unternehmen bemerken den Angriff zunächst nicht. Erst später wird sichtbar, was passiert ist: Systeme sind verschlüsselt, Kundendaten fehlen, Mitarbeitende können nicht arbeiten, Produktionsanlagen stehen still oder E-Mail-Konten werden missbraucht. Auch Lieferanten oder Kunden können betroffen sein, wenn gefälschte Nachrichten im Namen des Unternehmens versendet werden.

Spätestens dann ist Cybersecurity kein reines IT-Thema mehr. Ein Sicherheitsvorfall wird zu einem geschäftskritischen Ernstfall, der Entscheidungen der Geschäftsleitung, Kommunikation mit Kunden, operative Abläufe und finanzielle Stabilität gleichzeitig betrifft.

Warum ein einzelner Vorfall für KMU besonders gefährlich ist

Grosse Unternehmen verfügen häufig über spezialisierte Security-Teams, Krisenprozesse, externe Incident-Response-Partner, Notfallpläne und grössere Budgets. Viele KMU haben diese Reserven nicht in vergleichbarem Umfang. Wenn ein Angriff passiert, trifft er den laufenden Betrieb deshalb oft unmittelbar.

In dieser Situation muss die Geschäftsleitung Entscheidungen treffen, während wichtige Informationen fehlen. Mitarbeitende improvisieren, Kunden fragen nach, Lieferanten warten auf Antworten und die IT versucht gleichzeitig, den Vorfall zu verstehen, den Schaden zu begrenzen und den Betrieb wiederherzustellen. Besonders kritisch wird es, wenn Backups fehlen, veraltet sind oder selbst betroffen sind, weil sie in derselben Infrastruktur liegen.

Dann kann aus einem technischen Vorfall schnell eine mehrwöchige Krise werden. Ein einzelner Tag Stillstand ist bereits ärgerlich, eine Woche Stillstand ist teuer, und mehrere Wochen eingeschränkter Betrieb können für ein KMU existenzbedrohende Folgen haben. Genau deshalb reicht es nicht, IT-Sicherheit als Zusatzthema zu behandeln, das man angeht, wenn Zeit, Budget oder Druck vorhanden sind.

Angreifer warten nicht auf das nächste Budgetfenster

In vielen Unternehmen wird IT-Sicherheit verbessert, wenn gerade Kapazität dafür vorhanden ist. Das kann nach einem abgeschlossenen Projekt sein, im nächsten Budgetfenster oder dann, wenn der Druck von aussen zunimmt. Dieses Vorgehen ist menschlich nachvollziehbar, aber aus Sicherheitssicht gefährlich.

Angreifer warten nicht auf interne Prioritäten. Sie warten nicht darauf, bis ein Unternehmen bereit ist, sondern suchen kontinuierlich nach Schwachstellen. Wenn eine offene Lücke gefunden wird, kann sie genutzt werden, unabhängig davon, ob intern gerade ein Sicherheitsprojekt geplant war oder nicht.

Durch künstliche Intelligenz werden bestimmte Angriffe zusätzlich einfacher skalierbar. Phishing-Mails lassen sich besser formulieren, glaubwürdiger übersetzen und stärker personalisieren. Social-Engineering-Angriffe wirken professioneller, und technische Schwachstellen können schneller ausgewertet und priorisiert werden. Das bedeutet nicht, dass jedes KMU sofort Ziel eines hochkomplexen Angriffs wird. Es bedeutet aber, dass einfache Schutzlücken schneller und in grösserem Umfang ausgenutzt werden können.

IT-Sicherheit ist kein einmaliges Projekt

Viele Unternehmen betrachten IT-Sicherheit wie ein abgeschlossenes Projekt. Man führt eine Lösung ein, erstellt ein Konzept, installiert eine Firewall, richtet Backups ein, kauft einen Passwortmanager oder führt eine Schulung durch. Danach gilt das Thema häufig als erledigt.

Sicherheit funktioniert jedoch nicht als einmaliger Zustand. Eine Firewall kann heute korrekt konfiguriert sein und morgen durch eine neue Schwachstelle zum Risiko werden. Ein Benutzerkonto kann heute notwendig sein und in sechs Monaten vergessen sein. Ein Gerät kann heute sicher wirken und später veraltete Software enthalten. Ein Mitarbeitender kann heute geschult sein und morgen eine perfekt formulierte Phishing-Mail erhalten.

Gerade für KMU ist dieser Gedanke wichtig. Es geht nicht darum, alles perfekt zu machen oder ein überkompliziertes Sicherheitsmodell aufzubauen. Entscheidend ist, die wichtigsten Grundlagen konsequent umzusetzen und regelmässig zu überprüfen. Sicherheit ist laufende Pflege, nicht ein Haken auf einer Projektliste.

Welche Grundlagen für KMU besonders wichtig sind

Wirksame IT-Sicherheit muss nicht kompliziert beginnen. Für viele KMU entsteht bereits ein deutlich besseres Sicherheitsniveau, wenn zentrale Grundlagen sauber umgesetzt werden. Dazu gehören Multi-Faktor-Authentifizierung für wichtige Konten und externe Zugänge, professionelles Passwortmanagement statt Passwörter in E-Mails, Excel-Listen oder Browsern sowie regelmässige Updates für Server, Arbeitsgeräte, Firewalls, Router, Drucker und weitere Netzwerkgeräte.

Ebenso wichtig sind klare Zugriffsrechte nach dem Prinzip „so viel wie nötig, so wenig wie möglich“, saubere Backup- und Wiederherstellungsprozesse, sichere WLAN-Konfigurationen und eine klare Trennung von Gästenetzwerken oder unsicheren Geräten. Unternehmen sollten ausserdem wissen, wer auf welche Systeme und Daten zugreifen kann, und Mitarbeitende regelmässig für Phishing, Betrug und unsichere Workarounds sensibilisieren.

Nicht Perfektion entscheidet, sondern konsequente Umsetzung. Viele Sicherheitslücken entstehen nicht, weil Schutzmassnahmen unbekannt wären, sondern weil sie im Alltag nicht sauber gepflegt, überprüft oder durchgesetzt werden.

Die eigentliche Herausforderung liegt in der Kontinuität

Viele KMU wissen grundsätzlich, welche Massnahmen wichtig wären. Das Problem ist selten das fehlende Bewusstsein, sondern die Umsetzung im laufenden Betrieb. Im Alltag fehlt oft die Zeit, Zuständigkeiten sind unklar, die interne IT ist bereits ausgelastet oder externe Dienstleister kümmern sich nur um einzelne Themen, ohne das Gesamtbild dauerhaft im Blick zu behalten.

Das ist nicht ungewöhnlich. Wichtig ist jedoch, diese Verantwortung nicht dem Zufall zu überlassen. Wenn intern Zeit, Ressourcen oder spezialisiertes Wissen fehlen, sollte IT-Sicherheit kontinuierlich mit einem verlässlichen Partner gepflegt werden. Entscheidend ist, dass Sicherheit nicht erst nach einem Vorfall betrachtet wird, sondern laufend Teil der Unternehmensführung bleibt.

Echte Sicherheit entsteht nicht durch eine einzelne Software, ein einmaliges Projekt oder eine Richtlinie, die niemand überprüft. Sie entsteht durch klare Prozesse, regelmässige Kontrolle und pragmatische Massnahmen, die zum Alltag des Unternehmens passen.

Fazit: Die gefährlichste Annahme lautet nicht „Wir sind zu klein“

Die gefährlichste Annahme ist nicht, dass ein Unternehmen zu klein sein könnte. Gefährlicher ist der Gedanke, dass schon nichts passieren wird. Oft reicht eine einzige Schwachstelle aus, um Tage oder Wochen von Chaos, Stillstand und finanziellen Schäden auszulösen. Im schlimmsten Fall kann ein solcher Vorfall für ein KMU existenzbedrohende Folgen haben.

Wer sein Unternehmen schützen möchte, muss nicht alles selbst machen. Er sollte aber sicherstellen, dass sich jemand konsequent darum kümmert. Genau dort beginnt sinnvolle IT-Sicherheit: pragmatisch, verständlich und kontinuierlich.