Das Risiko ist sichtbar, wird aber uebersehen
Eine neue Deloitte-Studie von August 2026 offenbart eine beunruhigende Wahrnehmungsluecke bei Schweizer KMU: 49% der Mitarbeitenden haben in den letzten drei Monaten einen ernsthaften Cybervorfall erlebt – doch nur 22% schaetzen ihr Risiko als hoch ein. Bei Mikrounternehmen ist die Luecke noch dramatischer: 38% berichten von Vorfaellen, aber nur 15% sehen ein hohes Risiko.
Warum ist dieser Unterschied so kritisch? Weil kuenstliche Intelligenz Cyberangriffe gerade deutlich schneller, skalierbarer und gezielter macht – und KMU, die ihr Risiko unterschaetzen, reagieren zu spaet.
Luecke 1: Grundlegende Massnahmen fehlen bei der Haelfte
Der Deloitte KMU-Cybersicherheitsindex zeigt: Sicherheitsmassnahmen sind im Schnitt nur zu 58 von 100 Punkten umgesetzt. Die groessten Defizite:
- Passwortlose Authentifizierung (biometrisch): nur 45% der Unternehmen
- Single Sign-On (SSO): nur 45%
- Multi-Faktor-Authentifizierung (MFA): 66% – immer noch nicht flaechendeckend
Besonders besorgniserregend: Mikrounternehmen erreichen nur 44 Punkte und fallen damit deutlich zurueck. Schulungen zur Cybersicherheit gibt es dort nur bei 32% (mittlere Unternehmen: 82%). Phishing-Tests fuehren nur 24% der Mikrounternehmen durch – waehrend es bei mittleren Unternehmen 63% sind.
Das bedeutet konkret: Ein durchschnittliches Schweizer KMU haelt etwa 40% seiner Systeme nicht ausreichend gegen Standard-Angriffe geschuetzt.
Luecke 2: Versicherungsschutz ist selten und oft unvollstaendig
Nur 18% der Befragten haben eine spezialisierte Cyberversicherung – und von diesen haben wiederum viele Deckungsluecken, weil ihnen grundlegende Sicherheitsmassnahmen fehlen. Versicherer verlangen MFA, Schulungen und sichere Backup-Prozesse – Anforderungen, die viele KMU (noch) nicht erfuellen.
Einige KMU verfuegen ueber eine allgemeine Betriebshaftpflicht-Police, die Cyberangriffe aber nur begrenzt abdeckt. Das fuehrt zu einer doppelten Verwundbarkeit: technisch unterbehoelt UND nicht hinreichend versichert.
Die KI-Beschleunigung: Phishing und automatisierte Angriffe werden intelligenter
Die KI-Regulierung schreitet voran, aber KI macht Angriffe selbst skalierbar und zielgerichteter. Parallel zur Schweizer KI-Strategie des BAKOM muessen KMU bereits heute handeln:
- KI kann Tausende personalisierte Phishing-Mails in Minuten verfassen
- Kompromittierte Zugangsdaten werden automatisiert getestet
- Manipulierte Zahlungsprozesse werden schneller erkannt und angepasst
Selbst groessere Unternehmen sind verwundbar – bei KMU ist das Risiko deutlich hoeher, weil die technische Reserve fehlt.
Was heisst das fuer Ihr KMU?
Schritt 1: Risikobewusstsein erhoehen. Nicht nur IT-Personal, sondern alle Mitarbeitenden muessen verstehen, dass Cyberbedrohungen universell sind – auch kleine Unternehmen sind attraktive Ziele. Das ist nicht optional, sondern Ueberlebenspolitik.
Schritt 2: Mit den drei Grund-Massnahmen starten. Statt in teuere, komplexe Systeme zu investieren, beginnen Sie mit: (1) Multi-Faktor-Authentifizierung fuer alle kritischen Konten, (2) regelmaeßige Phishing-Tests und Schulungen (monatlich reicht), (3) sichere Backups und ein dokumentiertes Incident-Response-Playbook.
Schritt 3: Versicherungsschutz ueberpruefen. Fragen Sie Ihren Versicherer, ob eine spezialisierte Cyberversicherung wirtschaftlich ist. Viele Schweizer KMU zahlen versteckte Praeemien ueber hoeheres Grundrisiko – eine dedizierte Police ist oft guenstiger.
Schritt 4: KMU-gerechte Expertise holen. Sie muessen kein CISO sein. Competente IT-Dienstleister koennen in 2–3 Tagen eine Sicherheits-Audit machen, die groebsten Luecken schliessen, und die richtigen Prozesse etablieren – ohne ein IT-Team vollzeitig zu beschaeftigen. Vertiefen Sie die Massnahmen mit unserer ki-regelmappe.
