Mehr IT-Sicherheit mit wenig Aufwand: 5 Quick Wins für KMU

 Wenn im Frühling die Sonne tiefer steht, sieht man den Staub, den man im Alltag übersieht. In der IT‑Security ist es ähnlich: Solange alles läuft, wirkt vieles «sauber genug». Erst wenn ein Vorfall eintritt, erkennt man, wo sich über Monate oder sogar Jahre Risiken angesammelt haben. 

Warum fühlen sich KMU trotz Sicherheitsmassnahmen

immer weniger geschützt?

Die Studie «KMU Cybersicherheit 2025» liefert dazu eine nüchterne Standortbestimmung. 4 Prozent der befragten KMU geben an, in den letzten drei Jahren Opfer eines Cyberangriffs geworden zu sein. 5 Prozent wurden bereits erpresst, 4 Prozent haben aufgrund betrügerischer E‑Mails Geld überwiesen. Gleichzeitig sinkt das Sicherheitsgefühl: 2024 fühlten sich 57 Prozent sicher, 2025 sind es nur noch 52 Prozent. Auch die Einschätzung der eigenen Cyber‑Resilienz (also die Fähigkeit, einen Angriff zu überstehen und rasch wieder handlungsfähig zu sein) fällt: Nur noch 42 Prozent halten ihren Schutz im Ernstfall für ausreichend.

Dieser Blog ist bewusst pragmatisch: ein Security‑Frühlingsputz mit fünf Quick Wins – denn Angstmacherei gibt es bereits genug. Mit einem Security Operations Center, kurz SOC, übergeht das Projekt Security in den laufenden Betrieb. Das ist gerade für KMU sinnvoll. Hier erläutern wir Ihnen unter anderem wieso.

Sie möchten das Thema SOC strukturiert angehen, ohne sich durch Buzzwords zu kämpfen?
Dann empfehlen wir Ihnen unseren Leitfaden speziell für KMU.

Was zeigt die «Lage der Nation» 2025 in Zahlen?

Schweizer KMU nehmen Cyberkriminalität ernst, doch das Sicherheitsgefühl sinkt. Gleichzeitig werden technische Grundlagen oft umgesetzt, während organisatorische Massnahmen deutlich häufiger fehlen.
Die Studie zeigt: 88 Prozent der Befragten halten Cyberkriminalität für ein ernstzunehmendes Problem. Trotzdem planen nur noch 40 Prozent der Unternehmen, ihre Cybersicherheitsmassnahmen in den nächsten ein bis drei Jahren zu erhöhen.

Bei den technischen Massnahmen stehen viele KMU grundsätzlich gut da. Häufig umgesetzt sind etwa regelmässige Software Updates (81 Prozent), WLAN Absicherung durch Passwörter (81 Prozent) sowie Firewalls (68 Prozent). Auch das Testen der Wiederherstellbarkeit von Backups (61 Prozent) ist bei einem relevanten Teil etabliert.

Organisatorische Massnahmen sind deutlich seltener. Nur 20 Prozent führen IT Sicherheitsaudits durch, und lediglich 30 Prozent verfügen über ein Sicherheitskonzept. Awareness bleibt ein Schwachpunkt. Betrügerische E-Mails verursachen reale Schäden, während Schulungen nur sporadisch stattfinden. Genau hier entscheidet sich im Ernstfall, ob ein Vorfall schnell erkannt und sauber bewältigt wird.

Wo sammeln sich in KMU typischerweise die «Staubschichten» der IT-Sicherheit?

Ein Frühlingsputz scheitert selten am Staubsauger, sondern daran, dass niemand weiss, wer was macht. In der IT‑Security ist es ähnlich: Tools sind vorhanden, doch Betrieb, Rollen und Abläufe sind oft unklar. Die Studie zeigt, dass in vielen KMU Cybersecurity keine klar definierte Verantwortung hat, was im Incident zu Verzögerungen führt. Auch Backups sind ein Beispiel: 9 Prozent der KMU sichern nicht regelmässig, und selbst vorhandene Backups werden selten auf Wiederherstellbarkeit geprüft. Zudem bleibt Awareness ein Schwachpunkt, denn betrügerische Mails verursachen reale Schäden, während Schulungen nur sporadisch stattfinden. Damit ist die Ausgangslage klar: Es braucht weniger neue Tools, sondern zuerst Ordnung, klare Abläufe und Prioritäten.