Ein Schweizer KMU kann einen ersten Cybersicherheitstest gratis und rasch durchführen: mit dem Cybersecurity-Check, einem Instrument, das aus der nationalen Strategie hervorgegangen ist und im November 2025 überarbeitet wurde. Diese Selbstbeurteilung zeigt in wenigen Minuten, wo das Unternehmen verwundbar ist und wo es ansetzen sollte. Sie ersetzt kein Cybersecurity-Audit, hilft aber, eines vorzubereiten und Prioritäten zu setzen.
Der Bedarf ist real: Laut der Studie «KMU Cybersicherheit 2026» der Mobiliar, veröffentlicht im Oktober 2026, fehlen vielen KMU Sicherheitskonzepte, Notfallpläne und Audits. Diese Seite behandelt nur die Beurteilung. Die Schutzmassnahmen selbst sind in unserem Ratgeber zu den Grundlagen der Cybersicherheit für KMU beschrieben.
Kennzahlen
- Den Cybersecurity-Check gibt es seit 2020; seine Version 4.0 stammt vom November 2025.
- Er ist in vier Sprachen verfügbar: Deutsch, Englisch, Französisch und Italienisch.
- 6 % der befragten KMU erlitten innerhalb von drei Jahren einen Cyberangriff mit schwerwiegenden Folgen, gegenüber 4 % in den Ausgaben 2024 und 2025 der Studie.
- Bei KMU mit mindestens zehn Mitarbeitenden erreicht dieser Anteil bis zu 16 %.
- 45 % der KMU halten Cybersicherheit für wichtig oder sehr wichtig, gegenüber 33 % im Jahr 2025.
- Nur 36 % finden, dass sich Schutzmassnahmen einfach umsetzen lassen.
Was ist der Cybersecurity-Check für KMU?
Der Cybersecurity-Check ist ein Selbstbeurteilungsinstrument für kleine und mittlere Unternehmen. Sein Versprechen lässt sich in einem Satz zusammenfassen: kostenlos und in wenigen Minuten herausfinden, wie gut das Unternehmen gegen Cyberrisiken geschützt ist und wo es handeln muss.
Das Instrument hat einen öffentlichen Ursprung. Seine erste Version wurde 2020 im Rahmen der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken entwickelt. Im November 2025 wurde es gemeinsam mit mehreren Partnern vollständig überarbeitet.
Der Check lässt sich über die Website cybersecurity-check.ch herunterladen. Die Version 4.0 ist auf Deutsch, Englisch, Französisch und Italienisch verfügbar und damit in allen Sprachregionen nutzbar.
Was misst ein Cybersicherheitstest für KMU?
Ein Cybersicherheits-Check für Unternehmen nimmt die häufigsten Schwachstellen unter die Lupe. Die Website des Cybersecurity-Check nennt vier häufige Ursachen erfolgreicher Angriffe auf KMU:
- ungenügend geschützte Systeme und Prozesse;
- veraltete Software und IT-Infrastruktur;
- Täuschung durch Social Engineering, also die Manipulation von Menschen;
- ungenügende Vorbereitung auf Sicherheitsvorfälle.
Diese vier Achsen decken sich mit den tatsächlich erlebten Angriffen. In der Studie der Mobiliar nennen die betroffenen KMU vor allem Phishing, das Knacken von Passwörtern, Schadsoftware sowie Angriffe auf Netzwerke und Server. Jeder dieser Wege spielt bei rund einem Drittel der gemeldeten Vorfälle eine Rolle.
Unsere Analyse: Ein guter Test beschränkt sich also nicht auf die Technik. Zwei der vier Achsen betreffen die Menschen und die Organisation, also genau dort, wo die Studie den Rückstand der KMU verortet.
Test, Check oder Cybersecurity-Audit für KMU: Was ist der Unterschied?
Die verfügbaren Instrumente beantworten nicht dieselbe Frage. Die Tabelle fasst zusammen, was unsere Quellen über jedes von ihnen sagen.
| Instrument | Wozu es dient | Seine Grenze |
|---|---|---|
| Cybersecurity-Check | Das Schutzniveau kostenlos selbst beurteilen und Handlungsbedarf erkennen | Er beruht auf den Antworten des Unternehmens selbst |
| KI-Assistent der Studie «KMU Cybersicherheit 2026» | Fragen zu den Ergebnissen und Empfehlungen der Studie beantworten, ausschliesslich gestützt auf deren Dokumente | Er gibt keine individuelle Sicherheitsberatung |
| Website des Bundesamts für Cybersicherheit (BACS) | Warnungen verfolgen, einen Vorfall oder eine Schwachstelle melden | Für ein KMU bleibt die Meldung freiwillig; die Pflicht gilt seit dem 1. April 2025 für kritische Infrastrukturen |
| Cybersecurity-Audit | Prüfung, die die Studie zu den Elementen zählt, die KMU oft fehlen | Unsere Quellen nennen weder Inhalt noch Kosten |
Unsere Analyse: Der Check dient als Ausgangspunkt. Er liefert ein erstes Bild, das das Unternehmen anschliessend bei einem Audit mit der Sicht einer Fachperson abgleichen kann.
Warum überschätzt ein KMU sein Niveau oft?
Die Studie der Mobiliar beschreibt eine Lücke zwischen der wahrgenommenen und der tatsächlich organisierten Resilienz. Fast die Hälfte der KMU hält sich für gut informiert über die Bedrohungen, die sie betreffen. Viele geben zudem an zu wissen, an wen sie sich im Notfall wenden können.
Dennoch fehlen oft Sicherheitskonzepte, Notfallpläne und Audits. Laut der Studie beurteilen viele KMU ihre Resilienz anhand ihres persönlichen Wissens statt anhand einer organisierten Vorbereitung.
Bei der Präsentation der Studie am 22. Oktober 2026 fasste das BACS den Befund so zusammen: Viele Unternehmen sind technisch gut geschützt, müssen sich aber organisatorisch noch verbessern. Ein strukturierter Test macht diese Lücke sichtbar, Frage für Frage.
Die Bedrohungen ihrerseits entwickeln sich weiter. Laut der Studie erwarten 81 % der KMU eine Zunahme der Cyberbedrohungen im Zusammenhang mit künstlicher Intelligenz. Doch nur 29 % planen zusätzliche Massnahmen.
Was tun mit den Testergebnissen?
Das Ergebnis eines Tests dient zuerst dazu, die Baustellen zu ordnen. Organisatorische Schwachstellen verdienen ebenso viel Aufmerksamkeit wie technische Lücken, da die Studie dort den grössten Rückstand verortet.
Auf organisatorischer Ebene betont die Studie den Nutzen klarer Zuständigkeiten, definierter Prozesse und von Notfallkonzepten. Marc K. Peter, Professor an der Fachhochschule Westschweiz (HES-SO), ist der Ansicht, dass Cybersicherheit mit einer klaren Digitalstrategie beginnt und nicht mit der Firewall.
Auf technischer Ebene haben Updates weiterhin Vorrang. Ein datiertes Beispiel: Am 21. Oktober 2026 empfahl das BACS, die Patches für zwei kritische Schwachstellen in PHP, das namentlich auf Webservern läuft, umgehend zu installieren.
Die Zugänge sind eine weitere häufige Baustelle. Am 19. Oktober 2026 veröffentlichte das BACS «Fünf Schritte zu einer sicheren Authentifizierung». Es schlägt eine Einstufung der Authentifizierungsmittel wie Passwort, Passkey oder Chipkarte nach der Sicherheit vor, die sie bieten.
Schliesslich kann ein Testergebnis zeigen, dass das Unternehmen nicht weiss, wen es alarmieren soll. Das BACS nimmt freiwillige Meldungen von Cybervorfällen aus Unternehmen entgegen und unterstützt diese beim weiteren Vorgehen. Laut der Studie wären 40 % der KMU bereit, einen solchen Vorfall zu melden.
Der Cybersecurity Hub des BACS ist eine weitere, noch wenig genutzte Ressource. Er richtet sich in erster Linie an Betreiber kritischer Infrastrukturen und deren Dienstleister, doch auch KMU können sich anschliessen. Laut der Studie nutzen ihn rund 7 % der KMU oder ihrer IT-Dienstleister.
Diese Ressourcen und weitere konkrete Massnahmen finden Sie in unserer Rubrik, um das eigene Unternehmen zu schützen.
Was noch nicht bekannt ist
Die Präsentationsseite des Cybersecurity-Check nennt weder die Anzahl der Fragen noch die Art, wie das Ergebnis berechnet wird. Unsere Quellen nennen auch weder Preise noch ein typisches Pflichtenheft für ein Cybersecurity-Audit für KMU.
Die Studie der Mobiliar beruht auf 507 Interviews mit Führungskräften von KMU mit 1 bis 49 Mitarbeitenden, durchgeführt von YouGov Schweiz vom 24. Juni bis 10. Juli 2026. Die Ergebnisse beschreiben, was die Unternehmen angeben, nicht eine Prüfung ihrer Systeme.
