Im Homeoffice beruht die IT-Sicherheit eines Schweizer kleinen oder mittleren Unternehmens (KMU) auf klaren Regeln für Geräte, Zugänge, Konten und Daten. Das Bundesamt für Cybersicherheit (BACS) zählt die Absicherung von Fernzugriffen zu seinen sechs technischen Grundmassnahmen. Dazu kommen organisatorische Massnahmen wie die Mehr-Faktor-Authentifizierung und die Sensibilisierung des Personals.
Diese Regeln ergänzen die Grundlagen der Cybersicherheit für KMU, die auch im Büro gelten. Diese Seite behandelt nur die Arbeit aus der Ferne.
Der Bedarf ist real. Gemäss der Studie Cybersicherheit in KMU 2026, veröffentlicht am 22. Oktober 2026, waren 6 Prozent der Schweizer KMU in drei Jahren Opfer eines schweren Cyberangriffs.
Kennzahlen
- 6 Prozent der Schweizer KMU waren in drei Jahren Opfer eines schweren Cyberangriffs, bei jenen mit mindestens zehn Mitarbeitenden sind es bis zu 16 Prozent.
- Phishing, Passwortdiebstahl, Schadsoftware und Angriffe auf Netzwerke und Server spielen jeweils bei rund einem Drittel der Vorfälle eine Rolle.
- Über 80 Prozent der KMU installieren Updates, und neun von zehn machen Datensicherungen.
- Nur ein Viertel der KMU testet regelmässig die Wiederherstellung seiner Datensicherungen.
- Nur rund ein Drittel schult regelmässig sein Personal oder führt ein Inventar seiner IT-Systeme.
Warum verändert das Homeoffice die IT-Sicherheit?
Gemäss dem BACS erfolgen Cyberangriffe über das Personal, aber oft auch über ungenügend geschützte IT-Systeme.
Die Angriffe, die Schweizer KMU erleben, sind vielfältig. In der Studie 2026 spielen Phishing, Passwortdiebstahl, Schadsoftware und Angriffe auf Netzwerke und Server jeweils bei rund einem Drittel der Vorfälle eine Rolle.
Unsere Einschätzung: Die Arbeit aus der Ferne betrifft alle vier Wege zugleich. Die Mitarbeiterin oder der Mitarbeiter liest E-Mails allein, verbindet sich aus einem anderen Netzwerk und nutzt ein Gerät, das das Unternehmen nicht mehr jeden Tag sieht.
Welche Regeln gelten für Geräte, die aus der Ferne genutzt werden?
Die erste Regel besteht darin, zu wissen, welche Geräte das Unternehmen verlassen. Das BACS stellt die Erfassung der Umgebung der Informations- und Kommunikationstechnologien (IKT) an die Spitze seiner technischen Massnahmen. Es geht darum zu wissen, welche Geräte, Software und Dienste das Unternehmen nutzt.
Danach folgen drei Handgriffe, die das Amt ebenfalls zu seinen technischen Massnahmen zählt:
- Sicherheitsupdates installieren;
- Virenschutz und Firewalls einsetzen;
- Daten sichern.
Über 80 Prozent installieren Updates, gemäss der Studie 2026. Doch nur rund ein Drittel führt ein Inventar seiner IT-Systeme.
Datiertes Beispiel: Am 21. Oktober 2026 forderte das BACS dazu auf, die Patches für zwei kritische Schwachstellen in PHP, einer Programmiersprache für das Web, umgehend zu installieren. Es empfahl, auch die Anwendungen und Geräte zu prüfen, die PHP enthalten. Unsere Einschätzung: Ohne Inventar weiss ein KMU nicht, welche Arbeitsplätze und Fernwerkzeuge es prüfen muss.
Wie sichert man Fernzugriffe und das Netzwerk ab?
Das BACS nennt zwei Massnahmen, die direkt auf die Arbeit aus der Ferne zielen: Fernzugriffe absichern und Netzwerke segmentieren. Die Segmentierung soll verhindern, dass ein Eindringling das ganze System erreicht.
Nicolas Mayencourt, Gründer des Berner Unternehmens Dreamlab Technologies, empfiehlt die Zwei-Faktor-Authentifizierung für sensible Systeme. Laut ihm verhindern diese grundlegenden Vorkehrungen, dass sich Angreifer frei im Netzwerk ausbreiten.
Unsere Einschätzung: Für ein KMU lässt sich die Regel so zusammenfassen. Ein gehackter Computer zu Hause darf nur die Systeme öffnen, die sein Nutzer braucht. Die Grundschutz-Seite des BACS führt nicht aus, welche Technik dafür einzusetzen ist.
Welche Regeln gelten für Konten und Passwörter?
Die Konten sind der am stärksten exponierte Punkt, wenn sich das Team von aussen verbindet. Das BACS zählt die Verwendung sicherer Passwörter und der Mehr-Faktor-Authentifizierung zu seinen organisatorischen Massnahmen.
Am 19. Oktober 2026 veröffentlichte das BACS «Fünf Schritte zu einer sicheren Authentifizierung». Das Amt geht darin Passwort, Passkey und Chipkarte durch. Es schlägt vor, die Authentifizierungsmittel nach der Sicherheit einzuordnen, die sie bieten.
Die Mehr-Faktor-Authentifizierung ist in Schweizer KMU bereits verbreitet, gemäss der Studie 2026. Unsere Einschätzung: Die nützliche Regel besteht darin, sie für jeden Fernzugriff vorzuschreiben, beginnend mit dem E-Mail-Dienst und den sensiblen Systemen.
Die Berechtigungen zählen ebenso wie die Passwörter. In unserem Artikel über die Netzwerke falscher IT-Fachleute hielten wir eine bewährte Praxis fest: einer neuen Mitarbeiterin oder einem neuen Mitarbeiter aus der Ferne nur die nötigen Berechtigungen zu geben.
Wie schützt man Daten ausserhalb des Büros?
Das BACS verlangt, den Umgang mit Informationen und sensiblen Daten zu regeln. Im Homeoffice deckt diese Regel mitgenommene Dateien, Online-Werkzeuge und Dienste der künstlichen Intelligenz (KI) ab.
Am 16. Oktober 2026 erinnerte das BACS an ein bestimmtes Risiko. Wer persönliche, vertrauliche oder geschäftliche Informationen unbedacht in eine KI eingibt, kann zu viele Daten preisgeben.
Datensicherungen ergänzen dieses Dispositiv. Neun von zehn KMU machen welche, aber nur ein Viertel testet regelmässig deren Wiederherstellung, gemäss der Studie 2026. Nicolas Mayencourt empfiehlt regelmässige Datensicherungen, die offline aufbewahrt werden.
Das BACS verlangt zudem, die Verantwortlichkeiten für die Cloud und die ausgelagerte Informatik zu regeln. Unsere Einschätzung: Wenn das Team aus der Ferne arbeitet, muss das Unternehmen wissen, welcher Dienstleister welche Daten aufbewahrt.
Wie bereitet man ein Team im Homeoffice auf Phishing vor?
Das Personal spielt im Alltag eine entscheidende Rolle für die Informationssicherheit, betont das BACS. Das Amt empfiehlt, es zu sensibilisieren und eine Meldekultur zu fördern. Es rät zudem zur Vorsicht bei E-Mails und zum Schutz des E-Bankings.
Die Betrugsmaschen ändern sich schnell. Am 20. Oktober 2026 beschrieb das BACS eine neue Phishing-Variante im Zusammenhang mit gefälschten Hotelbuchungen. Die Betrüger versuchten dabei, die Kontrolle über TWINT- und E-Banking-Konten zu übernehmen.
Dieser Bereich bleibt in den KMU der schwächste. Nur rund ein Drittel schult regelmässig sein Personal, gemäss der Studie 2026. Unsere Einschätzung: Aus der Ferne setzt eine Meldekultur eine allen bekannte Ansprechperson voraus, die bei einer verdächtigen Nachricht schnell erreichbar ist.
Rekrutieren aus der Ferne: Welche Risiken für die Sicherheit?
Das Homeoffice eröffnet auch bei der Rekrutierung ein Risiko. Datiertes Beispiel: Im Oktober 2026 gab die US-Justiz die Anklage gegen 14 Personen in Netzwerken nordkoreanischer IT-Fachleute bekannt, die aus der Ferne beschäftigt waren.
Laut den Staatsanwälten nutzten diese falschen Angestellten gestohlene Identitäten und virtuelle private Netzwerke (VPN), um den Anschein zu erwecken, in den Vereinigten Staaten ansässig zu sein. Über 70 Arbeitgeber sind betroffen. Die Vorwürfe müssen vor Gericht erst noch bewiesen werden.
Unter den genannten Arbeitgebern befindet sich kein Schweizer Unternehmen. Unsere Einschätzung, abgeleitet aus diesem Fall, hält einige Warnsignale für ein KMU fest, das aus der Ferne einstellt:
- Eine IP-Adresse beweist nicht, wo der Nutzer wohnt;
- die Identität wird über die zugesandten Dokumente hinaus überprüft, zum Beispiel durch ein Videogespräch;
- eine Lieferadresse für die Ausrüstung, die vom angegebenen Wohnsitz abweicht, verdient eine Nachfrage;
- ein Fernsteuerungswerkzeug oder eine KVM-Box, die mehrere Rechner aus der Ferne steuert, muss untersucht werden;
- ein Lohn, der auf das Konto einer Drittperson überwiesen wird, muss alarmieren.
Welche Regeln gehören in eine Homeoffice-Richtlinie?
Eine Homeoffice-Richtlinie kann die Massnahmen des BACS Bereich für Bereich übernehmen. Die Tabelle fasst sie zusammen.
| Bereich | Festzulegende Regel | Referenzmassnahme |
|---|---|---|
| Geräte | Jeden Arbeitsplatz inventarisieren, aktuell halten, mit Virenschutz und Firewall ausstatten | Technische Massnahmen des BACS |
| Netzwerk | Fernzugriffe absichern und das Unternehmensnetzwerk segmentieren | Technische Massnahmen des BACS |
| Zugänge und Konten | Sichere Passwörter, Mehr-Faktor-Authentifizierung, Berechtigungen auf das Nötige beschränkt | Organisatorische Massnahmen des BACS |
| Daten | Den Umgang mit sensiblen Daten regeln, Daten sichern und die Wiederherstellung testen | Massnahmen des BACS und Studie 2026 |
| Personal | Zu Phishing schulen und festlegen, wem ein Vorfall zu melden ist | Organisatorische Massnahmen des BACS |
Wer muss diese Regeln im KMU festlegen?
Die Geschäftsleitung, antwortet das BACS. Für das Amt ist Cybersicherheit keine blosse Aufgabe der IT-Abteilung, sondern eine zentrale Aufgabe der Geschäftsleitung.
Wenn eine Massnahme viel kostet oder viel Personal erfordert, empfiehlt das BACS eine Interessenabwägung. Sie vergleicht die Kosten der Massnahme mit dem Risiko, nichts zu ändern. Die Studie 2026 stellt im Übrigen fest, dass mehr KMU eine verantwortliche Person für Cybersicherheit bestimmen.
Mehrere Werkzeuge helfen, den eigenen Ausgangspunkt zu bestimmen. Der kostenlose Cybersicherheitstest für KMU, der Cybersecurity-Check, dauert wenige Minuten. Der IKT-Minimalstandard des Bundes dient als Checkliste. Das Label Cyber Safe fügt eine Prüfung durch einen Auditor hinzu. Weitere Seiten finden sich in unserer Rubrik, um das eigene Unternehmen zu schützen.
Was man noch nicht weiss
Der Anteil der Schweizer KMU, die schriftliche Regeln für das Homeoffice festgelegt haben, ist nicht bekannt. Unbekannt ist auch, ob die in der Studie 2026 erfassten Angriffe häufiger auf Mitarbeitende im Homeoffice zielten.
Der Grundschutz des BACS sieht keine separate Regel für die Arbeit zu Hause vor. Er entscheidet auch nicht über den Fall privater Geräte, die für die Arbeit genutzt werden.
