Die IT-Sicherheit eines Schweizer KMU beruht zunächst auf einigen grundlegenden Massnahmen: Updates rasch installieren, Zugänge schützen, das Team auf Phishing schulen und wissen, wen man bei einem Vorfall anruft. Das Bundesamt für Cybersicherheit (BACS), das Kompetenzzentrum des Bundes, veröffentlicht Warnungen und Empfehlungen für Unternehmen und nimmt deren Meldungen entgegen. Diese Massnahmen zählen, denn ein Drittel der Schweizer KMU war laut dem Magazin PME bereits Opfer eines Cyberangriffs.
Diese Seite bietet einen Überblick über das Thema. Sie ergänzt die Rubrik sein Unternehmen schützen und unterscheidet zwischen dem, was die Quellen sagen, und unserer eigenen Analyse.
Kennzahlen
- Ein Drittel der Schweizer KMU war laut dem Magazin PME bereits Opfer eines Cyberangriffs.
- Das Govcert des BACS stuft Vorfälle nach einem Modell mit vier Stufen ein, von «gering» bis «kritisch».
- Die Pikett-Hotline des BACS ist 24h/24 erreichbar.
- Betreiber kritischer Infrastrukturen müssen ihre Cybervorfälle seit dem 1. April 2025 dem BACS melden.
- Am 21. Oktober 2026 meldete das BACS zwei kritische Schwachstellen in PHP, die ohne Authentifizierung ausgenutzt werden können.
Warum gerät ein kleines Unternehmen ins Visier?
Ein KMU muss nicht gezielt ausgewählt werden, um getroffen zu werden. Viele Angriffe sind automatisiert: Sie durchsuchen das Internet nach verwundbarer Software, unabhängig davon, wem sie gehört.
Das Onlinemagazin Republik hat dies 2026 erlebt. Unbekannte nutzten eine Lücke in Metabase aus, einem Werkzeug zur Datenanalyse. Vieles deutet auf eine breite, automatisierte Welle hin, die alle Installationen dieses Werkzeugs ins Visier nahm. Die Angreifer suchten dort nach Zugangsdaten und Schlüsseln für Dienste der künstlichen Intelligenz, die sich weiterverkaufen lassen.
Das zweite Risiko läuft über Dienstleister. Ende September 2026 ermöglichte ein Angriff auf einen Softwarelieferanten den Diebstahl von Daten der Pensionskasse der Stadt Zürich. Auch die Bernische Pensionskasse und die Bernische Lehrerversicherungskasse verloren Daten über einen externen Lieferanten. Dieser Mechanismus heisst Lieferkettenangriff.
Unsere Analyse: Für ein KMU endet der Schutz also nicht bei den eigenen Computern. Er setzt voraus, dass es weiss, welche Dienstleister seine Daten besitzen.
Warum kommen Updates zuerst?
Eine bekannte Lücke wird zum Einfallstor, sobald Angreifer wissen, wie sie sie ausnutzen können. Der Patch schützt nur, wenn er installiert ist.
Der Fall Republik veranschaulicht dies. «Die Sicherheitslücke war seit dem 6. August bekannt, doch wir haben die nötigen Gegenmassnahmen nicht rechtzeitig ergriffen», räumte das Magazin ein. Ein unbefugter Zugriff lief seit August.
Ein datiertes Beispiel: Am 21. Oktober 2026 empfahl das BACS, Systeme mit PHP umgehend zu aktualisieren. Zwei kritische Schwachstellen konnten es ermöglichen, ohne Authentifizierung Schadcode auf einem Server auszuführen. Das Amt forderte dazu auf, Webserver zu überprüfen, aber auch Anwendungen und Geräte, die PHP als Komponente enthalten.
Für ein KMU betrifft dieser Rat auch die Website, den Onlineshop und die Werkzeuge, die bei einem Dienstleister gehostet sind. Roman Hüssy, Co-Leiter des Govcert beim BACS, nennt einen häufigen Fehler: nur einen Teil der Empfehlungen umzusetzen, was es den Angreifern erlaubt, sich auszubreiten.
Passwort oder Zwei-Faktor-Authentifizierung: Was wählen?
Die Authentifizierung ist die Kontrolle, welche die Identität einer Person prüft, bevor ihr ein System geöffnet wird. Gestohlene Zugangsdaten sind ein Ziel an sich, wie die Suche nach Zugangsschlüsseln im Fall Republik gezeigt hat.
Am 19. Oktober 2026 veröffentlichte das BACS «Fünf Schritte zu einer sicheren Authentifizierung». Das Amt vergleicht darin mehrere Mittel: Passwort, Passkey oder Chipkarte. Es schlägt eine Einstufung der Authentifizierungsmittel, -verfahren und -dienste nach der Sicherheit vor, die sie bieten.
Unsere Analyse: Ein KMU tut gut daran, seine sensiblen Zugänge zu inventarisieren, etwa E-Mail, E-Banking oder die Verwaltung der Website. Danach kann es für jeden Zugang ein stärkeres Mittel als ein einfaches Passwort wählen.
Wie bereitet man das Team auf Phishing vor?
Beim Phishing wird eine Person mit einer gefälschten Nachricht hereingelegt, um an ihre Daten oder Zugänge zu gelangen. Betrüger passen ihre Szenarien laufend an, weshalb regelmässige Sensibilisierung nützlich ist.
Das BACS veröffentlicht jede Woche konkrete Beispiele. Am 20. Oktober 2026 beschrieb es gefälschte Hotelbuchungen, mit denen die Kontrolle über TWINT- und E-Banking-Konten übernommen werden sollte. Am 13. Oktober 2026 warnte es vor Onlineshops, die eine .ch-Domain anzeigen, aber im Ausland ansässig sind.
Unsere Analyse: Datenlecks machen solche Nachrichten glaubwürdiger. Eine Kombination aus Kontaktdaten, IBAN und Personendaten ermöglicht eine sehr gezielte E-Mail. Der Cyber Security Month 2026 des BACS war denn auch dem «Oversharing» gewidmet, dem übermässigen Teilen von Informationen.
Dieses Teilen betrifft auch Werkzeuge der künstlichen Intelligenz (KI). Am 16. Oktober 2026 erinnerte das BACS daran, dass die unvorsichtige Eingabe vertraulicher oder geschäftlicher Informationen in eine KI diese Daten preisgeben kann.
Was tun, wenn das Unternehmen einen Cyberangriff erleidet?
In der Schweiz bleibt das betroffene Unternehmen für die Bewältigung seines Vorfalls verantwortlich. «Das BACS handelt subsidiär», erklärt Roman Hüssy. Das Govcert funktioniert laut ihm «wie eine Feuerwehr»: Erste Hilfe und erste technische Einschätzung.
Der Ablauf ist einfach. Das Unternehmen kontaktiert das BACS über ein Formular oder die Pikett-Hotline. Der Vorfall wird danach nach seinem Schweregrad eingestuft. Das Amt hat keine Weisungsbefugnis: Das Unternehmen entscheidet selbst zwischen einer forensischen Analyse und Sofortmassnahmen.
Ein im Voraus vorbereiteter Notfallplan begegnet dem zweiten Fehler, den Roman Hüssy nennt: veraltete Kontaktdaten, welche die Alarmierung verzögern. Die Liste der zu erreichenden Personen, intern und bei den Dienstleistern, verdient daher eine regelmässige Aktualisierung.
Weitere Schritte können folgen. Die Pensionskasse der Stadt Zürich hat Strafanzeige eingereicht. Republik hat ihr Datenleck dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gemeldet. Zu Schadsoftware hat das BACS am 6. Oktober 2026 die Massnahmen bei Verdacht auf eine Infektion veröffentlicht.
Welche Angebote macht das BACS den Unternehmen?
Das BACS ist in der Schweiz die erste Anlaufstelle der Unternehmen für Cybersicherheit. Seine Website bietet ein Profil «Unternehmen und Behörden» und ein Profil «IT-Spezialisten».
| Angebot des BACS | Wozu es einem KMU dient |
|---|---|
| Freiwillige Meldung | Einen Cybervorfall melden und Hilfe für das weitere Vorgehen erhalten |
| Pikett-Hotline 24h/24 | Das Govcert bei einem laufenden Vorfall erreichen |
| Meldung von Schwachstellen | Eine Lücke melden; das BACS teilt ihr eine CVE-Nummer zu |
| Warnungen und Wochenrückblicke | Die zu behebenden Lücken und die aktuellen Betrugsmaschen verfolgen |
| Meldestatistiken | Die in der Schweiz gemeldeten Bedrohungen messen |
Die Meldung bleibt für ein KMU freiwillig. Die Meldepflicht, die seit dem 1. April 2025 gilt, betrifft Betreiber kritischer Infrastrukturen.
Was unsere Quellen nicht präzisieren
Die Seiten des BACS und die für diese Seite konsultierten Artikel enthalten keine Regel zu Offline-Sicherungen. Sie nennen auch kein typisches Budget und keine KMU-spezifische Checkliste.
Quellen
- Bundesamt für Cybersicherheit
- Cyberangriff auf die Pensionskassen (2clics.com, 16. Oktober 2026)
