Die am 22. Oktober 2026 veröffentlichte Studie «KMU-Cybersicherheit 2026» zeigt, dass 6 % der Schweizer kleinen und mittleren Unternehmen (KMU) in den letzten drei Jahren einen schweren Cyberangriff erlitten haben. Durchgeführt wurde sie von der Mobiliar mit digitalswitzerland, Hochschulen und dem Bundesamt für Cybersicherheit (BACS). Sie hält zudem fest, dass 7 % der KMU bereits Opfer einer Erpressung wurden. Und 81 % rechnen mit stärkeren Bedrohungen durch künstliche Intelligenz (KI).

Was die Studie misst

Die Umfrage beruht auf den Antworten von 507 Führungskräften von KMU mit 1 bis 49 Mitarbeitenden. Das Institut YouGov Schweiz hat sie vom 24. Juni bis 10. Juli 2026 befragt. Laut den Autoren sind die Ergebnisse repräsentativ für rund 614'400 KMU in allen Sprachregionen.

Es handelt sich um die siebte Ausgabe einer jährlichen Reihe, die 2020 gestartet wurde. Die Mobiliar führt sie mit digitalswitzerland, der Fachhochschule Westschweiz (HES-SO) Valais-Wallis, der Fachhochschule HWZ Hochschule für Wirtschaft Zürich und der Schweizerischen Akademie der Technischen Wissenschaften (SATW) durch. Das BACS unterstützt das Projekt.

Die wichtigsten Zahlen der Ausgabe 2026

  • 6 % der KMU haben in drei Jahren einen schweren Cyberangriff erlitten, laut Hochrechnung der Autoren mehr als 35'000 Unternehmen.
  • Bei KMU mit mindestens zehn Mitarbeitenden erreicht dieser Anteil bis zu 16 %.
  • 7 % wurden bereits Opfer einer Erpressung, also rund 45'000 KMU; einige haben sogar ein Lösegeld bezahlt.
  • 88 % halten Cyberkriminalität für ein ernstes Problem.
  • 45 % halten Cybersicherheit für wichtig oder sehr wichtig, gegenüber 33 % im Jahr 2025.
  • Nur ein Viertel testet regelmässig die Wiederherstellung seiner Datensicherungen.

Erpressung trifft vor allem die grösseren KMU sowie die Industrie und das Baugewerbe, präzisiert die Studie.

Ein Anstieg, der mit Vorsicht zu lesen ist

Der Anteil der betroffenen KMU steigt im Vergleich zu den beiden vorherigen Ausgaben. Er lag 2024 wie 2025 bei 4 % und erreicht 2026 nun 6 %.

Indikator202420252026
Befragte KMU526515507
Schwerer Cyberangriff in drei Jahren4 %4 %6 %
Cybersicherheit als wichtig oder sehr wichtig eingestuft–33 %45 %

Der Strich kennzeichnet eine Zahl, die unsere Quellen nicht angeben. Die Definition eines schweren Angriffs ist weit gefasst. Sie umfasst einen finanziellen oder Reputationsschaden, einen grossen Aufwand für die Wiederherstellung oder eine starke emotionale Belastung. Gezählt werden nur Angriffe, die den Unternehmen bekannt sind.

Unsere Analyse: Bei rund 500 Antwortenden pro Ausgabe bleibt ein Unterschied von zwei Prozentpunkten bescheiden. Die Studie gibt nicht an, ob er statistisch signifikant ist. Der deutlichste Trend betrifft eher die Bedeutung, die dem Thema beigemessen wird: Sie steigt nach einem Rückgang im Vorjahr wieder an.

KI beunruhigt, wird aber noch wenig genutzt

Vier von fünf KMU glauben, dass KI die Bedrohung verschärfen wird. Die Autoren halten es für plausibel, dass Cyberkriminelle sie für ihre Angriffe einsetzen.

Das Paradox steckt in einer anderen Zahl: Fast die Hälfte der KMU hat noch kein einziges KI-Projekt gestartet. KI erscheint damit zugleich als wirtschaftliche Chance und als zusätzliches Risiko.

Die Lücke zwischen Wahrnehmung und Handeln zeigt sich auch in den Antworten. 80 % der Führungskräfte sagen, sie kennten die Bedrohungen, und 66 % sind der Ansicht, dass Schutzmassnahmen die Gefahr verringern. Doch nur 36 % halten diese Massnahmen für einfach umsetzbar.

Technisch gut geschützt, organisatorisch weniger vorbereitet

Die Schweizer KMU verfügen laut der Studie über eine gute technische Basis. Mehr als 80 % installieren Updates, neun von zehn erstellen Datensicherungen, und die Mehrfaktor-Authentifizierung ist verbreitet.

Der Rückstand liegt bei der Organisation. Nur rund ein Drittel der KMU schult das Personal regelmässig oder führt ein Inventar seiner Informatiksysteme. Notfallpläne, Sicherheitsaudits und die Kontrolle der Sicherheit von Lieferanten sind deutlich weniger verbreitet.

«Es reicht nicht, Daten zu sichern. KMU müssen regelmässig testen, ob sie ihre Tätigkeit nach einem Cyberangriff rasch wieder aufnehmen können», betont Anu Anthamatten, Projektleiterin bei digitalswitzerland.

Das Lieferantenrisiko ist alles andere als theoretisch. Ende September 2026 ermöglichte ein Angriff auf einen Softwarelieferanten den Diebstahl von Daten der Pensionskasse in Zürich. Zwei Berner Pensionskassen verloren ebenfalls Daten über einen externen Dienstleister.

Was ein Angriff kostet

Ein Cyberangriff kostet zuerst Zeit und Energie, mehr als Geld. Unter den 44 betroffenen KMU der Stichprobe stehen der grosse Aufwand für die Wiederherstellung und die emotionale Belastung an der Spitze, mit je 16 Nennungen. Danach folgen der finanzielle Schaden mit 10 Nennungen, dann geschwächte Geschäftsbeziehungen, die Reputation und der Verlust von Kundendaten.

Den typischen Angriff gibt es nicht. Phishing, Passwortdiebstahl, Schadsoftware und Angriffe auf Netzwerke und Server spielen jeweils bei rund einem Drittel der Vorfälle eine Rolle. Die Folgen sind in Unternehmen mit mindestens zehn Mitarbeitenden deutlich schwerer.

«Cyberkriminalität ist für Schweizer KMU zu einem echten Unternehmensrisiko geworden», fasst Jesús Pampín zusammen, Leiter des Kompetenzzentrums für Cyberrisiken der Mobiliar. Für ihn ist der Cyberschutz ebenso wichtig wie der Schutz vor Feuer oder Naturgefahren. «Eine Cyberversicherung kann die Risiken mindern, ersetzt aber nicht die Eigenverantwortung.»

Was ein KMU tun kann

Die Autoren sehen ein positives Zeichen: Mehr KMU bestimmen eine verantwortliche Person für Cybersicherheit. Das Thema wird zur Chefsache und nicht mehr nur zur Angelegenheit der Informatikabteilung. Rund zwei von fünf KMU planen in den nächsten drei Jahren neue Sicherheitsmassnahmen.

«Cybersicherheit beginnt nicht bei der Firewall, sondern mit einer klaren digitalen Strategie», sagt Marc K. Peter, Professor an der HES-SO Valais-Wallis und Projektleiter. Laut der Studie schätzen die digital am weitesten fortgeschrittenen KMU ihre Widerstandsfähigkeit deutlich höher ein.

Die Ansätze aus der Studie lassen sich in wenigen Handgriffen zusammenfassen, die die Grundlagen der KMU-Cybersicherheit ergänzen:

  • eine verantwortliche Person auf Ebene der Geschäftsleitung ernennen;
  • die Wiederherstellung der Datensicherungen testen, nicht nur Sicherungen erstellen;
  • das Personal regelmässig schulen, insbesondere zu Phishing;
  • einen Notfallplan vorbereiten und das Inventar der Systeme führen;
  • die Informatiksicherheit der Lieferanten überprüfen.

Bei einem Vorfall nimmt das BACS freiwillige Meldungen entgegen und betreibt eine rund um die Uhr erreichbare Pikett-Hotline (24h/24). Laut der Studie wären 40 % der KMU bereit, ihm einen Vorfall zu melden. Sein Cybersecurity Hub, ursprünglich für kritische Infrastrukturen konzipiert, steht auch KMU offen, doch nur rund 7 % nutzen ihn. Weitere Ressourcen finden Sie in unserer Rubrik sein Unternehmen schützen.

«Information, Prävention und Zusammenarbeit sind Pfeiler einer resilienten Cyberlandschaft», erinnert Romain Geiser, Programmleiter beim BACS.

Was noch nicht bekannt ist

Die konsultierten Auszüge beziffern nicht genau den Anteil der KMU mit Notfallplan, Audit oder Lieferantenkontrolle. Sie nennen auch weder die Höhe der bezahlten Lösegelder noch die Zahl der Unternehmen, die bezahlt haben. Die vollständigen Ergebnisse sind seit dem 22. Oktober 2026 auf der Website der Studie in vier Sprachen verfügbar.

Quellen