Die Sensibilisierung der Mitarbeitenden für Cybersicherheit bleibt der Schwachpunkt der Schweizer KMU: Nur rund ein Drittel schult das Personal regelmässig, wie die Studie «Cybersicherheit in KMU 2026» zeigt. Dabei spielt Phishing bei rund einem Drittel der Vorfälle eine Rolle. Das Bundesamt für Cybersicherheit (BACS) und mehrere Schweizer Instrumente helfen, diese Phishing-Sensibilisierung zu organisieren.
Die Schweizer Quellen stimmen in einigen Hebeln überein. Es geht darum, das Personal regelmässig zu schulen, sich auf reale und aktuelle Betrugsfälle zu stützen und einfache Regeln für Zugänge und Daten festzulegen. Diese Seite behandelt nur die Schulung der Teams. Die übrigen Grundmassnahmen finden sich in unserem Leitfaden zur Cybersicherheit in KMU.
Diese Seite unterscheidet zwischen den von den Quellen veröffentlichten Fakten, den Aussagen von Fachleuten und unserer eigenen Analyse.
Kennzahlen
- Rund ein Drittel der Schweizer KMU schult das Personal regelmässig, gemäss der Studie «Cybersicherheit in KMU 2026».
- 6% der KMU erlitten in drei Jahren einen schweren Cyberangriff, bei jenen mit mindestens zehn Mitarbeitenden bis zu 16%.
- Phishing, Passwortdiebstahl, Schadsoftware und Angriffe auf Netzwerke spielen je bei rund einem Drittel der Vorfälle eine Rolle.
- 81% der KMU erwarten eine Zunahme der Cyberbedrohungen im Zusammenhang mit künstlicher Intelligenz (KI), aber nur 29% planen zusätzliche Massnahmen.
- Nur 36% der Geschäftsleitenden halten die Schutzmassnahmen für einfach umsetzbar.
Warum Mitarbeitende schulen, statt ein weiteres Tool einzuführen?
Technisch sind die Schweizer KMU eher gut ausgerüstet. Gemäss der Studie Cybersicherheit in KMU 2026 installieren über 80% die Updates. Neun von zehn erstellen Backups, und die Mehrfaktor-Authentifizierung ist verbreitet.
Der Rückstand liegt bei der Organisation. Nur rund ein Drittel der KMU schult das Personal regelmässig oder führt ein Inventar der eigenen Systeme. Die Umfrage stützt sich auf 507 Geschäftsleitende von KMU mit 1 bis 49 Mitarbeitenden.
Auch die Menschen sind ein bekanntes Einfallstor. Die Website des Cybersecurity-Check nennt vier häufige Ursachen erfolgreicher Angriffe auf KMU. Dazu gehört die Täuschung durch Social Engineering, also die Manipulation von Personen.
Das BACS geht in dieselbe Richtung. Es nennt die Sensibilisierung des Personals unter den organisatorischen Massnahmen, welche die Technik ergänzen müssen. Das Amt sieht darin eine Aufgabe der Geschäftsleitung, nicht bloss eine Aufgabe der Informatikabteilung.
Unsere Analyse: Ein solider technischer Schutz verliert an Wert, wenn eine Person selbst einen Zugang preisgibt. Genau auf dieses Glied zielt die Schulung.
Wie sieht Phishing gegen ein KMU aus?
Beim Phishing wird eine Person mit einer gefälschten Nachricht hereingelegt, um an ihre Daten oder Zugänge zu gelangen. Die Betrüger passen ihre Szenarien laufend an. Das BACS veröffentlicht jede Woche konkrete Fälle, die diese Entwicklung zeigen.
Datiertes Beispiel: Am 20. Oktober 2026 beschrieb das BACS eine Variante im Zusammenhang mit Hotelreservationen. Diese Kampagnen zielten vor allem auf Kreditkarten. In den neuen Varianten versuchen die Betrüger zudem, die Kontrolle über TWINT- und E-Banking-Konten zu übernehmen.
Datiertes Beispiel: Am 13. Oktober 2026 warnte das Amt vor einer anderen Täuschung: gefälschten Schweizer Onlineshops. Sie zeigen eine .ch-Domain, den Namen einer Schweizer Stadt und eine rührende Geschichte. Das Impressum oder die allgemeinen Geschäftsbedingungen verraten jedoch ein im Ausland ansässiges Unternehmen mit einem Lager in Asien.
Die künstliche Intelligenz bringt ein zusätzliches Risiko. Die Website des Cybersecurity-Check verweist unter Berufung auf das KMU-Portal des Staatssekretariats für Wirtschaft (SECO) auf KI-gestützte Angriffe. Deepfakes dienen etwa für Versuche von CEO-Betrug.
Unsere Analyse: Diese wöchentlichen Rückblicke des BACS liefern kostenloses und aktuelles Material für eine kurze Teamsitzung. Ein realer Fall wirkt stärker als eine abstrakte Regel.
Welche einfachen Regeln sollte man dem Team mitgeben?
Aus den jüngsten Publikationen des BACS lassen sich einige leicht einprägsame Regeln ableiten. Ihre Formulierung als Teamregeln beruht auf unserer Analyse.
- Mit Bedacht teilen. Der Cyber Security Month 2026 des BACS widmete sich dem «Oversharing». Ein Foto, ein Ort und ein Name ergeben zusammen ein genaues Bild, das ein Krimineller ausnutzen kann.
- Daten gegenüber KI schützen. Am 16. Oktober 2026 erinnerte das BACS daran, dass die unbedachte Eingabe vertraulicher oder geschäftlicher Informationen in eine KI zu übermässigem Datenteilen führen kann.
- Zugänge stärken. Am 19. Oktober 2026 veröffentlichte das Amt «Fünf Schritte zur sicheren Authentifizierung». Darin schlägt es eine Einstufung der Mittel wie Passwort, Passkey oder Chipkarte nach der Sicherheit vor, die sie bieten.
- Vor dem Kauf oder der Zahlung prüfen. Das Impressum und die allgemeinen Geschäftsbedingungen einer Website können eine falsche Schweizer Herkunft entlarven.
- Wissen, wen man alarmiert. Das BACS nimmt freiwillige Meldungen von Cybervorfällen der Unternehmen entgegen und unterstützt sie bei ihren Schritten.
Der letzte Punkt zählt auch im Krisenfall. Roman Hüssy, Co-Leiter des Govcert des BACS, nennt veraltete Kontaktdaten unter den häufigen Fehlern, weil sie die Alarmierung verlangsamen. Unsere Analyse: Eine aktuelle Liste der zu erreichenden Personen gehört in die Sensibilisierung.
Schulung, Test oder Label: Welche Ressourcen gibt es für ein Schweizer KMU?
Ein KMU muss nicht bei null beginnen. Mehrere öffentliche oder von Verbänden getragene Ressourcen decken einen Teil der Sensibilisierung der Mitarbeitenden ab, ohne dieselbe Frage zu beantworten.
| Ressource | Trägerschaft | Was sie bringt | Ihre Grenze |
|---|---|---|---|
| Website des BACS | Bund | Wöchentliche Rückblicke auf Betrugsfälle, Warnungen, Profil «Unternehmen und Behörden» | Ihre Startseite beschreibt kein Schulungsprogramm |
| Cybersecurity-Check | Instrument aus der nationalen Strategie, Version 4.0 vom November 2025 | Kostenlose Selbstbeurteilung in wenigen Minuten | Er beruht auf den Antworten des Unternehmens selbst |
| IKT-Minimalstandard | BACS | Nennt die Sensibilisierung des Personals unter den organisatorischen Massnahmen | Für ein KMU freiwillig |
| Label Cyber-Safe | Schweizerischer Verein für das Cybersicherheitslabel (ASLaC), seit 2018 | Bestandesaufnahme, Massnahmenplan und Überprüfung durch einen Auditor | Weder Preis noch Dauer auf der Startseite veröffentlicht |
Der kostenlose Cybersicherheitstest für KMU vermittelt ein erstes Bild des Schutzniveaus. Der IKT-Minimalstandard dient als strukturiertere Checkliste.
Das Label Cyber Safe fügt einen Blick von aussen hinzu. Gemäss seiner Website haben es 250 KMU und 200 Schweizer Gemeinden erhalten. Aurélie Tulot, Gemeindepräsidentin von Roche, ist der Ansicht, dass das Vorgehen «das Bewusstsein, die Schulung der Mitarbeitenden» fördert.
Wer soll die Sensibilisierung im Unternehmen tragen?
Die Sensibilisierung wird zur Chefsache. Die Studie 2026 stellt fest, dass mehr KMU eine verantwortliche Person für Cybersicherheit bestimmen. Zu den aus der Studie abgeleiteten Ansätzen gehört die Ernennung einer verantwortlichen Person auf Ebene der Geschäftsleitung.
«Cybersicherheit beginnt nicht bei der Firewall, sondern mit einer klaren digitalen Strategie», sagt Marc K. Peter, Professor an der HES-SO Valais-Wallis und Leiter des Studienprojekts.
Die Regelmässigkeit zählt ebenso viel wie der Start. Die Betrugsmaschen «entwickeln sich weiter», hält das BACS zu den gefälschten Hotelreservationen fest. Auch die Anforderungen des Labels Cyber-Safe entwickeln sich von einer Runde zur nächsten weiter, so Jean Bourgeois, Präsident der AUBEP.
Die Erneuerung bringt die Überlegungen voran. Laut Yves Chardonnens Cook, Direktor der Fondation pour la formation professionnelle et continue (FFPC), half sie, die guten Praktiken in den Alltag zu integrieren. Sie stiess zudem eine Reflexion über sensible Informationen an, die an die KI weitergegeben werden.
Weitere Praxisseiten finden sich in unserer Rubrik Unternehmen schützen.
Was man noch nicht weiss
- Unsere Quellen beschreiben weder die Methode noch die Häufigkeit noch die Kosten einer Phishing-Simulation für ein KMU.
- Die Website von Cyber-Safe weist über 25'000 versandte Phishing-E-Mails aus, ohne den Rahmen zu präzisieren.
- Keine der konsultierten Quellen misst die Wirkung einer Schulung auf die Zahl der Vorfälle.
- Die Studie 2026 beruht auf 507 Interviews, die YouGov Schweiz vom 24. Juni bis 10. Juli 2026 geführt hat. Sie beschreibt, was die Unternehmen angeben, nicht eine Überprüfung ihrer Praktiken.
Quellen
- Bundesamt für Cybersicherheit (BACS)
- Cyber-Safe, das Schweizer Cybersicherheitslabel
- Cybersecurity-Check für KMU
- Studie «Cybersicherheit in KMU 2026» der Mobiliar und ihrer Partner, gemäss 2clics.com
