Cybersicherheit ist Chefsache – warum KMU Führung brauchen

Cybersicherheit ist Chefsache – nicht, weil Geschäftsführende Firewalls konfigurieren sollen, sondern weil digitale Risiken heute direkt über Betriebskontinuität, Haftung und Kundenvertrauen entscheiden. Viele KMU verfügen über solide IT-Lösungen und verlässliche Dienstleister, sind im Ernstfall aber trotzdem unzureichend geschützt. Die entscheidende Lücke liegt selten in der Technik. Sie beginnt dort, wo strategische Entscheidungen getroffen werden: in der Geschäftsleitung.

Warum gehört Cybersicherheit zur strategischen Verantwortung?

Digitale Abhängigkeiten sind für KMU geschäftskritisch. Produktionsanlagen laufen über vernetzte Systeme, Kundendaten liegen in Cloud-Anwendungen, Mitarbeitende arbeiten mobil. Fällt eines dieser Elemente aus, stehen nicht nur Abläufe still. Es entstehen finanzielle Schäden, regulatorische Risiken und ein Vertrauensverlust bei Kunden.

Genau deshalb wird Cybersicherheit zunehmend als unternehmerisches Risiko eingestuft. Die Verantwortung dafür liegt bei der Geschäftsführung. Es geht um Steuerung, Priorisierung und die Fähigkeit, im Krisenfall handlungsfähig zu bleiben.

Welche regulatorischen Anforderungen betreffen die Geschäftsleitung?

Mit Vorgaben wie dem IKT-Minimalstandard in der Schweiz und neuen europäischen Anforderungen steigt der Druck auf Führungskräfte. Die Verantwortlichkeit liegt ausdrücklich bei der Führungsebene. Audits, Meldepflichten und Nachweise verlangen eine klare Rolle der Geschäftsleitung.

Wer Cybersicherheit als reines IT-Thema betrachtet, erfüllt diese Vorgaben nicht – und erhöht das Haftungsrisiko.

Warum schützt Technik allein nicht?

IT-Teams oder externe Dienstleister können operative Massnahmen umsetzen. Sie entscheiden aber nicht über Budget, Risikobereitschaft, Prioritäten oder Geschäftsprozesse. Ohne klare Vorgaben der Geschäftsführung bleiben Sicherheitsmassnahmen punktuell, reaktiv oder isoliert.

Drei typische Situationen zeigen dieses Muster:

• Unscharfe Prioritäten: Wenn unklar ist, welche Werte besonders geschützt werden müssen, investieren Unternehmen an der falschen Stelle.

• Fehlende Verantwortung: Ohne klare Zuweisung bleibt offen, wer im Notfall entscheidet. Das führt im Ernstfall zu Verzögerungen.

• Technische Überkompensation: Es werden isolierte Tools eingeführt, ohne zu definieren, welches Geschäftsrisiko damit reduziert werden soll.

Cybersicherheit wird erst wirksam, wenn Führungskräfte das Thema aktiv steuern und Rahmenbedingungen festlegen.

Was ist die konkrete Rolle der Geschäftsführung?

Damit Cybersicherheit Chefsache wird, braucht es keine technischen Fachkenntnisse. Entscheidend sind vier Führungsprinzipien:

Risiken verstehen und bewerten: Geschäftliche Risiken wie Ausfallzeiten, Datenverlust, Produktionsunterbrüche oder Reputationsschäden müssen erkannt und eingeordnet werden. Eine einfache Risikoanalyse liefert Klarheit darüber, welche Geschäftsprozesse besonderen Schutz brauchen.

Verantwortlichkeiten festlegen: Cybersicherheit braucht klare Zuständigkeiten – wer operative Aufgaben übernimmt, wer Entscheidungen trifft und wer im Notfall kommuniziert. Eine definierte Rollenverteilung erhöht die Reaktionsgeschwindigkeit deutlich.

Realistische Ziele definieren: Sicherheit ist kein Zustand, sondern ein Prozess. Die Geschäftsleitung legt fest, welches Sicherheitsniveau angestrebt wird, welche Mittel zur Verfügung stehen und wie Fortschritte gemessen werden. Das schafft Orientierung und verhindert Überforderung.

Kultur prägen: Mitarbeitende sind ein wesentlicher Teil des Sicherheitsniveaus. Wenn die Geschäftsführung Cybersicherheit sichtbar unterstützt, wird sie im Alltag verankert. Damit sinkt die Gefahr von Phishing, Fehlkonfigurationen oder unbedachten Entscheidungen. [LINK: Sicherheitskultur im Unternehmen aufbauen]

Wie starten Geschäftsführende – ohne Technik-Jargon?

Für viele KMU stellt sich die Frage, wie sie das Thema konkret angehen. Die folgenden Schritte bilden einen pragmatischen Einstieg:

1. Sicherheit als Geschäftsrisiko behandeln: Der einfachste Startpunkt ist ein Perspektivenwechsel. Nicht IT-Probleme stehen im Vordergrund, sondern geschäftliche Auswirkungen. Diese Betrachtung hilft, Prioritäten sachlich zu setzen und Massnahmen zu begründen.

2. Ein kurzes Standortgespräch mit der IT führen: Das Ziel ist Klarheit über drei Punkte:

• Welche Systeme oder Prozesse sind für den Betrieb kritisch?

• Wo bestehen Abhängigkeiten von externen Dienstleistern?

• Welche Sicherheitsvorfälle gab es in der Vergangenheit?

3. Eine einfache Risikoübersicht erstellen: Eine pragmatische Risikoübersicht braucht keine komplexen Modelle. Eine Liste der wichtigsten Geschäftsprozesse und ihrer Risiken reicht für den Anfang. Die Bewertung erfolgt entlang von zwei Dimensionen: Auswirkungen und Wahrscheinlichkeit.

4. Verantwortlichkeiten definieren: Wer entscheidet im Notfall? Wer informiert Kunden? Wer koordiniert externe Partner? Diese Fragen sollten vor einem Sicherheitsvorfall geklärt sein.

5. Ein erstes Massnahmenpaket festlegen: Für KMU eignet sich ein kompaktes Paket aus drei Bereichen:

• Organisation: Rollen, Regeln und Entscheidungswege klären

• Technik: Updates, Backups, Zugriffsrechte prüfen

• Menschen: Sensibilisierung für gängige Gefahren wie Phishing

Praxisbeispiel: Cybersicherheit wird Chefsache bei einem Industrieunternehmen

Ein mittelgrosses Industrieunternehmen in der Ostschweiz mit rund 80 Mitarbeitenden hatte seine IT an einen externen Dienstleister ausgelagert. Technisch lief alles stabil. Als jedoch ein Phishing-Angriff mehrere E-Mail-Konten kompromittierte, zeigte sich: Niemand wusste, wer entscheidet, wer Kunden informiert und welche Systeme zuerst gesichert werden müssen.

Der Geschäftsführer nahm das Thema daraufhin selbst in die Hand. In einem kurzen Standortgespräch mit dem IT-Dienstleister identifizierte er die drei kritischsten Geschäftsprozesse. Gemeinsam erstellten sie eine einfache Risikoübersicht und definierten klare Verantwortlichkeiten für den Ernstfall. Innerhalb weniger Wochen war ein kompaktes Massnahmenpaket umgesetzt – ohne externes Grossprojekt und ohne Technik-Jargon.

Das Ergebnis: Beim nächsten Vorfall wusste jeder, was zu tun war. Die Reaktionszeit sank von Tagen auf Stunden.

Cybersicherheit beginnt oben

KMU können ihre digitale Stabilität erheblich verbessern, wenn die Geschäftsführung das Thema aktiv steuert. Es geht nicht um Technik. Es geht um Unternehmensführung, um die Fähigkeit, im Ernstfall handlungsfähig zu bleiben, und um das Vertrauen der Kunden.

Der erste Schritt ist einfach: Führen Sie diese Woche ein kurzes Gespräch mit Ihrer IT – mit den drei Fragen aus diesem Artikel. Damit machen Sie Cybersicherheit zur Chefsache.

Kostenloses Erstgespräch

Sie möchten wissen, wo Ihr Unternehmen in Sachen Cybersicherheit steht? In einem unverbindlichen Erstgespräch verschaffe ich Ihnen Klarheit über Ihre wichtigsten Risiken und zeige pragmatische nächste Schritte auf. Kontaktieren Sie mich direkt – ich freue mich auf den Austausch.

Häufig gestellte Fragen

Warum ist Cybersicherheit Chefsache und nicht nur Aufgabe der IT?
Weil digitale Risiken direkt Geschäftsprozesse, Haftung und Kundenvertrauen betreffen. Die IT kann operative Massnahmen umsetzen, aber Entscheidungen über Budget, Prioritäten und Verantwortlichkeiten liegen bei der Geschäftsführung.

Brauche ich als Geschäftsführer technisches Wissen für Cybersicherheit?
Nein. Entscheidend ist, dass Sie Risiken geschäftlich einordnen, Verantwortlichkeiten festlegen und realistische Ziele definieren. Technische Details können interne oder externe Fachleute übernehmen.

Wie starte ich als KMU mit dem Thema Cybersicherheit?
Beginnen Sie mit einem kurzen Standortgespräch mit Ihrer IT. Klären Sie, welche Systeme kritisch sind, wo Abhängigkeiten bestehen und welche Vorfälle es gab. Daraus lässt sich eine einfache Risikoübersicht ableiten.

Welche regulatorischen Vorgaben betreffen KMU in der Schweiz?
Der IKT-Minimalstandard richtet sich insbesondere an Unternehmen der kritischen Infrastruktur. Zudem gelten Meldepflichten bei Cybervorfällen. Die Verantwortung für die Einhaltung liegt bei der Geschäftsleitung.