Die 3 grössten Sicherheitslücken in KMUs – und wie Sie diese schnell entschärfen

Cyberangriffe treffen Schweizer KMUs häufiger, als viele annehmen – und die Ursachen liegen selten in fehlender Technologie. Die grössten Sicherheitslücken entstehen im Alltag: in Gewohnheiten, unklaren Prozessen und fehlender Sensibilisierung. Als CISO begegne ich diesen drei Schwachstellen in praktisch jedem Audit. Das Gute: Sie lassen sich ohne grosse Investitionen deutlich entschärfen.

Warum Sicherheitslücken im KMU-Alltag entstehen

Viele KMUs investieren in moderne IT-Lösungen und verlassen sich auf kompetente Dienstleister. Trotzdem entstehen die meisten Sicherheitsvorfälle genau dort, wo man es am wenigsten erwartet: im Tagesgeschäft. Nicht weil die Technik versagt, sondern weil Prozesse fehlen, Verantwortlichkeiten unklar sind oder Mitarbeitende Risiken im Alltagsstress unterschätzen.

Cybersicherheit ist kein IT-Thema – es ist ein Geschäftsrisiko. Und wer als Geschäftsführer oder IT-Leiter die häufigsten Schwachstellen kennt, kann gezielt handeln.

Sicherheitslücke 1: Schwache oder wiederverwendete Passwörter

Passwörter bleiben der meistgenutzte Angriffsvektor. Ein einziges gestohlenes Passwort reicht aus, um E-Mail-Konten, Cloud-Dienste oder kritische Systeme zu kompromittieren. Besonders riskant sind zwei Muster, die ich immer wieder sehe: Passwörter werden mehrfach verwendet – für verschiedene Dienste, manchmal sogar privat und geschäftlich. Und die Multifaktor-Authentisierung (MFA) fehlt, obwohl sie eine der wirksamsten Schutzmassnahmen überhaupt ist.

MFA bedeutet: Wer sich einloggt, muss neben dem Passwort einen zweiten Faktor bestätigen – zum Beispiel einen Code auf dem Mobiltelefon. Selbst wenn ein Passwort gestohlen wird, bleibt der Zugang gesperrt.

Sofortmassnahmen:

• Passwortmanager einführen, damit komplexe und einzigartige Passwörter im Alltag nutzbar werden

• MFA für E-Mail, VPN und alle kritischen Systeme aktivieren – sofort messbarer Schutzgewinn

• Standardkonten und inaktive Benutzerkonten regelmässig überprüfen und deaktivieren

Sicherheitslücke 2: Unklare Zuständigkeiten – niemand fühlt sich verantwortlich

In vielen KMUs ist nicht definiert, wer für Sicherheitsthemen zuständig ist. Aufgaben landen irgendwo zwischen IT-Abteilung, externem Dienstleister und Geschäftsleitung. Das Ergebnis: Risiken bleiben unerkannt, wichtige Massnahmen werden verzögert oder gar nicht umgesetzt.

Ich erlebe das regelmässig: Alle gehen davon aus, dass «die anderen» es im Griff haben. Dabei braucht es keine aufwendige Sicherheitsorganisation – aber klare Antworten auf drei Fragen: Wer entscheidet? Wer prüft? Wer setzt um?

Sofortmassnahmen:

• Rollen und Verantwortlichkeiten schriftlich festlegen – auch wenn es nur eine halbe Seite ist

• Ein Sicherheitscockpit für die Geschäftsleitung einrichten: 5 bis 10 Kennzahlen, die Transparenz schaffen

• Regelmässige, kurze Sicherheitsreviews einführen – monatlich oder quartalsweise, 30 Minuten genügen

Sicherheitslücke 3: Fehlende Awareness – Mitarbeitende als grösstes Einfallstor

Phishing, gefälschte E-Mails und Social Engineering richten in KMUs den grössten Schaden an. Nicht aus bösem Willen, sondern weil Risiken im Alltagsstress unterschätzt werden. Wer keine Sicherheitskultur aufbaut, kann noch so viel in Technologie investieren – der Mensch bleibt das schwächste Glied.

Awareness bedeutet nicht: einmal im Jahr eine Schulung mit 80 Folien. Es geht darum, Sicherheitsverhalten im Alltag zu verankern – mit kurzen, praxisnahen Impulsen, die hängen bleiben.

Sofortmassnahmen:

• Quartalsweise kurze Awareness-Impulse: 5 Minuten, kein PowerPoint-Marathon

• Realistische Phishing-Simulationen durchführen – sie zeigen, wo Handlungsbedarf besteht

• Sicherheitsregeln verständlich formulieren, ohne Fachjargon: Klarheit schlägt Komplexität

Praxisbeispiel: Industriebetrieb

Ein produzierendes KMU mit rund 80 Mitarbeitenden hatte keine klaren Sicherheitsverantwortlichkeiten. Die IT war mit dem Tagesgeschäft ausgelastet, die Geschäftsleitung ging davon aus, dass alles geregelt sei. Im Audit stellte sich heraus: MFA war nirgends aktiv, mehrere Mitarbeitende nutzten dasselbe Passwort für verschiedene Systeme, und Phishing-Mails wurden regelmässig geöffnet.

In einem ersten Schritt wurden MFA und ein Passwortmanager eingeführt – Aufwand: zwei Halbtage. Danach folgte eine kurze Awareness-Session mit dem gesamten Team. Drei Monate später war die Anzahl der gemeldeten verdächtigen E-Mails deutlich gestiegen – ein Zeichen dafür, dass Mitarbeitende aufmerksamer geworden waren.

Jetzt einen konkreten Schritt machen

Diese drei Sicherheitslücken gehören zu den häufigsten Ursachen für Vorfälle in Schweizer KMUs. Entscheidend ist nicht, alles auf einmal zu lösen. Entscheidend ist, dass die Geschäftsleitung Verantwortung übernimmt und mit einem konkreten Schritt beginnt.

Mein Tipp für heute: Prüfen Sie, ob MFA für Ihre E-Mail-Konten aktiv ist. Wenn nicht, ist das Ihr erster Schritt – und er lässt sich in wenigen Stunden umsetzen.

Bereit für den nächsten Schritt?

Möchten Sie wissen, wo Ihr Unternehmen bei diesen drei Schwachstellen steht? Ich analysiere gemeinsam mit Ihnen die grössten Risiken und zeige Ihnen, welche Massnahmen den grössten Schutzgewinn bringen – pragmatisch und ohne unnötige Komplexität.

Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

Häufig gestellte Fragen

Was ist Multifaktor-Authentisierung und warum ist sie so wichtig?
Multifaktor-Authentisierung (MFA) bedeutet, dass für einen Login neben dem Passwort ein zweiter Faktor nötig ist – zum Beispiel ein Code per SMS oder App. Selbst wenn ein Passwort gestohlen wird, bleibt der Zugang gesperrt. MFA ist eine der wirksamsten und günstigsten Schutzmassnahmen überhaupt.

Wie lege ich Sicherheitsverantwortlichkeiten in einem kleinen KMU fest?
Es braucht keine komplexe Struktur. Halten Sie schriftlich fest, wer bei Sicherheitsfragen entscheidet, wer prüft und wer umsetzt. Selbst eine einfache Übersicht auf einer Seite schafft Klarheit und verhindert, dass Aufgaben zwischen den Stühlen fallen.

Wie oft sollten Mitarbeitende zum Thema Sicherheit sensibilisiert werden?
Einmal im Jahr reicht nicht. Kurze, regelmässige Impulse – zum Beispiel quartalsweise – sind wirksamer als grosse Schulungen. Fünf Minuten mit einem konkreten Beispiel aus dem Alltag hinterlassen mehr als eine Stunde Theorie.

Was kostet es, diese Massnahmen umzusetzen?
Die meisten Sofortmassnahmen – MFA, Passwortmanager, kurze Awareness-Impulse – lassen sich mit geringem Budget umsetzen. Entscheidend ist nicht das Geld, sondern der Entscheid, anzufangen.