Die 5 häufigsten Fehler in der Informationssicherheit bei KMU

In meiner Arbeit als CISO, Projektleiter und Berater begleite ich seit über 20 Jahren Unternehmen in sicherheitskritischen Projekten. Dabei fällt mir auf: Die grössten Schwachstellen liegen selten in der Technik. Es sind Menschen, Prozesse und fehlende Prioritäten, die Unternehmen verwundbar machen. Wer diese fünf Fehler kennt, kann gezielt gegensteuern – bevor ein Vorfall eintritt.

Fehler 1: Informationssicherheit ist keine Führungsaufgabe

Viele Geschäftsleitungen unterschätzen Cyberrisiken oder delegieren das Thema vollständig an die IT-Abteilung. Das klingt pragmatisch, ist aber ein strategischer Fehler.

Ohne Einbindung der Führungsebene laufen Sicherheitsprojekte isoliert. Budgets werden falsch priorisiert, Verantwortlichkeiten bleiben unklar, und die Organisation reagiert erst dann, wenn etwas passiert ist.

Informationssicherheit ist eine Führungsaufgabe. Das bedeutet konkret:

• Risiken verstehen und einordnen können

• Verantwortliche benennen und ausstatten

• Fortschritt regelmässig prüfen und einfordern

Fehler 2: Technik wird als Allheilmittel gesehen

Tools lösen keine organisatorischen Probleme. Ich habe das in der Praxis erlebt: Ein Energieversorger installierte ein hochmodernes Monitoring-System. Es meldete Vorfälle zuverlässig – aber niemand wertete die Alarme aus. Das Tool funktionierte einwandfrei, die Organisation dahinter nicht.

Technische Lösungen sind nur so wirksam wie die Prozesse und Menschen, die sie tragen. Wer zuerst in Tools investiert, ohne Zuständigkeiten und Abläufe zu klären, verschwendet Budget und wiegt sich in falscher Sicherheit.

Die richtige Reihenfolge: Prozesse und Alarmketten zuerst definieren – dann die passenden Tools auswählen.

Fehler 3: Fehlende Priorisierungskultur bei Cyberrisiken

Viele Unternehmen investieren gleichmässig in alle Sicherheitsthemen, statt gezielt dort anzusetzen, wo es wirklich zählt. Das Ergebnis: Ressourcen werden verzettelt, während die kritischsten Prozesse unzureichend geschützt bleiben.

Eine wirksame Sicherheitsstrategie beginnt mit klaren Fragen:

• Welche Prozesse sind für das Unternehmen existenziell?

• Welche Systeme müssen nach einem Vorfall innerhalb von 24 Stunden wieder laufen?

• Wo ist das Risiko am grössten – und wo reicht ein einfacherer Schutz?

Wer Risiken priorisiert, schützt das Wesentliche und setzt Ressourcen gezielt ein.

Fehler 4: Sicherheit wird als Projekt behandelt, nicht als Zyklus

Ein Informationssicherheits-Managementsystem (ISMS) einzuführen ist ein guter Schritt. Es danach sich selbst zu überlassen, ist ein häufiger Fehler. Dokumente veralten, Verantwortlichkeiten verschwimmen, und die Sicherheitskultur erodiert still und leise.

Informationssicherheit ist kein Projekt mit Abschlussdatum. Sie ist ein kontinuierlicher Verbesserungsprozess. Was das in der Praxis bedeutet:

• Jährliche Reviews des ISMS und der Massnahmen

• Lessons Learned nach jedem Vorfall oder Beinahe-Vorfall

• Ein klarer Fahrplan zur Reifegradsteigerung

Wer diesen Zyklus lebt, bleibt nicht nur compliant – er wird resilient.

Fehler 5: Kommunikation und Awareness werden unterschätzt

Die beste Sicherheitsstrategie nützt wenig, wenn Mitarbeitende sie nicht kennen oder nicht verstehen. Ich habe erlebt, wie ein einziger unbedachter Klick auf eine Phishing-E-Mail einen ernsthaften Sicherheitsvorfall ausgelöst hat.

Menschen bleiben das grösste Risiko – und gleichzeitig die grösste Chance. Wer in Schulungen, Awareness-Kampagnen und klare Kommunikation investiert, verändert Verhalten. Sicherheit muss Teil der Unternehmenskultur werden, kein Fremdwort, das nur in der IT-Abteilung verstanden wird.

Praxisbeispiel: Wenn alles vorhanden ist – und trotzdem nichts funktioniert

Ein produzierendes KMU mit rund 80 Mitarbeitenden hatte ein ISMS eingeführt, Schulungen durchgeführt und ein Monitoring-Tool im Einsatz. Trotzdem kam es zu einem Sicherheitsvorfall durch eine Phishing-Mail.

Die Ursache: Das ISMS war seit zwei Jahren nicht mehr aktualisiert worden. Die Schulungen fanden einmalig statt, ohne Wiederholung. Und die Alarme des Monitoring-Tools wurden zwar empfangen, aber nicht systematisch bearbeitet – weil niemand klar zuständig war.

Alle fünf Fehler waren gleichzeitig vorhanden. Keiner davon war technischer Natur.

Resilienz entsteht nicht durch Tools, sondern durch Führung

Die grössten Schwachstellen in der Informationssicherheit liegen nicht in Firewalls oder Antivirensoftware. Sie liegen im fehlenden Zusammenspiel zwischen Führung, Prozessen und Menschen. Unternehmen, die diese fünf Fehler konsequent vermeiden, erreichen nicht nur Compliance – sie werden widerstandsfähig gegenüber echten Bedrohungen.

Ein erster konkreter Schritt: Prüfen Sie, welcher dieser fünf Fehler in Ihrem Unternehmen heute am stärksten ausgeprägt ist. Dort beginnt die Verbesserung.

Bereit, Ihre Sicherheitsstrategie auf ein solides Fundament zu stellen?

Bei SecuraNova begleite ich KMU dabei, Informationssicherheit strategisch zu verankern – verständlich, praxisnah und ohne unnötige Komplexität. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo bei Ihnen der grösste Hebel liegt.

Häufig gestellte Fragen

Was sind die häufigsten Fehler in der Informationssicherheit bei KMU?
Die fünf häufigsten Fehler sind: fehlendes Verständnis auf Führungsebene, der Glaube, Technik löse alle Probleme, fehlende Risikopriorisierung, kein gelebter Verbesserungsprozess sowie unterschätzte Kommunikation und Awareness. Keiner dieser Fehler ist technischer Natur.

Warum ist Informationssicherheit eine Führungsaufgabe?
Weil strategische Entscheidungen – Budgets, Prioritäten, Verantwortlichkeiten – auf Führungsebene getroffen werden. Ohne dieses Fundament bleiben Sicherheitsmassnahmen wirkungslos oder werden falsch priorisiert.

Was ist ein ISMS und warum reicht die Einführung allein nicht aus?
Ein ISMS (Informationssicherheits-Managementsystem) ist ein strukturierter Rahmen zur Steuerung von Sicherheitsrisiken. Es reicht nicht aus, es einmalig einzuführen – es muss regelmässig gepflegt, überprüft und weiterentwickelt werden, damit es wirksam bleibt.

Wie kann ein KMU mit begrenzten Ressourcen trotzdem wirksame Sicherheit erreichen?
Durch klare Priorisierung: Nicht alles gleichzeitig angehen, sondern zuerst die kritischsten Prozesse und Systeme schützen. Externe Unterstützung – etwa durch CISO-as-a-Service – kann dabei helfen, Expertise gezielt und kosteneffizient einzusetzen.