Informationssicherheit im KMU: Was mich in Q2 2026 am meisten beschäftigt hat

Das zweite Quartal 2026 ist vorbei. Drei Monate, in denen ich viele Gespräche geführt, Risiken bewertet und Unternehmen begleitet habe. Und obwohl jede Situation ihre eigene Geschichte hat, kehren dieselben Themen immer wieder. Nicht als Theorie, sondern als echte, dringende Fragen aus dem Alltag von Geschäftsleitungen, IT-Verantwortlichen und Verwaltungsräten. Dieser Beitrag ist kein Fachaufsatz. Er ist ein ehrlicher Rückblick auf das, was mich und meine Kunden in den letzten Monaten wirklich bewegt hat – und was das für Q3 bedeutet.

Was Schweizer KMU in Q2 2026 wirklich bewegt hat

Digitale Souveränität: Wer kontrolliert eigentlich Ihre Daten?

Dieses Thema taucht in fast jedem Erstgespräch auf – oft ohne dass es so genannt wird. Die eigentliche Frage dahinter lautet: Wissen wir noch, wo unsere Daten liegen, wer darauf zugreifen kann und was passiert, wenn ein Anbieter ausfällt oder seine Bedingungen ändert?

Viele KMU haben in den letzten Jahren Cloud-Dienste eingeführt – schnell, pragmatisch, oft ohne vertiefte Prüfung. Das ist verständlich. Doch jetzt, wo die Abhängigkeiten gewachsen sind, stellen Geschäftsleitungen und IT-Verantwortliche fest, dass sie die Kontrolle über kritische Prozesse und Daten teilweise aus der Hand gegeben haben.

Digitale Souveränität bedeutet nicht, alles selbst zu betreiben. Es bedeutet, bewusste Entscheidungen zu treffen:

• Welche Daten dürfen wo liegen?

• Welche Abhängigkeiten sind tragbar?

• Was brauchen wir, um im Notfall handlungsfähig zu bleiben?

Technologischer Wandel: Wenn KI und Automatisierung neue Risiken schaffen

Künstliche Intelligenz ist kein Zukunftsthema mehr. Sie ist in vielen KMU bereits im Einsatz – als Unterstützung im Büroalltag, in der Produktion oder in der Kundenkommunikation. Das schafft Effizienz. Aber es schafft auch neue Angriffsflächen, die viele noch nicht auf dem Radar haben.

In meiner Beratungstätigkeit erlebe ich, dass der Einsatz neuer Technologien oft schneller voranschreitet als die Sicherheitsmassnahmen, die ihn begleiten sollten. Mitarbeitende nutzen KI-Werkzeuge, ohne dass Richtlinien existieren. Automatisierte Prozesse laufen, ohne dass jemand weiss, welche Daten dabei verarbeitet werden.

Das ist kein Vorwurf – es ist die Realität in einem KMU, das mit begrenzten Ressourcen arbeitet. Aber es ist ein Risiko, das sich mit wenigen gezielten Schritten deutlich reduzieren lässt.

Regulatorische Anforderungen: Druck von aussen, Orientierung von innen

Der IKT-Minimalstandard, ISO 27001, die Meldepflicht bei Cybervorfällen – die regulatorischen Anforderungen an Schweizer Unternehmen nehmen zu. Besonders für Betreiber kritischer Infrastrukturen ist das kein abstraktes Thema mehr, sondern eine konkrete Pflicht.

Was mich in Q2 beschäftigt hat: Viele Unternehmen wissen, dass sie handeln müssen, aber nicht, wo sie anfangen sollen. Die Anforderungen wirken überwältigend, die Ressourcen sind knapp, und die Unsicherheit, etwas falsch zu machen, lähmt.

Dabei ist der erste Schritt oft einfacher als gedacht: eine ehrliche Bestandsaufnahme, klare Prioritäten und ein realistischer Plan. Informationssicherheit muss kein Papierstapel sein. Sie kann eine echte Grundlage für mehr Klarheit und Stabilität im Unternehmen werden.

Ein Blick aus der Praxis

Ein Industrieunternehmen mit rund 80 Mitarbeitenden kam im Frühjahr auf mich zu. Der Auslöser: Ein Grossabnehmer hatte einen Nachweis zur Informationssicherheit verlangt – und das Unternehmen wusste nicht, wie es darauf reagieren sollte.

Im Gespräch stellte sich heraus, dass die IT-Infrastruktur solide war, aber kaum dokumentiert. Prozesse existierten, aber niemand wusste, wer im Ernstfall verantwortlich ist. Und die Frage, welche Daten besonders schützenswert sind, hatte sich noch niemand systematisch gestellt.

Wir haben gemeinsam eine Bestandsaufnahme gemacht, die wichtigsten Risiken priorisiert und einen umsetzbaren Massnahmenplan entwickelt. Kein Grossprojekt, sondern gezielte Schritte, die im Alltag funktionieren. Drei Monate später hatte das Unternehmen nicht nur eine Antwort für seinen Kunden, sondern auch ein besseres Verständnis der eigenen Sicherheitslage.

Was Q3 bringt – und was jetzt sinnvoll ist

Die drei Themen aus Q2 werden uns auch im dritten Quartal begleiten. Digitale Souveränität wird wichtiger, je mehr Unternehmen ihre Cloud-Strategie überdenken. Der technologische Wandel beschleunigt sich weiter. Und die regulatorischen Anforderungen werden nicht weniger.

Was ich meinen Kunden für Q3 empfehle: Nutzen Sie die Sommermonate, um innezuhalten. Nicht um alles auf einmal zu lösen, sondern um zu klären, wo Sie stehen und was als nächstes wirklich wichtig ist. Eine ehrliche Standortbestimmung ist oft der wertvollste erste Schritt.

Sicherheit beginnt mit den richtigen Fragen

Informationssicherheit ist kein Projekt, das man abschliesst. Sie ist ein kontinuierlicher Prozess – und er beginnt mit dem Mut, die richtigen Fragen zu stellen. Was mich in Q2 am meisten beeindruckt hat: die Bereitschaft vieler Unternehmen, genau das zu tun.

Mein konkreter Tipp für jetzt: Nehmen Sie sich in den nächsten zwei Wochen zwei Stunden Zeit und beantworten Sie drei Fragen ehrlich: Wo liegen unsere kritischen Daten? Wer ist im Ernstfall verantwortlich? Und welche regulatorischen Anforderungen gelten für uns? Diese drei Antworten zeigen Ihnen, wo Sie stehen.

Bereit für den nächsten Schritt?

Wenn Sie wissen möchten, wie gut Ihr Unternehmen in den Bereichen digitale Souveränität, KI-Risiken und Regulatorik aufgestellt ist, sprechen Sie mit mir. Ich begleite KMU in der Deutschschweiz mit einer ehrlichen Bestandsaufnahme und einem umsetzbaren Massnahmenplan – ohne unnötige Komplexität.

Schreiben Sie mir direkt

Häufig gestellte Fragen

Was bedeutet digitale Souveränität für ein KMU?
Digitale Souveränität bedeutet, dass ein Unternehmen weiss, wo seine Daten liegen, wer darauf zugreifen kann und welche Abhängigkeiten von externen Anbietern bestehen. Es geht nicht darum, alles selbst zu betreiben, sondern bewusste und kontrollierte Entscheidungen zu treffen.

Welche regulatorischen Anforderungen gelten für Schweizer KMU?
Besonders relevant sind der IKT-Minimalstandard, ISO 27001 und die Meldepflicht bei Cybervorfällen. Für Betreiber kritischer Infrastrukturen – etwa in der Energie- oder Industriebranche – sind diese Anforderungen bereits heute verbindlich.

Wie gross ist das Risiko durch KI-Werkzeuge im Unternehmen?
KI-Werkzeuge schaffen neue Angriffsflächen, wenn sie ohne klare Richtlinien eingesetzt werden. Besonders kritisch ist, wenn Mitarbeitende sensible Daten in externe KI-Systeme eingeben, ohne dass das Unternehmen weiss, wie diese Daten weiterverarbeitet werden.

Wo fängt man mit Informationssicherheit am besten an?
Der erste Schritt ist eine ehrliche Bestandsaufnahme: Welche Daten sind besonders schützenswert? Wer ist im Ernstfall verantwortlich? Welche regulatorischen Anforderungen gelten? Aus diesen Antworten lassen sich klare Prioritäten ableiten.