Viele Unternehmen investieren in Sicherheit, aber in die falschen Dinge. Eine neue Firewall hier, ein Awareness-Training dort, vielleicht noch ein Passwort-Manager. Das klingt nach Fortschritt, ist aber oft das Ergebnis von Zufall statt Strategie. Wer nicht weiss, welche Risiken für sein Unternehmen wirklich relevant sind, kann auch nicht gezielt dagegen vorgehen.
Genau hier setzt die Risikoanalyse an. Sie ist kein Luxus für Grossunternehmen mit eigenem Sicherheitsteam. Sie ist das Fundament jeder sinnvollen Sicherheitsstrategie, auch im KMU-Umfeld. Und sie muss nicht kompliziert sein.
Dieser Beitrag zeigt, wie Geschäftsführerinnen und Geschäftsführer sowie IT-Verantwortliche in KMUs eigenständig mit einer Risikoanalyse starten können – strukturiert, verständlich und ohne grossen Aufwand.
Was ist eine Risikoanalyse und warum braucht sie jedes KMU?
Eine Risikoanalyse ist ein strukturierter Prozess, bei dem ein Unternehmen seine wichtigsten Werte identifiziert, mögliche Bedrohungen bewertet und daraus ableitet, welche Schutzmassnahmen Priorität haben. Sie schafft Klarheit darüber, wo das grösste Schadenspotenzial liegt und wo man zuerst handeln sollte.
Für KMUs ist das heute relevanter denn je. Cyberangriffe nehmen zu, regulatorische Anforderungen wie der IKT-Minimalstandard werden verbindlicher und die eigenen Ressourcen sind begrenzt. Wer ohne Risikoanalyse arbeitet, riskiert viel Geld in Massnahmen zu stecken, die das eigentliche Problem nicht lösen.
Warum KMU bei der Priorisierung oft falsch liegen
Das Problem ist selten fehlender Wille. Es ist fehlende Struktur.
In vielen KMUs entscheiden Zufall, Verkaufsgespräche oder der letzte Vorfall darüber, welche Sicherheitsmassnahmen umgesetzt werden. Ein Mitarbeitender klickt auf einen Phishing-Link und plötzlich wird ein Awareness-Training bestellt. Ein Lieferant meldet einen Datenverlust und man kauft eine neue Backup-Lösung. Reaktiv statt strategisch.
Das führt dazu, dass manche Bereiche mehrfach abgesichert sind, während andere kritische Lücken offen bleiben. Ohne eine systematische Bestandsaufnahme weiss man schlicht nicht, wo man wirklich verwundbar ist. Und ohne diese Grundlage lässt sich auch kein Budget sinnvoll einsetzen.
Hinzu kommt: Viele Sicherheitsanbieter liefern lange Checklisten mit Dutzenden von Massnahmen. Das überfordert und führt dazu, dass am Ende gar nichts umgesetzt wird.
Das 3-Schritt-Framework für eine einfache Risikoanalyse
Eine Risikoanalyse muss nicht monatelang dauern. Für den ersten Durchgang reicht ein pragmatisches Vorgehen in drei Schritten.
Schritt 1: Assets identifizieren – Was muss geschützt werden?
Bevor man über Bedrohungen nachdenkt, muss man wissen, was schützenswert ist. Im KMU-Kontext sind das typischerweise:
- Kundendaten und Verträge
- Produktionssysteme oder Leitsysteme (bei Industrie und Energie)
- Buchhaltungs- und ERP-Systeme
- E-Mail-Kommunikation und Zugangsdaten
- Interne Prozesse und Know-how
Diese Liste muss nicht perfekt sein. Wichtig ist, dass man die Bereiche benennt, deren Ausfall oder Kompromittierung das Unternehmen ernsthaft treffen würde.
Schritt 2: Bedrohungen bewerten – Was könnte passieren?
Im zweiten Schritt fragt man sich: Welche Ereignisse könnten diese Assets gefährden? Typische Bedrohungen für KMUs sind Ransomware-Angriffe, Phishing, menschliche Fehler, Systemausfälle oder der Verlust von Zugangsdaten.
Für jede Bedrohung bewertet man zwei Faktoren: Wie wahrscheinlich ist sie? Und wie gross wäre der Schaden? Diese Einschätzung muss nicht auf Zahlen basieren – eine einfache Skala (tief / mittel / hoch) reicht für den Anfang vollkommen aus.
Schritt 3: Massnahmen priorisieren – Was zuerst?
Aus der Kombination von Wahrscheinlichkeit und Schadensausmass ergibt sich eine klare Prioritätenliste. Bedrohungen mit hoher Wahrscheinlichkeit und grossem Schadenpotenzial kommen zuerst. Massnahmen, die mehrere Risiken gleichzeitig reduzieren, haben Vorrang.
Dieser Schritt ist der wertvollste: Er macht aus einer langen Massnahmenliste eine handhabbare Priorität und gibt dem Management und der IT eine gemeinsame Grundlage für Entscheidungen.
Worauf es beim ersten Durchgang wirklich ankommt
Perfektion ist kein Ziel – Klarheit schon. Wer zum ersten Mal eine Risikoanalyse durchführt, sollte sich nicht in Details verlieren. Ein grober, ehrlicher Überblick ist wertvoller als ein perfektes Dokument, das niemand liest.
Wichtig ist auch: Die Risikoanalyse ist kein einmaliges Projekt. Sie sollte mindestens einmal jährlich überprüft und bei grösseren Veränderungen – neuen Systemen, Reorganisationen, regulatorischen Änderungen – aktualisiert werden.
Und schliesslich: Die Ergebnisse müssen kommuniziert werden. Nicht nur intern in der IT, sondern auch auf Stufe Geschäftsleitung und Verwaltungsrat. Nur wenn das Management die Risiken kennt und versteht, kann es fundierte Entscheidungen treffen und die nötigen Ressourcen freigeben.
Praxisbeispiel Industrieunternehmen
Ein mittelgrosses Produktionsunternehmen mit rund 80 Mitarbeitenden hatte in den letzten Jahren mehrere Sicherheitslösungen eingekauft – Virenschutz, eine neue Firewall, ein Backup-System. Trotzdem war die Geschäftsleitung unsicher: «Sind wir wirklich geschützt?»
Im Rahmen einer einfachen Risikoanalyse stellte sich heraus, dass die Produktionsanlage direkt mit dem Büronetzwerk verbunden war – ohne Trennung. Ein erfolgreicher Angriff auf einen Büro-PC hätte die gesamte Produktion lahmlegen können. Diese Schwachstelle war weder bekannt noch adressiert.
Mit dem 3-Schritt-Framework liess sich das Risiko schnell einordnen: hohe Wahrscheinlichkeit, sehr grosses Schadenpotenzial. Die Netzwerktrennung wurde zur Priorität Nummer eins – noch vor weiteren geplanten Investitionen.
Das Beispiel zeigt: Nicht die teuerste Massnahme ist die wichtigste. Sondern die richtige.
Unser Experten-Tipp
Eine Risikoanalyse muss nicht komplex sein, um zu wirken. Wer seine wichtigsten Assets kennt, die relevantesten Bedrohungen bewertet und daraus klare Prioritäten ableitet, hat bereits mehr erreicht als die meisten KMUs. Der erste Schritt ist der entscheidende. Er ist einfacher als gedacht.
Risikoanalyse prüfen lassen? Jetzt anfragen.
Sie möchten wissen, ob Ihre aktuelle Sicherheitsstrategie auf den richtigen Prioritäten basiert? Marcel Kühni begleiten Sie bei einer strukturierten Risikoanalyse – verständlich, praxisnah und abgestimmt auf Ihr Unternehmen.
