Eine neue Firewall ist installiert, die Backups laufen automatisch, und die Passwörter sind endlich komplex genug. Alles erledigt, oder? Viele Schweizer KMUs investieren in Technik und glauben damit, das Thema Cybersicherheit abgehakt zu haben. Doch die Statistiken erzählen eine andere Geschichte: Die grosse Mehrheit erfolgreicher Cyberangriffe beginnt nicht mit einer technischen Lücke, sondern mit einem menschlichen Fehler. Ein Klick auf den falschen Link. Eine Rechnung, die zu echt aussieht. Ein Passwort, das geteilt wird, weil es «schneller geht».
Für Geschäftsleitungen, IT-Verantwortliche und Verwaltungsräte stellt sich deshalb eine entscheidende Frage: Wie entsteht echte Cyberresilienz und was hat das mit der Unternehmenskultur zu tun?
Der Mensch ist das grösste Risiko – und die grösste Chance
Studien zeigen konsistent: Über 80 Prozent aller Sicherheitsvorfälle haben eine menschliche Komponente. Das bedeutet nicht, dass Mitarbeitende fahrlässig oder unvorsichtig sind. Es bedeutet, dass sie oft nicht wissen, worauf sie achten müssen oder dass sie in einer Unternehmenskultur arbeiten, in der Sicherheit als Aufgabe der IT gilt und nicht als gemeinsame Verantwortung.
Phishing-Mails werden täglich raffinierter. Betrügerische Anrufe imitieren Lieferanten oder sogar Vorgesetzte. Wer nicht regelmässig sensibilisiert wird, erkennt diese Muster nicht – egal wie gut die Firewall konfiguriert ist.
Was Sicherheitskultur wirklich bedeutet
Sicherheitskultur ist kein Schulungsprogramm, das man einmal im Jahr abhakt. Sie beschreibt, wie selbstverständlich sicheres Verhalten im Alltag verankert ist – in Entscheidungen, Gewohnheiten und im Umgang miteinander.
Eine starke Sicherheitskultur zeigt sich darin, dass Mitarbeitende eine verdächtige E-Mail melden, ohne Angst vor Konsequenzen zu haben. Dass jemand nachfragt, bevor er einen Anhang öffnet. Dass die Geschäftsleitung Sicherheit nicht nur einfordert, sondern selbst vorlebt.
Das ist kein Zustand, der von heute auf morgen entsteht. Aber er ist erreichbar, auch in einem KMU mit begrenzten Ressourcen.
Drei pragmatische Massnahmen für den Aufbau einer Sicherheitskultur im KMU
Die Cybersicherheit-Awareness muss nicht teuer oder aufwendig sein. Diese drei Massnahmen zeigen Wirkung – ohne das Tagesgeschäft zu überlasten:
1. Kurze, regelmässige Sensibilisierung statt jährliche Pflichtschulung
Einmalige Trainings verpuffen schnell. Wirkungsvoller sind kurze, regelmässige Impulse: ein monatliches Beispiel aus der Praxis, eine kurze Diskussion im Teammeeting, eine simulierte Phishing-Mail. Häufigkeit schlägt Länge.
2. Klare Meldewege für Sicherheitsvorfälle
Mitarbeitende müssen wissen, an wen sie sich wenden, wenn etwas Verdächtiges passiert und sie müssen sich sicher fühlen, es zu melden. Wer Angst hat, für einen Fehler bestraft zu werden, schweigt. Und Schweigen kostet im Ernstfall viel mehr als ein offenes Gespräch.
3. Sicherheit in bestehende Prozesse integrieren
Sicherheitsverhalten entsteht durch Gewohnheit. Wenn das Thema bei Onboarding, Lieferantengesprächen und Projektübergaben selbstverständlich mitgedacht wird, verankert es sich – ohne zusätzlichen Aufwand.
Die Führungsebene entscheidet – ob sie will oder nicht
Sicherheitskultur beginnt oben. Nicht weil die Geschäftsleitung alle technischen Details kennen muss, sondern weil sie das Verhalten im Unternehmen prägt. Wenn die Führung Sicherheit ernst nimmt, tun es die Mitarbeitenden auch. Wenn sie es als lästige IT-Pflicht behandelt, wird es genau das bleiben.
Konkret bedeutet das: Geschäftsführende und HR-Verantwortliche sollten aktiv kommunizieren, warum Sicherheit wichtig ist. Sie sollten Ressourcen für Sensibilisierung freigeben – nicht als Kostenpunkt, sondern als Investition. Und sie sollten selbst an Trainings teilnehmen, nicht nur delegieren.
Verwaltungsräte wiederum können in ihrer Aufsichtsfunktion gezielt nachfragen: Gibt es ein Awareness-Programm? Wie wird dessen Wirksamkeit gemessen? Diese Fragen signalisieren, dass das Thema Chefsache ist.
Praxisbeispiel
Ein produzierendes Unternehmen mit rund 80 Mitarbeitenden hatte eine solide IT-Infrastruktur, aber kein strukturiertes Awareness-Programm. Als eine Mitarbeiterin eine täuschend echte Phishing-Mail erhielt und den Anhang öffnete, war der Schaden schnell gross: Produktionsdaten waren verschlüsselt, der Betrieb stand für zwei Tage still.
Im Nachgang wurde nicht nur die Technik verbessert. Das Unternehmen führte kurze monatliche Sensibilisierungsimpulse ein, definierte klare Meldewege und schulte die Führungsebene separat. Sechs Monate später erkannte dasselbe Team eine ähnliche Phishing-Kampagne und meldete sie, bevor jemand klickte.
Der Unterschied war nicht die Technik. Es war das Bewusstsein.
Mein Experten-Tipp
Cyberresilienz entsteht nicht durch Tools allein. Sie entsteht, wenn Menschen wissen, was zu tun ist und wenn die Unternehmenskultur sicheres Verhalten möglich macht und belohnt. Der erste Schritt muss kein grosses Projekt sein: Ein klarer Meldeweg, ein erstes Sensibilisierungsgespräch im Team, eine Führungskraft, die das Thema offen anspricht. Das reicht, um anzufangen.
Möchten Sie wissen, wie gut Ihr Team auf Cyberbedrohungen vorbereitet ist und wie Sie eine echte Sicherheitskultur aufbauen?
