Es braucht nur ein Mail oder einen Telefonanruf, dann ist es passiert. Klickt man auf den falschen Link, öffnet sich Tür und Tor für Angreifer. Wie viel Schaden diese dann in IT-Systemen anrichten können, zeigen Vorfälle immer wieder aufs Neue: Hacker legen ein Casino lahm, russische Cyberkriminelle den Schweizer Tourismus oder der Super-GAU rund um den IT-Dienstleister Xplain, wo sensible Daten des Bundes ins Darknet abflossen.
«Die Angreifer sind hochintelligent und entwickeln Angriffsszenarien stets weiter», sagt Simon Seebeck, Leiter vom Kompetenzzentrum Cyber Risk bei der Mobiliar. Doch Angriffe betrifft nicht nur Weltkonzerne oder exponierte Personen. «Kleinere Firmen gehen oft davon aus, dass sich Cyberkriminelle nicht für sie interessieren – das ist ein Irrglaube», sagt Seebeck.
Stellvertretend für 153'000 KMU
Im Kontrast dazu steht, dass viele KMU in der Schweiz der Cybersicherheit wenig Aufmerksamkeit schenken oder ihren IT-Dienstleistern gar blind vertrauen. Zu diesem Schluss kommt die Befragung zur Digitalisierung und Cybersicherheit in KMU 2023. Es ist die vierte dieser Art in Serie.
Für die Studie wurden zwischen dem 18. April und dem 13. Juni 2023 insgesamt 502 Geschäftsführerinnen und Geschäftsführer von KMU befragt. Die Firma haben zwischen 4 und 49 Mitarbeitenden. «Die Stichprobe steht für 153'000 KMU in der Schweiz», erklärt Studienverfasserin Karin Mändli Lerch von GFS Zürich. Die Studie entstand im Auftrag von digitalswitzerland, der Versicherung Mobiliar, der Fachhochschule Nordwestschweiz FHNW, der Schweizerischen Akademie der Technischen Wissenschaften SATW und der Allianz Digitale Sicherheit Schweiz.
Laut der Studie arbeiten knapp 80 Prozent der befragten Unternehmen mit einem oder mehreren externen Dienstleistern zusammen. Das birgt zusätzlich Gefahren: «Nur die Hälfte kann bestätigen, dass ihre IT-Dienstleister cyberzertifiziert sind. Sprich: Die andere Hälfte vertraut ihren IT-Dienstleistern blind», sagt Andreas W. Kaelin, Geschäftsführer von Allianz Digitale Sicherheit Schweiz. Aus diesem Grund wurde vor rund zwei Jahren ein Gütesiegel für IT-Zubringer von KMU eingeführt, das Cyberseal.
Besser informiert als 2020
Immerhin: Der generelle Informationsstand der Befragten bezüglich Cyberrisiken hat sich seit der ersten Befragung 2020 leicht verbessert. 56 Prozent fühlt sich heute eher oder sehr gut informiert. 2020 waren es noch weniger als die Hälfte. Die Studie zeigt auch auf, dass KMU mit gut informierten Führungskräften viel eher Massnahmen zur Verbesserung der Cybersicherheit umsetzen als Befragte, die sich als wenig informiert einschätzen. Doch während sich in den vergangenen Jahren stets rund ein Fünftel der befragten KMU als digitale «Pioniere» gesehen haben, sind es 2023 nur noch rund ein Zehntel.
Die wichtigste Massnahme sei es, Angestellte zu informieren. Denn laut anderen Studien stehen in rund 80 Prozent aller Cybervorfällen eine Mitarbeiterin oder ein Mitarbeiter am Anfang, so Seebeck. «Der Mensch ist die grösste Schwachstelle im IT-System – aber richtig informiert, auch die beste Firewall», sagt er.