Kleine und mittlere Unternehmen denken oft, sie seien zu unbedeutend für Cyberangriffe. Die Realität sieht anders aus — aber mit den richtigen Massnahmen müssen Sie kein einfaches Ziel sein.
Warum gerade KMU angegriffen werden
Cyberkriminelle sind Opportunisten. Sie suchen nicht nach dem grössten Unternehmen, sondern nach dem einfachsten Ziel. Und KMU sind oft genau das:
- Kein dediziertes Security-Team
- IT wird „nebenbei“ betrieben oder an einen Generalisten ausgelagert
- Budget für Security ist begrenzt oder nicht vorhanden
- Die Annahme „uns betrifft das nicht“ ist weit verbreitet
Gleichzeitig haben auch KMU wertvolle Daten: Kundendaten, Finanzdaten, geistiges Eigentum, Zugänge zu grösseren Partnern. Und seit dem revidierten Datenschutzgesetz (nDSG) gibt es auch regulatorische Konsequenzen bei Datenverlust.
Grund 1: Sichtbarkeit schaffen — Sie können nicht schützen was Sie nicht sehen
Der erste Schritt ist zu wissen, was in Ihrem Netzwerk läuft. Viele KMU haben keinen vollständigen Überblick über:
- Welche Systeme von aussen erreichbar sind
- Welche Software-Versionen auf ihren Servern laufen
- Welche Dienste offen und potenziell verwundbar sind
Ein automatisierter Vulnerability Scan schafft diese Sichtbarkeit in Minuten. Nicht einmalig, sondern regelmässig — denn Ihre Infrastruktur verändert sich ständig.
Grund 2: Automatisierung statt Manpower
Sie brauchen kein 10-köpfiges Security-Team. Moderne Vulnerability-Management-Plattformen automatisieren was früher manuell und teuer war:
- Automatische Scans auf bekannte Schwachstellen (CVEs)
- Priorisierung nach tatsächlichem Risiko, nicht nur CVSS-Score
- Verständliche Berichte mit konkreten Handlungsempfehlungen
- Trend-Tracking um zu sehen ob sich die Sicherheitslage verbessert
Was ein Security-Analyst in Tagen manuell macht, erledigt ein moderner Scanner in Stunden — und das regelmässig, ohne dass jemand daran denken muss.
Grund 3: Patching priorisieren statt alles auf einmal
Der häufigste Fehler beim Patching: Alles gleichzeitig machen wollen und dann gar nichts machen. Der bessere Ansatz:
- Kritische Schwachstellen auf öffentlich erreichbaren Systemen — sofort
- Hohe Schwachstellen auf internen Systemen — innerhalb einer Woche
- Mittlere und niedrige Findings — beim nächsten Wartungsfenster
Ein guter Vulnerability Scanner liefert genau diese Priorisierung und sagt Ihnen welche 5 von 100 Findings Sie zuerst beheben sollten.
Grund 4: Compliance ist kein Nice-to-have mehr
Seit dem 1. September 2023 gilt das revidierte Schweizer Datenschutzgesetz (nDSG). Was viele nicht wissen:
- Datenschutzverletzungen müssen dem EDÖB gemeldet werden
- Unternehmen müssen nachweisen dass sie angemessene technische Massnahmen getroffen haben
- Bussen bis CHF 250’000 sind möglich — und richten sich gegen natürliche Personen, nicht das Unternehmen
Ein regelmässiger Vulnerability Scan ist eine der einfachsten Massnahmen um nachzuweisen, dass Sie Ihre Sorgfaltspflicht ernst nehmen. Dokumentierte Scan-Berichte zeigen: Wir prüfen aktiv, wir priorisieren, wir beheben.
Grund 5: Die Kosten eines Angriffs vs. die Kosten der Prävention
Eine Ransomware-Attacke kostet ein Schweizer KMU im Durchschnitt:
- CHF 100’000 – 500’000 direkte Kosten (Betriebsausfall, Wiederherstellung, ggf. Lösegeld)
- Wochen eingeschränkter Betrieb
- Reputationsschaden der schwer zu beziffern ist
- Regulatorische Konsequenzen wenn Kundendaten betroffen sind
Dem gegenüber stehen die Kosten für regelmässiges Vulnerability Management: CHF 100-500 pro Monat. Das ist weniger als die meisten Unternehmen für Kaffee ausgeben.
Die Rechnung ist einfach: Prävention ist billiger als Reaktion. Immer.
Fazit: Fünf Schritte die Sie heute umsetzen können
- Inventar erstellen: Welche Systeme haben Sie? Was ist von aussen erreichbar?
- Ersten Scan durchführen: Sehen Sie was ein Angreifer sieht
- Quick Wins umsetzen: Standard-Passwörter, unnötige Dienste, fehlende Patches
- Regelmässigkeit einführen: Wöchentliche oder monatliche Scans automatisieren
- Dokumentieren: Scan-Berichte aufbewahren für Compliance-Nachweis
Cybersecurity ist kein Projekt mit einem Enddatum. Es ist ein Prozess. Aber der erste Schritt ist einfacher als Sie denken.
