1. Executive Summary
Cyberangriffe, Fehlbedienungen, Ausfälle, neue Vorschriften – Schweizer KMU sind heute nicht nur betroffen, sondern im Visier. Informationssicherheit entscheidet über Vertrauen, Geschäftskontinuität und Zukunftsfähigkeit.
📊 Im Allianz Risk Barometer 2025 nennen 38 % der Expert:innen Cybervorfälle als größtes Geschäftsrisiko weltweit – Cyber liegt damit zum vierten Mal in Folge auf Platz 1. Bei <Allianz Commercial+1>.
📈 Im Hiscox Cyber Readiness Report 2024 berichten 67 % der Unternehmen, dass sie mehr Angriffe im letzten Jahr verzeichnet haben als je zuvor, und viele leiden zusätzlich unter Reputationsschäden und Kundenverlusten.
Was steckt hinter dem Buzzword Informationssicherheit?
Informationssicherheit umfasst sieben Dimensionen: IT-Sicherheit, Cybersecurity, physische Sicherheit, organisatorische Sicherheit, technische Sicherheit, personelle Sicherheit und Lieferkettensicherheit.
Die wirksamsten Hebel für KMU sind:
- IT-Basics wie MFA, Patches und Backups; sie senken Standardrisiken bis zu 80 %.
- Cyber-Abwehr mit EDR und Monitoring stoppt Angriffe, bevor Schaden entsteht.
- ISO 27001:2022 oder TISAX V6 schaffen Struktur, Nachweisbarkeit und Vertrauen.
Fazit: Mit klaren Massnahmen, Verantwortlichkeiten und Nachweisen erreichen KMU mit überschaubarem Aufwand maximale Risikoreduktion – und stärken zugleich ihre Wettbewerbsfähigkeit.
2. Was ist Informationssicherheit?
Informationssicherheit ist der systematische Schutz von Informationen und Systemen, damit Vertraulichkeit, Integrität und Verfügbarkeit jederzeit gewährleistet sind. Sie bildet die Grundlage für Vertrauen, stabile Abläufe und rechtliche Sicherheit.
Informationssicherheit umfasst sieben Dimensionen:
- IT-Sicherheit – Systeme und Netze stabil betreiben.
- Cybersecurity – Angriffe abwehren, Vorfälle erkennen und darauf reagieren.
- Physische Sicherheit – Gebäude, Räume und Hardware schützen.
- Organisatorische Sicherheit – Rollen, Regeln und Prozesse klar festlegen.
- Technische Sicherheit – Verschlüsselung, Zugriffskontrollen und Firewalls einsetzen.
- Personelle Sicherheit – Mitarbeitende sensibilisieren, schulen und sicher offboarden.
- Lieferkettensicherheit – Risiken und Anforderungen bei Partnern im Griff haben.
Das Fundament: der risikobasierte Ansatz
Alle modernen Standards (ISO 27001, NIS2, TISAX®) bauen auf einem risikobasierten Ansatz. Dabei geht es darum, Risiken systematisch zu bewerten und Schutzmassnahmen dort einzusetzen, wo das grösste Schadenspotenzial besteht. Denn nicht alles lässt sich gleich gut schützen – entscheidend ist, die kritischsten Risiken zuerst abzusichern.
Für KMU bedeutet das: Kundendaten, Produktionssysteme und Finanzprozesse haben Vorrang. So entstehen klare Prioritäten, Ressourcen werden gezielt eingesetzt – und zugleich sind Kunden- und Compliance-Anforderungen erfüllt.
3. Die 7 Kernmassnahmen für wirksame Informationssicherheit im KMU
Nicht jedes KMU braucht sofort ein Zertifikat wie ISO 27001 oder TISAX® – oft ist das wirtschaftlich nicht sinnvoll. Doch nichts zu tun ist keine Option: Cyberangriffe, Ausfälle oder Kundenanforderungen können jedes Unternehmen direkt treffen.
Ein pragmatischer Einstieg ist ein schlankes Sicherheits-Management, ein „ISMS light“. Es konzentriert sich auf die wichtigsten Massnahmen, schafft klare Zuständigkeiten und reduziert Risiken spürbar – mit weniger Aufwand als eine Zertifizierung.
Der Vorteil: Sie sichern zuerst die grössten Risiken ab. Gleichzeitig haben Sie eine dokumentierte Basis, um Fragen von Kunden oder Partnern schnell und einheitlich zu beantworten – ohne jedes Mal neu reagieren zu müssen.
👉 Die folgenden 7 Massnahmen sind die Minimalanforderungen für Informationssicherheit im KMU. Sie gehören zum Kern jedes ISMS – egal ob leicht oder zertifiziert.
- IT-Sicherheit
- ✅ Doppelte Anmeldung (MFA) für E-Mail, Remote- und Admin-Konten aktivieren.
- ✅ Sicherheits-Updates innert 7 Tagen einspielen, zumindest bei kritischen Lücken.
- ✅ Backups regelmässig testen und dokumentieren, damit im Notfall Daten auch wirklich zurückgeholt werden können.
- Cybersecurity
- ✅ Endgeräte absichern mit moderner EDR-Software, die auch neue Angriffe erkennt.
- ✅ Systeme überwachen lassen (z. B. externer MDR-Service mit 24/7-Alarmierung).
- ✅ Notfallplan jährlich üben, inkl. Dokumentation, wer was tut und was verbessert werden muss.
- Physische Sicherheit
- ✅ Zutritt nur für Berechtigte (Serverraum, sensible Bereiche), Rechte mindestens 1×/Jahr prüfen.
- ✅ Brandschutz & Notstromanlagen einbauen und regelmässig warten.
- ✅ Serverräume überwachen (Zutritt, Temperatur, Feuchtigkeit) – mit Alarm, wenn etwas nicht stimmt.
- Organisatorische Sicherheit
- ✅ Verantwortliche Person bestimmen (ISB/CISO), die das Thema steuert.
- ✅ Klare Regeln schriftlich festhalten (Zugriff, Backups, Notfälle) – freigegeben durch die Geschäftsleitung.
- ✅ Risiken jährlich überprüfen und Ergebnisse protokollieren.
- Technische Sicherheit
- ✅ Daten verschlüsseln – sowohl beim Speichern als auch beim Übertragen.
- ✅ Netzwerke sauber trennen (Büro, Produktion, Gäste).
- ✅ Systemprotokolle zentral sammeln und regelmässig auswerten (z. B. für verdächtige Zugriffe).
- Personelle Sicherheit
- ✅ Mitarbeitende regelmässig schulen (inkl. Phishing-Tests) und die Teilnahme dokumentieren.
- ✅ Ein- und Austritte strukturiert abwickeln (Checkliste: Zugänge anpassen oder sperren).
- ✅ Vier-Augen-Prinzip bei besonders kritischen Aufgaben einführen.
- Lieferkettensicherheit
- ✅ Sicherheitsklauseln in Verträge aufnehmen (z. B. Auftragsverarbeitung, ISO-Anforderungen).
- ✅ Zertifikate & Prüfberichte von Dienstleistern einfordern und auf Aktualität prüfen.
- ✅ Kritische Partner überwachen (z. B. mit Fragebogen oder Audit bei Bedarf).
4. Standards, die KMU helfen
- ISO/IEC 27001:2022
- Einstieg mit ISO-light: Risikoanalyse + SoA.
- Nutzen: Struktur, Nachweisbarkeit, Kundenerwartungen.
- TISAX V6
- Für Automotive-Zulieferer Pflicht. Vorgehen: Gap-Analyse + Massnahmenplan.
- Nutzen: OEM-Zugang sichern.
- NIS2 (EU)
- Relevant nur bei EU-Kunden/Lieferkette.
- Fokus: Verantwortliche, Fristen, Nachweise.
- Cyber Resilience Act (EU-CRA)
- Gilt für CH-Unternehmen mit Produkten im EU-Markt.
- Pflicht: Secure-by-Design, Patchmanagement, Meldung innert 24h.
5. Best Practices für KMU
- Zentrales Massnahmen-Register (Excel oder Tool).
- Risikobasierte Priorisierung: Nicht alles gleichzeitig, sondern zuerst die Massnahmen mit dem grössten Risikohebel (z. B. MFA oder Backup-Test statt Detail-Policy).
- Rollen klären: Geschäftsführung verantwortet, IT betreibt, ISB steuert & dokumentiert.
- Outsourcing nutzen: MDR, Awareness, Schwachstellenscans.
- PDCA-Zyklus leben: Massnahmen prüfen, Findings zeitnah schliessen.
- Dokumentation schlank halten: kurze, praxisnahe Policies.
6. Rechtliche Rahmenbedingungen
Auch für KMU wird Informationssicherheit zunehmend durch Gesetze und Vorschriften bestimmt. Diese Vorgaben definieren, welche Nachweise zu erbringen sind und in welchen Branchen besondere Anforderungen gelten. Besonders relevant sind:
- revDSG (CH): Datenschutzorganisation und Nachweise.
- NIS2 (EU): nur relevant bei EU-Kunden/Lieferketten.
- CRA (EU): betrifft CH-Hersteller digitaler Produkte für den EU-Markt.
- DORA (EU): Resilienzpflichten im Finanzsektor.
7. Quick Wins & 30-Tage-Plan
Quick Wins
- MFA aktivieren
- Backup & Restore testen
- Rechte/Admins aufräumen
- Awareness-Training starten
30 Tage – strukturiert
- Woche 1: MFA, Patches, Restore-Test
- Woche 2: Rechte aufräumen, Schulung
- Woche 3: EDR-Pilot, Notfallplan
- Woche 4: Risiko-Workshop, Policies, MDR-Angebote vergleichen
8. KPIs für Entscheider
- MFA-Quote ≥ 95 %
- Kritische Patches ≤ 7 Tage
- Restore-Test pro Quartal erfolgreich
- Massnahmen-Durchlaufzeit < 9 Monate
- Schnelleres Erkennen & Beheben von Angriffen (MTTD/MTTR)
9. Nächster Schritt für Ihr KMU
Sie haben im Blog bereits die Checkliste zur Standortbestimmung. Füllen Sie die Checkliste aus. Der nächste Schritt: daraus konkrete Massnahmen machen.
✅ Experten-Analyse: Wir geben Ihnen einen klaren Überblick, wo Ihr Unternehmen aktuell steht, welche Lücken Sie schliessen sollten und wie Sie mit ISO 27001 oder TISAX pragmatisch starten können.
10. FAQ – häufige Fragen
Ja. In der Schweiz war bereits jedes dritte KMU betroffen – Angriffe wie Phishing oder Ransomware verursachen hohe Kosten und Vertrauensverlust.
Nein. Oft reicht ein ISMS-Light als pragmatischer Einstieg; eine Zertifizierung wird erst relevant, wenn Kunden sie verlangen oder mehr Nachweisbarkeit nötig wird.
Die grössten Hebel sind MFA, schnelle Updates, getestete Backups, Endgeräteschutz (EDR) und Awareness-Trainings – sie senken die meisten Standardrisiken sofort.
Die Verantwortung liegt bei der Geschäftsleitung. IT oder externe Partner können Technik betreiben, doch Steuerung und Nachweise bleiben intern.
In der Schweiz gilt das revidierte Datenschutzgesetz (revDSG). EU-Vorgaben wie NIS2 oder CRA betreffen nur Firmen mit EU-Kunden, Lieferketten oder Produkten im EU-Markt.
11. Quellen
- ISO/IEC 27001:2022 & Annex A
- TISAX V6 / VDA-ISA
- EU NIS2-Richtlinie
- EU Cyber Resilience Act (CRA)
- NIST CSF 2.0 (2024)
- CIS Controls v8
- Allianz Risk Barometer 2024
- Hiscox Cyber Readiness Report 2023
- ENISA: Cybersecurity for SMEs
