Trotz Cybervorfällen wiegen sich Schweizer KMUs in falscher Sicherheit

(Source: TheDigitalArtist / pixabay.com)

(Source: TheDigitalArtist / pixabay.com)

Die Deloitte-Studie "Unterschätzt, ungeschützt, unterversichert: KMU-Cyberrisiken in der Schweiz" zeigt eine deutliche Lücke zwischen Cybervorfällen und der Risikowahrnehmung. 49 Prozent der befragten Mitarbeitenden haben demnach innerhalb der vergangenen drei Monate einen ernsten Cybervorfall bei ihrem Arbeitgeber erlebt. Gleichzeitig würden jedoch nur 22 Prozent das Cyberrisiko ihres Unternehmens als hoch einstufen. 

Zwischen der Risikoeinschätzung der Befragten und den erlebten Cybervorfällen klafft eine grosse Lücke. (Source: Deloitte)

Die Diskrepanz zeigt sich bei Unternehmen aller untersuchten Grössen. Besonders gross ist sie laut den Umfrageergebnissen bei kleinen Unternehmen mit 10 bis 49 Mitarbeitenden: 52 Prozent der Befragten berichten von einem ernsten Cybervorfall, während nur 21 Prozent das Cyberrisiko als hoch einschätzen.

Als häufigste Cyberbedrohung nehmen die Befragten Phishing wahr. Insgesamt 25 Prozent berichten von entsprechenden Vorfällen. Dabei unterscheiden sich die Unternehmensgrössen kaum: Bei Mikrounternehmen sind es 24 Prozent, bei mittleren Unternehmen 25 Prozent. Malware folgt mit 13 Prozent als zweithäufigste wahrgenommene Bedrohung.

Grundlegende Schutzmassnahmen bleiben lückenhaft

Auch beim Schutz vor Cyberangriffen sieht Deloitte Nachholbedarf. Der erstmals auf Grundlage der Studie berechnete KMU-Cybersicherheitsindex erreicht 58 von 100 Punkten. Er bilde ab, wie verbreitet sechs grundlegende Sicherheitsmassnahmen wie Multi-Faktor-Authentifizierung (MFA), E-Mail-Warnungen, Schulungen und Phishing-Tests bei den Arbeitgebern sind.

Dabei zeichnen sich deutliche Unterschiede je nach Grösse eines Unternehmens ab. Mikrounternehmen erreichen im Index 44 Punkte, mittlere Unternehmen 67 Punkte. MFA setzen gemäss den Befragten 66 Prozent der Unternehmen ein. Passwortlose Authentifizierung und Single Sign-on kommen jeweils bei 45 Prozent zum Einsatz und regelmässige Phishing-Tests führen 48 Prozent durch, wie Deloitte schreibt.

Verbreitung der Cybersecurity-Massnahmen aus Mitarbeitersicht nach Unternehmensgrösse gemäss dem Deloitte KMU-Cybersicherheitsindex. (Source: Deloitte)

Besonders gross seien auch die Unterschiede bei Schulungen: 82 Prozent der Befragten aus mittleren Unternehmen geben an, dass ihr Arbeitgeber Cybersecurity-Schulungen anbietet. Bei Mikrounternehmen sind dies lediglich 32 Prozent.

"Angriffe sind heute skalierbar, automatisiert und treffen Unternehmen jeder Grösse", sagt Florian Widmer, Partner Cyber bei Deloitte Schweiz. Unternehmen sollten deshalb unter anderem auf starke Authentifizierung, eingeschränkte Zugriffsrechte, regelmässige Schulungen, getestete Back-ups und einen Notfallplan setzen.

Florian Widmer, Partner Cyber bei Deloitte Schweiz. (Source: zVg)

Nur ein Zehntel der Unternehmen ist cyberversichert

Lücken bestehen laut der Studie ausserdem beim Versicherungsschutz. Zahlen des Schweizerischen Versicherungsverbands (SVV) zufolge gab es 2025 rund 72'000 Firmenkundenpolicen. Somit hatten lediglich 11,5 Prozent der in der Schweiz ansässigen Unternehmen eine Cyberversicherung abgeschlossen.

Besonders Mikrounternehmen und kleine Unternehmen blieben häufig unversichert, heisst es weiter. Laut Deloitte können jedoch genau diese Unternehmen gemessen an ihrem Umsatz besonders stark von Cybervorfällen betroffen sein. Als mögliche Gründe für die Versicherungslücke nennt das Beratungsunternehmen abgesehen von einer zu niedrigen Risikowahrnehmung fehlende Sicherheitsmassnahmen sowie komplexe Antragsprozesse.

Befragte wünschen sich mehr Regulierung

Auch vom Staat wünschen sich die Befragten mehr Verbindlichkeit. 87 Prozent unterstützen eine weitergehende Regulierung in Bezug auf Cybersicherheit. Eine rein staatliche Lösung findet laut Umfrage jedoch deutlich weniger Zuspruch: Lediglich 19 Prozent bevorzugen strengere staatliche Vorgaben mit Mindeststandards. 62 Prozent sprechen sich stattdessen für Branchenstandards oder eine Kombination aus staatlichen Vorgaben und Branchenstandards aus.

Zur Studie

Für die Studie befragte Deloitte im April 2026 online 924 Personen, die bei Schweizer Unternehmen mit weniger als 250 Mitarbeitenden beschäftigt sind und beruflich am Computer arbeiten. Zusätzlich habe das Beratungsunternehmen im Juni und Juli Gespräche mit Cyberfachleuten aus der Versicherungsbranche geführt.

Auch eine Analyse von Infoguard zeigt: Phishing ist der häufigste Einfallsvektor bei Cybervorfällen. Aus den Erkenntnissen leitet der Cybersecurity-Dienstleister konkrete Massnahmen für Organisationen ab.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.