Wahrnehmung und Umsetzung von Cyberresilienz klaffen in der Schweiz auseinander

(Source: agratitudesign / stock.adobe.com)

(Source: agratitudesign / stock.adobe.com)

In Schweizer KMUs klafft eine Lücke zwischen der wahrgenommenen und der organisatorisch verankerten Cyberresilienz. Darauf deutet die aktuelle Ausgabe der Studie "KMU Cybersicherheit 2026" hin. Die Studie ist eine Zusammenarbeit der Mobiliar mit dem Bundesamt für Cybersicherheit (BACS), dem Verein Digitalswitzerland, der HES-SO, der HWZ und der Schweizerischen Akademie der Technischen Wissenschaften (SATW).

Die Statistik zeigt, dass 6 Prozent der befragten KMUs in den vergangenen drei Jahren von einem schwerwiegenden Cybervorfall betroffen waren. 7 Prozent der Befragten gaben an, bereits Opfer von Cybererpressungen geworden zu sein. Mit 81 Prozent geht eine klare Mehrheit zudem davon aus, dass die Gefahr durch KI steigen wird.

Positiv fällt auf, dass die befragten KMUs Cybersecurity wieder vermehrt als Priorität ansehen. Der Anstieg ist sogar recht deutlich: Während im Vorjahr lediglich 33 Prozent der befragten KMUs das Thema als "(sehr) wichtig" eingestuft haben, sind es in der aktuellen Ausgabe schon 46 Prozent. Knapp ein Drittel steht der Cybersecurity jedoch "neutral" gegenüber und fast ein Viertel der Befragten halten das Thema für "(überhaupt) nicht wichtig" - beide Anteile sind gegenüber dem Vorjahr jeweils um rund 5 Prozentpunkte gesunken.

Jedes zweite Unternehmen hält sich für gut geschützt

Auch der Anteil Unternehmen, die sich gut oder sehr gut gegen Cyberangriffe geschützt fühlen, legte laut der Studie zu - und zwar von 42 auf 50 Prozent. Der Anteil der Unternehmen, die mit "neutral" oder "(sehr) schlecht" antworteten, sank auf 29 respektive 15 Prozent. Die wahrgenommene Resilienz ist bei grösseren Unternehmen tendenziell ebenfalls grösser. 

Antworten auf die Frage "Wie gut sind Sie vor Cyberangriffen geschützt und auf einen Angriff vorbereitet? (Source: Studie "KMU Cybersicherheit 2026")

Obwohl sich jedes zweite KMU für gut gerüstet hält, sollte angemerkt werden, dass dieses Ergebnis noch immer unter dem Vergleichswert von 2024 liegt. Damals schätzten 55 Prozent der Befragten Ihre Cyberresilienz als "(sehr) gut" ein.  

Das von der Studie ebenfalls erhobene Sicherheitsgefühl gegenüber Cyberkriminalität bleibt laut den Studienautoren stabil. Es ging von 57 Prozent in 2024 zu 52 Prozent in 2025 zu 53 Prozent in diesem Jahr. Allerdings steigt zugleich die Anzahl KMUs, die sich "(sehr) unsicher" fühlen jedes Jahr leicht: von 7 zu 9 zu aktuell 12 Prozent.

KMUs setzen klar auf technische Massnahmen

Die positive Einschätzung der Cyberresilienz und des Sicherheitsgefühls liegt möglicherweise an den umgesetzten technischen Massnahmen. Jeweils über die Hälfte der Befragten aktualisieren ihre Software regelmässig (83 Prozent), verwenden eine auf dem neuesten Stand gehaltene Firewall (68 Prozent), kontrollieren, ob ihre Datensicherung sich wirklich wiederherstellen lässt (60 Prozent) und setzen auf Multi-Faktor-Authentisierung (55 Prozent). Diese Werte sind zwar gut, aber sie stagnieren auf hohem Niveau. Für die Datensicherung nutzen die KMUs zudem mehrheitlich (38 Prozent) eine Kombination aus lokalem Backup und einer Cloud-Lösung.

Umsetzungsstand von technischen Massnahmen in Schweizer KMUs. (Source: Studie "KMU Cybersicherheit 2026")

Wie die Studienautoren schreiben, kommen fortgeschrittene Massnahmen wie eine Überwachung des Datenverkehrs (29 Prozent), Netzwerksegmentierung (15 Prozent) oder KI-basierte Schutzlösungen (7 Prozent) hingegen deutlich seltener zum Einsatz. Die Studie zeigt auch, je besser KMUs zum Thema Cybersicherheit informiert sind, desto häufiger setzen sie technische Sicherheitsmassnahmen um. 

Allerdings seien viele KMUs generell jedoch nicht fit in diesem digitalen Zeitalter, kommentierte Marc K. Peter, Professor für Digital Business an der HES-SO, die Studie während einer Medienkonferenz. “Die KMUs sind noch zu wenig digitalisiert und haben damit eine geringe digitale Maturität.” Nur etwa ein Zehntel der Befragten hätten eine digitale Strategie und würden sowohl Herausforderungen und Opportunitäten kennen. "Das ist natürlich auch eine Herausforderung für die Wettbewerbsfähigkeit der Schweiz generell als Wirtschaftsnation und eröffnet dann eben sehr viele Einfallstore zum Thema Cybersicherheit."

Marc K. Peter, Professor für Digital Business an der HES-SO. (Source: marcpeter.com)

Hier zeigt sich auch die eingangs erwähnte klaffende Lücke. Während die befragten KMUs bei den technischen Massnahmen solide sind, deckt sich die Umsetzung organisatorischer Massnahmen nicht mit der Selbsteinschätzung ihrer Resilienz. Hier gibt es laut den Studienautoren "noch deutliche Lücken", die zudem hartnäckig sind und auch schon im Vorjahr auffielen. 

Wo die Umsetzung organisatorischer Massnahmen stagniert

Gewisse Verhaltensregeln und grundlegende Schutzmassnahmen sind zwar vorhanden. Die Befragten schneiden etwa gut ab, wenn es um Vorsicht beim Teilen von persönlichen Informationen (72 Prozent), die Nutzung von sicheren Passwörtern (73 Prozent), die Prüfung der Vertrauenswürdigkeit von Dokumenten (62 Prozent) und die Definition von Zugriffsrechten und Benutzerkonten (58 Prozent) geht. Organisatorische Prozesse wie Sicherheitsaudits (15 Prozent), Datenklassifizierung (25 Prozent) oder Notfallkonzepte (28 Prozent) werden jedoch deutlich seltener umgesetzt. Dies, obwohl gerade solche organisatorischen Massnahmen im Ernstfall entscheidend sein könnten, schreiben die Studienautoren. 

Umsetzungsstand von organisatorischen Massnahmen in Schweizer KMUs. (Source: Studie "KMU Cybersicherheit 2026")

Als erfreulich bezeichnen die Studienautoren ausserdem, dass immer mehr Unternehmen Verantwortlichkeiten definieren für die Cybersecurity. Seit dem Vorjahr stieg der Anteil der KMUs, die die Cyberrisiko-Verantwortung intern als Teilaufgabe vergeben, von 15 auf 21 Prozent. 

Wo Schweizer KMUs ihre Backups lagern. (Source: Studie "KMU Cybersicherheit 2026")

In diesem Jahr macht die Studie erstmals auch Angaben zur digitalen Souveränität der Befragten. Dieses Thema werde von vielen KMUs bislang vor allem über Datenschutz, Datenhoheit und Cybersicherheit adressiert. Weitergehende Massnahmen, um die eigenen Abhängigkeiten zu reduzieren, würden die KMUs aber nur vereinzelt umsetzen.

So misst beispielsweise nur jedes fünfte befragte Unternehmen, wie digital souverän es wirklich ist. Der Anteil Unternehmen, die Governance-Strukturen für digitale Entscheidungen und Investitionen eingeführt haben, liegt ebenfalls bei 20 Prozent.

Beim Thema Digitale Souveränität gibt es noch viel Luft nach oben. (Source: Studie "KMU Cybersicherheit 2026")

Der Ausblick der befragten KMUs hat sich nur unwesentlich verändert seit dem Vorjahr. Wie schon 2025 gaben auch 2026 wieder 40 Prozent der Unternehmen an, dass eine Investition in zusätzliche Sicherheitsmassnahmen in den nächsten 1 bis 3 Jahren "(sehr) wahrscheinlich" sei. Und weiterhin etwa ein Viertel hält dies hingegen für "(sehr) unwahrscheinlich". 

Das werfe auch wieder viele Fragezeichen auf, sagte Peter während der Medienkonferenz. Denn durch die KI sollte doch der Druck auf die KMUs zunehmen. "Wir fragen uns aus der Studienoptik, weshalb das nicht eine höhere Priorität ist." Vielleicht hätten die KMUs andere Probleme, oder sie warten, bis wirklich etwas passiert. Aber der Druck auf die KMUs, mehr proaktiv zu machen, sei zu gering.

Fazit

Die laut den Studienautoren wichtigste Erkenntnis ist, dass Cybersecurity heute keine reine IT-Aufgabe mehr, sondern eine Führungsaufgabe sei. "Erfolgreiche KMUs schützen nicht nur ihre Systeme und Daten, sondern bereiten sich auch organisatorisch auf den Ernstfall vor", heisst es in der Studie. "Wer technische Schutzmassnahmen mit klaren Verantwortlichkeiten, geschulten Mitarbeitenden, getesteten Backups und einem funktionierenden Notfallplan kombiniert, erhöht seine Cyberresilienz nachhaltig und stärkt gleichzeitig die Wettbewerbsfähigkeit seines Unternehmens."

Zur Studie

Die Studie wurde von Yougov im Auftrag von der Mobiliar gemeinsam mit Digitalswitzerland, HES-SO Valais-Wallis, der HWZ Hochschule für Wirtschaft Zürich, der Schweizerischen Akademie der Technischen Wissenschaften (SATW) und mit Unterstützung des Bundesamtes für Cybersicherheit BACS durchgeführt. Die Daten basieren auf Angaben von 507'507 Geschäftsleitenden von Schweizer KMUs mit 1 bis 49 Mitarbeitenden.

Die detaillierten Studienergebnisse finden Interessierte auf www.cyberstudie.ch.

Mehr zu den Ergebnissen der Vorjahresstudie "KMU Cybersicherheit 2025" und wieso Schweizer KMUs das Vertrauen in ihre Cybersicherheit verlieren, können Sie hier nachlesen.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.

Für die verschiedenen Newsletter der SATW können Sie sich hier anmelden. "SATW News" informiert allgemein über die Aktivitäten der SATW und "MINT" fokussiert sich auf das Themengebiet Nachwuchsförderung. Beide werden auf Deutsch und Französisch angeboten.

Alle weiteren gemeinsamen Beiträge von SwissCybersecurity.net und der SATW finden Sie hier.