Sicherheit im Netz braucht digitale Resilienz

Cyberattacken werden immer komplexer und gezielter. Gerade kleine und mittlere Unternehmen geraten ins Visier der Kriminellen im Netz. Es ist Zeit, von der reinen Cyberabwehr zur digitalen Resilienz überzugehen.

Die Zahlen sind erschreckend: Letztes Jahr verzeichnete das Bundesamt für Cybersicherheit (BACS) knapp 65 000 Cyberangriffe. Reine Abwehr durch Cybersicherheit reicht für Unternehmen nicht mehr aus. Es geht nicht mehr darum, ob man angegriffen wird, sondern wie schnell ein Unternehmen danach wieder geschäftstätig ist. Das sieht auch Cybersicherheitsexperte Hannes Lubich so: «Ziel ist es, nach erfolgreichen Angriffen handlungsfähig zu bleiben, Schäden möglichst im laufenden Betrieb zu beheben und rasch in den Normalbetrieb zurückzukehren.»

Mehr Gefahrenawarness in Cybersicherheit

Bei vielen Schweizer Firmen steht Cybersicherheit an der Tagesordnung und die Sicherheitsvorkehrungen sind bereits umfassend. Doch Lubich warnt: «Oft bestehen Mängel in der Planung, Ausführung und Kontrolle der Sicherheitsaspekte. Vor allem, wenn längere Zeit keine Vorfälle eintreten oder die IT-Umgebung einem raschen Wandel unterliegt, kann es gefährlich werden.»

Trotz der akuten Gefahr verliert gemäss der KMU-Cyberstudie 2025 das Thema Cybersicherheit an Priorität. Doch genau kleine und mittlere Unternehmen (KMU) sind der Gefahr besonders ausgesetzt.

KMU: die Illusion

Laut dem BACS war jedes dritte KMU bereits einmal Opfer einer Cyberattacke – und die Gefahr steigt. Die Einstellung «Wir sind zu klein, uns greift niemand an» kann schnell zu einem teuren Trugschluss für Schweizer KMU werden. Denn wie Lubich sagt, könne sich im Internet niemand verstecken, Cyberkriminelle könnten auch kleine Firmen finden. Und besonders KMU haben gemäss Lubich bei der Cybersicherheit Aufholbedarf: «Bei kleinen und mittelständischen Unternehmen ist das Risikomanagement oft weniger formell ausgestaltet und erfolgt situativ beziehungsweise mit wenig systematischer Vorbereitung.» Für ihn sind die Gründe dafür fehlende Ressourcen, zu wenig Know-how oder auch die Furcht vor signifikanten Zusatzaufwänden.

Die Schwachstelle Lieferkette

Für Cyberkriminelle sind kleine und mittlere Unternehmen besonders attraktive Opfer. «Oft sind diese Unternehmen Zulieferer grösserer Unternehmen und bilden so unfreiwillig ein Einfallstor für Angriffe auf Dritte», erklärt Lubich. Für Angreifende stellt der Weg über die Lieferkette oder eine Schnittstelle oft der einfachste Weg zu grossen Firmen dar. Für die Angreifenden braucht es nur eine einzige Sicherheitslücke, um hineinzugelangen. Unternehmen müssen all diese Lücken ausfindig machen und schliessen. Eine solche Schwachstelle kann sich bei einem direkten Partner oder auch bei einem Sub-Lieferanten befinden – beispielsweise, wenn diese öffentlich verfügbare Open-Source-Softwarekomponenten nutzen, ohne sie auf Sicherheitsmängel zu prüfen.

Chefsache

Cyberrisiken sind kein reines IT-Problem, sondern gehören zwingend auf die Agenda von Verwaltungsrat und Geschäftsleitung. Denn gemäss dem Schweizerischen Obligationenrecht der Schweiz trägt der Verwaltungsrat die Oberverantwortung für das Risikomanagement und ist somit bei Cyberangriffen unter Umständen persönlich haftbar. Lubich führt weiter aus: «Die persönliche Haftung beginnt bei nachgewiesener Fahrlässigkeit. Es ist also entscheidend, ob die Firmenführung nachweisen kann, dass sie sich ausreichend systematisch mit der Thematik beschäftigt hat und ob sie die nötigen Ressourcen bereitgestellt hat.» Das Argument, man habe keine IT-Kenntnisse, schützt Verwaltungsratsmitglieder nicht vor der Haftung.

Der hiesige Versicherungsmarkt

«Gerade KMU können die finanziellen Folgen eines Cyberangriffs schlechter als Grossunternehmen kompensieren, da sie keine alternativen Einkommensströme haben», schildert Lubich. Um sich vor finanziellen Schäden abzusichern, gibt es in der Schweiz etliche Cyberversicherungen. Diese haben jedoch ihre Kriterien für einen Versicherungsabschluss verschärft. Versicherer legen gerade bei KMU Wert auf einen korrekten Umgang mit Datenschutz sowie eine hohe technische IT-Sicherheit. Sie erwarten zudem regelmässige Datensicherungen und eine stetige Aktualisierung der Betriebssysteme und Programme. Multi-Faktor-Authentifizierung (MFA) ist längst Vorschrift. Zudem müssen Mitarbeitende regelmässig geschult werden, um Phishingmails und Social Engineering zu erkennen und nicht zum Einfallstor für Cyberkriminelle zu werden.

Regulatorischer Druck

Nicht nur Versicherungen verlangen gewisse Massnahmen in der Cybersicherheit. Gesetzliche Grundlagen nehmen Schweizer Unternehmen in die Pflicht. Firmen müssen seit dem revidierten Schweizer Datenschutzgesetz (DSG) Personendaten angemessen vor unbefugtem Zugriff schützen. Cybersicherheit ist keine reine IT-Aufgabe mehr, sondern geschriebenes Gesetz. Verstösse bestraft der Bund mit empfindlichen Bussen.

Schweizer Unternehmen, die nicht nur den Heimmarkt, sondern auch den europäischen Markt beliefern, müssen zusätzlich die europäische NIS-2-Richtlinie im Auge behalten. Diese besagt, dass grosse EU-Firmen Cybersicherheit in der gesamten Lieferkette garantieren müssen. Wer also als Schweizer Firma Produkte oder Dienstleistungen an solche EU-Unternehmen liefert, ist auch von der Richtlinie betroffen, wenn auch indirekt. Um Geschäftspartner zu bleiben, müssen auch Zulieferer die strengen IT-Sicherheitsstandards erfüllen, die ihren grossen europäischen Partnern auferlegt wurden.

Die KI-Doppelklinge

Nebst den gesetzlichen Pflichten rückt eine weitere Komponente im Kampf gegen Cyberattacken in den Vordergrund: Künstliche Intelligenz (KI) ebnet den Weg für Angriffe. Cyberkriminelle können dank ihr Phishing-Kampagnen ohne grossen Aufwand für verschiedene Personen, Branchen oder Länder hochgradig personalisieren. «Firmen werden mithilfe von KI angegriffen und die Kriminellen werten erbeutete Daten mittels KI aus, während die Verteidigung noch Datenschutzkonformitätserklärungen für die Benutzung von KI ausfüllt», so Lubich. Dennoch kann KI Verteidigungsstrategien sinnvoll ergänzen – Bedrohungen werden früher erkannt und Schwachstellen schneller identifiziert.

Business-Continuity im Ernstfall

Nebst dem Einsatz von KI zur Verteidigung gegen Cyberkriminalität braucht jedes Unternehmen einen resilienten Notfallplan. Denn wie Lubich erklärt: «Ohne funktionierende IT-Infrastruktur und Lieferketten können die meisten Unternehmen nicht mehr lange durchhalten.» Er empfiehlt deshalb: «Die betriebsrelevante IT-Umgebung muss so redundant aufgebaut sein, dass Angriffe nicht sofort das Gesamtsystem lahmlegen. Ein erprobter Notbetrieb sollte die Basisfunktionen aufrechterhalten und den Grundstein für die Rückkehr zum Normalbetrieb legen.»

Zudem empfiehlt es sich, regelmässige Datensicherungen durchzuführen, die physisch getrennt vom Netzwerk gelagert werden (Offline-Back-ups). Es braucht einen Incident-Response-Plan, der exakt regelt, wer welche Aufgaben bei einem Cyberangriff übernimmt. Kommt es zu einer Attacke, müssen betroffene Systeme sofort vom Netzwerk isoliert werden. Zur Krisenkommunikation gehört es, Stakeholder, Mitarbeitende und allenfalls das BACS zu informieren.

Die gelebte Sicherheitskultur

Das grösste Einfallstor für Cyberangriffe ist und bleibt das menschliche Fehlverhalten. Ein unbedachter Klick auf eine harmlos erscheinende Phishingmail und schon ist der Zugang zu sensiblen Systemen offen. Die Mitarbeitenden können so die grösste Schwachstelle sein – zugleich aber auch der stärkste Schutzschild. Durch kontinuierliche Schulungen mit echten Phishing-Simulationen wird die Belegschaft für die Gefahren sensibilisiert. Der Fokus sollte dabei nicht auf Bestrafung liegen, sondern auf einem positiven Sicherheitsmindset und der Stärkung der Eigenverantwortung jedes Einzelnen.

Eine Aufgabe für alle

Digitale Resilienz gilt in der heutigen Wirtschaftswelt als klarer Wettbewerbsvorteil und ist ein zentraler Vertrauensfaktor für den Schweizer Finanz- und Wirtschaftsstandort. Um diesen Schutz zu erreichen, appelliert das BACS an die gesamte Wirtschaft und Gesellschaft. Lubich ergänzt: «Der Schlüssel für diese gemeinschaftliche Aufgabe der Cybersicherheit ist eine klare, offene und rechtzeitige Kommunikation sowie enge Zusammenarbeit.»