Cyberangriffe treffen über 35'000 Schweizer KMU
Schweizer KMU nehmen die Bedrohung durch Cyberkriminalität zunehmend ernst. Dennoch bestehen erhebliche Sicherheitslücken, insbesondere bei der Notfallplanung und der Schulung von Mitarbeitern. Das zeigt die neue KMU-Cybersicherheitsstudie 2026.
Rund 35'000 Schweizer KMU sind in den vergangenen drei Jahren Opfer eines Cyberangriffs mit erheblichen Folgen geworden. Das entspricht sechs Prozent der Unternehmen mit 1 bis 49 Mitarbeitern. Im Vorjahr lag dieser Anteil noch bei vier Prozent. Besonders betroffen sind grössere KMU: Bei Unternehmen mit mindestens zehn Mitarbeitern beträgt der Anteil bereits 16 Prozent.
Dies geht aus der aktuellen Studie «KMU-Cybersicherheit 2026» hervor, die von der Mobiliar gemeinsam mit dem Bundesamt für Cybersicherheit (BACS), digitalswitzerland, der HES-SO, der HWZ und der Schweizerischen Akademie der Technischen Wissenschaften (SATW) durchgeführt wurde.
Die Folgen erfolgreicher Angriffe sind vielfältig. Besonders häufig nennen betroffene Unternehmen den erheblichen Aufwand zur Behebung der Schäden und die psychische Belastung. Finanzielle Verluste, Reputationsschäden und der Verlust von Kundendaten kommen hinzu. Die häufigsten Angriffsformen sind Phishing (39 Prozent), gehackte Passwörter (32 Prozent), Schadsoftware und Ransomware (30 Prozent) sowie Angriffe auf Netzwerke und Server (29 Prozent).
Auch Erpressungen nehmen zu: Sieben Prozent der befragten Unternehmen waren bereits von Cyberkriminellen erpresst worden. Hochgerechnet entspricht dies rund 45'000 Schweizer KMU.
KI verstärkt die Bedrohungswahrnehmung
Das Bewusstsein für Cyberrisiken ist mittlerweile weit verbreitet. 88 Prozent der befragten KMU betrachten Cyberkriminalität als ernst zu nehmendes Problem. 81 Prozent gehen davon aus, dass die Bedrohungen durch den Einsatz künstlicher Intelligenz weiter zunehmen werden.
Allerdings führt dieses Bewusstsein nicht automatisch zu zusätzlichen Schutzmassnahmen. Nur 29 Prozent der Unternehmen planen derzeit weitere Massnahmen gegen Cyberkriminalität. Gleichzeitig halten lediglich 36 Prozent die Umsetzung entsprechender Schutzmassnahmen für einfach.
Immerhin gewinnt das Thema auf strategischer Ebene wieder an Bedeutung. 46 Prozent der KMU stufen Cybersicherheit als wichtig oder sehr wichtig ein. 2025 waren es erst 33 Prozent. Besonders ausgeprägt ist das Sicherheitsbewusstsein bei grösseren und technologisch fortschrittlichen Unternehmen.
Technischer Schutz gut, Notfallplanung mangelhaft
Bei den grundlegenden technischen Sicherheitsmassnahmen schneiden Schweizer KMU vergleichsweise gut ab. 83 Prozent führen regelmässig Softwareupdates durch, 68 Prozent setzen konsequent auf Firewalls und 55 Prozent haben eine Zwei- oder Mehrfaktorauthentifizierung implementiert.
Auch Datensicherungen sind weit verbreitet: Neun von zehn Unternehmen erstellen regelmässig Backups. Allerdings überprüfen nur rund ein Viertel durch regelmässige Wiederherstellungstests, ob sich die gesicherten Daten im Ernstfall tatsächlich zurückspielen lassen.
Deutlich grössere Defizite bestehen bei den organisatorischen Vorkehrungen. Lediglich 31 Prozent der KMU schulen ihre Mitarbeiter regelmässig im Umgang mit Cyberrisiken. Nur 28 Prozent verfügen über einen Notfallplan zur Aufrechterhaltung des Geschäftsbetriebs, und gerade einmal 15 Prozent führen systematische Sicherheitsaudits durch.
Auch die IT-Sicherheit von Lieferanten und Geschäftspartnern wird nur von 28 Prozent der Unternehmen systematisch überprüft. Dabei können gerade solche organisatorischen Massnahmen entscheidend dafür sein, wie schnell ein Betrieb nach einem Cyberangriff wieder arbeitsfähig ist.
Jedes dritte KMU misst Cyberrisiken keine Priorität bei
Bei der Verteilung der Verantwortlichkeiten zeigt sich eine positive Entwicklung. In neun Prozent der Unternehmen gibt es inzwischen eine eigens definierte Funktion für Cybersicherheit. Weitere 21 Prozent haben diese Aufgabe einer Person als zusätzliche Verantwortung übertragen. 27 Prozent setzen auf externe Dienstleister.
Dennoch geben 36 Prozent der KMU an, dass Cyberrisiken für sie derzeit keine Priorität haben. Immerhin ist dieser Anteil gegenüber 2025 um sechs Prozentpunkte gesunken.
Die Studie zeigt zudem eine Diskrepanz zwischen der wahrgenommenen und der tatsächlichen Vorbereitung auf Cybervorfälle. Die Hälfte der Unternehmen schätzt sich selbst als gut oder sehr gut geschützt ein. Gleichzeitig hält eine Mehrheit das Risiko eines Cyberangriffs, der den Betrieb mindestens einen Tag lahmlegt, für eher gering. Nur rund jedes zehnte Unternehmen bewertet dieses Risiko als hoch.
Digitale Souveränität noch wenig entwickelt
Erstmals beleuchtet die Studie auch ausführlicher die digitale Souveränität der Schweizer KMU. Dabei zeigt sich erheblicher Nachholbedarf. Zwar haben 35 Prozent bereits Massnahmen zur Sicherstellung der Datenhoheit, des Datenschutzes und des Speicherstandorts umgesetzt. Doch nur 17 Prozent haben ihre Abhängigkeit von ausländischer Software gezielt reduziert.
Eine nachhaltige Cloudstrategie mit mehreren Anbietern oder hybriden Lösungen verfolgen erst 19 Prozent. Lediglich zehn Prozent haben auf Open-Source-Lösungen umgestellt, und nur sieben Prozent verfügen über eine etablierte Governance-Struktur für digitale Entscheidungen und Investitionen.
Die Studienautoren sehen darin ein strategisches Risiko. Angesichts geopolitischer Unsicherheiten und zunehmender Abhängigkeiten von einzelnen Technologieanbietern werde die Fähigkeit, selbstbestimmt über Daten und digitale Infrastrukturen zu entscheiden, immer wichtiger.
Cybersicherheit wird zur Führungsaufgabe
Die Studie kommt zum Schluss, dass technische Schutzmassnahmen allein nicht ausreichen. Entscheidend sei die Verbindung von funktionierenden Sicherheitssystemen, klaren Verantwortlichkeiten, geschulten Mitarbeitern und einer systematischen Notfallplanung.
Für die kommenden ein bis drei Jahre halten 40 Prozent der befragten KMU zusätzliche Sicherheitsmassnahmen für wahrscheinlich oder sehr wahrscheinlich. Dieser Anteil ist gegenüber 2025 unverändert geblieben.
Die KMU-Cybersicherheitsstudie 2026 basiert auf 507 Onlineinterviews mit Führungspersonen von Schweizer Unternehmen mit 1 bis 49 Mitarbeitern. Die Befragung wurde vom 24. Juni bis 10. Juli 2026 durchgeführt. Die Ergebnisse wurden nach Unternehmensgrösse und Sprachregion gewichtet und sind auf die rund 614'400 Schweizer Unternehmen dieser Grössenklasse hochgerechnet.
Die vollständige Studie ist unter cyberstudie.ch verfügbar.
Text: pd/red