«KMU Cybersicherheit 2026»: Cyberkriminalität wird zum Geschäftsrisiko für Schweizer KMU
Vier von fünf Schweizer KMU erwarten, dass die Bedrohungslage für Unternehmen durch KI zunimmt. Gleichzeitig zeigt die Studie «KMU Cybersicherheit 2026» der Mobiliar, welche mit verschiedenen Partnern durchgeführt worden ist: Viele Unternehmen sind in der Cybersicherheit technisch gut geschützt, bei der organisatorischen Vorbereitung bestehen jedoch weiterhin Lücken.
Nach einem Rückgang im Vorjahr gewinnt das Thema Cyberrisiken 2026 wieder an Bedeutung. Fast jedes zweite KMU stuft Cybersicherheit als wichtig oder sehr wichtig ein. Zudem legen mehr Unternehmen fest, wer dafür verantwortlich ist. Die Studienautorinnen und -autoren sehen darin ein positives Signal: Cybersicherheit wird zunehmend als Führungsaufgabe verstanden und nicht mehr ausschliesslich als IT-Thema.
Entscheidend bleibt, technische Schutzmassnahmen mit klaren Verantwortlichkeiten, Mitarbeiterschulungen und Notfallkonzepten zu verbinden. Rund zwei von fünf Unternehmen planen in den kommenden drei Jahren zusätzliche Sicherheitsmassnahmen.
«Die Studie zeigt klar: KMU mit hohem digitalem Reifegrad und starker Technologieinnovation schätzen auch ihre Cyber-Resilienz deutlich höher ein. Cybersicherheit beginnt deshalb nicht bei der Firewall, sondern bei einer klaren digitalen Strategie», sagt Prof. Dr. Marc K. Peter, Projektleiter und Dozent an der HES-SO Valais-Wallis.
KI verändert die Bedrohungslage
Vier von fünf KMU erwarten, dass die Gefahr durch KI steigt. Es ist anzunehmen, dass auch Cyberkriminelle KI für Cyberangriffe nutzen werden. Gleichzeitig nutzt fast die Hälfte der KMU die Technologie selbst noch nicht in eigenen Projekten. KI wird damit zugleich als wirtschaftliche Chance und als zusätzliches Risikofeld wahrgenommen.
«Cyberkriminalität ist für Schweizer KMU zum realen Geschäftsrisiko geworden. KI verschärft die Bedrohung zusätzlich. Rund 35'000 betroffene KMU zeigen: Cyberschutz ist heute genauso wichtig wie der Schutz vor Feuer oder Naturgefahren. Cybersicherheit darf deshalb nicht allein bei der IT liegen. Sie gehört in die Geschäftsleitung und muss Teil der Unternehmensstrategie sein. Eine Cyberversicherung kann Risiken abfedern, ersetzt aber die Eigenverantwortung nicht», sagt Jesús Pampín, Leiter Kompetenzzentrum Cyber Risk bei der Mobiliar.
Technisch gut geschützt, organisatorisch oft unvorbereitet
Schweizer KMU verfügen über solide technische Schutzmassnahmen. Mehr als 80 Prozent führen Software-Updates durch, neun von zehn Unternehmen erstellen Backups und die Mehrfaktor-Authentifizierung gehört vielerorts zum Standard.
Nachholbedarf besteht bei den organisatorischen Massnahmen. Nur rund ein Drittel der KMU führt regelmässige Mitarbeiterschulungen durch oder inventarisiert systematisch ihre IT-Systeme. Notfallpläne, Sicherheitsaudits und die Überprüfung der IT-Sicherheit von Lieferanten sind noch deutlich weniger verbreitet. Obwohl Backups weit verbreitet sind, testet nur jedes vierte KMU, ob sich die gesicherten Daten im Ernstfall tatsächlich wiederherstellen lassen.
«Viele Unternehmen verlassen sich noch zu sehr auf reine Basisschutzmassnahmen und vernachlässigen die organisatorische Notfallplanung. Es reicht nicht, nur Daten zu sichern. KMU müssen regelmässig testen, ob sie bei einem Cyberangriff rasch wieder handlungsfähig sind», sagt Anu Anthamatten, Projektleiterin von digitalswitzerland.
Cybervorfälle belasten den ganzen Betrieb
Cyberangriffe verursachen nicht nur finanzielle Schäden. Am häufigsten berichten betroffene Unternehmen von erheblichem Zusatzaufwand für die Bewältigung der Vorfälle. Es ist anzunehmen, dass neben den finanziellen Auswirkungen auch Zeitverluste und Betriebsunterbrüche entstehen, die insbesondere für Mitarbeitende und Führungskräfte mit zusätzlichen Belastungen verbunden sind. Bei Unternehmen mit mindestens zehn Mitarbeitenden war die Betroffenheit deutlich höher als bei kleineren Betrieben.
Cybervorfälle betreffen nicht nur einzelne Unternehmen. Je mehr Vorfälle gemeldet und Erkenntnisse geteilt werden, desto besser ist das Cyberlagebild. «Information, Prävention und Zusammenarbeit sind zentrale Bausteine einer resilienten Cyberlandschaft», fasst Romain Geiser, Programm Manager Nationale Cyberstrategie beim Bundesamt für Cybersicherheit BACS zusammen.
Die vollständigen Ergebnisse der Studie «KMU Cybersicherheit 2026» sind unter www.cyberstudie.ch verfügbar.