Nün vo zäh mached es Backup, eine vo vier prüeft s

Seit 2020 wird jedes Jahr gemessen, wie es um die Cybersicherheit der Schweizer KMU steht. Die Ausgabe 2026 ist diesen Monat erschienen, und sie enthält eine Zahl, die man zweimal lesen muss.

Wer gefragt wurde

Die Studie «SME cyber security in 2026» stammt von der Mobiliar in Zusammenarbeit mit dem NCSC, digitalswitzerland, der HES-SO, der HWZ und der SATW. Befragt wurden 507 Führungskräfte von Schweizer KMU mit 1 bis 49 Mitarbeitenden, online, zwischen dem 24. Juni und dem 10. Juli 2026. Die Fehlermarge beträgt plus/minus 4,4 Prozentpunkte.

Das ist eine saubere Anlage, und die Studie legt sie offen. Das ist erwähnenswert, weil es in diesem Feld nicht selbstverständlich ist.

Die Zahl, die man zweimal liest

81 Prozent der befragten KMU stimmen der Aussage zu, dass die Cyberbedrohung durch KI zunehmen wird.

14 Prozent haben in den letzten drei Jahren überhaupt je ein KI-Projekt umgesetzt. Knapp die Hälfte hat bisher gar keines angefasst.

Vier von fünf Betrieben erwarten also, dass die Gegenseite mit KI besser wird. Einer von sieben hat selbst Erfahrung damit, was diese Werkzeuge können. Das ist keine Schelte, sondern eine Beschreibung der Ausgangslage: Die meisten Schweizer KMU beurteilen eine Bedrohung, die sie technisch nicht aus eigener Anschauung kennen.

Wer wissen will, wie gut eine KI-geschriebene Phishing-Mail wirklich ist, muss einmal eine schreiben lassen. Das klingt banal und ist der schnellste Weg, die eigene Einschätzung zu korrigieren, in die eine oder die andere Richtung.

Neun von zehn sichern, einer von vier prüft

Die zweite Zahl ist die praktisch wichtigere.

Neun von zehn Schweizer KMU sichern ihre Daten regelmässig. Nur noch vier Prozent machen gar keine Sicherung. Das ist, über die Jahre betrachtet, ein echter Fortschritt.

Nur rund ein Viertel stellt die Sicherung zu Testzwecken regelmässig wieder her.

Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung. Ob sie vollständig ist, ob sie entschlüsselbar ist, ob jemand das Verfahren kennt, wie lange es dauert: alles ungeprüft. Im Ernstfall merkt man es am ungünstigsten Moment.

Immerhin: Etwa drei Viertel der Betriebe, die sichern, lagern die Sicherung in der Schweiz.

Was tatsächlich passiert ist

6 Prozent der befragten KMU erlitten in den letzten drei Jahren einen Angriff mit Schaden. Hochgerechnet sind das über 35’000 Betriebe. Bei Firmen ab zehn Mitarbeitenden steigt der Anteil auf bis zu 16 Prozent. Etwa 7 Prozent wurden erpresst, hochgerechnet rund 45’000 Betriebe.

Die Angriffsarten verteilen sich ungefähr gleichmässig auf Phishing, geknackte Passwörter, Schadsoftware und Angriffe auf Netzwerk und Server.

Und jetzt der Befund, den ich in keiner anderen Studie so gelesen habe. Auf die Frage nach dem grössten Problem steht nicht der finanzielle Verlust an erster Stelle, sondern:

1. der Arbeitsaufwand, um den Schaden zu beheben
2. die emotionale Belastung
3. erst danach das Geld

Wer je ein befallenes System aufgeräumt hat, nickt hier. Wer eine Cyberversicherung als vollständige Antwort verkauft bekommt, sollte diese Reihenfolge kennen. Versichert ist Position drei.

Die Lücke ist organisatorisch, nicht technisch

Technisch stehen die Schweizer KMU ordentlich da. Über 80 Prozent spielen Software-Updates konsequent ein, Firewall, Sicherung und Mehrfaktor-Authentisierung sind laut Studie ebenfalls weit verbreitet.

Organisatorisch sieht es anders aus. Nur etwa ein Drittel inventarisiert die eigenen IT-Systeme und Clouddienste systematisch oder schult die Mitarbeitenden regelmässig. Notfallkonzepte, Lieferantenbewertung und Datenklassifizierung sind noch seltener. Am seltensten von allem sind regelmässige Sicherheitsaudits.

Das deckt sich mit dem, was eine andere Auswertung vor zwei Wochen zeigte: Dort war gemessen worden, dass vier von fünf Schweizer Ransomware-Opfern vorher in einem Datenleck standen, und dass zwischen Serverschwachstellen und Ransomware kein Zusammenhang bestand. Beide Befunde zeigen in dieselbe Richtung: Es ist nicht die Technik, an der es scheitert.

Eine gute Nachricht

Der Anteil der KMU, für die Cyberrisiken keine Priorität haben, ist von 42 auf 36 Prozent gesunken. Die Zahl der Betriebe, in denen jemand die Verantwortung als Teilaufgabe trägt, stieg von 15 auf 21 Prozent. Und die Wichtigkeit, die dem Thema beigemessen wird, kletterte von 33 auf 46 Prozent.

Es bewegt sich also etwas, nur langsamer als die Bedrohung.

Digitale Souveränität: ein Wort, das noch nichts trägt

Die Studie hat erstmals gefragt, wie weit KMU das Thema digitale Souveränität angegangen sind. Umgesetzt haben:

Massnahme	Anteil
Datensouveränität, Datenschutz, Speicherort geklärt	35 %
Wirksamer Schutz vor Cyberrisiken	26 %
Nachhaltige Cloudstrategie	19 %
Abhängigkeit von ausländischer Software reduziert	17 %
Digitale Lieferkette abgesichert	17 %
Umstellung auf Open-Source-Software	10 %
Digitale Souveränität überhaupt gemessen	8 %
Governance-Struktur für digitale Entscheide	7 %

Fast ein Drittel hat sich mit dem Thema noch nie befasst.

Das passt zu dem, was wir letzte Woche über die Verträge der Anbieter souveräner KI geschrieben haben. Wenn nur 8 Prozent der Betriebe die eigene Souveränität überhaupt messen, bleibt das Wort ein Verkaufsargument der Gegenseite.

Vier Dinge, die aus dieser Studie folgen

1. Die Sicherung einmal zurückspielen. Nicht prüfen, ob sie läuft, sondern eine Datei aus der Sicherung tatsächlich wiederherstellen und die Zeit stoppen. Das ist der billigste Schritt mit dem grössten Effekt, und drei von vier Betrieben haben ihn noch nicht gemacht.

2. Aufschreiben, wer im Ernstfall was tut. Eine halbe Seite genügt. Die Vorlage mit Rückrufregel, Codewort und Meldeweg steht im Beitrag zu den KI-gestützten Angriffen auf Schweizer KMU.

3. Die Verantwortung auf eine Person legen, auch als Teilaufgabe. Der Anstieg von 15 auf 21 Prozent zeigt, dass das geht. Ohne Namen passiert nichts.

4. Einmal selbst ausprobieren, was KI heute kann. Wer die Bedrohung einschätzen will, braucht eine eigene Vorstellung davon. Wie man die Nutzung im Betrieb regelt, bevor sie ungeregelt stattfindet, steht im Beitrag zu den KI-Nutzungsregeln.

Was einzuordnen ist

Die Studie ist von einem Versicherer mitfinanziert, und die Mobiliar verkauft Cyberversicherungen. Das macht die Zahlen nicht falsch, sie sind methodisch sauber erhoben und offengelegt, aber die Auswahl der Fragen ist nie neutral.

Zwei technische Einschränkungen nennt der Bericht selbst nicht, sie gehören aber dazu: Die Befragung lief über ein Onlinepanel, was eine Auswahl darstellt. Und für die Teilgruppen, etwa nach Betriebsgrösse, werden weder Fallzahlen noch Fehlermargen ausgewiesen.

Der Satz zum Mitnehmen

Die Schweizer KMU haben die Technik im Griff und die Organisation nicht. Die Sicherung läuft bei neun von zehn, und bei dreien von vier weiss niemand, ob sie sich zurückspielen lässt.

Quellen

• Die Mobiliar, NCSC, digitalswitzerland, HES-SO, HWZ und SATW, «SME cyber security in 2026», Bern und Zürich, Oktober 2026: cyberstudie.ch
• Inside IT, «Schweizer KMU technisch geschützt vor Cyberangriffen», 22. Oktober 2026: inside-it.ch
• Netzwoche, «Wahrnehmung und Umsetzung von Cyberresilienz klaffen in der Schweiz auseinander», 22. Oktober 2026: netzwoche.ch