M.K. aus S.: «Wir sind ein KMU mit zwölf Mitarbeitenden und arbeiten mit einem externen IT-Dienstleister zusammen. Reicht das aus oder muss sich die Geschäftsleitung ebenfalls um das Thema Cybersicherheit kümmern?»

Ein externer IT-Dienstleister hilft vielen KMU beim Schutz vor Cyberangriffen und bei technischen Problemen. Trotzdem bleibt Cybersicherheit eine Aufgabe der Unternehmensführung. Denn die grössten Risiken entstehen oft nicht durch fehlende Technik, sondern durch fehlende Vorbereitung, unklare Verantwortlichkeiten oder menschliche Fehler.

Gute Vorbereitung ist wichtig

Wer an Cybersicherheit denkt, hat häufig Firewalls, Antivirenprogramme oder Software-Updates vor Augen. Diese technischen Schutzmassnahmen sind wichtig, reichen allein jedoch nicht aus. Wenn beispielsweise eine gefälschte Rechnung bezahlt, ein Passwort weitergegeben oder ein verdächtiger Anhang geöffnet wird, kann dies trotz moderner Technik zu einem Schaden führen.

Deshalb sollten sich die Geschäftsleitung und Führungskräfte regelmässig mit diesen Fragen beschäftigen: Wer entscheidet im Ernstfall? Wer informiert Kundinnen und Kunden, Mitarbeitende oder Geschäftspartner? Wo befinden sich die wichtigsten Daten? Und wie schnell kann der Betrieb nach einem Cybervorfall wieder aufgenommen werden?

Besonders für kleinere Unternehmen ist eine gute Vorbereitung wichtig. Viele KMU verfügen über begrenzte personelle Ressourcen. Fällt ein zentrales System aus oder werden Daten verschlüsselt, kann dies den Geschäftsbetrieb rasch beeinträchtigen. Klare Abläufe helfen, in einer solchen Situation handlungsfähig zu bleiben.

Keine reine IT-Frage mehr

Zu einer guten Cybervorsorge gehören technische und organisatorische Massnahmen. Der externe IT-Dienstleister setzt die technischen Massnahmen um. Die Geschäftsleitung bleibt aber verantwortlich: Wichtig sind hier klare Zuständigkeiten, regelmässige Datensicherungen, geschulte Mitarbeitende und ein Notfallplan. Mitarbeitende müssen verdächtige E‑Mails erkennen und wissen, an wen sie sich bei Fragen wenden können. Cyber-Versicherer können Schulungen anbieten und eine Cyber-Versicherung hilft dabei, das verbleibende finanzielle Risiko abzusichern.

Bei Cyberrisiken ist die Zusammenarbeit mit externen Partnern wichtig. Dazu gehören der IT-Dienstleister, der Cyber-Versicherer und die Behörden. Der Versicherer hilft bei der Vorsorge und nach einem Cyberangriff. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die zuständige Stelle für die Meldung von Verletzungen der Datensicherheit. Die Behörden unterstützen zudem bei der Strafverfolgung. Die Gesamtverantwortung bleibt bei der Geschäftsleitung. Sie beurteilt die Risiken, stellt die nötigen Mittel bereit und entscheidet über Schutzmassnahmen. Deshalb sollten alle Beteiligten ihre Zuständigkeiten und Abläufe regelmässig gemeinsam prüfen.

Sie sehen: Cybersicherheit ist heute keine reine IT-Frage mehr. Sie gehört ebenso zur Unternehmensführung wie der Umgang mit finanziellen, rechtlichen oder betrieblichen Risiken. Wer technische Schutzmassnahmen mit organisatorischer Vorbereitung kombiniert, erhöht die Widerstandsfähigkeit seines Unternehmens und schafft die Grundlage, um auch in aussergewöhnlichen Situationen handlungsfähig zu bleiben.