In unserer Arbeit mit Schweizer KMUs sehen wir immer wieder dieselben Fehler – in unterschiedlichen Branchen, unterschiedlichen Unternehmensgrössen, unterschiedlichen Regionen. Die Fehler sind nicht technisch komplex. Sie sind menschlich, organisatorisch und manchmal erschreckend simpel.
Das Tückische: Diese Fehler fallen nicht auf, bis es zu spät ist. Kein Alarm, kein Hinweis, keine Warnung. Erst wenn der Schaden da ist, wird klar, was hätte verhindert werden können.
Fehler 1: Das Backup, das nie getestet wurde
Es gibt zwei Arten von Backups: solche, die funktionieren – und solche, von denen man glaubt, dass sie funktionieren. Der Unterschied zeigt sich erst, wenn man sie braucht.
Die erschreckende Realität: In mehr als der Hälfte der Unternehmen, die wir bei Sicherheitsüberprüfungen begleiten, gibt es regelmässige Backups – aber keinen dokumentierten Nachweis, dass ein vollständiger Restore je erfolgreich durchgeführt wurde. Ein Backup, das nie getestet wurde, ist kein Backup. Es ist eine Hoffnung.
Der zweite Teil dieses Fehlers: Backups, die vom selben Netzwerk aus erreichbar sind wie die produktiven Systeme. Bei einem Ransomware-Angriff werden zuerst die Backups verschlüsselt – dann der Rest.
Was Sie heute tun können:
1. Wann wurde zuletzt ein vollständiger Restore aus dem Backup durchgeführt?
2. Ist mindestens eine Backup-Kopie offline oder air-gapped (nicht netzwerkzugänglich)?
3. Gibt es ein schriftliches Backup-Konzept mit definierten RPO/RTO-Zielen?
Falls Sie eine dieser Fragen nicht beantworten können: Das ist Ihr dringendstes Thema.
Fehler 2: Admin-Konten ohne MFA – der offene Hintereingang
Multi-Faktor-Authentifizierung (MFA) ist eine der wirksamsten und kostengünstigsten Sicherheitsmassnahmen, die ein Unternehmen implementieren kann. Microsoft schätzt, dass MFA 99.9% aller passwortbasierten Angriffe blockiert.
Und trotzdem: In einer verblüffend grossen Zahl von Unternehmen haben Systemadministratoren, Cloud-Admins und privilegierte Konten kein MFA. Die Begründung ist meistens dieselbe: «Das ist zu umständlich» oder «Wir vertrauen unseren Leuten.»
Vertrauen hat nichts damit zu tun. Wenn ein Admin-Passwort durch Phishing gestohlen wird – und das passiert in der Schweiz –, ist ohne MFA die gesamte IT-Infrastruktur kompromittiert. Mit MFA ist es ein geblockter Angriffsversuch.
Fehler 3: Lieferanten mit Datenzugang ohne Vertrag
Wer pflegt Ihre Buchhaltungssoftware? Wer hat Fernzugang auf Ihre Server? Welcher Cloud-Anbieter speichert Ihre Kundendaten? In den meisten KMUs gibt es auf diese Fragen eine Antwort. Aber auf die Folgefrage – «Haben Sie mit diesem Anbieter eine Geheimhaltungsvereinbarung und einen Auftragsverarbeitungsvertrag abgeschlossen?» – herrscht oft Stille.
Das ist nicht nur ein Sicherheitsproblem. Es ist ein rechtliches Problem. Gemäss dem Schweizer DSG (auch DSGVO) sind Sie als Unternehmen verantwortlich für die Daten Ihrer Kunden und Mitarbeitenden – auch wenn diese Daten bei einem Dienstleister liegen. Ohne Auftragsverarbeitungsvertrag (AVV) haften Sie für Verstösse Ihres Dienstleisters.
- Jeder Dienstleister mit Zugang zu personenbezogenen Daten braucht einen AVV
- Jeder externe mit Zugang zu Systemen braucht eine NDA
- Kritische Lieferanten sollten regelmässig auf ihre Sicherheitspraktiken geprüft werden
Fehler 4: Richtlinien existieren nicht – oder niemand kennt sie
«Wir haben eine IT-Sicherheitsrichtlinie» – diese Aussage hören wir oft. Was wir danach sehen, ist häufig eines von drei Szenarien: Entweder kein Dokument, ein 60-seitiges Dokument, das seit der Erstellung nicht mehr aktualisiert wurde oder ein Dokument, das zwar existiert, aber das kein Mitarbeitender je gelesen oder unterschrieben hat.
Eine Richtlinie, die nicht kommuniziert, nicht gelebt und nicht eingehalten wird, hat rechtlich wie sicherheitstechnisch keinen Wert. Schlimmer: Sie erzeugt ein falsches Gefühl der Sicherheit.
Was Richtlinien leisten müssen: kurz genug, um gelesen zu werden. Klar genug, um verstanden zu werden. Verbindlich genug, um durchgesetzt zu werden. Und nachweisbar kommuniziert – mit Unterschrift der Mitarbeitenden.
Fehler 5: «Die IT macht das» als Sicherheitskonzept
Informationssicherheit ist keine technische Aufgabe. Sie ist eine Führungsaufgabe. Wenn der IT-Leiter gleichzeitig für Netzwerk, Helpdesk, Software-Rollouts und Informationssicherheit zuständig ist, wird Sicherheit immer das Letzte sein, was Zeit bekommt – bis etwas passiert.
Das Fehlen einer dedizierten Sicherheitsfunktion bedeutet konkret:
- Kein systematisches Risikomanagement
- Keine definierten Prozesse für Vorfälle
- Kein regelmässiges Reporting an die Geschäftsführung
- Keine strategische Planung – nur reaktives Handeln
Die Lösung muss nicht eine teure Vollzeitstelle sein. Viele KMUs nutzen heute CISO-as-a-Service-Modelle, bei denen erfahrene Sicherheitsexperten auf Mandatsbasis die Funktion übernehmen – mit dem nötigen Fachwissen, ohne den Vollzeit-Overhead.
Die ehrliche Selbstprüfung
Haben wir
- das Backup nie vollständig getestet (Priorität: kritisch)?
- die Admin-Konten ohne MFA (Priorität: kritisch)?
- Lieferanten ohne AVV/NDA (Priorität: hoch)?
- die Richtlinien nicht kommuniziert (Priorität: hoch)?
- keine dedizierte Sicherheitsfunktion (Priorität: mittel bis hoch)?
Wenn Sie zwei oder mehr Punkten «Ja» oder «Ich weiss nicht» beantworten: Sie sind nicht allein. Und: Es gibt einen klaren nächsten Schritt.
Im nächsten Blog:
Blog 4: ISO 27001 in der Praxis – Was Sie wirklich erwartet
Wir erklären, was der Standard tatsächlich fordert – ohne Marketing-Versprechen.
→ Ihr nächster Schritt
Erkennen Sie sich in einem oder mehreren dieser Fehler? Eine Sicherheitsüberprüfung zeigt Ihnen in drei Tagen, wo Ihre grössten Risiken liegen – und wie Sie sie beheben. Kontaktieren Sie uns: security@centriq.ch