Unterschätzt, ungeschützt, unterversichert: KMU-Cyberrisiken in der Schweiz

Cyberangriffe werden schneller, skalierbarer und intelligenter. Künstliche Intelligenz (KI) beschleunigt Angriffe noch zusätzlich. Doch während die Bedrohungslage steigt, hinken Schweizer KMU bei der Abwehr in drei kritischen Bereichen hinterher.

Eine repräsentative Deloitte-Studie zeigt ein beunruhigendes Bild: 49% der Mitarbeitenden haben in den letzten drei Monaten einen ernsten Cybervorfall erlebt – aber nur 22% schätzen das Risiko als hoch ein. Diese Wahrnehmungslücke ist besonders bei Mikrounternehmen ausgeprägt: Dort berichten 38% von Vorfällen, doch nur 15% sehen ein hohes Risiko.

Drei Sicherheitslücken

Lücke 1: Cyberrisiken werden systematisch unterschätzt

Cyberbedrohungen sind universell geworden. Phishing trifft Unternehmen jeder Grösse – mit 25% ist es die häufigste wahrgenommene Bedrohung, unabhängig von Unternehmensgrösse. Skalierbare Angriffe über E-Mail, kompromittierte Zugangsdaten und manipulierte Zahlungsprozesse machen auch kleine Unternehmen verwundbar, eine Verwundbarkeit, die von vielen noch immer unterschätzt wird.

Lücke 2: Grundlegende Schutzmassnahmen sind nicht flächendeckend implementiert

Der Deloitte KMU-Cybersicherheitsindex misst die Verbreitung von sechs elementaren Sicherheitsmassnahmen und liegt bei durchschnittlich 58 von 100 Punkten. Das bedeutet: Im Durchschnitt sind Sicherheitsmassnahmen nur zu 58% umgesetzt.

Die wichtigsten Lücken zeigen sich bei modernen Authentifizierungsmethoden:

• Passwortlose Authentifizierung (z.B. biometrisch): nur 45% der Unternehmen
• Single Sign-On (SSO): nur 45% der Unternehmen
• Multi-Faktor-Authentifizierung (MFA): 66% – immer noch nicht flächendeckend

Besonders Mikrounternehmen fallen zurück: Sie erreichen nur 44 Punkte im Index. Schulungen sind bei ihnen mit 32% deutlich weniger verbreitet als bei mittleren Unternehmen (82%). Phishing-Tests führen nur 24% der Mikrounternehmen durch – während es bei mittleren Unternehmen 63% sind.

Doch wo Massnahmen vorhanden sind, wirken sie: 88% der Befragten, deren Unternehmen E-Mail-Warnhinweise einsetzen, bewerten diese als hilfreich.

Lücke 3: Versicherungsschutz fehlt vor allem bei kleinen Unternehmen

Cyberversicherungen wachsen – aber nicht schnell genug. Gemäss dem Schweizerischen Versicherungsverband SVV sind mit 72’000 Policen nur11.5% der in der Schweiz domizilierten Unternehmen versichert. Die Versicherungslücke ist besonders bei Mikro- und kleinen Unternehmen ausgeprägt.

Das ist paradox: Gerade kleine Unternehmen können von Cyberschäden relativ zu ihrem Umsatz am stärksten betroffen sein – doch sie sind am wenigsten versichert. Die Gründe sind vielfältig:

• Risikowahrnehmung: KMU unterschätzen ihr Risiko und sehen eine Versicherung nicht als notwendig an
• Unzureichende Grundlagen: Viele KMU erfüllen die Sicherheitsanforderungen, die eine Police unterstützen oder gar ermöglichen nicht oder nicht ausreichend
• Komplexe Prozesse: Antragsprozesse sind oft zu aufwändig für kleine Unternehmen
• Vertriebslücke: Provisionen für Cyberversicherungen bei Kleinstunternehmen sind häufig eher gering – Versicherungsberater haben wenig Anreiz, diese Produkte zu verkaufen
  

Die Bedrohungslage: Ein enges Zeitfenster

Die Cyberbedrohungslage hat sich grundlegend verändert. Angriffe werden schneller und skalierbarer. Drei Faktoren verstärken sich gegenseitig:

1. Cyberkriminalität wird wirtschaftlich relevanter und stärker vernetzt
   Die finanziellen Schäden wachsen stark: Cybersecurity Ventures erwartet ein jährliches Wachstum der globalen Cybercrime-Kosten von 15%¹. Gleichzeitig entstehen Cyberrisiken zunehmend ausserhalb der eigenen Organisation – entlang von Lieferketten und Technologiepartnern. 35.5% der Datenpannen 2024 gingen auf Drittparteien zurück.
2. Künstliche Intelligenz und Automatisierung erhöhen die Angriffsgeschwindigkeit
   CrowdStrike berichtet für 2026 einen Anstieg von 89% bei KI-gestützten Angriffen. Die durchschnittliche Zeit bis zum Eindringen in ein System (eCrime Breakout Time) sank auf 29 Minuten – 65% schneller als 2024². Für Unternehmen bedeutet das: Die verfügbare Reaktionszeit schrumpft dramatisch.
3. Komplexe und veraltete IT-Landschaften erschweren wirksame Verteidigung
   Unternehmen betreiben durchschnittlich über 1’000 Anwendungen³. Gleichzeitig laufen kritische Prozesse oft auf jahrzehntealter Software. Diese Komplexität erschwert Transparenz, Updates und schnelle Reaktion auf neue Schwachstellen.

Für Unternehmen bleibt nur ein enges Zeitfenster, um die technologische Resilienz sicherzustellen.

Welche Massnahmen braucht es jetzt, um mit der wachsenden Bedrohungslage Schritt zu halten?

Handlungsoptionen für den Bund, Unternehmen und Versicherer 

Über die Studie

Die Deloitte-Studie «Unterschätzt, ungeschützt, unterversichert: KMU-Cyberrisiken in der Schweiz» basiert auf einer repräsentativen Onlineumfrage von 924 Arbeitnehmenden, die für Schweizer Unternehmen mit bis zu 250 Mitarbeitenden tätig sind und beruflich am Computer arbeiten. Die Umfrage wurde im April 2026 durchgeführt. Ergänzend wurden im Juni und Juli 2026 Gespräche mit Cyberexperten von Versicherungen geführt. Als KMU gelten gemäss Klassifizierung des Bundesamts für Statistik Unternehmen mit bis zu 249 Mitarbeitenden.