KMU Cybersicherheit 2026

Schweizer KMU – wo stehen sie aktuell im digitalen Zeitalter?

Fast die Hälfte der befragten KMU hat bisher keine entsprechenden Projekte im Umfeld der KI umgesetzt.

Die aktuelle KMU-Befragung zeigt ein differenziertes Bild der digitalen Transformation in der Schweiz. Viele Unternehmen haben den Weg in die Digitalisierung eingeschlagen, doch die Fortschritte fallen je nach Branche, Unternehmensgrösse und Innovationsbereitschaft unterschiedlich aus.

Positiv ist, dass die Mehrheit der KMU ihre digitale Entwicklung als zumindest mittelmässig fortgeschritten einschätzt. Rund jedes zehnte Unternehmen beurteilt den Fortschritt seiner digitalen Strategie sogar als weit oder sehr weit fortgeschritten. Gleichzeitig gibt es aber noch viel Potenzial: Fast jedes fünfte KMU verfügt nach eigener Einschätzung weder über eine digitale Strategie noch über entsprechende Projekte.

Besonders interessant ist der Zusammenhang zwischen Innovationsverhalten und Digitalisierung. Unternehmen, die neue Technologien früh ausprobieren und einsetzen (Pioniere), bewerten ihren digitalen Reifegrad deutlich höher als die Late Follower. Bei Letzteren fehlt zudem am häufigsten eine digitale Strategie. Die Studie zeigt: Unternehmen, die neue Technologien früh ausprobieren und einsetzen, weisen einen deutlich höheren digitalen Reifegrad aus als Late Follower.

Bei den laufenden Digitalisierungsprojekten stehen praktische Nutzenaspekte im Vordergrund. Am häufigsten investieren KMU in Projekte zur Steigerung der Kundenzufriedenheit, zur besseren Nutzung von Daten sowie zur Digitalisierung und Automatisierung von Prozessen. Diese Initiativen helfen direkt dabei, effizienter zu arbeiten und die Wettbewerbsfähigkeit zu stärken. Weniger stark verbreitet sind dagegen Projekte zur Entwicklung neuer digitaler Geschäftsmodelle, zur Einführung neuer Technologien oder zur Erhöhung der Arbeitgeberattraktivität.

Besonders auffällig ist die Situation bei der Künstlichen Intelligenz (KI): Fast die Hälfte der befragten KMU hat bisher keine entsprechenden Projekte im Umfeld der KI umgesetzt. Obwohl KI derzeit in aller Munde ist, befindet sich ihre Nutzung im Schweizer KMU-Sektor somit noch in einer frühen Phase.

Die grössten strategischen Chancen sehen KMU in der Unternehmens- und Innovationskultur, in

Partnerschaften sowie in der Digitalisierung und Automatisierung. Zudem ist das Homeoffice bei KMU weiter verbreitet als im Vorjahr: 61 % der Unternehmen bieten ihren Mitarbeitenden zumindest teilweise Homeoffice an.

Die Weltpolitik/-wirtschaft ist aus Sicht der KMU das grösste strategische Risiko. Je rund ein Fünftel bis ein Viertel sehen in Inflation, Cyberkriminalität und Fachkräftemangel strategische Risiken. Mit zunehmender Unternehmensgrösse gewinnen insbesondere Fachkräftemangel und Cyberkriminalität an Bedeutung.

Die Ergebnisse zeigen insgesamt: Schweizer KMU digitalisieren sich kontinuierlich, der Fokus liegt jedoch vor allem auf der Optimierung des bestehenden Geschäfts. Die wirklich grossen Chancen der digitalen Transformation, etwa durch neue digitale Angebote, innovative Geschäftsmodelle oder den gezielten Einsatz von KI werden bislang erst von einer Minderheit aktiv genutzt. Für viele Unternehmen könnte genau hier das grösste Potenzial für die kommenden Jahre liegen.

Aus dem Whitepaper «KMU Cybersicherheit 2026», Seiten 4 und 5.

Cyberkriminalität – ein ernst zunehmendes Problem mit neuen Gefahren durch die KI

Gut vorbereitete KMU sehen also nicht nur mehr Gefahren, sondern auch mehr Handlungsmöglichkeiten.

Cyberkriminalität ist bei Schweizer KMU längst auf der Geschäftsleitungsagenda angekommen. Die aktuelle Studie zeigt ein bemerkenswert klares Bild: Fast neun von zehn Unternehmen (88 %) betrachten Cyberkriminalität als ein ernstzunehmendes Problem. Über Unternehmensgrössen, Branchen und Unternehmensarten hinweg herrscht weitgehend Einigkeit: Cyberangriffe sind heute eine reale Bedrohung für jedes KMU.

Neu zeigt die Studie zudem, dass sich die Sorge nicht nur auf bestehende Cyberrisiken bezieht. Vier von fünf KMU (81 %) gehen davon aus, dass die Cybergefahr durch KI weiter zunehmen wird. Nur eine sehr kleine Minderheit widerspricht dieser Aussage. KI wird damit von vielen Unternehmen nicht nur als Chance, sondern auch als neuer Risikofaktor wahrgenommen.

Besonders interessant ist, dass sich die Wahrnehmung der Bedrohung kaum zwischen kleinen und grösseren KMU unterscheidet. Egal ob ein Unternehmen wenige Mitarbeitende beschäftigt oder bereits mehrere Dutzend Personen zählt:

Die Einschätzung der Gefahrenlage ist nahezu identisch. Cyberkriminalität wird heute als Herausforderung für die gesamte Schweizer KMU-Landschaft verstanden.

Die Studie zeigt jedoch auch eine wichtige Erkenntnis: Das Problembewusstsein allein reicht nicht aus. Unternehmen, die sich besser über Cybersicherheit informiert fühlen und bereits technische oder organisatorische Schutzmassnahmen umgesetzt haben, beurteilen die Risiken zwar ähnlich hoch wie andere Unternehmen. Sie sind jedoch deutlich überzeugter, dass sich Cyberrisiken wirksam reduzieren lassen. Gut vorbereitete KMU sehen also nicht nur mehr Gefahren, sondern auch mehr Handlungsmöglichkeiten.

Insgesamt lässt sich festhalten: Schweizer KMU erkennen die Bedrohung durch Cyberkriminalität klarer denn je. Gleichzeitig sorgt der rasche Fortschritt bei KI dafür, dass viele Unternehmen von einer weiteren Verschärfung der Risiken ausgehen. Die Herausforderung der kommenden Jahre wird deshalb nicht sein, das Problembewusstsein zu erhöhen. Die Herausforderung besteht vielmehr darin, dieses Bewusstsein in konkrete Schutzmassnahmen und laufende Weiterbildung umzusetzen.

Aus dem Whitepaper «KMU Cybersicherheit 2026», Seiten 8 und 9.

Kenntnis Cyberbedrohungslage und Unterstützung

Grössere KMU kennen ihre Unterstützungsmöglichkeiten besser als kleinere Unternehmen.

Die aktuelle Befragung zeigt, dass sich viele Schweizer KMU im Umgang mit Cyberrisiken grundsätzlich gut aufgestellt fühlen. Fast die Hälfte der Unternehmen gibt an, ausreichend über die wichtigsten Cyberbedrohungen informiert zu sein, die für das eigene Geschäft relevant sind. Ebenso wissen viele Befragte nach eigener Einschätzung, wo sie im Ernstfall Informationen, Unterstützung oder konkrete Handlungsempfehlungen erhalten können.

Erfreulich ist auch, dass 40 % der Unternehmen bereit wären, relevante Cybervorfälle freiwillig dem Bundesamt für Cybersicherheit (BACS) zu melden. Das Bewusstsein für die Bedeutung des Informationsaustauschs und der Zusammenarbeit scheint damit grundsätzlich vorhanden zu sein.

Die Studie zeigt, dass bei der Nutzung des Cybersecurity Hub durch KMU noch weiteres Potenzial besteht, insbesondere bei sehr kleinen Unternehmen. So wird der Cybersecurity Hub des BACS erst von rund sieben Prozent der Unternehmen beziehungsweise deren IT-Dienstleistern genutzt. Der Cybersecurity Hub richtet sich in erster Linie an Betreiber kritischer Infrastrukturen sowie an deren Dienstleister. KMU können sich jedoch ebenfalls anschliessen und das Angebot nutzen.

Auffällig ist zudem, dass grössere KMU ihre Unterstützungsmöglichkeiten besser kennen als kleinere Unternehmen. Unternehmen mit 10 bis 49 Mitarbeitenden verfügen signifikant häufiger über konkrete Kenntnisse, an wen sie sich im Cybernotfall wenden können und nutzen auch Angebote wie den Cybersecurity Hub signifikant häufiger. Kleinere Unternehmen verlassen sich vermutlich stärker auf ihr allgemeines Wissen oder auf externe Partner.

Die Ergebnisse deuten darauf hin, dass viele KMU ihre Cyberresilienz eher aus der Perspektive des persönlichen Wissens beurteilen. Die organisatorische Vorbereitung auf einen Cybervorfall ist jedoch teilweise weniger weit fortgeschritten. Gerade hier können Notfallkonzepte, definierte Prozesse und die Nutzung spezialisierter Unterstützungsangebote einen wichtigen Unterschied machen, wenn es tatsächlich zu einem Vorfall kommt.

Viele KMU fühlen sich informiert und wissen nach eigener Einschätzung, wohin sie sich wenden können. Gleichzeitig fehlen häufig Sicherheitskonzepte, Notfallpläne und Audits. Die Ergebnisse deuten damit auf eine Lücke zwischen wahrgenommener und organisatorisch verankerter Cyberresilienz hin.

Aus dem Whitepaper «KMU Cybersicherheit 2026», Seiten 12 und 13.

Cyberrisk-Verantwortung: Immer mehr KMU regeln Zuständigkeiten

Viele Unternehmen setzen auf externe Unterstützung.

Die aktuelle Studie zeigt einen positiven Trend: Schweizer KMU weisen dem Thema Cybersicherheit zunehmend klare Verantwortlichkeiten zu. Während Cyberrisiken früher oft nebenbei behandelt wurden, wird heute häufiger festgelegt, wer sich im Unternehmen mit diesem Thema beschäftigt.

Besonders stark gewachsen ist der Anteil der Unternehmen, die die Verantwortung für Cybersicherheit einer Person als Teilaufgabe übertragen. Dieser Wert stieg innerhalb eines Jahres signifikant von 15 auf 21 Prozent. Gleichzeitig verfügt mittlerweile fast jedes zehnte KMU sogar über eine spezielle Funktion mit klar definierten Zuständigkeiten für Cybersicherheit.

Viele Unternehmen setzen zudem auf externe Unterstützung. Mehr als ein Viertel der befragten KMU arbeitet beim Thema Cyberrisiken mit einem externen Partner zusammen. Gerade für kleinere Unternehmen kann dies eine effiziente Möglichkeit sein, fehlende interne Ressourcen oder Fachkenntnisse zu ergänzen.

Die grösste Veränderung zeigt sich jedoch bei den Unternehmen, die dem Thema bisher kaum Aufmerksamkeit geschenkt haben. Der Anteil der KMU, für die Cyberrisiken keine Priorität darstellen, ist von 42 Prozent im Vorjahr auf 36 Prozent gesunken. Auch bei Kleinstunternehmen mit nur ein bis drei Mitarbeitenden ist dieser Rückgang sichtbar. Dies deutet darauf hin, dass das Bewusstsein für Cyberrisiken zunehmend auch die kleinsten Unternehmen erreicht.

Auffällig sind die Unterschiede nach Unternehmensgrösse: Bei Unternehmen mit 10 oder mehr Mitarbeitenden sind Zuständigkeiten deutlich häufiger geregelt, sei es intern oder mit Unterstützung externer Spezialisten. Gleichzeitig betrachten diese Unternehmen Cyberrisiken wesentlich seltener als «kein prioritäres Thema».

Die Ergebnisse zeigen insgesamt, dass Cybersicherheit in Schweizer KMU zunehmend von einer technischen Einzelaufgabe zu einer Managementaufgabe wird. Die wichtigste Erkenntnis lautet dabei: Nicht jedes KMU benötigt eine speziell für Cybersecurity verantwortliche Person. Entscheidend ist vielmehr, dass klar geregelt ist, wer im Unternehmen Verantwortung übernimmt und wer im Ernstfall handelt.

Aus dem Whitepaper «KMU Cybersicherheit 2026», Seiten 16 und 17.

Umsetzung organisatorischer Cybersicherheitsmassnahmen

Nur rund ein Drittel der KMU inventarisiert systematisch seine IT-Systeme und Cloud-Dienste oder führt regelmässige Mitarbeiterschulungen durch.

Die aktuelle Studie zeigt, dass Schweizer KMU bei der Cybersicherheit vor allem auf technische Schutzmassnahmen setzen. Organisatorische Massnahmen sind dagegen deutlich weniger verbreitet. Am häufigsten umgesetzt werden grundlegende Verhaltensregeln wie der sorgfältige Umgang mit persönlichen Informationen, die Nutzung sicherer Passwörter und die Prüfung von verdächtigen Dokumenten oder E-Mails. Diese Massnahmen sind heute bei einer grossen Mehrheit der Unternehmen etabliert.

Sobald es jedoch um übergeordnete Prozesse und Strukturen geht, sinken die Umsetzungsgrade deutlich. Nur rund ein Drittel der KMU inventarisiert systematisch seine IT-Systeme und Cloud-Dienste oder führt regelmässige Mitarbeiterschulungen durch. Noch weniger verbreitet sind Notfallpläne für die Geschäftsfortführung, die Bewertung der IT-Sicherheit von Lieferanten, formelle Sicherheitskonzepte oder die Klassifizierung von Daten nach ihrem Schutzbedarf. Am seltensten werden Sicherheitsaudits durchgeführt.

Besonders auffällig ist der Einfluss der Unternehmensgrösse. Während die grundlegenden Verhaltensregeln in kleinen und grossen KMU ähnlich gut verankert sind, steigt die Professionalisierung mit zunehmender Mitarbeiterzahl deutlich an. Unternehmen mit 10 bis 49 Mitarbeitenden verfügen wesentlich häufiger über Notfallkonzepte, IT-Sicherheitssupport, Sicherheitsrichtlinien und regelmässige Audits als Kleinstunternehmen.

Ein weiterer spannender Zusammenhang betrifft das Wissen über Cybersicherheit. Unternehmen, die sich gut über Cyberrisiken informiert fühlen, setzen organisatorische Schutzmassnahmen deutlich häufiger um als weniger gut informierte Betriebe. Das gilt nahezu für alle untersuchten Bereiche, von Mitarbeiterschulungen über Notfallpläne bis hin zu Sicherheitskonzepten. Einzige Ausnahme bilden die Sicherheitsaudits und die Klassifizierung der schützenswerten Daten. Mit höherem Informationsgrad gehen folglich höhere Umsetzungsgrade organisatorischer Schutzmassnahmen einher.

Auch die Innovationskultur spielt eine wichtige Rolle. Technologieoffene Unternehmen und sogenannte Early Follower weisen deutlich höhere Umsetzungsgrade auf als Late Follower. Letztere verfügen wesentlich seltener über strukturierte Sicherheitsprozesse und erreichen überdurchschnittlich oft tiefe Werte bei den organisatorischen Schutzmassnahmen.

Die Ergebnisse zeigen insgesamt ein klares Bild: Die meisten KMU wissen, wie man sich im Alltag vorsichtig verhält. Die eigentliche Herausforderung liegt jedoch darin, Cybersicherheit organisatorisch zu verankern. Notfallpläne, Schulungen, Lieferantenprüfungen und regelmässige Sicherheitsaudits sind oft weniger sichtbar als bspw. Firewalls, können im Ernstfall aber entscheidend dafür sein, wie schnell ein Unternehmen auf einen Cybervorfall reagieren und den Geschäftsbetrieb aufrechterhalten kann.

Aus dem Whitepaper «KMU Cybersicherheit 2026», Seiten 20 und 21.