Studie «KMU Cybersicherheit 2026»: technisch gut geschützt, organisatorisch schlecht vorbereitet

Am 22. Oktober 2026 ist die Studie «KMU Cybersicherheit 2026» erschienen. Erarbeitet hat sie die Mobiliar zusammen mit dem Bundesamt für Cybersicherheit (BACS), digitalswitzerland, der HES-SO Valais-Wallis, der HWZ Hochschule für Wirtschaft Zürich und der SATW. Die Kernaussage, wie sie das BACS zusammenfasst: Viele kleine Schweizer Unternehmen sind technisch gut geschützt, bei der organisatorischen Vorbereitung bestehen jedoch weiterhin Lücken. Anders gesagt: Backups sind vorhanden, aber oft hat noch niemand versucht, sie zurückzuspielen.

Im Folgenden die wichtigsten Zahlen der Studie und eine praktische Checkliste für KMU, die wissen wollen, wo sie stehen.

Die Studie in Kürze

Im Auftrag der Mobiliar hat YouGov Schweiz zwischen dem 24. Juni und dem 10. Juli 2026 507 Geschäftsleitende von Schweizer KMU mit 1 bis 49 Mitarbeitenden befragt. Laut den Autorinnen und Autoren sind die Ergebnisse repräsentativ für rund 614 400 KMU. Die Studie erscheint seit 2020 jährlich; der vollständige Bericht auf Deutsch und eine Web-Version sind auf cyberstudie.ch verfügbar.

• 88 % der KMU betrachten Cyberkriminalität als ernstzunehmendes Problem.
• 46 % stufen Cybersicherheit als wichtig oder sehr wichtig ein, 2025 waren es 33 %.
• 6 % erlebten in den letzten drei Jahren einen Cyberangriff mit schwerwiegenden Folgen: hochgerechnet über 35 000 KMU in der Schweiz. Bei Unternehmen mit mindestens zehn Mitarbeitenden liegt der Anteil bei bis zu 16 %.
• Rund 7 % wurden bereits von Cyberkriminellen erpresst, hochgerechnet etwa 45 000 KMU.
• Cyberkriminalität wird von 23 % zu den grössten strategischen Risiken gezählt, gleichauf mit Inflation und Kostensteigerungen sowie Fachkräftemangel.

Was KMU bereits gut machen

Technische Basismassnahmen sind weit verbreitet. Laut Studie führen 83 % der KMU regelmässig Software-Updates durch, viele nutzen und aktualisieren eine Firewall und 55 % haben eine Zwei- oder Mehrfaktor-Authentifizierung eingeführt. Neun von zehn Unternehmen sichern ihre Daten regelmässig; nur 4 % machen keine Backups. Rund drei Viertel der Unternehmen mit Backup speichern die Daten in der Schweiz.

Fortgeschrittene Massnahmen sind dagegen selten: Nur 35 % nutzen ein VPN für externe Zugriffe, 15 % segmentieren ihr Netzwerk. Auch die Überwachung des Datenverkehrs und KI-basierte Schutzlösungen sind wenig verbreitet.

Wo die Lücken liegen

Die Schwächen liegen vor allem in der Organisation:

• nur 27 % der KMU mit Backup üben regelmässig das Zurückspielen der Daten;
• nur 31 % schulen ihre Mitarbeitenden regelmässig zu Cyberrisiken;
• rund ein Drittel inventarisiert systematisch IT-Systeme, Geräte, Software und Cloud-Dienste;
• 28 % haben einen Notfallplan oder ein Konzept zur Geschäftsfortführung, 28 % ein dokumentiertes Sicherheitskonzept und 28 % bewerten die IT-Sicherheit ihrer Lieferanten;
• nur 15 % führen Sicherheitsaudits durch.

Die Studie zeigt auch einen Widerspruch: 52 % der KMU schätzen das Risiko eines Angriffs mit mindestens eintägigem Betriebsausfall in den nächsten zwei bis drei Jahren als eher gering ein. Die Antworten betroffener Unternehmen zeigen zudem, dass der häufigste Schaden nicht finanzieller Natur ist, sondern der grosse Arbeitsaufwand, um die Systeme wieder zum Laufen zu bringen, gefolgt von der emotionalen Belastung. Rund zwei von fünf Unternehmen planen, ihre Sicherheitsmassnahmen in den nächsten drei Jahren zu verstärken.

Künstliche Intelligenz in der Bedrohungslage

81 % der KMU erwarten, dass die Cybergefahr durch KI weiter zunimmt. Gleichzeitig hat fast die Hälfte der befragten Unternehmen noch keine KI-Projekte umgesetzt. Im Cyber Security Month Oktober 2026 haben das BACS und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) Empfehlungen zu KI im Berufsalltag veröffentlicht: keine Personendaten, Kundendaten oder Geschäftsgeheimnisse ohne Anonymisierung in KI-Dienste eingeben, Business- oder Enterprise-Versionen statt privater Konten nutzen und prüfen, ob Eingaben für das Training verwendet werden.

Checkliste für ein KMU

Die folgende Liste stützt sich auf die Bereiche der Checkliste der Studie, reduziert auf Schritte, die auch ein kleines Unternehmen in wenigen Wochen umsetzen kann:

1. Verantwortung: festlegen, wer sich im Unternehmen um IT-Sicherheit kümmert und wer im Ernstfall entscheidet, auch als Teilaufgabe oder mit einem externen Partner.
2. Inventar: Computer, Telefone, Website, Domains, Postfächer, Cloud-Dienste und Software auflisten, jeweils mit der zuständigen Person.
3. Wiederherstellungstest: mindestens einmal pro Quartal eine Datei, ein Postfach oder die Website aus einem Backup zurückspielen und die benötigte Zeit notieren.
4. Zugänge: Mehrfaktor-Authentifizierung oder Passkeys für E-Mail, Cloud und Website-Verwaltung aktivieren; die Sicherheitsstufen beschreibt unser Beitrag zu den fünf Stufen des BACS.
5. Updates: auch Website und Server einbeziehen; ein aktuelles Beispiel sind die PHP-Sicherheitslücken vom Oktober 2026.
6. Schulung: eine kurze Einheit pro Jahr zu Phishing, gefälschten Rechnungen und dem Umgang mit KI-Diensten.
7. Notfallplan: eine Seite mit Kontakten (IT-Dienstleister, Hosting, Versicherung, Bank), ersten Schritten und Kriterien für die Meldung an das BACS.
8. Lieferanten: bei den Anbietern von Website, Hosting und Software nachfragen, wie Backups und Updates laufen und wo die Daten liegen.

Wie ElaraTeq Sagl arbeitet

ElaraTeq Sagl betreut Websites und Anwendungen für KMU und öffentliche Stellen im Tessin mit Hosting in der Schweiz, regelmässigen Backups und Updates. Auf Wunsch prüfen wir, ob die Wiederherstellung Ihrer Website tatsächlich funktioniert, und dokumentieren die Schritte für den Störfall. Für eine Prüfung kontaktieren Sie uns.

Quellen

• BACS, «KMU Cybersicherheit 2026: Cyberkriminalität wird zum Geschäftsrisiko für Schweizer KMU», 22. Oktober 2026: bacs.admin.ch
• Die Mobiliar und Partner, «KMU Cybersicherheit 2026», PDF-Bericht: cyberstudie.ch; Web-Ergebnisse und Checkliste: cyberstudie.ch
• Die Mobiliar, «Cyberstudie 2026»: mobiliar.ch
• inside-it.ch, «Schweizer KMU technisch geschützt vor Cyberangriffen», 22. Oktober 2026: inside-it.ch
• BACS und EDÖB, «KI im Berufsalltag: Chancen nutzen, Daten schützen», 16. Oktober 2026: bacs.admin.ch