Über 35'000 Schweizer KMU von schweren Cyberangriffen getroffen – nur jedes vierte testet seine Backups

Die Zahl, die aus der Studie «KMU Cybersicherheit 2026» am meisten hängen bleibt, ist eine Hochrechnung: 6 % der befragten Unternehmen geben an, in den vergangenen drei Jahren einen Cyberangriff mit schwerwiegenden Folgen erlebt zu haben. Auf alle rund 614'400 Schweizer Firmen mit 1 bis 49 Mitarbeitenden übertragen, sind das laut Studie über 35'000 Betriebe. Wie stark die Grösse eine Rolle spielt, zeigt der zweite Wert: Bei Unternehmen mit mindestens zehn Mitarbeitenden steigt der Anteil der Betroffenen auf bis zu 16 %.

Noch häufiger als der schwere Angriff ist der Erpressungsversuch. Rund 7 % der befragten KMU sagen laut Studie, sie seien erpresst worden – hochgerechnet rund 45'000 Unternehmen. Grössere Betriebe sowie Industrie und Bau sind davon stärker betroffen, und ein Teil der Erpressten hat laut Studie bezahlt. Bei den Angriffsarten dominiert nichts Einzelnes: Phishing, Passwort-Hacking, Schadsoftware sowie Netzwerk- und Serverangriffe spielen laut Studie bei je rund einem Drittel der Vorfälle eine Rolle. Im Studien-Deck mit allen Ergebnissen liegt Phishing mit 39 % vorn, gefolgt von Passwort-Hacking (32 %), Schadsoftware (30 %) und Netzwerk- oder Serverangriffen (29 %). Diese Werte beruhen allerdings nur auf 44 betroffenen Firmen und sind entsprechend unsicher.

Interessant ist, was die Betroffenen als grösste Folge nennen. Nicht der finanzielle Schaden steht laut Studie an erster Stelle, sondern der Arbeitsaufwand, um den Schaden zu beheben, gefolgt von der emotionalen Belastung. Erst danach kommen finanzielle Verluste, Reputationsschäden und der Verlust von Kundendaten. Für einen Betrieb mit fünf Leuten heisst das: Der Angriff kostet vor allem Zeit und Nerven, bevor er Geld kostet.

Die Verfasser der Studie halten fest, dass Cyberkriminalität für Schweizer KMU zum Geschäftsrisiko geworden ist. 23 % der Befragten zählen sie laut Studie zu den grössten strategischen Risiken ihres Unternehmens – praktisch gleichauf mit Inflation und Kostensteigerungen. Und fast neun von zehn KMU (88 %) betrachten Cyberkriminalität als ernst zu nehmendes Problem.

Technisch stehen die Schweizer Kleinbetriebe laut Studie recht gut da. Neun von zehn KMU führen regelmässige Datensicherungen durch; der Anteil der Firmen ohne regelmässiges Backup ist auf nur noch 4 % gesunken. Mehr als 80 % spielen laut BACS Software-Updates ein, und die Zwei- oder Mehrfaktor-Authentifizierung (MFA) gehört laut Studie zu den weit verbreiteten Massnahmen. Im Studien-Deck geben 55 % der Befragten an, MFA voll und ganz umgesetzt zu haben, 19 % gar nicht. Rund drei Viertel der Unternehmen mit Backup speichern ihre Sicherungen laut Studie in der Schweiz.

Der Haken steckt im Detail der Backups: Nur ein Viertel der KMU testet laut Studie regelmässig, ob sich die gesicherten Daten tatsächlich zurückspielen lassen. Im Studien-Deck sagen 27 % Ja und 63 % Nein. Ein Backup, dessen Wiederherstellung nie geprüft wurde, ist im Ernstfall eine Hoffnung, keine Versicherung. Genau das kritisiert auch digitalswitzerland-Projektleiterin Anu Anthamatten: «Es reicht nicht, nur Daten zu sichern.»

Noch deutlicher ist die Lücke bei den organisatorischen Massnahmen. Nur rund ein Drittel der KMU schult laut Studie die Mitarbeitenden regelmässig oder inventarisiert die eigenen IT-Systeme systematisch. Notfallpläne für die Geschäftsfortführung sind laut Studie noch seltener, und Sicherheitsaudits werden am seltensten durchgeführt. Die Mobiliar beziffert die Werte auf ihrer Studienseite mit 31 % (Schulung), 28 % (Notfallplan) und 15 % (Audits); dieselben Zahlen stehen im Studien-Deck. Bei den Schulungen hat sich laut Mobiliar gegenüber den Vorjahren kaum etwas bewegt.

Das Bild, das daraus entsteht: Die Firewall steht, die Daten sind gesichert, aber kaum jemand hat durchgespielt, was am Tag nach dem Angriff passiert. Wer stellt die Daten wieder her, wer informiert die Kundschaft, wer ruft den IT-Dienstleister an? Diese Fragen beantwortet laut Studie nur eine Minderheit der Betriebe vorab.

Beim Stellenwert der Cybersicherheit hat sich innerhalb eines Jahres einiges getan. 46 % der befragten Unternehmen stufen Cybersicherheit laut Studie als wichtig oder sehr wichtig ein; 2025 waren es noch 33 %. Spiegelbildlich sank der Anteil der KMU, für die Cyberrisiken keine Priorität haben, von 42 % auf 36 %. Auch die Zuständigkeit ist klarer: Der Anteil der Betriebe, in denen Cybersicherheit als Teilaufgabe einer Person intern festgelegt ist, stieg laut Studie von 15 % auf 21 %. Weitere 9 % haben eine eigene Fachfunktion, 27 % übergeben die Aufgabe einem externen Partner. Die Mobiliar fasst die interne Zuständigkeit auf ihrer Studienseite mit 31 % zusammen, nach 22 % im Vorjahr.

Die Studienautoren werten das in der BACS-Mitteilung als gutes Zeichen: Cybersicherheit werde zunehmend als Führungsaufgabe und nicht mehr nur als IT-Thema verstanden. Rund zwei von fünf Unternehmen halten es laut Studie für wahrscheinlich oder sehr wahrscheinlich, in den nächsten ein bis drei Jahren zusätzliche Sicherheitsmassnahmen umzusetzen; konkret planen das laut einer anderen Frage der Studie 29 %.

Gleichzeitig unterschätzen viele Betriebe das Risiko für den eigenen Laden. Eine Mehrheit hält laut Studie die Gefahr, durch einen Cyberangriff mindestens einen Tag lang auszufallen, für eher klein; die Mobiliar beziffert diesen Anteil mit 52 %. Nur rund jedes zehnte KMU schätzt dieses Risiko als hoch ein. Das passt schlecht zu den 6 % tatsächlich schwer Betroffenen – und noch schlechter zu den 16 % bei Firmen ab zehn Mitarbeitenden.

Beim Thema KI sind die Befragten eindeutig: 81 % gehen laut Studie davon aus, dass die Cybergefahr durch künstliche Intelligenz weiter zunimmt. Fast die Hälfte der KMU setzt KI laut BACS in eigenen Projekten noch nicht ein. Und bei der Zusammenarbeit mit dem Bund gibt es Luft nach oben: 40 % der Unternehmen wären laut Studie bereit, relevante Cybervorfälle freiwillig dem BACS zu melden. Den Cyber Security Hub des BACS, eine Plattform für den Informationsaustausch, nutzen erst rund 7 % der Firmen oder ihre IT-Dienstleister.

Das BACS hat die Studie am 22. Oktober 2026 in einer eigenen Mitteilung vorgestellt und stellt dabei die organisatorische Seite in den Vordergrund. Romain Geiser, Programm Manager Nationale Cyberstrategie beim BACS, nennt «Information, Prävention und Zusammenarbeit» als «zentrale Bausteine einer resilienten Cyberlandschaft». Das Amt verweist auf seine Informationsangebote und auf die Möglichkeit, Vorfälle zu melden – je mehr Meldungen eingehen, desto besser kann es vor laufenden Angriffswellen warnen.

Für Jesús Pampín, Leiter Kompetenzzentrum Cyber Risk bei der Mobiliar, ist «Cyberkriminalität für Schweizer KMU zum realen Geschäftsrisiko geworden». Seine Folgerung: «Cybersicherheit darf deshalb nicht allein bei der IT liegen.» Sie gehöre in die Geschäftsleitung und müsse Teil der Unternehmensstrategie sein. Bemerkenswert für einen Versicherer ist der Nachsatz, den er ebenfalls macht: «Eine Cyberversicherung kann Risiken abfedern, ersetzt aber die Eigenverantwortung nicht.»

Anu Anthamatten, Projektleiterin bei digitalswitzerland, sieht viele Unternehmen zu stark auf reine Basisschutzmassnahmen fixiert, während sie die organisatorische Notfallplanung vernachlässigen. Ihr Rat: «KMU müssen regelmässig testen, ob sie bei einem Cyberangriff rasch wieder handlungsfähig sind». Marc K. Peter, Projektleiter der Studie und Dozent an der HES-SO Valais-Wallis, verknüpft Cybersicherheit mit der Digitalisierung insgesamt: KMU mit hohem digitalem Reifegrad schätzen laut Studie auch ihre Widerstandsfähigkeit höher ein. «Cybersicherheit beginnt deshalb nicht bei der Firewall, sondern bei einer klaren digitalen Strategie», sagt er.

Die Studie selbst schliesst mit einer Checkliste, die unter anderem empfiehlt, vorab zu wissen, wo im Ernstfall Unterstützung verfügbar ist – beim IT-Dienstleister, beim Versicherer oder beim BACS. Zur Einordnung der Meldezahlen: Im ersten Halbjahr 2026 gingen laut BACS-Halbjahresbericht 27'128 freiwillige Meldungen beim Amt ein, dazu 200 meldepflichtige Cybervorfälle von Betreibern kritischer Infrastrukturen; die Ransomware-Meldungen stagnierten bei 79.

Die Studie «KMU Cybersicherheit 2026» wurde von der Mobiliar in Zusammenarbeit mit dem Bundesamt für Cybersicherheit (BACS), digitalswitzerland, der Fachhochschule Westschweiz HES-SO, der Hochschule für Wirtschaft Zürich HWZ und der Schweizerischen Akademie der Technischen Wissenschaften SATW herausgegeben. Die Befragung führte YouGov durch: 507 Online-Interviews mit Geschäftsleitenden von KMU mit 1 bis 49 Mitarbeitenden, zwischen dem 24. Juni und dem 10. Juli 2026, aus einem Internet-Panel mit rund 115'000 Mitgliedern.

Die Grundgesamtheit sind rund 614'400 Schweizer Firmen dieser Grösse gemäss der Unternehmensstatistik STATENT 2025 des Bundesamts für Statistik. Die Stichprobe wurde nach Firmengrösse und Sprachregion quotiert und anschliessend proportional gewichtet. Das Vertrauensintervall liegt laut Studie bei plus/minus 4,4 Prozentpunkten bei 95 % Sicherheit. Für die Gesamtzahlen ist das solide; für Teilgruppen wird es dünn. Die Angaben zu Angriffsarten und Folgen stützen sich im Studien-Deck auf gerade einmal 44 betroffene Unternehmen und sind darum eher Hinweise als harte Zahlen.

Zwei Dinge gehören zur Einordnung. Erstens ist die Auftraggeberin ein Versicherer, der Cyberversicherungen anbietet. Das macht die Zahlen nicht falsch – Methode und Partner sind offengelegt, und das BACS trägt die Studie mit –, aber die Betonung des Geschäftsrisikos passt zum Geschäftsmodell der Herausgeberin. Zweitens beruhen alle Werte auf Selbstauskünften der Geschäftsleitung. Ob ein Betrieb sein Backup wirklich regelmässig testet oder ob die Chefin das nur glaubt, kann eine Online-Umfrage nicht prüfen.

Die Studie ist in vier Sprachen als Whitepaper auf cyberstudie.ch verfügbar, dazu ein Deck mit allen Ergebnissen. Wer die Zahlen dieses Artikels nachschlagen will, findet die Seitenangaben in der deutschen Fassung: Betroffenheit und Erpressung auf den Seiten 10 und 11, Priorität und Zuständigkeit auf den Seiten 14 bis 16, technische und organisatorische Massnahmen auf den Seiten 18 bis 20, Methode auf Seite 26.

Die Studie befragt Firmen mit bis zu 49 Mitarbeitenden, aber die Lücken, die sie findet, kennen auch Selbständige, Einzelfirmen und Privatpersonen. Die wichtigste Lücke ist die Backup-Illusion: Daten zu sichern ist Routine geworden, das Zurückspielen zu üben nicht. Wer seine Backups noch nie wiederhergestellt hat, weiss nicht, ob sie vollständig sind, ob das Passwort zur Sicherung noch bekannt ist und wie lange die Wiederherstellung dauert. Ein Testlauf pro Quartal mit ein paar wichtigen Dateien reicht, um das herauszufinden.

Dazu gehört die Frage, wo die Kopien liegen. Ein Cloud-Speicher mit Versionsverlauf ist eine sinnvolle Ergänzung, weil er ältere Fassungen einer Datei behält und so auch gegen verschlüsselte oder versehentlich überschriebene Dateien hilft – vorausgesetzt, die Aufbewahrungsfrist ist lang genug. Welche Dienste das wie lange tun und was sie kosten, steht in unserem Vergleich (→ pCloud vs. Google Drive vs. Dropbox 2026: Welcher Cloud-Speicher lohnt sich?). Ein Cloud-Speicher ersetzt aber keine zweite, vom Alltagsgerät getrennte Sicherung.

Der zweite Punkt ist der Zugang. Passwort-Hacking und Phishing gehören laut Studie zu den häufigsten Angriffsarten, und gegen beide hilft dieselbe Kombination: ein Passwort-Manager, der für jeden Dienst ein eigenes Passwort erzeugt und es nur auf der echten Website ausfüllt, plus Zwei-Faktor-Authentifizierung für E-Mail, Cloud, Online-Banking und Shop-Konten. Unsere Empfehlungen, inklusive der Schwächen der einzelnen Programme, findest du in (→ Beste Passwort-Manager 2026: 1Password, NordPass, Bitwarden und Proton Pass im Vergleich). Wie gezielt Phishing inzwischen ist, zeigt die aktuelle BACS-Warnung vor gefälschten Hotel-Cashbacks (→ Hotel-Phishing mit 7,5 Prozent «Cashback» zielt auf TWINT-Konten – das BACS warnt): Die Täter kannten Namen, Buchungsdatum und Hotel ihrer Opfer.

Was die Studie nicht liefert, ist ein Grund für Panik oder ein Kaufargument. Rechnerisch hatten 94 % der befragten Betriebe in drei Jahren keinen schweren Angriff. Ob sich für ein kleines Unternehmen eine Cyberversicherung lohnt, hängt von Branche, Datenmenge und Abhängigkeit von der IT ab – das können wir hier nicht beurteilen und bewerten es auch nicht. Die Massnahmen in der Liste unten kosten dagegen fast nichts ausser ein paar Stunden Zeit, und sie decken genau die Schwächen ab, die die Studie bei der Mehrheit der KMU findet.