Wenn wir bei einem neuen KMU-Kunden mit dem Erstaudit beginnen, sind die ersten Findings selten exotisch. Es sind dieselben zwölf Punkte, die in 90 % der Fälle fehlen oder unvollständig umgesetzt sind. Diese Liste deckt davon den Grossteil ab — priorisiert nach Wirkung pro Investition. Punkte 1–4 stoppen die häufigsten Angriffe; Punkte 5–8 schliessen die zweite Lücke; Punkte 9–12 bringen Sie auf das Niveau, das Banken, Versicherungen und EDÖB-Audits erwarten.
Wichtig: Diese Liste ist eine Praxis-Hilfe, kein juristisches oder regulatorisches Audit. Branchenspezifische Anforderungen (FINMA für Banken, BAG für Spitäler, FADP für Apotheken) gehen vor und brauchen einen separaten Compliance-Check.
Multi-Faktor-Authentifizierung (MFA) erzwingen — überall
Beginnen Sie hier. 99 % der erfolgreichen Account-Übernahmen scheitern an MFA. Erzwingen Sie es für Microsoft 365 / Google Workspace, VPN, Banking, Buchhaltungssoftware und alle Admin-Konten. Idealerweise mit FIDO2-Sicherheitsschlüsseln (YubiKey) für Geschäftsleitung und IT-Admins.
Endpoint Detection & Response (EDR) statt nur Virenscanner
Klassisches Antivirus erkennt Ransomware oft erst, wenn sie schon läuft. EDR-Lösungen (Microsoft Defender for Business, SentinelOne, CrowdStrike) erkennen Verhaltensanomalien und stoppen Angriffe in Sekunden. Pflicht ab ungefähr 10 Geräten.
Backups in der 3-2-1-Regel — und regelmässig testen
Drei Kopien, zwei verschiedene Medien, eine offsite. Bei Cloud-Backups: prüfen Sie, ob Ransomware-Schutz («Immutable Backups») aktiv ist. Wichtigster Punkt: testen Sie Wiederherstellungen alle drei Monate. Ein Backup, das Sie noch nie restauriert haben, ist kein Backup.
Patch-Management mit harten Deadlines
Setzen Sie schriftliche SLAs: kritische Patches innerhalb 48 Stunden, hohe innerhalb 7 Tagen, normale innerhalb 30 Tagen. Automatisieren Sie Windows-Updates über Intune oder ein RMM-Tool. Nehmen Sie auch Drittanbieter-Software (Adobe, Java, Browser) mit auf.
Phishing-Simulationen alle 8–12 Wochen
Mitarbeitende sind die häufigste Einfallstür. Schulungen alleine wirken kaum — simulierte Phishing-Mails mit anschliessendem Mikro-Training senken die Klickrate nachweislich von 25 % auf unter 5 % innerhalb eines Jahres. KnowBe4, Hoxhunt oder Microsoft Attack Simulator sind etablierte Tools.
Privilegierte Konten trennen — niemand arbeitet als Domain-Admin
Jeder Admin braucht ZWEI Konten: ein normales Tagesgeschäfts-Konto und ein separates Admin-Konto, das nur für administrative Tätigkeiten verwendet wird. Damit wird verhindert, dass eine kompromittierte Browser-Session die Domäne übernimmt.
Verzeichnis aller Geräte und Software (Asset-Inventory)
Sie können nichts schützen, was Sie nicht kennen. Führen Sie ein lebendes Verzeichnis aller Endgeräte, Server, Cloud-Konten, Lizenzen und SaaS-Abos. Idealerweise automatisiert über Intune oder ein RMM. Beim Audit wird genau das als erstes verlangt.
Netzwerk-Segmentierung statt Flat Network
Trennen Sie Server, Mitarbeitende, Gäste-WLAN, Drucker und IoT-Geräte in getrennte VLANs mit Firewall-Regeln dazwischen. Wenn ein Drucker (notorisch unsicher) gehackt wird, soll er nicht die Buchhaltung erreichen können.
Cyber-Versicherung — aber realistisch
Eine KMU-Cyberversicherung kostet CHF 2'000–8'000 pro Jahr und deckt typische Schäden (Wiederherstellung, Betriebsunterbruch, Erpressung). Wichtig: Versicherer prüfen heute MFA, EDR und Backup-Tests. Ohne diese Basics gibt es entweder keinen Vertrag oder eine Ausschlussklausel.
Incident-Response-Plan auf einer A4-Seite
Wer ruft wen an, wenn morgen früh die Daten verschlüsselt sind? Schreiben Sie es auf — Telefonnummern von IT-Partner, Versicherung, NCSC-Meldestelle, externe Forensik. Ausgedruckt im Tresor (das E-Mail-Postfach ist mitverschlüsselt).
Zero-Trust für Zugriff von extern
Klassisches VPN ist Auslaufmodell. Conditional Access (Microsoft Entra) oder Cloudflare Access prüfen jede Anfrage anhand von Nutzer, Gerät, Standort und Risiko-Score. Verdächtige Logins werden blockiert oder mit Re-Auth versehen, bevor sie überhaupt das Netzwerk erreichen.
Jährliches externes Security-Assessment
Einmal pro Jahr lassen Sie einen externen Pentester / Audit gegen Ihre Umgebung laufen — extern (Web, Mail, VPN) und intern (Active Directory, Lateral Movement). Das findet, was Ihnen blinde Flecken sind. Kosten: CHF 4'000–12'000 für ein KMU-Assessment.
Schweizer Kontext: NCSC, EDÖB, revidiertes DSG
Drei Stellen sollten Sie kennen — und im IR-Plan haben:
- NCSC (Nationales Zentrum für Cybersicherheit) — Anlaufstelle für Vorfallmeldungen, anonymisierte Lagebilder, kostenlose Hilfe in akuten Fällen. Siehe ncsc.admin.ch.
- EDÖB (Eidg. Datenschutzbeauftragter) — Aufsichtsbehörde für das DSG. Datenschutz-Verletzungen müssen «binnen kurzer Frist» (Art. 24 DSG) gemeldet werden, wenn ein hohes Risiko besteht.
- revidiertes DSG (in Kraft seit 1. September 2023) — fordert ein Verzeichnis der Bearbeitungstätigkeiten, dokumentierte Sicherheitsmassnahmen und ggf. eine Datenschutz-Folgenabschätzung. Asset-Inventory (Punkt 7) ist die Basis dafür.
Häufige Fragen
Kostenloses Cybersecurity-Erstaudit für Ihr KMU
Wir prüfen die zwölf Punkte oben gegen Ihre aktuelle Umgebung — kostenlos, in 60 Minuten, mit konkretem Befund und Massnahmenplan. Kein Verkaufsgespräch, kein Druck. Sie bekommen das Audit als Bericht ausgehändigt — auch wenn Sie nicht mit uns weiterarbeiten.
Stand: Mai 2026. Preise sind Richtwerte für Schweizer KMU mit 10–100 Mitarbeitenden. Branchenspezifische Pflichten (Banken, Versicherungen, Gesundheit) werden hier nicht abgedeckt — wir empfehlen ein separates Compliance-Audit für regulierte Sektoren.
