KMU Cybersicherheit 2026: Die Hälfte fühlt sich gut geschützt. Nur jedes vierte KMU übt das Zurückspielen seiner Backups.

01 Was die Studie zeigt

Die Kernzahlen:

• 6 Prozent hatten in den letzten drei Jahren einen Cyberangriff mit spürbarem Schaden. In den Ausgaben 2024 und 2025 waren es je 4 Prozent. Hochgerechnet sind das über 35’000 KMU.
• Bis zu 16 Prozent beträgt der Anteil bei Firmen ab zehn Mitarbeitenden.
• 7 Prozent wurden bereits von Cyberkriminellen erpresst, hochgerechnet rund 45’000 KMU. Einzelne haben bezahlt.
• 81 Prozent erwarten, dass die Cybergefahr durch KI zunimmt. 88 Prozent halten Cyberkriminalität für ein ernstzunehmendes Problem.
• 46 Prozent stufen Cybersicherheit als wichtig oder sehr wichtig ein. Im Vorjahr waren es 33 Prozent [ Netzwoche 2026 ] .

Die Betroffenen berichten am häufigsten von grossem Aufwand für die Schadensbehebung, danach von emotionaler Belastung. Geld kommt erst an dritter Stelle. Ein Angriff kostet ein kleines Unternehmen vor allem Tage, in denen niemand arbeitet, was er sonst arbeitet.

02 Gut geschützt, ohne Inventar und ohne Audit

50 Prozent der KMU schätzen sich als gut oder sehr gut geschützt und vorbereitet ein. 2025 waren es 42 Prozent, 2024 55 Prozent [ Mobiliar 2026 ] . Legt man diese Einschätzung neben die Massnahmen, die dieselben Firmen voll umgesetzt haben, sieht das so aus:

Die Technik an der Oberfläche ist weitgehend da. Updates, Firewall, Backup. Was fehlt, ist alles, was eine Firma braucht, um zu wissen, ob diese Technik wirkt. Ohne Inventar wissen Sie nicht, welche Systeme Updates bekommen müssten. Ohne Audit hat niemand geprüft, ob die Firewall das blockiert, was sie blockieren soll. Ohne Notfallplan entscheidet im Ernstfall, wer gerade im Büro ist.

03 Das Backup-Paradox in denselben Antworten

Am deutlichsten zeigt sich die Lücke beim Backup. Neun von zehn KMU sichern ihre Daten regelmässig, nur noch 4 Prozent tun es gar nicht. Auf die Frage nach umgesetzten Massnahmen geben 60 Prozent an, die Wiederherstellbarkeit ihrer Datensicherung zu kontrollieren [ Mobiliar 2026 ] . Fragt man konkret, ob sie das Zurückspielen regelmässig üben, sagen 27 Prozent Ja und 63 Prozent Nein. Bei Firmen ab vier Mitarbeitenden ist es rund ein Drittel [ YouGov 2026 ] .

Zwischen 60 und 27 Prozent liegt der Unterschied zwischen «wir haben das im Griff» und «wir haben es ausprobiert». Die Studie selbst sagt es knapp: «Ein Backup ist nur dann wertvoll, wenn es im Ernstfall auch tatsächlich funktioniert.»

Bei Ransomware kommt ein zweites Problem dazu. Eine Gruppe, die Administratorrechte erlangt hat, sucht zuerst die Sicherungen. Ein Backup auf einem NAS im selben Netz, mit demselben Domänenkonto erreichbar, verschlüsselt sie gleich mit. 38 Prozent der KMU kombinieren lokale und Cloud-Sicherung. Ob die Cloud-Kopie mit denselben Zugangsdaten löschbar ist, fragt die Studie nicht. Ein Test schon.

04 Wo Angreifer bei KMU hineinkommen

Die betroffenen KMU nennen vier Wege, die je bei rund einem Drittel der Vorfälle eine Rolle spielten: Phishing (39 Prozent), Passwort-Hacking (32 Prozent), Schadsoftware inklusive Ransomware (30 Prozent) und Angriffe auf Netzwerk und Server (29 Prozent). Social Engineering folgt mit 20 Prozent [ Mobiliar 2026 ] .

Jeder dieser Wege trifft eine Lücke aus der Tabelle oben. Passwort-Hacking funktioniert dort, wo Mehrfaktor-Authentifizierung fehlt, und 45 Prozent der KMU haben sie nicht voll umgesetzt. Phishing trifft Teams, in denen regelmässige Schulung fehlt oder nur halb umgesetzt ist. Das betrifft 69 Prozent. Angriffe auf Server treffen Systeme, von denen die Firma oft nicht weiss, dass sie noch laufen: der alte Fernwartungszugang, die Testinstanz des Webshops, das NAS mit Weboberfläche.

Diese vergessenen Systeme sind der Grund, warum das Inventar mehr ist als Bürokratie. Ein Angreifer scannt Ihre öffentlichen IP-Adressen und Subdomains in Minuten. Er arbeitet mit der Liste dessen, was wirklich erreichbar ist. Die meisten KMU arbeiten mit der Liste dessen, was sie zu haben glauben. Zwei Drittel führen nicht einmal diese systematisch.

Das DSG verlangt in Art. 8 eine dem Risiko angemessene Datensicherheit [ DSG Art. 8 ] . Für Kundendaten auf einem System, das niemand auf dem Radar hat, lässt sich das schwer belegen.

05 Sieben Checks für Ihren Betrieb

1. Inventar gegen Aussensicht. Lassen Sie eine Liste aller Systeme mit Internetzugang erstellen: Webseite, Webshop, Mail, VPN, Fernwartung, Cloud-Dienste. Vergleichen Sie sie mit einer Suche nach Ihren Subdomains in öffentlichen Zertifikatsregistern wie crt.sh. Jeder Eintrag, den niemand kennt, gehört abgeschaltet oder auf die Liste.
2. Mehrfaktor auf jedem externen Login. E-Mail, VPN, Fernwartung, Buchhaltung in der Cloud, Bank. Fragen Sie nach jedem einzelnen Zugang, auch nach Konten von ehemaligen Mitarbeitenden und Dienstleistern.
3. Ein echtes Zurückspielen. Spielen Sie einen ganzen Server oder das wichtigste System aus dem Backup auf leere Hardware zurück. Messen Sie die Stunden, bis Ihre Leute wieder arbeiten können. Die Zahl gehört in den Notfallplan.
4. Backup ausser Reichweite. Prüfen Sie, ob ein Konto mit Administratorrechten im Firmennetz die Sicherungen löschen kann. Wenn ja, braucht es eine Kopie, die unveränderbar oder getrennt ist.
5. Phishing-Probe statt Schulungsfolie. Eine angekündigte Testkampagne zeigt, wie viele Ihrer Leute klicken und, wichtiger, wie viele den Vorfall melden.
6. Notfallplan auf einer Seite. Wer entscheidet, wer ruft den IT-Dienstleister an, wer den Versicherer, wer informiert Kunden. Mit Telefonnummern, ausgedruckt. Das BACS bietet dazu Informationen und ein Meldeformular für Vorfälle [ BACS ] .
7. Lieferanten mit Zugang. Listen Sie jede Firma auf, die per Fernwartung oder Konto auf Ihre Systeme kommt. Nur 28 Prozent der KMU prüfen die IT-Sicherheit ihrer Zulieferer.

Die Studie liefert selbst eine Checkliste mit ähnlichen Punkten [ Mobiliar 2026 ] . Ihr letzter Abschnitt heisst «Risiken regelmässig überprüfen». Dort stehen die Sicherheitsaudits, die heute 15 Prozent der KMU durchführen.

06 Was ein externer Test anders misst

Eine Umfrage misst, was Geschäftsleitende glauben. Das ist ihr Zweck, und die Mobiliar-Studie macht das sauber. Ein Test misst, was ein Angreifer vorfindet. Für Ihr KMU zählt nur die zweite Zahl.

In einem externen Test arbeiten wir ohne Ihre Liste. Wir suchen Ihre Systeme so, wie es eine Ransomware-Gruppe tut, versuchen uns mit geleakten oder schwachen Passwörtern anzumelden und prüfen, wie weit ein kompromittiertes Benutzerkonto kommt. Am Ende steht für jede Ihrer Annahmen ein Ergebnis: hält oder hält nicht, mit Beleg.

Das Resultat ist für ein KMU mit 20 Mitarbeitenden überschaubar: eine kurze Liste, sortiert nach dem, was ein Angreifer zuerst ausnutzen würde. Was ein solcher Test kostet, haben wir hier aufgeschlüsselt: Was kostet ein Penetrationstest in der Schweiz?

Gehören Sie zur Hälfte, die sich gut geschützt fühlt? Dann wissen Sie nach unserer Threat Map, ob das stimmt: welche Systeme von aussen offen sind, welche Logins ohne zweiten Faktor laufen und ob Ihr Backup einen Angriff übersteht. Ab CHF 5’000, in 14 Tagen.