Cyber Security Beratung für Schweizer KMU

Q: Müssen Cyberangriffe den Schweizer Behörden gemeldet werden?

Ja, unter bestimmten Voraussetzungen. In der Schweiz gilt seit dem 1. April 2025 eine gesetzliche Meldepflicht für Cyberangriffe. Sie betrifft jedoch nicht alle Unternehmen, sondern primär Betreiber kritischer Infrastrukturen sowie bestimmte Behörden. Gemeldet werden müssen Cyberangriffe, welche die Funktionsfähigkeit gefährden, zu Datenabfluss oder -manipulation führen oder mit Erpressung verbunden sind. Die Meldung hat innerhalb von 24 Stunden nach Entdeckung an das Bundesamt für Cybersicherheit (BACS) zu erfolgen. Für Unternehmen ohne Rolle als kritische Infrastruktur besteht aktuell keine generelle Meldepflicht, dennoch kann eine freiwillige Meldung sinnvoll sein. Weitere Infos:

Q: Welche Risiken sind mit ungenügender Cyber Security verbunden?

Es drohen Datenabfluss, verschlüsselte Systeme, Lösegeldforderungen und Betriebsunterbrüche. Zudem kann ungenügende Cyber Security Ihren Kunden oder Partnern schaden, indem interne Dokumente und Daten an die Öffentlichkeit gelangen oder Kundendaten gestohlen werden. Eine gut aufgestellte Cyber Security Strategie kann sich finanziell und strategisch auszahlen. Viele Cyberversicherungen bieten günstigere Prämien oder bessere Vertragsbedingungen an. Zudem kann bei Verträgen oder Ausschreibungen auf die Sicherheitsstandards gezielt hingewiesen werden. Zertifizierungen lassen sich leichter erreichen. Heutzutage ist es wichtig, Cyber Security als fortlaufenden Prozess in einem Unternehmen zu verankern. So können Risiken minimiert und Chancen der Digitalisierung sicher genutzt werden. Bei diesem Prozess unterstützen wir Sie selbstverständlich auch langfristig und unabhängig.

Q: Mit welchen Kosten muss ich beim KMU Cyber Security Audit rechnen?

In der Regel mit deutlich weniger, als ein Ransomware-Angriff kostet. Je nach Grösse des Unternehmens sowie Umfang und Komplexität der Infrastruktur rechnen wir für ein Audit mit einem Aufwand von zwei bis sieben Arbeitstagen.

Q: Was ist der Unterschied zwischen Internal Penetration Testing und External Penetration Testing?

Im Rahmen eines «External Penetration Tests» simulieren wir Angriffe auf die öffentlich erreichbaren Systeme. Ziel ist es, die Verteidigungsmechanismen zu überprüfen, kritische Schwachstellen aufzudecken und praxisnahe Handlungsempfehlungen zu liefern. Unternehmen erhalten damit einen klaren Überblick über ihre Exponierung im Internet und konkrete Massnahmen zur Risikoreduktion. Das Gegenstück dazu ist der «Internal Penetration Test»: Hier simulieren wir Angriffe aus dem internen Unternehmensnetzwerk. Ziel ist es, bestehende Schutzmechanismen wie Segmentierung, Rechte- und Rollenmodelle oder Endpoint-Security zu überprüfen. Durch die Aufdeckung von Sicherheitslücken erhalten Unternehmen einen realistischen Einblick in die Risiken bei kompromittierten Arbeitsplätzen oder internen Angriffen. Die Ergebnisse liefern praxisnahe Handlungsempfehlungen, um die interne Sicherheitslage nachhaltig zu stärken.

Q: Was versteht man unter Vulnerability Scanning?

Das «Vulnerability Scanning» dient der kontinuierlichen Identifikation und Bewertung von Schwachstellen in der IT-Infrastruktur. Wir analysieren Systeme, Anwendungen und Netzwerke automatisiert, priorisieren die gefundenen Risiken und schaffen so Transparenz über den aktuellen Sicherheitsstatus. Unternehmen erhalten dadurch eine klare Übersicht über kritische Angriffsflächen sowie konkrete Empfehlungen, welche Massnahmen zur Risikoreduktion zeitnah umgesetzt werden sollten. Dies ermöglicht eine proaktive Stärkung der IT-Sicherheit und reduziert potenzielle Ausfallrisiken.

Q: Was ist Web & API Application Testing?

Beim «Web & API Application Testing» untersuchen wir Applikationen und Schnittstellen gezielt auf gängige und komplexe Angriffsvektoren. Dazu zählen unter anderem Injection-Schwachstellen, Authentifizierungs- und Autorisierungsprobleme sowie Fehlkonfigurationen. Ziel ist es, Sicherheitsrisiken in den Anwendungen aufzudecken, die Vertraulichkeit und Integrität von Daten zu gewährleisten und konkrete Massnahmen für eine sichere Entwicklung und den Betrieb zu liefern. Unternehmen erhalten damit eine fundierte Grundlage zur Absicherung ihrer digitalen Services.

Resilienz im digitalen Raum stärken

Cybersecurity Ventures schätzt die weltweiten Kosten von Cybercrime auf 10,5 Billionen US-Dollar pro Jahr. Auch Schweizer KMU leisten dazu unfreiwillig ihren Beitrag: In der Schweiz wird im Durchschnitt jeden zweiten Tag ein Betrieb mit einem Ransomware-Angriff konfrontiert. Wir sehen es deshalb als unsere Aufgabe, die Einfallstore für Cyberangriffe bei KMU zu minimieren.

KMU im Visier von Cybercrime

Der durchschnittliche Schaden eines Cyberangriffs für ein Schweizer Unternehmen beläuft sich auf rund 1 Million CHF. Und auch kleine Unternehmen werden ins Visier genommen: Schweizweit sind in den letzten drei Jahren rund 24’000 KMU mit weniger als 50 Mitarbeitenden von einem Cyberangriff betroffen gewesen.

Das Swiss Police Department lässt grüssen: Was sich als Telefon-Scam bei Privatpersonen einfach skalieren lässt, gilt mittlerweile ebenso für Cyberangriffe auf KMU.

Neben dem finanziellen Schaden bedeutet ein Cyberangriff oft auch erheblichen Stress für die Mitarbeitenden sowie Einschränkungen im laufenden Betrieb, die unter Umständen mehrere Tage andauern können.

Cyber Security ist ein asymmetrisches Spiel. Ein böswilliger Akteur kann unzählige erfolglose Angriffe starten, während ein Unternehmen bereits verliert, wenn ein einziger Cyberangriff erfolgreich ist.

Mit einem Security Audit lässt sich diese Asymmetrie wesentlich reduzieren. Es schafft Transparenz darüber, in welchen Bereichen Ihre Organisation in der digitalen Welt sicherheitsseitig nachbessern muss.

Use Case

Cyber Security als fortlaufender Prozess

Wie Chicorée mit einem Security Audit begann und Cyber Security Schritt für Schritt mit Penetrationstests, Awareness-Schulungen und klaren Security-Playbooks nachhaltig im Unternehmen verankerte.

Use Case lesen

KMU Security Audit

Unser KMU Cyber Security Audit zeigt Ihnen mit vertretbarem Aufwand, wo im Unternehmen sicherheitsrelevante Schwachstellen bestehen.

Wir analysieren die vorhandene Infrastruktur sowie die Prozesslandschaft und identifizieren und bewerten potenzielle Schwachstellen systematisch.

Im Aktionsteil des Reports zeigen wir für jede identifizierte Schwachstelle konkrete und priorisierte Lösungsmöglichkeiten auf. Unsere Erfahrung zeigt, dass viele dieser Schwachstellen vom Unternehmen selbst behoben werden können. Wo zusätzliche Unterstützung erforderlich ist, stehen wir mit technischer Expertise zur Verfügung, beispielsweise bei der Einrichtung einer Firewall, der Absicherung von Benutzerzugängen oder der Einführung von Mehrfaktor-Authentifizierung.

So wie die Buchhaltung regelmässig von einer externen Revision geprüft wird, empfehlen wir, auch die IT-Landschaft eines Unternehmens von einem unabhängigen Cyber-Security-Unternehmen analysieren zu lassen. In enger Zusammenarbeit mit der internen IT oder externen IT-Partnern erarbeiten wir anschliessend konkrete Verbesserungsmöglichkeiten.

IKT-Minimalstandard-Check

Wie steht es um die IT-Sicherheit in Ihrem Unternehmen?

Mit unserem IKT-Schnell-Check erhalten Sie in gut zehn Minuten eine erste Standortbestimmung. Beantworten Sie 14 Fragen auf Basis des IKT-Minimalstandards des Bundes und erfahren Sie, in welchen Bereichen Handlungsbedarf besteht.

IKT-Check starten

Schweizweit sind in den letzten drei Jahren rund 24’000 KMU mit weniger als 50 Mitarbeitenden von einem Cyberangriff betroffen gewesen.

Interne Datensicherheit als unterschätzter Risikofaktor

Ein Security Audit hilft nicht nur bei der Abwehr von Bedrohungen ausserhalb des Unternehmens. Häufig zeigt sich, dass sensible Unternehmensdaten firmenintern ungenügend geschützt sind – etwa Lohndaten oder HR-Dossiers.

Unser Audit unterstützt Unternehmen deshalb auch dabei, ein stringentes Zugriffskonzept für sensible Daten zu erarbeiten und umzusetzen.

Ein Security Audit als Basis für eine Cyberversicherung

Wer den Abschluss einer Cyberversicherung plant, muss nachweisen, dass grundlegende Sicherheitsvorkehrungen im Unternehmen implementiert sind. Ist dies nicht der Fall, kann eine Versicherung die Deckung verweigern oder nur unter Vorbehalt gewähren. Unser Cyber Security Audit hilft dabei, Unklarheiten in Bezug auf den angestrebten Versicherungsschutz zu minimieren.

Interview

Was bringt eine Cyberversicherung für Schweizer KMU?

Wir haben mit Michel Dominic Koch, Leiter Vertrieb der ASSEPRO Brokerage AG, gesprochen – über den Leistungsumfang, die Anforderungen der Versicherer und die Frage, weshalb eine Police Prävention nicht ersetzt.

Interview lesen

Social Engineering als systemisches Risiko

E-Mails von exotischen Prinzen mit kurzfristigen Liquiditätsproblemen haben wohl ihren Zenit überschritten. Nichtsdestotrotz sind Angriffe, die Menschen auf geschickte Weise täuschen, weiterhin ein wichtiges Instrument von Cyberkriminellen. Laut dem DBIR (Data Breach Investigations Report) 2025 von Verizon geht rund jede sechste untersuchte Datenschutzverletzung auf Social Engineering zurück.

Im Rahmen des Cyber Security Audits testen wir auf Wunsch auch das Verhalten von Mitarbeitenden – etwa durch fingierte Phishing-E-Mails oder andere unerwartete Methoden, bei denen menschliche Neugier gezielt ausgenutzt wird, um unbefugten Zugriff auf Systeme zu erlangen.

In der anschliessenden Auswertung legen wir besonderen Wert darauf, dass einzelne Mitarbeitende nicht blossgestellt werden. Ziel ist es vielmehr, dass die Organisation als Ganzes aus den Erkenntnissen lernt und ihre Sicherheitskultur weiterentwickelt.

News

Der Mensch als stärkste Firewall: Ein Plädoyer für Cyber-Security-Awareness

Warum technische Schutzmassnahmen allein nicht ausreichen und Cyber-Security-Awareness Mitarbeitende dazu befähigt, Phishing und Social Engineering frühzeitig zu erkennen.

Artikel lesen

Cyber Security als integraler Bestandteil moderner Softwareentwicklung

Unser Cyber Security Team besteht aus erfahrenen Softwareentwicklern und bietet auch White-Box-Penetration-Tests an. Als Unternehmen, das selbst Software entwickelt , sind wir uns bewusst, wie komplex die sichere Entwicklung von digitalen Produkten sein kann.

Die Cloud-Infrastruktur, die bei modernen Webapplikationen zum Einsatz kommt, bringt viele Vorteile mit sich. Dennoch sollte sie auch im Hinblick auf Cyber-Security-Risiken überprüft werden.

Mit unserem DevSecOps-Ansatz (Development, Security, Operations) stellen wir sicher, dass Entwicklerteams Software von Grund auf sicher entwickeln und zuverlässig betreiben können.

Use Case

Security Testing für die HotLead-Plattform

Vor dem Go-live haben wir die HotLead-Plattform einem umfassenden Security-Check unterzogen. Dabei überprüften wir Geschäftslogik, Backend und Infrastruktur auf mögliche Schwachstellen.

Use Case lesen

BACS: Fake-Anrufe im Namen von Behörden
https://www.bacs.admin.ch/de/fake-anrufe-behoerden

Watson (2026): Firma schlägt wegen Ransomware-Attacken gegen Europa Alarm – das wissen wir
https://www.watson.ch/wirtschaft/digital/671431937-ransomware-attacken-bundesamt-fuer-cybersicherheit-zu-aktuellen-trends

Peter, M. K. et al. (2025): KMU Cybersicherheit 2025 – IT-Sicherheit in Schweizer KMU und bei IT-Dienstleistungsunternehmen
https://cyberstudie.ch/wp-content/uploads/2025/10/KMU-Cybersicherheit-2025.pdf

Verizon (2025): 2025 Data Breach Investigations Report – Small- and Medium-Sized Business Snapshot
https://www.verizon.com/business/resources/infographics/2025-dbir-smb-snapshot.pdf

Cybersecurity Ventures (2025): Cybercrime To Cost The World $12.2 Trillion Annually By 2031
https://cybersecurityventures.com/official-cybercrime-report-2025/

HZ Insurance (2024): Cyberangriffe: Wenn in der Schweiz alles stillsteht
https://www.hzinsurance.ch/schweizer-unternehmen-hohe-kosten-durch-cyberkriminalitaet/mz81706