Wenn Aufträge stillstehen und Kundendaten gestohlen werden, wird ein Cyberangriff zur Unternehmenskrise. KMU in der Schweiz müssen Angriffe abwehren und ihren Betrieb wiederherstellen können. Was Ransomware, Wiper und Insider-Risiken bedeuten und welche Entscheidungen Sie vor dem Ernstfall fallen sollten.
Ein mögliches Szenario: Über eine gefälschte Anmeldeseite erbeuten Kriminelle Zugangsdaten. Sie nutzen einen unzureichend geschützten Fernzugang, erweitern ihre Berechtigungen und durchsuchen das Netzwerk. Danach stehlen sie Daten, löschen erreichbare Sicherungen und verschlüsseln Systeme.
Mehrfaktor-Authentifizierung (MFA) und zeitnahe Updates erschweren den Einstieg. Getrennte Netzwerkbereiche und eingeschränkte Berechtigungen begrenzen die Ausbreitung. Überwachte Sicherheitsalarme helfen bei der Früherkennung. Entscheidend ist: Wer reagiert nachts und darf verdächtige Zugänge sperren?
Welche Rolle spielen Mitarbeitende als Insider?
Risiken entstehen auch intern. Mitarbeitende können Zugriffsrechte absichtlich missbrauchen, Daten entwenden oder Angreifer:innen unterstützen. Auch das Bundesamt für Cybersicherheit nennt Datendiebstahl durch Mitarbeitende als mögliche Ursache für Datenabflüsse und zeigt vorbeugende Massnahmen sowie Handlungsschritte für den Ernstfall auf. Davon zu unterscheiden sind unbeabsichtigte Fehler, etwa die Eingabe eines Passworts auf einer Phishing-Seite.
Berechtigungen sollten auf notwendige Aufgaben begrenzt, bei Stellenwechseln angepasst und bei Austritten rechtzeitig entzogen werden. Für sensible Aktionen, etwa das Löschen von Backups, empfiehlt sich das Vieraugenprinzip. Schulungen und eine offene Meldekultur helfen, verdächtige Vorgänge und Fehler früh aufzudecken.
Ransomware oder Wiper: Warum reicht ein Backup nicht?
Ransomware verschlüsselt Daten, um Lösegeld zu erpressen. Häufig drohen Täter:innen zusätzlich mit der Veröffentlichung gestohlener Informationen. Ein intaktes, getestetes Backup kann die Wiederherstellung ermöglichen, verhindert aber keine Veröffentlichung gestohlener Daten.
Wiper zerstören Daten durch Löschen oder Überschreiben. Der Cybersicherheitsdienst für die Organe, Einrichtungen und sonstigen Stellen der Europäischen Union dokumentiert auch als Ransomware getarnte Angriffe, bei denen Daten kaum oder gar nicht wiederherstellbar waren.
Kann dasselbe Administrationskonto Produktivdaten und Backups löschen, fehlt eine wichtige Schutzbarriere. Das Bundesamt für Cybersicherheit empfiehlt vom Netz getrennte Backups und regelmässige Wiederherstellungstests.
Wie schnell muss Ihr Unternehmen wieder arbeiten können?
Die Geschäftsleitung muss festlegen, welche Prozesse zuerst verfügbar sein müssen, wie lange sie ausfallen dürfen und wie viel Datenverlust tragbar ist. Muss die Auftragsbearbeitung nach vier Stunden laufen, genügt eine Sicherung nicht, deren Rückspielen zwei Tage dauert.
Testen Sie mit Ihrem Informatikpartner den gesamten Prozess bis zur Auftragsfreigabe. Ein erfolgreiches Backup allein beweist noch nicht, dass die Auftragsbearbeitung wieder funktioniert.
Üben Sie den Notfallplan: Wer führt den Krisenstab? Wie erreichen Sie Mitarbeitende, Kund:innen und Dienstleister, wenn das E-Mail-System nicht verfügbar ist? Halten Sie Notfallkontakte offline bereit. Das Notfallkonzept des Bundesamts für Cybersicherheit bietet praktische Hilfsmittel, darunter eine Vorlage für den Notfall- und Krisenplan für KMU.
Cyberangriff entdeckt: Was ist zuerst zu tun?
Betroffene Systeme vom Netzwerk trennen, Notfallplan aktivieren, Spezialist:innen beiziehen und Backups schützen. Keine eigenmächtigen Neustarts oder Neuinstallationen: Sie können wichtige Spuren vernichten. Das Bundesamt für Cybersicherheit empfiehlt, den Infektionsweg zu klären und eine erneute Infektion zu verhindern. Erst dann folgt die kontrollierte Wiederherstellung. Es rät von Lösegeldzahlungen ab und empfiehlt eine Strafanzeige.
Informieren Sie Mitarbeitende und betroffene Kund:innen über Einschränkungen und nächste Schritte. Prüfen Sie Meldepflichten: Bei voraussichtlich hohem Risiko für die Persönlichkeit oder Grundrechte betroffener Personen ist eine Datensicherheitsverletzung dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich zu melden. Für erfasste kritische Infrastrukturen gilt bei meldepflichtigen Angriffen zusätzlich die Meldefrist von 24 Stunden an das Bundesamt für Cybersicherheit ab Entdeckung.
Wie gut ist Ihr KMU auf einen Cyberangriff vorbereitet?
Wer stoppt einen Angriff, welche Geschäftsprozesse müssen wie schnell wieder funktionieren, und haben Sie unter realistischen Bedingungen getestet, ob sich Systeme und Daten innerhalb dieser Zeit wiederherstellen lassen? Besprechen Sie mit iSource, wie gut Ihr Unternehmen auf den Ernstfall vorbereitet ist.
Mehr zum Thema in unserem Podcast
Wie laufen Cyberangriffe in der Praxis ab? Welche Risiken werden von Unternehmen häufig unterschätzt und worauf kommt es im Ernstfall wirklich an?
Diese und weitere Fragen standen im Mittelpunkt unseres Security & Compliance Events vom 10. September 2026 in Zürich. Gemeinsam mit Gregor Wegberg von Oneconsult AG, Experte für Cybersicherheit, und Markus Näf von Eversheds Sutherland, Rechtsanwalt und Experte für Datenschutz und Compliance, haben wir die technischen und rechtlichen Herausforderungen für Schweizer KMU beleuchtet.
Die beiden Podcast-Specials wurden live am Event aufgezeichnet und bieten spannende Einblicke, praxisnahe Empfehlungen und wertvolle Denkanstösse.
Jetzt reinhören:
Podcast-Special Teil 1:
Der Angriff: Wenn Führungskräfte zu Cyberangreifern werden
Podcast-Special Teil 2:
Vom Angriff zur Verantwortung: Wenn Führungskräfte im Ernstfall entscheiden müssen