Cybersecurity vs. Kosten: Wieviel IT-Sicherheit ist nötig?

1. Welche Massnahmen der Cybersecurity sind in KMU wirklich notwendig?

Wenn es um Cybersecurity geht, zögern viele KMU die notwendigen Massnahmen zu treffen, weil der unmittelbare Nutzen von Sicherheitsmassnahmen im Alltag schwer greifbar ist. Doch IT-Sicherheit ist mehr als ein Kostenfaktor, sondern vergleichbar mit einer Versicherung für den Fortbestand des Unternehmens. Wer gezielt investiert, vermeidet Ausfälle, schützt Kundendaten und sichert die Handlungsfähigkeit im Ernstfall.

Die wichtigsten Cybersecurity-Massnahmen im Überblick

Ein wirksamer Schutz besteht aus mehreren aufeinander abgestimmten Ebenen mit entsprechenden Bausteinen:

Zugangsschutz und Identitätssicherheit

Hier geht es um die Kontrolle, wer sich wo anmelden darf. Um dies zu gewährleisten, bilden drei Massnahmen den Schwerpunkt:

• Starke Passwörter und Multi-Faktor-Authentifizierung (MFA) schützen Benutzerkonten.

• Rollenbasierte Zugriffsrechte verhindern ungewollten Zugriff auf vertrauliche Daten. 

• Das Least-Privilege-Access-Prinzip stellt sicher, dass Mitarbeitende nur so viele Zugriffsrechte erhalten sollen, wie sie für die Ausführung ihrer zugewiesenen Arbeit benötigen. 
  
  

Schutz von Geräten und Daten

Endgeräte wie Laptops oder Smartphones sind häufig das Einfallstor für Angriffe.

• Endpunktschutz (Endpoint Security) überprüft Geräte laufend auf Schadsoftware.

• Verschlüsselung verhindert, dass sich sensible Informationen bei Verlust oder Diebstahl auslesen lassen.

• Automatisierte Cloud-Backups sorgen dafür, dass das Unternehmen seine Daten im Notfall rasch wiederherstellen kann.
  
  

Netzwerk- und Cloud-Sicherheit

• Firewalls und E-Mail-Filter wehren Schadsoftware und Phishing-Versuche ab.

• Cloud Security Services überwacht mit hocheffizienten technischen Massnahmen und einem Team 24 Stunden täglich die Infrastruktur proaktiv auf verdächtige Aktivitäten (z.B. mit Sophos MDR).

• VPN-Verbindungen schützen Datenübertragungen ausserhalb des Unternehmensnetzwerks.
  
  

Sensibilisierung und Organisation

•  Awareness-Trainings schärfen das Bewusstsein der Mitarbeitenden für Cyberrisiken.

• Richtlinien und Prozesse legen fest, wie mit Passwörtern, Daten und Geräten umzugehen ist.

• Notfall- und Wieder­herstellungs­pläne (Incident Response, Disaster Recovery) stellen sicher, dass im Ernstfall jeder weiss, was zu tun ist.
  
  

2. Was kostet Cybersecurity für ein KMU?

Die Gesamtkosten für IT-Sicherheit hängen stark von der Unternehmensgrösse ab. Während kleinere Betriebe Standardlösungen nutzen, profitieren grössere Organisationen von Skaleneffekten, also sinkenden Kosten pro Arbeitsplatz bei wachsender Nutzerzahl.

Ein realistisch kalkulierter Richtwert liegt bei rund CHF 50 bis 120 pro Arbeitsplatz und Monat, je nach Firmengrösse, Cloud-Anteil und Betreuungsumfang. Darin enthalten sind in der Regel Sicherheitslizenzen, Backup- und Wieder­herstellungs­dienste, Monitoring sowie Benutzersupport.

Die jüngsten Beispiele von Cyberangriffen zeigen, dass sich die durchschnittliche Schadensumme durch Cyberangriffe für KMU auf ein Vielfaches der Kosten für Cybersecurity beläuft. Schnell kommen bei einem Vorfall hohe fünf- oder sechsstellige Frankenbeträge zusammen.

3. Was eine zeitgemässe Sicherheitsstrategie umfasst

Die gute Nachricht: Effektive Cybersecurity muss nicht überdimensioniert oder teuer sein. Entscheidend ist, dass sie zum Unternehmen passt. Dabei spielt Grösse, Branche, Cloud-Strategie und Arbeitsweise eine Rolle.

Ein professioneller IT-Dienstleister kann dabei unterstützen, eine mehrstufige Sicherheitsstrategie zu entwickeln, die Technologie, betriebliche Prozesse und Menschen gleichermassen berücksichtigt.

Beispiele moderner Schutz­mechanismen:

• Sophos MDR: erkennt und blockiert Bedrohungen über E-Mail, Cloud und Endgeräte hinweg. Zudem überwacht ein SOC-Team 24 Stunden täglich, 7 Tage die Woche die Infrastruktur proaktiv auf verdächtige Aktivitäten (SOC: Security Operations Center). Es stellt laufend das Monitoring von Netzwerken, Systemen und Anwendungen sicher und reagiert sofort, wenn es einen Angriff oder eine Schwachstelle entdeckt.

• Azure Active Directory mit MFA: schützt Benutzerkonten zuverlässig.

• Intune Endpoint Management: verwaltet und schützt Geräte zentral.

• Automatisiertes Backup: sichert laufend Daten und stellt sie nach einem Angriff schnell wieder her.

Ein KMU mit 30 Mitarbeitenden konnte beispielsweise nach einem Ransomware-Angriff dank eines strukturierten Cloud-Backups den Betrieb innerhalb eines Tages vollständig wieder aufnehmen – ohne Datenverlust und ohne langfristige Ausfälle.

4. Weshalb Cybersecurity mit IT-Outsourcing meist vorteilhafter ist als Inhouse-IT-Sicherheit

Viele KMU unterschätzen den Aufwand einer eigenen Sicherheitsinfrastruktur: Monitoring, Updates, Schulungen, Lizenzmanagement. Hinzu kommen zusätzliche Anforderungen wie die laufende Überprüfung von Sicherheitsprotokollen, das Testen der Notfall­wiederherstellung, die frühzeitige Anpassung an neue Bedrohungsszenarien sowie die Einhaltung gesetzlicher Vorgaben zum Datenschutz.

Einige Branchen, etwa im hochregulierten Finanzsektor, bei kritischen Infrastrukturen oder mit besonders sensiblen Forschungs- und Entwicklungsdaten, benötigen aus Compliance-Gründen eine eigene Inhouse-Cybersecurity-Struktur. Hier kann ein interner Sicherheitsbetrieb strategische Vorteile bieten.

Doch für den Grossteil der KMU bedeutet es einen erheblichen Aufwand, mit den sich ständig verändernden Bedrohungen und der rasanten technologischen Entwicklung in der Cybersecurity Schritt zu halten. Der Betrieb einer eigenen IT-Sicherheitslösung bzw. -organisation beansprucht wertvolle Ressourcen, die ansonsten für das Kerngeschäft zur Verfügung stünden.

Ein sorgfältig ausgesuchter und ausgewiesener IT-Partner bietet für die Cybersicherheit entscheidende Vorteile:

• Planbare Fixkosten statt unvorhersehbare Risiken

• Proaktive Überwachung statt reaktive Problembehebung

• Automatisierte Sicherheits-Updates

• Zentralisierte Verwaltung 

• Schnelle Reaktionszeiten bei Sicherheitsvorfällen
  
  

Entscheidend ist, einen IT-Partner zu wählen, der in der Lage ist, ein KMU-gerechtes Cybersecurity-Paket anzubieten (Managed Cybersecurity):

• Erfahrung mit KMU-Strukturen
  

• Zertifi­zierung für Cybersicherheit nach ISO 27001

• Zertifizierte Microsoft-Kompetenzen

• Transparente Dokumentation der Sicherheitsprozesse
  
  
• Laufende Einspielung von Sicherheits-Updates
  
  
• Kontinuierliche Überwachung der IT-Infrastruktur
  
  
• Umsetzen der festgelegten Backup-Routinen
  
  
• Täglicher Check: Backups, Ereignisprotokolle, E-Mail-Systeme
  
  
• Suche und Identifikation von versuchten Hacker-Angriffen
  
  
• Laufende Überwachung der Virenschutzlösung und Firewalls
  
  
• Laufendes präventives Monitoring aller Komponenten

5. Nachhaltigkeit in der Cybersicherheit

Nachhaltigkeit gewinnt auch in der Cybersicherheit zunehmend an Bedeutung. Nachhaltige Cybersecurity bedeutet, Schutz­mechanismen so zu gestalten, dass sie sowohl effektiv als auch ressourcenschonend arbeiten und zwar über ihren gesamten Lebenszyklus hinweg:

Cloud-basierte Sicherheitsdienste

Sie senken den Energieverbrauch deutlich gegenüber traditionellen, lokal betriebenen Security-Lösungen. Automatisierte Sicherheitsupdates sorgen dafür, dass Schutz­mechanismen stets aktuell bleiben und keine personellen Ressourcen durch manuelle Wartung gebunden werden.

Virtualisierung & Shared Security

Die Nutzung gemeinsam verfügbarer Infrastrukturen ermöglicht eine flexible Skalierung von Sicherheitsressourcen ohne Überkapazitäten – und minimiert gleichzeitig den ökologischen Fussabdruck.

Nachhaltiges Lifecycle-Management

Regelmässige Aktualisierung und der rechtzeitige Ersatz veralteter Sicherheitslösungen verhindern, dass abgelaufene Systeme zu Schwachstellen werden. Ressourcen und Komponenten werden optimal eingesetzt und recycelt.

Sicherheitsbewusstsein & Prozesse

Kontinuierliche Sensibilisierung für Cybersicherheits-Themen und klare Verantwortlichkeiten helfen, Risiken dauerhaft zu minimieren und den sicheren Betrieb im Unternehmen zu gewährleisten.

6. Fazit: IT-Sicherheit als Wettbewerbsfaktor statt als Kostenfaktor

KMU, die frühzeitig in eine strukturierte Sicherheitsstrategie investieren, sichern sich nicht nur gegen Angriffe oder deren Folgen ab, sondern stärken auch das Vertrauen von Kunden, Partnern und Mitarbeitenden. Ein durchdachtes Sicherheits­konzept, das eine Cybersecurity-Strategie einschliesst, schützt nicht nur die Unternehmens-, Mitarbeitenden- und Kundendaten, sondern es schützt das gesamte Geschäftsmodell.