​Nehmen Hotels & KMU IT-Sicherheit zu wenig ernst?

Es ist ein Paradox: Zwar gibt eine knappe Mehrheit der KMU an, gut gerüstet für eine Cyberattacke zu sein. Doch die Cyberstudie 2024 zeigt, dass es an organisatorischen Massnahmen fehlt. Dazu gehören Notfallpläne, Sicherheitskonzepte und Security-Awareness-Schulungen für Mitarbeitende. Bei 44 Prozent der befragten KMU ist niemand für die IT-Sicherheit zuständig – obwohl Betriebsrisiken rechtlich Chefsache sind.

Gleichzeitig steigt die Zahl der Cyberattacken. Laut Bundesamt für Cybersicherheit (BACS) hat sich die Anzahl der Phishing-Sites 2024 auf rund 20.000 verdoppelt. Gemäss der Cyberstudie wurden 4 Prozent der befragten KMU Opfer einer schwerwiegenden Cyberattacke, was aufgerechnet rund 24’000 Unternehmen in der Schweiz betrifft – Dunkelziffer nicht eingerechnet. Drei Viertel dieser Opfer erlitten substanziellen finanziellen Schaden.

KMU kein Angriffsziel? Irrtum!
Kleine und mittlere Unternehmen nehmen oft fälschlicherweise an, keine lohnenden Ziele für Cyberkriminelle zu sein. Viele Cyberattacken zielen auf Sicherheitslücken Systeme im Internet werden auf Sicherheitslücken durchsucht und Phishing-Mails an sämtliche verfügbaren Adressen geschickt. Cyberkriminelle greifen dort an, wo sich eine Gelegenheit bietet. Ihre Ziele können auch schlecht geschützte Webseiten sein, die für Phishing verwendet werden. Das BACS weist auf den Missbrauch von Unternehmens-Websites hin, der darauf abzielt, Zugangsdaten zu Webhosting zu ergaunern und ist unabhängig von der Grösse der Unternehmen.

Attacken auf viele kleine, oft schlechter geschützte Unternehmen lohnen sich genauso wie Angriffe auf grosse. Kreditkarteninformationen oder Kundendaten lassen sich im Darknet leicht zu Geld machen.

Cyberkriminelle verschlüsseln mittels Ransomware Daten und fordern Lösegeld. KMU zahlen oft, da ihre Daten für sie unverzichtbar sind. Angreifer nutzen KMU auch als Eingangstor zu grösserer Beute.

Sicherheitslücken und Schwachstellen
Hotels sowie KMU sind leichte Beute, weil sie ihre Daten nicht ausreichend sichern oder Wiederherstellungen nicht getestet haben. Zwar haben 90 Prozent grundlegende Schutzmassnahmen wie Backups und Updates, aber nur zwei Drittel testen die Wiederherstellung – ein zentraler Schritt.

Viele Unternehmen erkennen erst im Krisenfall, dass die Backups unvollständig sind. Cyberattacken vorzubeugen ist selten etabliert: Nur ein Drittel hat einen Notfallplan, ein Viertel ein Sicherheitskonzept, das Cybersecurity-Massnahmen enthält.

Organisatorische Massnahmen als Schwachstellen
Wenige KMU kennen ihre Sicherheits-Schwachstellen. Nur ein Fünftel hat je ein IT-Sicherheitsaudit durchgeführt, bei welchem die eigene Infrastruktur geprüft wird. Regelmässige Audits sind notwendig, um neue Risiken zu identifizieren, besonders bei Änderungen wie beispielsweise dem Umstieg auf Cloud-Umgebungen oder mehr Homeoffice.

Ein Paradebeispiel ist die Nutzung des Geschäfts-Notebooks für private Mails, die Phishing-Risiken bergen. Security-Awareness-Schulungen sind daher wichtig, aber nur ein Drittel der KMU führt regelmässige Schulungen durch und benutzt Passwortmanager.

Swisscom bietet 360-Grad-Grundschutz gegen Cyberrisiken
Swisscom unterstützt Sie mit umfassendem IT-Security-Know-how bei der Identifikation von Sicherheitslücken, mit Empfehlungen für Sicherheitsmassnahmen sowie mit passenden technischen Lösungen.

> Angebot entdecken oder Kontakt aufnehmen