Wenn von IT-Vorfällen die Rede ist, denkt man an raffinierte Techniken. Die Realität ist prosaischer: Fast alle schweren Vorfälle beginnen mit einer alltäglichen Geste – einem Klick, einem wiederverwendeten Passwort, einem hastig geöffneten Anhang. Deshalb bemisst sich die IT-Sicherheit eines Unternehmens auch, und vielleicht vor allem, am Faktor Mensch: an den Menschen, die täglich Post öffnen, Zugänge verwalten und mit Daten umgehen.

Die gute Nachricht: Genau hier kann ein KMU mit wenig Aufwand am meisten erreichen – mit gut gemachter Schulung, wenigen klaren Regeln und Werkzeugen, die Fehler verzeihen. Schauen wir es uns Punkt für Punkt an.

Warum Technik allein nicht genügt

Firewall, Virenschutz, Mailfilter: Die technischen Werkzeuge stoppen einen Grossteil der Versuche und müssen sorgfältig gepflegt werden – das ist die tägliche Arbeit gut geführter IT. Doch die Angreifer wissen das und haben ihr Ziel längst verschoben: Statt das Netzwerk zu knacken, überzeugen sie einen Menschen, die Tür zu öffnen.

Das ist ein rationales Kalkül. In ein aktuelles System einzudringen verlangt Können und Zeit; eine glaubwürdige E-Mail zu schreiben, die «dringend» eine Zahlung oder ein Passwort verlangt, kostet fast nichts und lässt sich tausendfach wiederholen. Für Angreifer sind Menschen nicht das schwächste Glied aus Unfähigkeit – sie sind schlicht das günstigste Ziel.

Daraus folgt die praktische Konsequenz: Jeder in Technik investierte Franken bringt mehr, wenn daneben ein Team steht, das Täuschungsversuche erkennt. Beides ersetzt sich nicht – es multipliziert sich.

Man darf es auch positiv sagen: Vom Faktor Mensch zu sprechen heisst nicht, Schuldige zu suchen. Menschen klicken, weil sie arbeiten, es eilig haben, vertrauen – dieselben Eigenschaften, die sie im Unternehmen wertvoll machen. Es geht nicht darum, sie gegen alles misstrauisch zu machen, sondern ihnen einfache Kriterien zu geben und die Erlaubnis, innezuhalten und nachzufragen.

Phishing im Unternehmen: wie ein wirksamer Angriff aussieht

Das Phishing im Unternehmen von heute hat wenig mit den holprigen E-Mails von vor zehn Jahren zu tun. Die Nachrichten imitieren echte Lieferanten, erwähnen laufende Projekte, treffen zu plausiblen Momenten ein – die Rechnung am Monatsende, der Paketdienst vor den Ferien. Die sorgfältigeren Varianten, das sogenannte Spear Phishing, stützen sich auf öffentliche Informationen: Ein LinkedIn-Profil und eine Meldung auf der Firmenwebsite genügen für eine massgeschneiderte Nachricht.

Was fast alle diese Nachrichten teilen, ist der psychologische Hebel: Dringlichkeit, Autorität, Vertraulichkeit. «Der Direktor braucht die Überweisung bis 17 Uhr», «Ihr Konto wird gesperrt», «sprechen Sie mit niemandem darüber». Diese drei Hebel zu kennen ist bereits die halbe Verteidigung: Enthält eine Anfrage sie, muss die Hand vor dem Klick stoppen.

Eine eigene Erwähnung verdient der IBAN-Wechsel-Betrug: die E-Mail, die im Namen eines echten Lieferanten «neue Bankverbindungen» für die nächsten Rechnungen mitteilt. Sie enthält weder Anhänge noch verdächtige Links – und passiert genau deshalb die technischen Filter: Die Verteidigung ist allein menschlich.

Die organisatorische Gegenmassnahme ist ebenso einfach: Jede ungewöhnliche Anfrage nach Geld oder Zugangsdaten wird über einen anderen Kanal verifiziert – ein Anruf auf die bereits gespeicherte Nummer, nicht auf die in der E-Mail angegebene. Eine einzige Regel, wiederholt, bis sie zum Reflex wird.

Jenseits des Phishings: die alltäglichen Fehler

Phishing ist der bekannteste Fall, doch der Faktor Mensch zeigt sich in vielen kleineren Gesten: das Dokument, das wegen der Autovervollständigung an die falsche Adresse geht, der gefundene USB-Stick, der «nur zum Nachschauen» eingesteckt wird, die Datei, die über einen für alle offenen Link geteilt wird, die Arbeit an sensiblen Daten über das ungeschützte Hotel-WLAN.

Keiner dieser Vorfälle macht Schlagzeilen, und genau deshalb wiederholen sie sich. Die Antwort ist nicht, alles zu verbieten – Regeln, die sich nicht einhalten lassen, werden schlicht ignoriert –, sondern bequeme Alternativen anzubieten: eine sichere Freigabe, die so einfach ist wie der offene Link, ein VPN, das sich ausserhalb des Büros von selbst aktiviert, vorsichtige Standardeinstellungen, die keine Einzelfallentscheide verlangen.

Das Prinzip gilt ganz allgemein: Sicherheit gewinnt, wenn der richtige Weg auch der bequemste ist. Wo die sichere Prozedur mühsamer ist als die unsichere, wählt früher oder später jemand die zweite – nicht aus Nachlässigkeit, sondern aus Müdigkeit.

Passwörter: der einfachste Eintrittspunkt

Das zweite grosse Kapitel des Faktors Mensch sind die Zugangsdaten. Das Problem ist selten das «zu kurze» Passwort – es ist dasselbe Passwort auf zehn Diensten. Erleidet einer dieser Dienste ein Datenleck (das geschieht laufend, und ohne Ihr Zutun), landen die Zugangsdaten in Listen, die automatisiert überall durchprobiert werden, Geschäftspostfächer eingeschlossen.

Sichere Passwörter erreicht man 2026 mit zwei Werkzeugen. Das erste ist der Passwort-Manager, der für jeden Dienst ein anderes Passwort erzeugt und speichert: Die Merk-Mühe verschwindet, und mit ihr die Wiederverwendung. Das zweite ist die Mehrfaktor-Authentifizierung (MFA), die bei jedem wichtigen Zugriff eine Bestätigung auf dem Telefon verlangt: Selbst ein gestohlenes Passwort genügt dann allein nicht mehr. Auf Plattformen wie Microsoft 365 ist die MFA in wenigen Stunden aktiviert – die einzelne Massnahme mit dem besten Verhältnis von Kosten und Schutz.

Eine Klarstellung, die in Schulungen immer wieder nützlich ist: Das monatliche Passwortwechseln gilt nicht mehr als gute Praxis, wenn der Wechsel vorhersehbare Varianten erzeugt. Besser sind lange, einzigartige Passwörter, verwahrt im Passwort-Manager, ersetzt, wenn es einen Grund gibt – einen Verdacht, ein bekanntes Datenleck –, und geschützt durch die MFA.

Die Sicherheitsschulung, die wirklich wirkt

«Wir haben den Kurs gemacht» ist ein Satz, der beruhigt und wenig schützt, wenn der Kurs ein Nachmittag mit Folien einmal im Jahr war. Wirksame Sicherheitsschulung hat eine andere Form: kurze, häufige Einheiten, Beispiele aus der realen Arbeit des Unternehmens, ein Ton, der niemandem Schuld zuweist. Das Ziel ist nicht, Mitarbeitende zu Technikern zu machen, sondern einen Reflex zu trainieren: eine Sekunde innehalten vor dem Klick.

Beispiele zählen mehr als Theorie. Eine Einheit, die auf den E-Mails aufbaut, die im letzten Quartal wirklich im Unternehmen eingetroffen sind – anonymisiert und kommentiert –, ist zehn generische Präsentationen wert: Jede und jeder erkennt das eigene Postfach wieder und versteht, dass das Thema sie unmittelbar betrifft.

Das Werkzeug, das diesen Reflex am stärksten festigt, sind Phishing-Simulationen: gefälschte, harmlose E-Mails, die dem Personal periodisch zugestellt werden. Wer klickt, wird nicht sanktioniert, sondern erhält im Moment selbst eine kurze Erklärung – und genau dieser Augenblick zwischen Überraschung und Erleichterung verankert das Gelernte besser als jede Lektion. Mit der Zeit wird die Klickrate zu einem messbaren Indikator der Security Awareness im Team.

Zur Frequenz empfiehlt die Erfahrung einen tragbaren Rhythmus: eine kurze Einheit pro Quartal, ungefähr eine Simulation pro Monat, ein Hinweis, wenn eine für die Branche relevante Phishing-Kampagne kursiert. Besser zwanzig Minuten ab und zu als ein ganzer Tag einmal im Jahr: Awareness ist Unterhalt, keine Impfung.

Ein Detail, das den Unterschied macht: Die Geschäftsleitung macht mit wie alle. Nimmt sich der Chef von der Schulung aus, lautet die stille Botschaft, Sicherheit sei ein Problem der anderen – und Angreifer zielen ohnehin gerne genau auf die Führungsebene.

Ankommen und Gehen: Sicherheit bei Personalwechseln

Es gibt zwei Momente, in denen der Faktor Mensch auf die Organisation trifft: wenn eine Person kommt und wenn sie geht. Der erste Arbeitstag ist die beste Gelegenheit für die Grundschulung – Regeln nimmt man auf natürliche Weise auf, wenn alles neu ist – und für die Übergabe korrekt eingerichteter Zugänge, mit aktiver MFA und auf die Rolle beschränkten Berechtigungen.

Der Austritt ist der heikelste und am meisten vernachlässigte Moment. Monatelang aktive Postfächer nach der Kündigung, nie widerrufene Zugänge zur Business Software, geteilte Passwörter, die niemand ändert: Solche Situationen finden wir häufiger, als man denkt – und keine Schulung kann sie kompensieren. Es braucht eine kurze, systematische Offboarding-Checkliste, die jeden Abgang begleitet, in Abstimmung mit den Verantwortlichen der IT-Dienstleistungen des Unternehmens.

Einfache Policies, geschrieben, um gelesen zu werden

Der dritte Pfeiler sind die Regeln. Nicht das Vierzig-Seiten-Handbuch, das niemand öffnet: eine Seite, klare Sprache, konkrete Fälle. Eine gute Sicherheits-Policy für ein KMU deckt wenige Kernpunkte ab:

• wie Passwörter verwaltet werden und wo die MFA aktiv ist;
• wie Anfragen nach Zahlungen oder Zugangsdaten verifiziert werden;
• was zu tun ist – und wer zu informieren ist –, wenn man einen Fehler vermutet;
• wie private Geräte und öffentliche Netze für die Arbeit genutzt werden;
• wie Personendaten behandelt werden, im Einklang mit dem revDSG.

Der wichtigste Punkt der Liste ist der dritte. In vielen Unternehmen verschlimmern sich Vorfälle, weil die Person, die geklickt hat, aus Angst vor Konsequenzen schweigt. Eine Kultur, in der sofortiges Melden geschätzt und nie bestraft wird, verkürzt die Reaktionszeit von Tagen auf Minuten – und ist vermutlich das eine kulturelle Merkmal, das widerstandsfähige Unternehmen am deutlichsten auszeichnet.

Dazwischen liegen die Rollenwechsel, subtiler: die Person, die von der Administration in den Verkauf wechselt und aus Trägheit die alten Zugänge behält. Die Berechtigungen bei jedem Funktionswechsel zu überprüfen hält das Prinzip des Notwendigsten lebendig, das sonst im Stillen zerbröckelt.

Werkzeuge, die Fehler verzeihen

Auch das bestvorbereitete Team wird früher oder später einen Fehler machen: Reife Sicherheit plant das ein. Das heisst, die Berechtigungen jedes Kontos auf das Nötige zu beschränken, damit ein Fehler begrenzt bleibt; und es heisst vor allem, über regelmässige, getestete Backups auf Servern und in der Cloud zu verfügen – denn die Wiederherstellung ist das Sicherheitsnetz, das aus einer möglichen Katastrophe einen schlechten Tag macht.

Vervollständigt wird das Bild durch automatische Updates und gut eingestellte Mailfilter: Je weniger Versuche vor die Augen der Menschen gelangen, desto weniger Gelegenheiten gibt es, sich zu irren. Auch das ist Arbeit am Faktor Mensch – die Zahl der Entscheidungen zu senken, die jede und jeder täglich treffen muss.

Dazu gehört auch die Entscheidung, sich begleiten zu lassen: Eine externe Überwachung, die Anomalien bemerkt – der Zugriff um drei Uhr nachts aus einem ungewohnten Land, das Downloadvolumen ausser Skala –, ergänzt die Arbeit des internen Teams, das tagsüber anderes zu tun hat.

In diesem Rahmen hört der Faktor Mensch auf, eine einzudämmende Schwachstelle zu sein, und wird zu dem, was der Titel verspricht: die erste Verteidigungslinie, gestützt – nicht ersetzt – durch die Technik. Wir sehen es jede Woche: Unternehmen, die in ihre Leute investieren, rufen den Support an, um vorzubeugen, nicht um zu reparieren.

Das Wichtigste in Kürze

Die meisten Vorfälle beginnen mit menschlichen Gesten – und lassen sich deshalb bei den Menschen verhindern: kurze, kontinuierliche Schulung, Phishing-Simulationen, Policies auf einer Seite, Passwort-Manager und MFA, getestete Backups für den Fall, dass doch etwas durchrutscht. Keine dieser Massnahmen verlangt ein grosses Budget; zusammen verändern sie das Risikoprofil eines KMU.

Bei dpstudio helfen wir Unternehmen im Tessin und in Graubünden, diesen Weg aufzubauen: von der technischen Erstprüfung über alle Lösungen bis zur Schulung des Personals, mit Phishing-Simulationen und Regeln, die auf Ihren Betrieb zugeschnitten sind.