{"id":5941,"date":"2026-10-08T10:24:03","date_gmt":"2026-10-08T08:24:03","guid":{"rendered":"https:\/\/dpstudio.ch\/unkategorisiert\/ottobre-mese-della-cybersicurezza-la-checklist-di-sicurezza-it-per-la-tua-pmi\/"},"modified":"2026-10-08T10:42:27","modified_gmt":"2026-10-08T08:42:27","slug":"oktober-monat-der-cybersicherheit-die-it-sicherheits-checkliste-fuer-ihr-kmu","status":"publish","type":"post","link":"https:\/\/dpstudio.ch\/de\/blog-de\/oktober-monat-der-cybersicherheit-die-it-sicherheits-checkliste-fuer-ihr-kmu\/","title":{"rendered":"Oktober, Monat der Cybersicherheit: die IT-Sicherheits-Checkliste f\u00fcr Ihr KMU"},"content":{"rendered":"\n

Seit 2012 widmet die Europ\u00e4ische Union jeden Oktober einen ganzen Monat der Cybersicherheit: Kampagnen, Materialien, Aktionen, die daran erinnern, dass Datenschutz keine Sache f\u00fcr Spezialisten ist, sondern eine Verantwortung aller, die mit einem Computer arbeiten. F\u00fcr ein KMU in der italienischen Schweiz ist das ein n\u00fctzlicher Anlass \u2013 nicht f\u00fcr Rhetorik, sondern f\u00fcr eine praktische Geste: die eigene IT-Sicherheit<\/a> mit einer kurzen, konkreten und vor allem pr\u00fcfbaren IT-Sicherheits-Checkliste<\/strong> durchzugehen.<\/p>\n\n\n\n

Dieser Artikel schl\u00e4gt sie in f\u00fcnf Punkten vor: Backups, deren Wiederherstellung getestet ist, Mehrfaktor-Authentifizierung auf den kritischen Zug\u00e4ngen, Updates von Systemen und Firewalls, Schulung der Mitarbeitenden und ein Reaktionsplan f\u00fcr Vorf\u00e4lle. F\u00fcr jeden Punkt erkl\u00e4ren wir, was zu pr\u00fcfen ist \u2013 und vor allem, was \u00aberledigt\u00bb bedeutet. Denn der Unterschied zwischen einem gesch\u00fctzten Unternehmen und einem, das sich gesch\u00fctzt glaubt, liegt fast immer genau dort. Zum Schluss kl\u00e4ren wir, was das revidierte Schweizer Datenschutzgesetz (revDSG) und die europ\u00e4ische NIS2-Richtlinie heute von einem Unternehmen im Tessin oder in Graub\u00fcnden verlangen.<\/p>\n\n\n\n

Warum eine Checkliste \u2013 und warum jetzt<\/strong><\/h2>\n\n\n\n

In der Arbeit mit Unternehmen zeigt sich ein wiederkehrendes Muster: Die Sicherheit fehlt nicht, sie ist unvollst\u00e4ndig. Die Firewall ist da, aber seit drei Jahren hat niemand ihre Regeln \u00fcberpr\u00fcft. Das Backup l\u00e4uft jede Nacht, doch die letzte getestete Wiederherstellung stammt aus einer Zeit, als der Server ein anderer war. Geschult wurde \u2013 einmal, und nur wer an jenem Nachmittag da war. Jedes Element f\u00fcr sich wirkt in Ordnung; das Ganze h\u00e4lt nicht.<\/p>\n\n\n\n

Genau daf\u00fcr ist eine Checkliste da: Sie zwingt dazu, das Ganze zu betrachten, mit denselben Kriterien f\u00fcr alle Punkte. Und der Herbst ist aus zwei Gr\u00fcnden der richtige Moment. Der erste hat mit dem Kalender zu tun: Die schwersten Vorf\u00e4lle konzentrieren sich in Zeiten geringer Pr\u00e4senz, und zwischen Herbstferien, Br\u00fcckentagen und Jahresendschliessung hat das vierte Quartal davon einige. Der zweite hat mit dem Budget zu tun: Was eine \u00dcberpr\u00fcfung im Oktober zutage f\u00f6rdert, fliesst mit echten Zahlen in die Planung 2027 ein \u2013 nicht mit Sch\u00e4tzungen.<\/p>\n\n\n\n

Eine Vorbemerkung: Ransomware<\/strong> bleibt die Bedrohung, die auf KMU am schwersten lastet \u2013 nicht weil sie technisch raffiniert w\u00e4re, sondern weil sie jede der f\u00fcnf folgenden L\u00fccken pr\u00e4zise ausnutzt. Ein ungetestetes Backup, ein Zugang ohne MFA, ein nicht aktualisiertes System, ein hastiger Klick, ein Unternehmen, das nicht weiss, wen es anrufen soll. Die Checkliste ist im Grunde die Liste der T\u00fcren, die ein Angriff offen sucht.<\/p>\n\n\n\n

Punkt 1 \u2013 Backup: nicht \u00abaktiv\u00bb, sondern wiederhergestellt<\/strong><\/h2>\n\n\n\n

Die erste Pr\u00fcfung betrifft die Datenkopien, und die richtige Frage lautet nicht \u00abHaben wir ein Backup?\u00bb, sondern \u00abWann haben wir zuletzt etwas wiederhergestellt \u2013 und wie lange hat es gedauert?\u00bb. Eine nie gepr\u00fcfte Kopie ist ein uneingel\u00f6stes Versprechen: Sie kann besch\u00e4digt, unvollst\u00e4ndig oder mit den heutigen Systemen inkompatibel sein \u2013 oder, h\u00e4ufiger als man denkt, v\u00f6llig intakt, aber von derselben Ransomware verschl\u00fcsselt, die den Server getroffen hat, weil sie auf derselben Festplatte lag.<\/p>\n\n\n\n

Die Pr\u00fcfung hat drei Stufen. Die erste ist die 3-2-1-Regel<\/strong>: drei Kopien, auf zwei verschiedenen Medien, eine ausser Haus. Die zweite ist die Unver\u00e4nderlichkeit: mindestens eine Kopie, die nach dem Schreiben f\u00fcr einen definierten Zeitraum weder ver\u00e4ndert noch gel\u00f6scht werden kann \u2013 die direkte Antwort auf Ransomware, die vor dem Verschl\u00fcsseln die Backups sucht. Die dritte, entscheidende Stufe ist der dokumentierte Wiederherstellungstest<\/strong>: ein Datum, ein wiederhergestelltes System, eine gemessene Zeit. Ist der letzte Test \u00e4lter als sechs Monate, gilt der Punkt als nicht erledigt.<\/p>\n\n\n\n

Wer die Kopien in verwalteten Cloud-Umgebungen<\/a> h\u00e4lt, erh\u00e4lt die Auslagerung und die Unver\u00e4nderlichkeit ohne zus\u00e4tzliche Hardware; der Test aber bleibt eine menschliche Aufgabe und geh\u00f6rt in die Agenda. Diesem Thema \u2013 und dem Unterschied zwischen Backup, Disaster Recovery und Business Continuity \u2013 widmen wir den n\u00e4chsten Oktober-Artikel.<\/p>\n\n\n\n

LESEN SIE AUCH<\/strong>

\u279c Backup und Kontinuit\u00e4t vor den Sommerferien: So sch\u00fctzen Sie Ihre Daten, wenn das B\u00fcro leer ist<\/a>
\u279c IT-Sicherheit im Unternehmen: Die Priorit\u00e4ten f\u00fcr 2026<\/a><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Punkt 2 \u2013 MFA auf den kritischen Zug\u00e4ngen, ohne Ausnahme<\/strong><\/h2>\n\n\n\n

Der zweite Punkt ist die Mehrfaktor-Authentifizierung. Gestohlene Zugangsdaten \u2013 \u00fcber Phishing oder \u00fcber Passwortlisten aus Datenlecks anderer Dienste \u2013 bleiben einer der meistgenutzten Eintrittswege, und die MFA<\/strong> macht sie fast wertlos: Ohne die Best\u00e4tigung auf dem Telefon \u00f6ffnet das Passwort allein nichts. Es ist die einzelne Massnahme mit dem besten Verh\u00e4ltnis von Kosten und Schutz \u2013 und in vielen Unternehmen ist sie nur zur H\u00e4lfte aktiv.<\/p>\n\n\n\n

\u00abZur H\u00e4lfte\u00bb hat klare Formen. Die MFA ist auf der Post eingeschaltet, aber nicht auf dem VPN. Sie gilt f\u00fcr die Benutzer, aber nicht f\u00fcr die Administratoren \u2013 ausgerechnet die begehrtesten Konten. Sie deckt die Mitarbeitenden ab, aber nicht den externen Berater, der in die Business Software einsteigt, und nicht die Verwaltungskonsole der Backups. Die Checkliste verlangt eine schriftliche Liste der kritischen Zug\u00e4nge \u2013 Post, VPN, Business Software, Administrationskonsolen, Bankportale \u2013 und f\u00fcr jeden ein explizites H\u00e4kchen: MFA aktiv, mit welcher Methode, f\u00fcr wen.<\/p>\n\n\n\n

Bei der Methode z\u00e4hlt ein Detail: Authentifizierungs-Apps und physische Schl\u00fcssel halten besser stand als SMS, die abgefangen oder umgeleitet werden k\u00f6nnen. Wer Microsoft 365<\/a> nutzt, kann mit dem bedingten Zugriff die MFA zudem an den Kontext binden \u2013 ein unbekanntes Ger\u00e4t, ein ungew\u00f6hnliches Land, eine untypische Uhrzeit \u2013 und die H\u00fcrde nur dann erh\u00f6hen, wenn es n\u00f6tig ist, ohne den Arbeitsalltag zu belasten.<\/p>\n\n\n\n

Punkt 3 \u2013 Updates: Systeme, Firmware, Firewall<\/strong><\/h2>\n\n\n\n

Der dritte Punkt ist die Wartung \u2013 der unspektakul\u00e4rste und am meisten vernachl\u00e4ssigte Teil der Sicherheit. Jede bekannte, nicht behobene Schwachstelle ist eine T\u00fcr mit steckendem Schl\u00fcssel: Die Werkzeuge, die das Netz nach nicht aktualisierten Systemen absuchen, arbeiten automatisch und unterscheiden nicht zwischen einem Konzern und einem Handwerksbetrieb mit zehn Personen.<\/p>\n\n\n\n

Die Pr\u00fcfung geht \u00fcber Windows hinaus. Da sind die Server und Betriebssysteme, gewiss, aber auch die Firmware der Firewall<\/strong>, der Router und Access Points, die vernetzten Multifunktionsdrucker, die NAS, die Ger\u00e4te, die \u00abseit Jahren laufen\u00bb und gerade deshalb niemand anfasst. Eine 2019 installierte und nie aktualisierte Firewall sch\u00fctzt vor den Bedrohungen von 2019. Und die Pr\u00fcfung hat eine zweite Seite: die Regeln. Offene Ports f\u00fcr einen Lieferanten, der nicht mehr mit dem Unternehmen arbeitet, \u00abvor\u00fcbergehend\u00bb eingerichtete und nie geschlossene Fernzugriffe, ohne Grund im Internet exponierte Dienste.<\/p>\n\n\n\n

Das Kriterium f\u00fcr das H\u00e4kchen: ein Ger\u00e4teinventar mit installierter Version, automatische Updates, wo immer m\u00f6glich, ein monatliches Wartungsfenster f\u00fcr alles, was manuelle Eingriffe braucht, und eine \u00dcberpr\u00fcfung der Firewall-Regeln mindestens einmal im Jahr. Wer die Verwaltung des Firmennetzwerks<\/a> einem externen Partner anvertraut, kann verlangen, dass dieses Inventar Teil der Dienstleistung ist \u2013 es ist der Beweis, dass die Wartung tats\u00e4chlich stattfindet.<\/p>\n\n\n\n

Punkt 4 \u2013 Die Menschen: kurz, kontinuierlich, messbar schulen<\/strong><\/h2>\n\n\n\n

Der vierte Punkt ist der, den die Technik nicht abdeckt. Fast alle schweren Vorf\u00e4lle beginnen mit einer allt\u00e4glichen Geste: ein hastig ge\u00f6ffneter Anhang, ein wiederverwendetes Passwort, eine \u00dcberweisung auf eine \u00abdringende\u00bb Anfrage des Direktors. Die Filter stoppen den Grossteil der Versuche; was durchkommt, landet vor einem Menschen \u2013 und dann z\u00e4hlt nur der Reflex, eine Sekunde innezuhalten.<\/p>\n\n\n\n

Dieser Reflex l\u00e4sst sich trainieren, aber nicht mit einem Nachmittag Folien einmal im Jahr. Was wirkt, sind kurze, h\u00e4ufige Einheiten, aufgebaut auf echten Beispielen aus dem Unternehmen, und periodische Phishing-Simulationen<\/strong>: gef\u00e4lschte, harmlose E-Mails mit sofortiger Erkl\u00e4rung f\u00fcr alle, die klicken. Mit der Zeit wird die Klickrate zu einem messbaren Indikator \u2013 und damit zu einem Punkt der Checkliste mit einer Zahl daneben. Zwei organisatorische Regeln vervollst\u00e4ndigen das Bild: Jede ungew\u00f6hnliche Anfrage nach Geld oder Zugangsdaten wird \u00fcber einen anderen Kanal verifiziert als jenen, \u00fcber den sie kam, und wer einen Fehler vermutet, meldet ihn sofort \u2013 ohne Konsequenzen. Dem Faktor Mensch haben wir im August einen ganzen Artikel gewidmet; er ist die nat\u00fcrliche Lekt\u00fcre zu diesem Punkt.<\/p>\n\n\n\n

LESEN SIE AUCH<\/strong>

\u279c Der Faktor Mensch in der IT-Sicherheit: wie Ihr Team zur ersten Verteidigungslinie wird<\/a>
\u279c Das Unternehmensnetzwerk in den kritischsten Momenten sch\u00fctzen: Wie man Cyberangriffe verhindert<\/a><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Punkt 5 \u2013 Der Reaktionsplan: eine Seite, echte Namen<\/strong><\/h2>\n\n\n\n

Der letzte Punkt ist organisatorisch und fehlt h\u00e4ufiger als alle anderen. Tadellose Backups und MFA \u00fcberall n\u00fctzen wenig, wenn an einem Freitag um drei Uhr nachmittags eine L\u00f6segeldforderung erscheint und niemand weiss, wen er anrufen, was er abschalten und was er nicht anr\u00fchren soll. Der Reaktionsplan f\u00fcr Vorf\u00e4lle<\/strong> eines KMU ist kein vierzigseitiges Handbuch: Es ist ein Blatt mit vier Dingen, so geschrieben, dass jede und jeder ihnen folgen kann.<\/p>\n\n\n\n

Wer die interne Ansprechperson ist und wer der IT-Partner, mit aktuellen Nummern. Welches die ersten Schritte sind \u2013 die Maschine vom Netz trennen, sie nicht ausschalten, nicht zahlen, nichts l\u00f6schen, Bescheid geben. Wo die Datenkopien liegen und wer die Zugangsdaten daf\u00fcr hat. Welche Systeme zuerst wieder hochgefahren werden, denn nicht alles ist gleich dringend: Rechnungsstellung und Post vor dem Zeiterfassungsserver. Dazu kommt ein Kapitel, das der Plan vorsehen muss und das zum letzten Teil des Artikels \u00fcberleitet: die Meldepflichten.<\/p>\n\n\n\n

revDSG und NIS2: was f\u00fcr ein Schweizer KMU wirklich gilt<\/strong><\/h2>\n\n\n\n

Der rechtliche Bezugspunkt f\u00fcr ein Unternehmen im Tessin oder in Graub\u00fcnden ist das revidierte Bundesgesetz \u00fcber den Datenschutz, das revDSG<\/strong>, in Kraft seit dem 1. September 2023. Es verlangt von den Unternehmen dem Risiko angemessene technische und organisatorische Massnahmen, ein Verzeichnis der Bearbeitungst\u00e4tigkeiten (mit Ausnahmen f\u00fcr Betriebe unter 250 Mitarbeitenden, wenn die Bearbeitung nur ein geringes Risiko birgt) und \u2013 der Punkt, der die Checkliste direkt ber\u00fchrt \u2013 die Meldung an den ED\u00d6B<\/strong> bei Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko f\u00fcr die betroffenen Personen f\u00fchren, \u00abso rasch als m\u00f6glich\u00bb. Die Bussen bis CHF 250’000.\u2013 treffen die verantwortlichen nat\u00fcrlichen Personen, nicht nur das Unternehmen: ein Grund mehr, den Reaktionsplan schriftlich zu haben.<\/p>\n\n\n\n

Ein aktuelles Schweizer Detail geh\u00f6rt dazu: Seit dem 1. April 2025 m\u00fcssen Betreiber kritischer Infrastrukturen Cyberangriffe innert 24 Stunden dem Bundesamt f\u00fcr Cybersicherheit (BACS) melden. Die meisten KMU fallen nicht in diese Kategorie; wer aber Spit\u00e4ler, Gemeinden, Energie- oder Transportunternehmen beliefert, tut gut daran, sich zu informieren \u2013 meldepflichtige Kunden reichen die Anforderungen an ihre Lieferanten weiter.<\/p>\n\n\n\n

Und NIS2<\/strong>? Das ist eine Richtlinie der Europ\u00e4ischen Union und gilt nicht f\u00fcr die Schweiz. Dennoch betrifft sie viele Schweizer Unternehmen indirekt: Europ\u00e4ische Firmen, die der NIS2 unterstehen, m\u00fcssen die Sicherheit ihrer Lieferanten \u00fcberpr\u00fcfen \u2013 und die Frageb\u00f6gen und Vertragsklauseln erreichen schon heute, wer exportiert oder als Zulieferer f\u00fcr Gruppen in der EU arbeitet. Wer die f\u00fcnf Punkte dieser Checkliste abgehakt hat, hat die Antworten faktisch bereit. Wer sie nicht hat, riskiert, einen Kunden aus einem Grund zu verlieren, der mit dem Produkt nichts zu tun hat.<\/p>\n\n\n\n

Die Checkliste in K\u00fcrze<\/strong><\/h2>\n\n\n\n

Hier die f\u00fcnf Punkte, mit dem Kriterium, das sie zu \u00aberledigt\u00bb macht:<\/p>\n\n\n\n