Mit dem propagierten «Ende» der Pandemie endet auch die Flexibilität der KMU. Das hauptsächliche Arbeiten von zu Hause aus hat sich nicht etabliert, wie die Ergebnisse der neuesten Studie zur Digitalisierung und Cybersicherheit in KMU zeigen. Ähnlich verhält es sich bei der Cybersicherheit: Das Thema hat trotz starker Präsenz in den Medien einen niedrigen Stellenwert bei den befragten Unternehmen. Auch ist die Umsetzung von organisatorischen und technischen Massnahmen für eine erhöhte Cybersicherheit nicht gestiegen. Ein Drittel der befragten KMU lagert ihre IT-Sicherheit an externe Dienstleister aus. Die Qualität der gebotenen Dienstleistungen ist demnach ausschlaggebend für die Sicherheit von Schweizer Kleinunternehmen.
Homeoffice-Nutzung wieder auf Vorkrisen-Niveau
Das Homeoffice hat sich nicht als dauerhafter Arbeitsort etabliert. Der Anteil an Mitarbeitenden, die vornehmlich von zu Hause aus arbeiten, sinkt bei Kleinunternehmen zum umgangssprachlichen «Ende» der Pandemie wieder fast auf das Vorkrisen-Niveau zurück.
Die Befragung der rund 500 KMUs erfolgte im Auftrag der Mobiliar, von Digitalswitzerland, der Allianz Digitale Sicherheit Schweiz, dem Kompetenzzentrum Digitale Transformation der Fachhochschule Nordwestschweiz FHNW und der Schweizerischen Akademie der Technischen Wissenschaften SATW.
Prof. Dr. Marc K. Peter von der Fachhochschule Nordwestschweiz: «Die Ergebnisse legen nahe, dass die Geschäftsführenden der KMU Homeoffice-müde sind und wieder vermehrt Mitarbeitende in den Büroräumlichkeiten sehen möchten. Es ist jedoch zu vermuten, dass sich viele Mitarbeitende an einen modernen, digitalen und hybriden Arbeitsmodus gewöhnt haben und diesen auch in kleineren Unternehmen einfordern. In Anbetracht des Wettbewerbs um die knappen Fachkräfte sind Geschäftsführende also gefragt, die Chancen der modernen, digitalen Arbeitswelt zu nutzen.»
KMU unterschätzen das Risiko durch Cyberangriffe
Trotz der starken Medienpräsenz von Cyberkriminalität stufen KMU die Wichtigkeit des Themas als eher niedrig ein. Lediglich 18 Prozent der befragten Unternehmen schätzen das Risiko, von einem Cyberangriff betroffen zu sein, der sie für mindestens einen Tag ausser Kraft setzt, als hoch ein (2020: 11 Prozent).
Zusätzliche Massnahmen geplant
Die wachsende Risikoeinschätzung geht nicht mit einer Zunahme bei der Umsetzung von technischen und organisatorischen Sicherheitsmassnahmen einher. KMU scheinen dennoch die Bedrohung durch Cyberkriminalität zu realisieren. Der Anteil KMU, der in den nächsten 1 bis 3 Jahren zusätzliche Schutzmassnahmen plant, steigt von 40 Prozent im Vorjahr auf 55 Prozent.
Nicole Wettstein, Programm Managerin Cybersecurity der Schweizerischen Akademie für Technische Wissenschaften SATW: «Obwohl auch kleine KMU erwiesenermassen ein interessantes Angriffsziel sind, werden viele, insbesondere organisatorische Grundschutzmassnahmen, nicht in ausreichendem Masse umgesetzt. Wie die steigende Risikoeinschätzung der KMU zeigt, erkennen sie zwar das Problem. Sie scheinen jedoch zu träge oder von der Problematik überfordert zu sein, um entsprechende Massnahmen zu ergreifen und das Risiko zu adressieren. Es braucht neben medialer Beachtung des Themas somit weitere Anstrengungen, um die Umsetzung von Cybersicherheitsmassnahmen zu erhöhen.»
Grundschutzmassnahmen in KMU nicht ausreichend umgesetzt
Wie bereits in der Vorjahresstudie werden organisatorische Massnahmen deutlich weniger umgesetzt als technische. So vernachlässigen KMU regelmässige Mitarbeiterschulungen, das Durchführen von Sicherheitsaudits sowie die Implementierung eines Sicherheitskonzepts. Grundsätzlich gilt: Je weniger sich die Geschäftsführenden von KMU mit Cyberrisk-Themen auseinandersetzen, desto schlechter werden organisatorische Massnahmen im Betrieb umgesetzt.
Simon Seebeck, Schadenspezialist der Mobiliar, erklärt: «Viele KMU blenden diese reale Gefahr aus dem digitalen Raum weiterhin aus. Als Cyberschadenspezialist kenne ich die Auswirkungen von Cyberangriffen. Um solche möglichst klein zu halten, ist es wichtig, IT-Verantwortlichkeiten in Unternehmen klar zu regeln. IT-Sicherheit ist ein Dauerthema für die Geschäftsleitung und kann nicht komplett an einen externen Dienstleister delegiert werden. Denn es sind nicht nur die technischen, sondern auch die organisatorischen Massnahmen zu berücksichtigen – zum Beispiel die Schulung der Mitarbeitenden.»
Externe IT-Dienstleister in der Schlüsselposition
Bei einem Drittel der befragten Unternehmen sind externe IT-Dienstleister für die IT-Sicherheit verantwortlich. «Die Qualität von externen IT-Dienstleistungen ist daher massgeblich für das Sicherheitsniveau unserer Schweizer KMU. Damit ein angemessenes Schutzniveau gewährleistet wird, zeichnen wir IT-Dienstleister mit dem CyberSeal (www.digitalsecurityswitzerland.ch/de/cyberseal) aus, die bei ihren Kunden die nötigen technischen und organisatorischen Massnahmen umsetzen. Geprüfte IT-Dienstleister erstellen ein Risikoprofil ihrer Kunden mit dem Cybero Cyber-Check (www.cybersecurity-check.ch). Gefährlich bleibt es jedoch, wenn KMU ihren IT-Dienstleistern blind vertrauen und die organisatorischen Sicherheitsmassnahmen völlig ausser Acht gelassen werden», erläutert Andreas W. Kaelin, Geschäftsführer von Allianz Digitale Sicherheit Schweiz und Senior Advisor von digitalswitzerland. Ob man sich für das Thema interessiert oder nicht – jeder Geschäftsführende in der Schweiz muss sich also mit dem Thema Cybersicherheit auseinandersetzen. (pm/hzi/kbo)