Schweizer Unternehmen sind auf Cyberangriffe mit KI-Unterstützung nicht vorbereitet

74% der Schweizer Unternehmen haben keine explizite Strategie für Cyberangriffe mit KI-Unterstützung. Zu diesem Ergebnis kommt der jüngste SwissVR Monitor. Es zeigt eine klare Schwachstelle in der Abwehr der Unternehmen, während kriminelle Gruppen künstliche Intelligenz zunehmend für ihre Aktivitäten einsetzen.

Die am 16. September 2026 veröffentlichte Studie weist auf eine Lücke zwischen dem Tempo des technologischen Wandels und dem Umgang der Unternehmen mit Risiken hin. Künstliche Intelligenz kann Ausmass und Geschwindigkeit krimineller Aktivitäten steigern, während vielen Unternehmen weiterhin eine dokumentierte Reaktion fehlt, die gezielt auf Angriffe mit KI-Unterstützung ausgerichtet ist.

Die Risiken betreffen die gesamte Schweizer Wirtschaft. Unternehmen sind bei Zahlungen, Logistik, Produktion, Kundendaten und Kommunikation auf digitale Systeme angewiesen. Eine Störung eines dieser Systeme kann sich rasch auf Lieferanten, Mitarbeitende und Kundinnen und Kunden auswirken, selbst wenn der ursprüngliche Angriff mit einem einzigen kompromittierten Konto beginnt.

Der SwissVR Monitor zeigt auch Schwächen bei der Vorbereitung auf einen Vorfall. 55% der Unternehmen haben keinen Notfallplan oder verfügen über Pläne, die für die Wiederherstellung zentraler IT-Prozesse nicht getestet wurden. Ein Reaktionsdokument, das nie geübt wurde, kann dazu führen, dass Mitarbeitende nicht wissen, wer Entscheidungen trifft, welche Systeme zuerst wiederhergestellt werden und wann externe Hilfe beigezogen werden sollte.

Nur 18% der kleinen Unternehmen geben an, vorbereitet zu sein, gegenüber 40% der Grossunternehmen. Dieser Unterschied verdeutlicht die besondere Belastung für Schweizer KMU, die oft mit kleineren IT-Teams, begrenzten Sicherheitsbudgets und weniger Kapazitäten für regelmässige Übungen arbeiten.

Die Grösse eines Unternehmens entscheidet nicht darüber, ob es zum Ziel eines Angriffs wird. Ein KMU kann wertvolle Kundendaten besitzen, mit einem grösseren Lieferanten verbunden sein oder eine Dienstleistung erbringen, die sich für ein anderes Unternehmen nur schwer ersetzen lässt. Seine Systeme können Kriminellen zudem einen Zugang zu einem umfassenderen Geschäftsnetzwerk bieten.

Die Ergebnisse des SwissVR Monitors nennen keine einzelne technische Schwachstelle, die alle kleinen Unternehmen gemeinsam haben. Sie zeigen jedoch, dass die Vorbereitung uneinheitlich ist. Für ein KMU besteht der erste praktische Schritt darin, die wichtigsten Prozesse und die dazugehörigen Systeme zu ermitteln. Die Unternehmensleitung braucht eine aktuelle Liste kritischer Konten, Lieferanten, Datenspeicher und Wiederherstellungskontakte.

Unternehmen sollten ausserdem unnötige Zugriffsrechte einschränken, eine starke Authentifizierung verlangen, Software aktuell halten und Sicherungskopien von den Systemen trennen, die sie schützen sollen. Diese Massnahmen beseitigen Risiken nicht. Sie verschaffen einem Unternehmen mehr Handlungsmöglichkeiten, wenn ein Angreifer ein Konto kompromittiert, den Betrieb stört oder eine rasche Entscheidung fordert.

Nur jedes zweite Mitglied eines Verwaltungsrats wird regelmässig über Cybersicherheitsvorfälle informiert. Diese Zahl rückt die Unternehmensführung ins Zentrum des Problems mangelnder Vorbereitung. Entscheide zur Cybersicherheit konkurrieren mit Prioritäten wie Investitionen, Personal und Wachstum. Ein Verwaltungsrat kann die betrieblichen Risiken jedoch nicht beurteilen, wenn er nicht regelmässig und klar darüber informiert wird.

Verwaltungsratsmitglieder müssen keine Firewalls verwalten oder jede Warnmeldung untersuchen. Sie müssen aber wissen, welche Geschäftsdienstleistungen am stärksten gefährdet sind, wie schnell das Unternehmen sie wiederherstellen kann, wer während eines Vorfalls entscheidungsbefugt ist und ob frühere Übungen ungelöste Probleme aufgedeckt haben.

Die Geschäftsleitung sollte den Verwaltungsrat in regelmässigen Abständen kurz und prägnant über die Risiken informieren. Dazu gehören bedeutende Vorfälle und Beinaheereignisse, der Stand bei kritischen Lieferanten, ungelöste Schwachstellen, die Funktionsfähigkeit der Datensicherungen und die Ergebnisse von Wiederherstellungstests. Die Berichte sollten zwischen schriftlich festgehaltenen Richtlinien und Kontrollen unterscheiden, die sich unter Druck bewährt haben.

Der Verwaltungsrat muss zudem festlegen, wer die Reaktion leitet. Die Bereiche Recht, Kommunikation, IT, Personalwesen und Betrieb können alle eine Rolle spielen. Klare Eskalationsregeln können Verzögerungen verhindern, wenn Systeme ausfallen oder vertrauliche Informationen offengelegt worden sein könnten. Die Ergebnisse des SwissVR Monitors zeigen, warum diese Aufsicht nicht nur gelegentlich traktandiert werden darf.

55% der Unternehmen fehlt ein getesteter Weg zurück zum Betrieb zentraler IT-Systeme. Diese Schwäche kann einen Sicherheitsvorfall in eine längere Betriebsunterbrechung verwandeln. Die Wiederherstellungsplanung muss mehr als Datensicherungen umfassen. Sie sollte erklären, wie Mitarbeitende arbeiten, mit Kundinnen und Kunden kommunizieren, Transaktionen überprüfen und prioritäre Dienstleistungen wiederherstellen können, wenn die normalen Systeme nicht verfügbar sind.

Ein glaubwürdiger Plan beginnt mit einer Bestandsaufnahme der zentralen Prozesse und ihrer Abhängigkeiten. Unternehmen sollten Wiederherstellungsprioritäten, akzeptable Ausfallzeiten und Entscheidungsbefugnisse festlegen. Sie sollten Datensicherungen testen, überprüfen, ob die Wiederherstellungsverfahren funktionieren, und jene Mitarbeitenden und Lieferanten einbeziehen, die bei einem Ausfall gebraucht würden.

Übungen sollten realistische Komplikationen einschliessen, etwa ein kompromittiertes Administratorkonto, eine unzuverlässige interne Kommunikation oder Unklarheit darüber, welchen Daten vertraut werden kann. Nach jedem Test sollte die Geschäftsleitung die festgestellten Probleme dokumentieren, Verantwortliche bestimmen und Fristen für Korrekturmassnahmen festlegen.

Schweizer Unternehmen brauchen ausserdem ein klares Verfahren zur Meldung von Vorfällen. Der SwissVR Monitor stellte fest, dass Verwaltungsräte uneinheitlich informiert werden. Interne Unklarheiten können technische und rechtliche Entscheide verzögern. Unternehmen sollten vor einem Angriff verlässliche Kontakte für IT-Support, Versicherungen, Rechtsberatung und zuständige Behörden bestimmen. Vorbereitung verhindert nicht jeden Angriff, kann aber die Zeit zwischen Erkennung, Eindämmung und Wiederherstellung verkürzen.