Schweizer Cyber-Bedrohungslage: Die Lücke zwischen Angriffshäufigkeit und Verwaltungsratswissen wächst

Check Point registrierte im August 2026 in der Schweiz durchschnittlich 1’515 wöchentliche Cyberangriffe pro Organisation — ein Anstieg von 36 Prozent gegenüber dem Vorjahr. Die Schweiz schneidet damit noch immer besser ab als ihre deutschsprachigen Nachbarn: Deutschland verzeichnete 1’834 Angriffe (+53 Prozent) und Österreich 2’468 (+41 Prozent). Die öffentliche Verwaltung bleibt der am stärksten betroffene Sektor, gefolgt von Konsumgütern und Dienstleistungen, dann dem Gesundheitswesen. (Check Point)

Am selben Tag veröffentlicht, fand eine separate Umfrage, dass Schweizer Verwaltungsräten die nötige Cyber-Expertise fehlt. Zusammen gelesen, beschreiben die beiden Berichte eine wachsende Distanz zwischen der Häufigkeit, mit der Organisationen angegriffen werden, und dem Verständnis der dafür Verantwortlichen für dieses Risiko.

Zwei Entwicklungen verdienen mehr Aufmerksamkeit als die Spitzenzahl. Erstens eine Verschiebung in der Zielauswahl-Logik: Angreifer wählen ihre Ziele zunehmend nach Zugänglichkeit statt nach dem Wert der Inhalte aus. Das untergräbt die anhaltende Annahme vieler Schweizer KMU, dass Kleinheit mit Uninteressantheit gleichzusetzen sei. Zweitens das Auftreten von Orova, einer Ransomware-Gruppe, die erstmals im Mai 2026 in Erscheinung trat, sich gezielt auf KMU bestimmter Branchen konzentriert und bis August bereits auf den dritten Platz unter den aktivsten Gruppen vorgerückt war. Phishing bleibt der primäre Einstiegsweg, wobei etwa jede 112. E-Mail als Phishing eingestuft wird — zunehmend gestützt auf Zeitdruck und emotionale Auslöser statt allein auf Links.

Eine Organisation kann eine Wissenslücke auf Verwaltungsratsebene verkraften, solange Vorfälle selten sind. Bei 1’515 wöchentlichen Angriffen, mit Gruppen, die gezielt Unternehmen dieser Grösse ins Visier nehmen, verschwindet diese Toleranz. Die praktische Konsequenz ist nicht, dass Verwaltungsratsmitglieder eine technische Schulung brauchen. Sie müssen in der Lage sein, die richtigen Fragen zu stellen: Kann die Organisation während eines Vorfalls weiterarbeiten, wer entscheidet über eine Erpressungsforderung, und welche Meldepflichten bestehen. Unter NIS2 und DORA — beide erreichen Schweizer Unternehmen über EU-bezogenes Geschäft und Lieferketten — ist die Verantwortlichkeit des Managements für Cyberrisiken ausdrücklich geregelt, nicht nur implizit. Ein Verwaltungsrat, der seine eigene Exponierung nicht beschreiben kann, hat ein Governance-Problem, kein IT-Problem.

Ein praktikabler Ansatz zur Vorbereitung beginnt mit der Überprüfung der Angriffsfläche: Was ist mit gültigen Zugangsdaten und ohne Exploit vom Internet aus erreichbar — Fernzugriffsportale, VPN-Endpunkte, Webmail, administrative Schnittstellen. Multi-Faktor-Authentifizierung auf jedem einzelnen davon ist die wertvollste einzelne Kontrolle, die einer kleineren Organisation zur Verfügung steht. Da Phishing zunehmend auf Dringlichkeit statt auf offensichtliche technische Anzeichen setzt, ist Verifizierungsdisziplin über einen vorab vereinbarten, separaten Kanal entscheidend — bei Zahlungsanweisungen, Änderungen von Bankdaten und Anfragen nach Zugangsdaten.

Bei der Governance gehören drei Fragen auf die nächste Verwaltungsratsagenda, mit dokumentierten Antworten: Wie lange könnten wir ohne unsere Kernsysteme arbeiten, wer entscheidet, ob gezahlt wird, und was müssen wir wem melden. Lassen sich diese Fragen in der Sitzung nicht beantworten, ist genau das der Befund. Ist die IT ausgelagert, fragen Sie den Anbieter, welche dieser Kontrollen tatsächlich vorhanden sind und nicht nur verfügbar wären, und wann die Wiederherstellung aus dem Backup zuletzt vollständig getestet wurde.

Kernaussage: Angriffe auf Schweizer Organisationen stiegen um 36 Prozent gegenüber dem Vorjahr, Ransomware verdoppelte sich global annähernd, und eine neue Gruppe nimmt gezielt KMU nach Branche ins Visier. Angreifer wählen Ziele nach Zugänglichkeit statt nach Wert — und entziehen kleineren Unternehmen damit den Schutz, den sie ihrer Grösse zuschrieben. Schliessen Sie zuerst die einfachen Einstiegspunkte, setzen Sie bei allem, was Geld oder Zugangsdaten betrifft, eine Verifizierung über einen separaten Kanal durch, und stellen Sie sicher, dass der Verwaltungsrat drei grundlegende Fragen beantworten kann, bevor ein Vorfall ihn dazu zwingt.