Wer seit 37 Jahren KMU in der Schweiz bei IT-Entscheidungen begleitet, hat eines gelernt: Theorie schützt keine Daten, und schöne Präsentationen verhindern keinen Systemausfall am Montagmorgen. Was zählt, sind echte Erfahrungen aus echten Projekten, mit echten Konsequenzen.
In diesem Beitrag zeigen wir Ihnen, wie wir konkrete IT-Herausforderungen für Schweizer KMU gelöst haben. Wir nehmen Sie mit hinter die Kulissen einer 3CX-Migration bei einem Treuhandbüro in Zug, die wir über ein einziges Wochenende durchgezogen haben. Wir erklären, wovon wir bei Synology-Backups abraten und warum. Und wir zeigen, was das revidierte Schweizer Datenschutzgesetz (DSG) konkret für Ihren Betrieb bedeutet, fernab von juristischen Floskeln.
Dazu kommt ein Thema, das viele KMU noch unterschätzen: die Abschaltung analoger Anschlüsse durch Swisscom und was das für Ihre Infrastruktur bedeutet. Dieser Beitrag liefert keine allgemeinen Empfehlungen von der Stange. Er liefert Einblicke, die nur durch jahrzehntelange Praxis entstehen können.
Warum Theorie allein KMU schadet – und was wir stattdessen tun
Die meisten IT-Ratgeber, die KMU im Web finden, haben ein strukturelles Problem: Sie entstehen entweder im Auftrag von Herstellern oder werden von Autoren geschrieben, die noch nie in einem Betrieb mit 15 Mitarbeitenden gearbeitet haben. Was dabei herauskommt, sind Feature-Listen und Best-Practice-Schablonen, die in der Realität einer Buchhalter-Kanzlei oder eines Kleinherstellers schlicht nicht funktionieren.
Seit der Gründung von KMU Informatik Support haben wir Hunderte von Projekten in der Zentralschweiz umgesetzt, von der Einzelkanzlei bis zum Produktionsbetrieb mit 80 Arbeitsplätzen. Diese Breite ist kein Zufall, sondern Voraussetzung dafür, dass wir Muster erkennen: Was in einem Betrieb dieser Grösse typischerweise schiefläuft, welche Lösungen sich bewähren und welche nur auf dem Papier überzeugend aussehen.
Unser Ansatz als externer IT-Partner für KMU ist bewusst herstellerunabhängig. Wir erhalten keine Reseller-Incentives, die unsere Empfehlungen färben. Wenn wir von einer bestimmten Backup-Konfiguration abraten, dann nicht weil ein Wettbewerber besser zahlt, sondern weil wir den Datenverlustfall mit eigenen Augen gesehen haben.
Was KMU-Entscheider tatsächlich brauchen, ist keine weitere Feature-Matrix. Sie brauchen eine ehrliche Antwort auf die Frage: Was ist in einem Betrieb wie meinem bereits schiefgelaufen, und wie wurde das Problem gelöst?
Dieser Artikel ersetzt kein Beratungsgespräch. Er zeigt jedoch unsere Denkweise anhand von drei konkreten Fällen, die repräsentativ für typische Situationen in Schweizer KMU sind: eine Telefonmigration unter Zeitdruck, ein Backup-Konzept mit einem gefährlichen Missverständnis und eine Microsoft-365-Einführung, die fast an der eigenen Vorbereitung gescheitert wäre.
Fall 1: 3CX-Migration bei einem Treuhandbüro in Zug
Ein Treuhandbüro mit 18 Mitarbeitenden in Zug betrieb bis vor kurzem noch eine analoge Swisscom-ISDN-Anlage, die seit Jahren ihren Dienst tat. Als Swisscom die ISDN-Funktionsgarantie aufhob und der Druck zur Migration unausweichlich wurde, kam der Anruf bei uns.
Das Ziel war eine 3CX-Telefonanlage, bei der Mitarbeitende im Homeoffice und im Büro dieselbe Durchwahl nutzen, erreichbar über die 3CX-App auf dem Smartphone oder am Schreibtischtelefon. Keine zweite Privatnummer, keine umständlichen Weiterleitungen.
Die Umsetzung lief über ein einziges Wochenende: Freitagabend wurde die alte Anlage abgebaut, Samstagvormittag wurden die 3CX-Instanz installiert und alle 18 Nebenstellen sowie 3 externe SIP-Trunks konfiguriert, Sonntagabend folgte der vollständige Testbetrieb. Montag früh startete der Betrieb planmässig. Ungeplante Ausfallzeit während der Geschäftszeiten: 0 Minuten. Gesamtprojektdauer inklusive Planung: rund 3 Wochen.
Ein vergleichbares Migrationsprojekt haben wir für einen weiteren Kunden dokumentiert, das zeigt, wie dieses Modell skaliert: 3CX-Telefonanlage-Projektbericht auf kmuit.com.
Was fast schiefgelaufen wäre: Die bestehende Internetleitung des Treuhandbüros lieferte beim Belastungstest ungenügende Upload-Bandbreite für mehrere parallele Videoanrufe. Nicht der Anbieter hatte das kommuniziert, der Belastungstest hatte es aufgedeckt. Ohne diesen Test hätte der erste Montag mit Gesprächsabbrüchen begonnen. Die Leitung wurde vor dem Go-Live angepasst.
Diese Lücke zwischen Anbieter-Versprechen und gemessener Realität ist kein Einzelfall. Sie ist der Grund, warum wir jeden VoIP-Rollout mit einem dokumentierten Lasttest abschliessen, bevor irgendjemand das Wochenende verlässt.
Was wir vorbereitet haben (und was schiefgehen konnte)
Das Wochenende selbst war ruhig. Was es ruhig gemacht hat, war die Arbeit der drei Wochen davor.
Schritt eins: Netzwerk-Audit vor jeder anderen Massnahme. Wir haben die Internetleitung zu Spitzenzeiten gemessen, nicht am frühen Morgen, wenn das Büro leer ist. Parallel dazu haben wir alle analogen Endgeräte inventarisiert: ein Faxgerät, eine Türsprechanlage, eine Alarmanlage. Alle drei hingen an der alten ISDN-Anlage. Alle drei brauchten eine eigene Ablösung vor der Migration, nicht danach.
Rollback-Plan als Pflicht, nicht als Absicherung. Wir haben schriftlich festgelegt: Wenn die 3CX-Instanz am Montagmorgen nicht stabil läuft, schalten wir innerhalb von zwei Stunden alle eingehenden Nummern auf definierte Mobilnummern um. Der Entscheid dazu wäre ohne Rücksprache mit dem Kunden gefallen, weil wir die Eskalationsschwelle vorher gemeinsam definiert hatten. Kein Interpretationsspielraum unter Zeitdruck.
Mitarbeitende zwei Wochen vorher einbinden. Nicht am Freitag vor der Migration. Wir haben eine 45-minütige Schulung durchgeführt, eine einseitige Kurzanleitung abgegeben und Testanrufe mit jeder Nebenstelle gemacht. Wer am Go-Live-Montag zum ersten Mal die App öffnet, ist ein Risiko, kein Nutzer.
Das unterschätzte Risiko: die Endgeräte. Die vorhandenen Headsets und Tischtelefone des Kunden waren nicht 3CX-zertifiziert. Das stellte sich erst im Gerätetest heraus. Wir haben kurzfristig Leihgeräte organisiert, damit der erste Arbeitstag ohne Klangprobleme oder Verbindungsabbrüche verlief. In unserem Projektreferenz zu 3CX-Implementierungen ist dieser Punkt mittlerweile fester Bestandteil der Checkliste.
Lesson Learned: Vier Wochen Vorlaufzeit bei analogen Nebenanlagen sind nicht wegen der Technik nötig. Die Technik ist in zwei Tagen konfiguriert. Die Zeit braucht man für organisatorische Abhängigkeiten: Alarmanlage ummelden, Faxnummer portieren, Aufzugtelefon koordinieren.
Ergebnis und was wir heute anders machen würden
Das Wochenende verlief planmässig. Zwölf Monate nach Go-Live zeigt die Abrechnung: Das Treuhandbüro spart monatlich rund 30 Prozent der früheren Telefonkosten, allein durch den Wechsel auf SIP-Trunking statt analoger Anschlussleitungen.
Die zweite Veränderung ist schwerer zu beziffern, aber spürbar: Mitarbeitende nehmen Geschäftsanrufe über die 3CX-App entgegen, egal ob im Büro, im Homeoffice oder beim Kunden vor Ort. Die Büronummer erscheint beim Angerufenen, nicht die private Handynummer. Das klingt nach einem Detail; in einer Kanzlei, wo Mandantenvertrauen direkt an professionelle Erreichbarkeit gekoppelt ist, ist es keines. Weitere Vorteile der 3CX zeigen sich im Alltag beim Weiterleitungsmanagement und bei der Auswertung von Gesprächsstatistiken.
Was wir heute anders angehen würden: Die Qualitätssicherung der Internetleitung gehört an den Anfang des Projekts, nicht in die Mitte. In diesem Fall fiel die fehlende symmetrische Upload-Bandbreite erst beim Belastungstest auf. Dass ein Internetanschluss für parallele VoIP-Verbindungen ausreichend und stabil ist, kann man nicht aus dem Anbieterdatenblatt ablesen. Man muss es messen, zu Spitzenzeiten, mit simulierter Last. Eine garantierte symmetrische Bandbreite ist auch 2026 keine Selbstverständlichkeit in der Schweiz.
Ein Hinweis für ähnliche Betriebe: Wer noch mit einer analogen oder ISDN-Anlage arbeitet, sollte nicht auf einen Abschalttermin warten. Notfall-Migrationen kosten das Zwei- bis Dreifache einer geplanten Migration, weil Vorlaufzeit fehlt und Kompromisse unvermeidbar werden.
Für Treuhandbüros und Kanzleien gilt ein zusätzlicher Punkt: Die 3CX-Instanz muss so konfiguriert sein, dass Gesprächsprotokolle datenschutzkonform gespeichert werden. Das Schweizer DSG, insbesondere Art. 8 und 9, verlangt konkrete technische Schutzmassnahmen für Personendaten. Wer die Standardkonfiguration unverändert übernimmt, erfüllt diese Anforderungen in der Regel nicht.
Fall 2: Wovon wir bei Synology-Backups abraten – und warum
Datenschutz beim Telefonieren ist eine Sache. Datensicherung beim Speichern eine andere, und hier begegnet uns in KMU-Projekten ein Missverständnis, das teuer werden kann.
Synology NAS-Systeme sind solide Hardware, und wir setzen sie regelmässig ein. Das Problem liegt nicht im Gerät, sondern im Denkfehler dahinter.
«Wir haben ein NAS, also haben wir ein Backup.» Diese Aussage hören wir in fast jedem dritten Erstgespräch. Sie stimmt nicht. Ein NAS ist ein Speichersystem. Wer Dateien vom PC auf das NAS synchronisiert, hat zwei Kopien am gleichen logischen Ort, nicht eine gesicherte und eine aktive.
Was das im Ernstfall bedeutet
Ein Dienstleistungsunternehmen mit 25 Mitarbeitenden erlebte genau dieses Szenario. Nach einem Ransomware-Angriff stellte sich heraus: Die Verschlüsselung hatte sich über Nacht auf das NAS übertragen, weil die Freigabe dauerhaft eingebunden war. Die synchronisierten Daten waren verschlüsselt, Versionierung war nicht aktiviert.
Ein Backup existierte technisch, aber ohne dokumentierte Recovery-Prozedur und ohne Offsite-Snapshot dauerte die Wiederherstellung 14 Stunden. Für einen Betrieb mit laufendem Kundenkontakt ist das kein akzeptabler Ausfall. Ähnliche Angriffsmuster auf verbundene NAS-Systeme sind dokumentiert.
Unsere Empfehlung
Die 3-2-1-Regel ist für uns keine Empfehlung, sondern Mindestanforderung: 3 Kopien, auf 2 verschiedenen Medien, davon 1 Offsite. Konkret umgesetzt bedeutet das ein lokales Synology NAS mit aktivierter Snapshot-Funktion für schnelle Wiederherstellung, kombiniert mit einem verschlüsselten Offsite-Backup via Beeam oder einer vergleichbaren Lösung.
Wir dokumentieren Recovery-Prozeduren für jeden Kunden schriftlich, inklusive gemessener Wiederherstellungszeit. Wer diese Zeit nicht kennt, hat kein Backup, sondern eine Hoffnung. Wie wir das auch bei komplexeren Infrastrukturen umsetzen, zeigt ein Praxisbeispiel aus einem unserer Installationsprojekte.
DSG-Konformität: Was das Schweizer Datenschutzgesetz konkret verlangt
Das Backup-Problem ist also nicht nur technischer Natur. Es hat eine rechtliche Dimension, die viele KMU unterschätzen.
Art. 8 DSG verpflichtet Unternehmen seit September 2023 zu angemessenen technischen und organisatorischen Massnahmen (TOM) zum Schutz von Personendaten. Konkret bedeutet das: Wer Kundendaten, Personaldaten oder Gesundheitsdaten speichert, muss im Schadensfall nachweisen können, dass diese Daten gegen unbefugten Zugriff und gegen Verlust geschützt waren.
Ein NAS ohne Verschlüsselung, ohne Zugriffsprotokollierung und ohne Offsite-Replikation erfüllt diese Anforderungen in der Regel nicht. Tritt ein Datenverlust ein, können Meldepflichten gegenüber dem EDÖB greifen. Der EDÖB-Leitfaden zu technischen und organisatorischen Massnahmen, aktualisiert im Februar 2024, nennt explizit Verschlüsselung, Zugriffsprotokolle und regelmässige Backups mit Offsite-Replikation als Orientierungspunkte.
Der einfachste Compliance-Nachweis, den wir kennen: Führen Sie einmal jährlich einen dokumentierten Backup-Test durch. Eine Datei wiederherstellen, die Zeit messen, das Ergebnis schriftlich festhalten. Das dauert 30 Minuten und belegt, dass Ihr Schutzsystem nicht nur existiert, sondern funktioniert.
Für Treuhandbüros und Arztpraxen gilt ein zusätzlicher Hinweis: Das DSG unterscheidet zwischen normalen Personendaten und besonders schützenswerten Daten, zu denen Gesundheitsdaten, genetische Daten und strafrechtliche Informationen zählen. Letztere erfordern erhöhte Schutzmassnahmen und müssen in der Backup-Strategie separat berücksichtigt werden, etwa durch getrennte verschlüsselte Volumes mit restriktiveren Zugriffsrechten.
Mehr zu unseren Ansätzen rund um KMU Datenschutz und Datensicherheit finden Sie auf unserer Übersichtsseite. Im nächsten Abschnitt zeigen wir, wie eine konkrete Backup-Architektur aussieht, die diese Anforderungen erfüllt.
Unsere aktuelle Backup-Empfehlung für KMU
Was das DSG an technischen Schutzmassnahmen verlangt, lässt sich nur einlösen, wenn das Backup-System selbst solide gebaut ist. Hier ist, was wir unseren Kunden konkret empfehlen.
Lokales Synology NAS mit aktivierten Snapshots bildet die erste Ebene. Stündliche Snapshots für datenintensive Umgebungen, 4-stündliche für kleinere Betriebe. Damit lassen sich einzelne Dateien oder ganze Volumes in Minuten zurückrollen, ohne auf ein externes System zu warten.
Die zweite Ebene ist ein verschlüsseltes Offsite-Backup, entweder auf einem zweiten physischen Standort oder in einer Schweizer Cloud. Datenhaltung in der Schweiz ist aus DSG-Sicht vorteilhaft und schafft Vertrauen bei Kunden, aber rechtlich nicht zwingend vorgeschrieben. Entscheidend ist die Verschlüsselung und die nachweisbare Zugriffskontrolle.
Für Umgebungen mit Microsoft 365 gilt ein wichtiger Zusatzpunkt: Microsoft garantiert keine vollständige Datensicherung von Exchange- und SharePoint-Inhalten. Gelöschte Daten sind nach Ablauf der Aufbewahrungsfristen unwiederbringlich weg. Wir setzen hier auf Beeam oder vergleichbare Lösungen, die eine echte, eigenständige Kopie des M365-Tenants erstellen. Wer mehr über passende IT-Lösungen für KMU sucht, findet dort einen Überblick über unsere Ansätze.
Was wir ausdrücklich nicht empfehlen: Backup-Software, die ausschliesslich auf dem NAS selbst läuft und deren Logs niemand prüft. Fällt das NAS aus, ist auch das Backup weg. Und ein Backup, dessen Logs seit Monaten niemand gesehen hat, ist in der Praxis kein Backup.
Unsere Faustregel nach 37 Jahren: Die Qualität eines Backup-Systems misst sich nicht an der Schreibgeschwindigkeit. Sie misst sich an der Wiederherstellungszeit im Ernstfall. Wer diese Zahl nicht kennt, hat keine Datensicherung. Er hat eine Hoffnung.
Fall 3: Microsoft 365-Einführung ohne Chaos
Datensicherung ist die eine Seite der IT-Stabilität. Zusammenarbeit und Kommunikation sind die andere, und dort dominiert heute Microsoft 365.
Die Plattform ist für die meisten KMU die richtige Wahl. Das Problem liegt selten in der Technologie selbst, sondern in der Art, wie die Einführung angegangen wird.
Fehler eins: die Migration als IT-Projekt behandeln. In der Praxis ist sie ein Change-Management-Projekt mit technischer Komponente. Wer nur die Postfächer verschiebt, ohne die Mitarbeitenden mitzunehmen, erzeugt Widerstand, Schattenlösungen und Support-Aufwand, der sich vermeiden liesse.
Fehler zwei: Zugriffsrechte unreflektiert übernehmen. Altgewachsene Ordnerstrukturen aus einem lokalen Server landen dann 1:1 in SharePoint, inklusive aller Inkonsistenzen, Doppelspurigkeiten und Altlasten aus zehn Jahren. Die Migration wird zur Konservierung von Unordnung.
Bei einem Produktionsbetrieb mit 40 Mitarbeitenden haben wir diesen Fallstricken mit einem strukturierten Vorgehen begegnet: vier Phasen über sechs Wochen, nämlich Inventur, Bereinigung, Pilotgruppe und Rollout. Details zu unserem Vorgehen bei Office-365-Migrationen finden Sie auf unserer Dienstleistungsseite.
Die Pilotgruppe bestand aus fünf Mitarbeitenden aus verschiedenen Abteilungen, bewusst ohne IT-Affinität. Ihr Feedback in Woche drei hat zwei Konfigurationsentscheide verändert, bevor sie für alle 40 Personen wirksam wurden.
Ergebnis: null Datenverluste, eine einzige Eskalation am ersten Tag (vergessenes Passwort), und eine Nutzerakzeptanz, die deutlich über dem lag, was wir aus vergleichbaren Projekten ohne Pilotphase kennen. Der Unterschied war nicht die Technologie. Er war die Vorbereitung.
Entra ID und Zugriffsrechte: Was KMU wirklich verstehen müssen
Die technisch saubere M365-Migration löst ein Problem, schafft aber sofort das nächste: Wer verwaltet, wer auf was zugreifen darf?
Microsoft Entra ID (früher Azure Active Directory) ist der Identitätsdienst, der jeden Login, jede Berechtigung und jeden Zugriff in Microsoft 365 steuert. Standardmässig ist er nicht sicher konfiguriert. Er ist konfigurierbar. Das ist ein wichtiger Unterschied.
Das konkrete Risiko: Ohne aktive Conditional-Access-Richtlinien kann sich ein Mitarbeitender mit einem kompromittierten Passwort von jedem Gerät weltweit in den M365-Tenant einloggen. Multi-Faktor-Authentifizierung hilft nur dann, wenn sie für alle Nutzer konsequent erzwungen wird, nicht als optionales Feature. Wir sehen regelmässig Tenants, bei denen MFA aktiviert, aber nicht verpflichtend ist. Das ist kein Schutz, das ist eine Illusion.
Das Berechtigungsproblem in SharePoint und Teams ist subtiler. In KMU werden Zugriffsrechte oft nach dem Prinzip vergeben: «Ich gebe jedem Zugriff, dann hat niemand ein Problem.» Das ist bequem und aus DSG-Sicht problematisch. Wenn ein Mitarbeitender das Unternehmen verlässt und noch zwei Wochen nach Austritt auf Kundendaten zugreifen kann, ist das keine theoretische Lücke.
Unser Standardvorgehen: Rollenbasierte Zugriffsgruppen vor der Migration definieren, nicht danach. Wer die Struktur im Betrieb erst nachträglich aufräumt, braucht erfahrungsgemäss doppelt so lange und stösst auf erheblich mehr Widerstand, weil sich Gewohnheiten bereits festgesetzt haben.
Ein Punkt, den viele IT-Anbieter stillschweigend übergehen: Die Lizenzkosten für Microsoft 365 sind nur ein Teil der tatsächlichen Kosten. Wer Entra ID und Conditional Access korrekt konfiguriert und die Nutzer einmal gezielt schult, reduziert mittelfristig Supportaufwand und Sicherheitsvorfälle spürbar. Die Konfiguration kostet einmalig Zeit. Die fehlende Konfiguration kostet wiederholt Geld.
Was 37 Jahre wirklich bedeuten: Muster, die wir immer wieder sehen
Konfiguration und Lizenzkosten sind das eine. Was zählt, ist das Muster dahinter, das sich über Dutzende Projekte hinweg wiederholt.
Erfahrung bedeutet nicht, dass man alles besser weiss. Es bedeutet, dass man bestimmte Fehler nicht mehr zum ersten Mal macht. Wenn es sich um Ihren Betrieb handelt, ist dieser Unterschied relevant.
Muster eins: Investition in Technologie statt in Prozesse. Eine neue Telefonanlage ohne angepasste Erreichbarkeitsregeln löst keine Erreichbarkeitsprobleme. Ein NAS ohne Backup-Verantwortlichen ist kein Backup-Konzept. Die Technik kann nur liefern, was der Prozess dahinter erlaubt.
Muster zwei: Scheitern an der letzten Meile. Die Technik funktioniert, aber die Übergabe an den Betrieb ist unvollständig. Keine Dokumentation, kein benannter Ansprechpartner, keine definierten Eskalationswege. Laut Cyberstudie 2024 haben vier von zehn Schweizer KMU keinen Notfallplan. Das ist kein Wissensproblem, sondern ein Übergabeproblem.
Muster drei: Sicherheit als Reaktion, nicht als Planung. Der erste Anruf kommt nach dem Vorfall. Seit 2024 beobachten wir in der Zentralschweiz einen klaren Anstieg von Ransomware-Vorfällen bei KMU, häufig eingeleitet über kompromittierte E-Mail-Konten. 73 Prozent der betroffenen Unternehmen verzeichneten dabei erheblichen finanziellen Schaden.
Ehrliche Selbstkritik gehört dazu. Wir haben Migrationszeiträume zu knapp geplant. Wir haben Hardware-Lieferzeiten nicht einkalkuliert. Wir haben Nutzerwiderstände unterschätzt. Was wir daraus gemacht haben: standardisierte Checklisten, feste Puffer in jedem Projektplan und eine explizite Risikobewertung bei Projekten über 5.000 Franken. Diese Massnahmen schützen nicht uns, sondern Sie vor vermeidbaren Verzögerungen und Kosten.
Der Swisscom-Kontext: Was die Abschaltung analoger Anschlüsse für KMU bedeutet
Ein Muster, das sich durch alle drei Fälle zieht, wird durch einen externen Faktor noch dringlicher: Swisscom hat den Ausstieg aus dem analogen und ISDN-Festnetz vollzogen. Wer heute noch auf diesen Anschlüssen betreibt, steuert nicht auf eine Option zu, sondern auf einen erzwungenen Wechsel.
Was viele KMU unterschätzen: Betroffen ist nicht nur die Bürotelefonie. Analoge Leitungen stecken häufig auch in Alarmanlagen, Lifttelefonen, Faxgeräten und Kassensystemen, die über Jahrzehnte still ihren Dienst getan haben. Swisscom hat es früh selbst eingestanden: Die Netzbetreiberin wisse oft nicht, welche Geräte an einem Anschluss hängen. KMU-Entscheider wissen es häufig auch nicht.
Was wir in der Praxis beobachten: Betriebe, die frühzeitig auf VoIP umgestiegen sind, haben die Migration ruhig und planmässig hinter sich. Betriebe, die gewartet haben, zahlen Expresszuschläge und müssen Abstriche bei der Konfiguration in Kauf nehmen. Der Zuger Treuhand-Fall weiter oben ist kein Einzelfall, sondern der Normalfall für strukturiertes Vorgehen. Das Gegenstück kennen wir ebenfalls: Freitagabend, Anschluss tot, Montagmorgen Betrieb muss erreichbar sein.
Unsere Empfehlung ist konkret: Erstellen Sie ein Inventar aller analogen Endpunkte in Ihrem Betrieb. Priorisieren Sie dabei: Alarmanlage und Lifttelefon erfordern andere Lösungswege als eine Bürotelefonanlage und können separate Fachleute einbeziehen. Die Reihenfolge entscheidet über die Komplexität des Projekts.
Für Betriebe in Zug und Luzern gilt: Wir bieten eine kostenlose Ersteinschätzung an. Die Frage ist nicht ob Sie wechseln müssen, sondern wann und wie strukturiert. Diese Entscheidung zu verzögern, verteuert sie.
Ihr nächster Schritt: Was Sie konkret tun können
Die beschriebenen Fälle zeigen Muster, keine Blaupausen. Was für das Treuhandbüro in Zug passte, braucht in einer Arztpraxis in Luzern eine andere Umsetzung, andere Zeitplanung und andere Prioritäten.
Zwei Massnahmen können Sie heute, ohne externen Support, selbst prüfen:
Massnahme 1: Analoganschlüsse und Backup-Test Gehen Sie durch Ihr Gebäude und notieren Sie alle Geräte, die noch über eine Telefonleitung kommunizieren: Fax, Alarmanlage, Lifttelefon, Kassensystem. Prüfen Sie danach, wann Ihr letzter dokumentierter Backup-Test stattgefunden hat. Liegt er mehr als 90 Tage zurück, ist das kein Restrisiko, sondern ein offenes Risiko. Laut BACS sind funktionierende Wiederherstellungsprozesse eine explizite behördliche Erwartung.
Massnahme 2: MFA in Microsoft 365 prüfen Öffnen Sie das Microsoft 365 Admin Center und prüfen Sie unter «Sicherheit», ob Multi-Faktor-Authentifizierung für alle Nutzer erzwungen ist, nicht nur aktiviert. Der Unterschied ist entscheidend: Ein Nutzer, der MFA umgehen kann, weil es optional ist, schützt Ihren Tenant nicht. Über 80 Prozent der Schäden bei Schweizer KMU gehen auf Social Engineering zurück, und MFA ist der wirksamste Einzelschritt dagegen.
Was wir anbieten Ein 60-minütiges Erstgespräch, ohne Verkaufspitch. Wir schauen uns Ihre aktuelle IT-Situation an und geben Ihnen konkrete, priorisierte Handlungsempfehlungen mit, unabhängig davon, ob danach ein Mandat entsteht.
37 Jahre Projekterfahrung helfen Ihnen nichts, solange sie in einem Artikel stecken. Sie helfen Ihnen, wenn wir gemeinsam an Ihrer konkreten Situation arbeiten. Melden Sie sich per Telefon, E-Mail oder über das Kontaktformular auf kmuit.com.
Conclusion
37 Jahre Praxiserfahrung zeigen immer wieder dieselben Muster: KMU scheitern nicht an fehlender Technologie, sondern an ungeplanten Migrationen, untesteten Backups und lückenhafter Zugriffskontrolle. Die drei Fälle in diesem Beitrag machen deutlich, dass funktionierende IT-Sicherheit kein Zufall ist, sondern das Ergebnis strukturierter Entscheidungen.
Die wichtigsten Erkenntnisse auf einen Blick: Analoganschlüsse müssen vor der Swisscom-Abschaltung inventarisiert werden. Backup-Tests sind keine Option, sondern eine behördliche Erwartung. MFA muss erzwungen, nicht nur aktiviert sein.
Theorie allein schützt Ihr Unternehmen nicht. Was zählt, ist die Anwendung auf Ihre konkrete Situation. Buchen Sie jetzt Ihr kostenloses 60-minütiges Erstgespräch auf kmuit.com und verwandeln Sie offene Risiken in gelöste Probleme.
