Ihr Grosskunde kauft nicht einfach nur Ihre Dienstleistung. Mit der Vertragsunterzeichnung wird Ihr Unternehmen Teil seiner Lieferkette. Und wenn diese Lieferkette Schwachstellen aufweist, betrifft das Sicherheitsrisiko auch ihn. Deshalb ist Cybersicherheit für KMU längst keine rein interne Angelegenheit mehr, sondern zu einer Voraussetzung geworden, um Geschäftsverträge langfristig zu sichern.
Wenn Sie auditiert werden, erwartet Ihr Kunde kein umfassendes Sicherheitskonzept, sondern einen dokumentierten und nachweisbaren Mindeststandard: aktuelle Sicherheitsupdates, wiederherstellbare Datensicherungen, kontrollierte und protokollierte Zugriffe sowie einen klar definierten Ablauf für Sicherheitsvorfälle. Können Sie diese Massnahmen nicht nachweisen, wird aus einer technischen schnell eine geschäftliche Diskussion.
In dieser Analyse zeigen wir, weshalb Ihr Unternehmen zum schwächsten Glied in der Lieferkette Ihres Kunden werden kann, welche Anforderungen bei einem Audit auf Sie zukommen und wie diese in der Praxis aussehen. Zudem erläutern wir den Unterschied zwischen gesetzlichen Anforderungen und vertraglichen Verpflichtungen sowie die vier zentralen Bestandteile eines dokumentierten Mindeststandards. Ausserdem zeigen wir, wie sich diese Massnahmen in die Zusammenarbeit mit einem externen IT-Partner für KMU integrieren lassen.
Das Ziel ist einfach: Sie sollen nicht länger das schwächste Glied in der Lieferkette sein und dies auch nachweisen können, bevor Ihr Vertrag davon abhängig wird.
Warum Cybersicherheit für KMU längst keine rein interne Angelegenheit mehr ist
Ihr Grosskunde verwaltet seine Risiken nicht isoliert. Wenn ein Lieferant Sicherheitsmängel aufweist, tauchen diese auch in dem Bericht auf, den er seiner Geschäftsleitung, seinem Endkunden oder seiner Versicherung vorlegen muss. Deshalb ist Cybersicherheit für KMU längst keine rein interne Empfehlung mehr, sondern hat sich zu einer vertraglichen Anforderung entwickelt: Lieferantenfragebögen, Ausschreibungsunterlagen und Sicherheitsvereinbarungen sind heute häufig Bestandteil des Vertragsabschlusses.
Für KMU bedeutet Cybersicherheit vor allem eines: Massnahmen nicht nur umzusetzen, sondern auch nachweisen zu können. Eine Datensicherung bringt beispielsweise wenig, wenn Sie nicht belegen können, wann die Wiederherstellung zuletzt getestet wurde. Ein weitverbreiteter Irrtum besteht darin, dass KMU glauben, für Cyberkriminelle wenig interessant zu sein. Ihr Grosskunde sieht das genau umgekehrt: Er betrachtet Ihr Unternehmen als möglichen Zugang zu seinen eigenen Daten und Systemen, der unter Umständen weniger gut geschützt ist. Die Standardkonfiguration einer Firewall für KMU veranschaulicht diese Schwachstelle.
Dieser Artikel beleuchtet die geschäftlichen Hintergründe und die Erfahrungen eines externen IT-Partners. Dabei werden diese Aspekte klar von den gesetzlichen Anforderungen getrennt, die je nach Land gelten.
Ihr Grosskunde kauft nicht nur Ihre Dienstleistung, sondern Ihre gesamte Lieferkette
Diese Entwicklung hin zu vertraglichen Anforderungen hat einen konkreten Hintergrund: Wenn Sie einen Vertrag mit einem Grosskunden abschliessen, übernimmt dieser gegenüber seinen eigenen Kunden eine Sorgfaltspflicht im Umgang mit seinen Lieferanten. Damit werden Sie bereits ab dem ersten Auftrag Teil seiner Risikobeurteilung, selbst wenn Ihr Rechnungsbetrag noch so klein ist.
Diese Anforderungen werden entlang der Lieferkette weitergegeben. Banken, öffentliche Institutionen und Grossunternehmen übertragen ihren Lieferanten dieselben Anforderungen, die ihre eigenen Auditoren an sie stellen.
Bei der Cybersicherheit von KMU schützt die Unternehmensgrösse nicht vor Risiken. Vielmehr wird ein KMU gerade deshalb zum potenziellen Risiko, weil es in die Systeme und Prozesse eines grösseren Unternehmens eingebunden werden kann. Wenn Sie Zugriff auf Daten, ein Netzwerk oder einen kritischen Prozess haben, übernehmen Sie eine Rolle innerhalb dieser Lieferkette.
Wenn Sie Teile Ihrer IT auslagern, sollten Sie deshalb wissen, welche Anforderungen Sie an einen externen IT-Support für KMU stellen müssen, der seine Leistungen anhand konkreter Nachweise belegen kann.
Betrachten Sie dies als überprüfbare Annahme: Zählen Sie, wie viele Sicherheitsfragebögen Ihnen Ihre Kunden innerhalb der letzten zwölf Monate geschickt haben und welche konkreten Angaben darin verlangt wurden.
Was bei einem Audit von Ihnen verlangt wird und wie sich das in der Praxis zeigt
Wenn ein solcher Fragebogen eintrifft, wiederholen sich die Fragen meist: Patch-Management, Datensicherungen, Zugriffskontrollen, Verschlüsselung, Umgang mit Sicherheitsvorfällen und eine Kontaktperson für Sicherheitsfragen.
Der Vertragsanhang enthält zusätzlich die konkreten Verpflichtungen: Meldefristen bei Sicherheitsvorfällen, Audit-Rechte, Vertraulichkeitsbestimmungen und Bedingungen für die Beauftragung von Subunternehmern.
Eine einfache Ja-Antwort reicht nicht aus. Akzeptiert werden konkrete Nachweise, die später im Abschnitt über den dokumentierten Mindeststandard näher erläutert werden.
Bei Grosskunden findet häufig zusätzlich ein Gespräch mit Ihrer technischen Ansprechperson statt. Es geht also nicht nur darum, ein Formular zu unterschreiben. In diesem Gespräch muss jemand die Fragen kompetent beantworten können, ohne improvisieren zu müssen.
Prüfen Sie vor diesem Gespräch auch, welchen tatsächlichen Schutz Ihre Firewall für KMU über die Standardkonfiguration hinaus bietet.
In den meisten Fällen wird keine formelle Zertifizierung verlangt. Erwartet werden vielmehr angemessene und nachvollziehbare Nachweise, die zu den Dienstleistungen passen, die Sie erbringen.
Gesetzliche Anforderung oder vertragliche Verpflichtung: Verwechseln Sie diese nicht
Bevor Sie Ihre Dokumentation überarbeiten, sollten Sie zwei unterschiedliche Quellen von Anforderungen auseinanderhalten.
Der regulatorische Druck hängt vom jeweiligen Land, der Branche und der Unternehmensgrösse ab. In der Schweiz sollten Sie die Richtlinien des Nationalen Zentrums für Cybersicherheit (NCSC) sowie die schriftlich dokumentierten Anforderungen Ihrer Kunden prüfen. Zitieren Sie keine Standards, Fristen oder gesetzlichen Verpflichtungen, ohne zuvor die Primärquelle und deren tatsächliche Anwendbarkeit überprüft zu haben.
Eine vertragliche Verpflichtung benötigt hingegen keine gesetzliche Grundlage: Wenn Sie den Sicherheitsanhang unterzeichnet haben, kann Ihr Kunde die darin vereinbarten Anforderungen einfordern und deren Einhaltung überprüfen.
Der Leitfaden des Cyber Readiness Institute empfiehlt, den Vertrag als Checkliste für die jeweiligen Verantwortlichkeiten zu verwenden, anstatt erst bei einem Verstoss festzustellen, welche Verpflichtungen tatsächlich gelten.
Verlangen Sie schriftlich eine Klärung, welche Rahmenbedingungen für welchen Vertrag gelten. Das ist besonders wichtig, wenn Ihr Kunde in mehreren Ländern tätig ist. Bestehen Geschäftsbeziehungen zur EU, empfiehlt es sich ausserdem, die Anforderungen gemäss NIS2 und NISG 2026 für Schweizer KMU mit EU-Lieferketten zu prüfen, um die entsprechenden Anforderungen richtig einordnen zu können.
Der dokumentierte Mindeststandard in vier Bausteinen
Nachdem die Herkunft der Anforderungen geklärt ist, lässt sich der dokumentierte Mindeststandard in vier Bausteine unterteilen.
Updates und Sicherheits-Patches. Legen Sie fest, in welchen Abständen Updates durchgeführt werden, welche Systeme tatsächlich abgedeckt sind und wie die installierten Updates auf Servern und Arbeitsstationen dokumentiert werden. Es reicht nicht, Patches zu installieren: Sie müssen nachweisen können, was wann auf welchen Geräten aktualisiert wurde.
Datensicherungen. Dokumentieren Sie, welche Daten gesichert werden, wo die Sicherungen gespeichert sind, wie häufig sie durchgeführt werden und wann die Wiederherstellung zuletzt getestet wurde. Eine lokale Datensicherung ohne überprüfte externe Sicherung (Offsite-Backup) stellt ein Risiko dar. Lesen Sie dazu auch, weshalb eine überprüfte Offsite-Sicherung wichtig ist.
Zugriffsberechtigungen. Listen Sie auf, wer über erhöhte Berechtigungen verfügt, wie sich die einzelnen Personen authentifizieren und wie Zugriffe entzogen werden, sobald jemand sie nicht mehr benötigt.
Ablauf bei Sicherheitsvorfällen. Legen Sie fest, wie Vorfälle erkannt und eingedämmt werden, wann der Kunde informiert wird und wer in den ersten Stunden für die Kommunikation verantwortlich ist.
Das praktische Kriterium: eine Seite pro Baustein, aktuell gehalten und so formuliert, dass auch Personen ohne technische Kenntnisse sie verstehen. Das reicht für den Anfang und verbessert bereits Ihre Position gegenüber einem Grosskunden.
Updates und Sicherheits-Patches: Nachweisen, dass Sie keine Sicherheitsrisiken anhäufen
Die Festlegung der Update-Intervalle ist eine der ersten Entscheidungen im Bereich Cybersicherheit für KMU. Ein monatlicher Patch-Zyklus mit angekündigtem Zeitfenster, das dem Kunden kommuniziert und konsequent eingehalten wird, ist wertvoller als wöchentliche Aktualisierungsversuche ohne Dokumentation. Bei einem Audit zählt die nachweisbare Kontinuität, nicht die gute Absicht.
Der Umfang muss das gesamte Inventar abdecken: Server, Arbeitsstationen, Notebooks im Homeoffice, Netzwerkgeräte und Firewalls. Gerade vergessene Geräte fallen bei einer Überprüfung besonders häufig auf.
Damit Sie keine Tabellen von Hand aktualisieren müssen, liefern Fernverwaltung und kontinuierliches Monitoring automatische Berichte über den Systemstatus und die installierten Patches. Ein Mindestinventar mit Gerät, verantwortlicher Person, Betriebssystem und Datum des letzten Updates bildet die Grundlage für den Nachweis. Es sollte bei jeder relevanten Änderung aktualisiert werden.
Achten Sie auch auf Software, die vom Hersteller nicht mehr unterstützt wird. Sie stellt eine technische Altlast dar, die besonders viele Fragen aufwirft und sich gegenüber einem Auditor nur schwer rechtfertigen lässt. Ein strukturierter Onboarding-Prozess, wie er beim Start mit einem externen IT-Dienstleister beschrieben wird, verhindert, dass diese Nachweise bereits in den ersten Monaten verloren gehen.
Datensicherungen: Von der Sicherung zur nachweisbaren Wiederherstellung
Nach dem Patch-Management ist die Datensicherung der zweite Nachweis, den ein Auditor verlangt. Eine einzelne Sicherung reicht jedoch nicht aus: Sie benötigt eine redundante Struktur. Eine lokale Kopie ermöglicht eine schnelle Wiederherstellung, während eine zweite Sicherung an einem anderen Standort oder in der Cloud vor den Folgen einer umfassenden Verschlüsselung schützt.
Dokumentieren Sie die Sicherungsrichtlinie auf einer Seite: Welche Daten werden gesichert, wie häufig erfolgen die Sicherungen, wie lange werden sie aufbewahrt und welche Wiederherstellungszeit wird für jedes kritische System zugesichert? Genau diese schriftlich zugesicherte Zeit wird später von Ihnen eingefordert.
Planen Sie regelmässige Wiederherstellungstests und halten Sie Datum, Umfang und Ergebnis fest. Eine Sicherung, die noch nie wiederhergestellt wurde, ist kein Nachweis, sondern lediglich eine Erwartung.
Berücksichtigen Sie auch Daten ausserhalb des Servers: E-Mail-Postfächer, Cloud-Umgebungen und Konfigurationen von Geschäftsanwendungen. Dies ist ein besonders heikler Punkt, der sich bereits bei den Ausführungsfehlern während der Cutover-Woche von Microsoft 365 zeigt.
Hybride Architekturen mit lokalem NAS und verwalteter Datensicherung decken diesen Bereich ab, ohne die Infrastruktur unnötig zu dimensionieren.
Zugriffsberechtigungen und Privilegien: Wer greift wann und mit welchem Nachweis zu?
Die Datensicherung begrenzt den Schaden. Die Zugriffskontrolle verhindert, dass er überhaupt entsteht.
Verlangen Sie eine Multi-Faktor-Authentifizierung für die geschäftliche E-Mail, Fernzugriffe und Administrationsoberflächen. In der Praxis gehört sie zu den Sicherheitsmassnahmen mit einem besonders guten Verhältnis zwischen Aufwand und Risikoreduktion.
Trennen Sie Administrationskonten von Benutzerkonten für die tägliche Arbeit und begrenzen Sie die Anzahl Personen, die dauerhaft über erhöhte Berechtigungen verfügen.
Dokumentieren Sie sämtliche Eintritte, Änderungen und Austritte. Ein aktives Benutzerkonto einer Person, die nicht mehr für Ihr Unternehmen arbeitet, gehört zu den häufigsten Feststellungen bei einer Überprüfung von Dienstleistern, wie die praktische Erfahrung zeigt.
Protokollieren Sie Fernzugriffe und Zugriffe durch Dritte mit Datum, Herkunft und Zweck. Wenn Sie Supportleistungen für Ihren Kunden erbringen, schützt Sie diese Nachvollziehbarkeit ebenfalls.
Überprüfen Sie die Berechtigungsmatrix mindestens einmal jährlich und archivieren Sie diese mit Datum oder Unterschrift als wiederverwendbaren Nachweis.
Bevor Sie in neue Tools investieren, sollten Sie wissen, was überprüft werden muss. Ein von einem externen Dienstleister durchgeführtes Cybersicherheits-Audit für KMU hilft dabei, die Prioritäten festzulegen.
Ohne kontrollierte Zugriffsberechtigungen hält keiner der zuvor beschriebenen Bausteine einer Überprüfung stand.
Ablauf bei Sicherheitsvorfällen: Was Sie in den ersten Stunden tun und wen Sie informieren
Nach der Überprüfung der Berechtigungsmatrix bleibt noch jener Baustein, der erst dann auf die Probe gestellt wird, wenn tatsächlich etwas schiefgeht: der Ablauf bei Sicherheitsvorfällen.
Halten Sie diesen auf einer Seite fest: Wer erkennt den Vorfall, wer trifft die Entscheidungen, wer informiert den Kunden und wer zieht externe Spezialisten hinzu, wenn die Situation ausser Kontrolle gerät?
Legen Sie ausserdem die Frist und den Kommunikationskanal für die Benachrichtigung des Kunden fest. In vielen Fällen verschlimmert die fehlende Kommunikation während eines Vorfalls die Wahrnehmung des Schadens durch den Kunden stärker als der Vorfall selbst.
Bereiten Sie grundlegende Mitteilungen für die ersten Stunden vor: eine Benachrichtigung an den Kunden, Anweisungen für das Team und eine interne Kommunikation. Improvisation unter Druck erhöht die Fehlerwahrscheinlichkeit.
Simulieren Sie einmal jährlich ein Szenario, beispielsweise die Verschlüsselung eines Dateiservers, und erstellen Sie ein Protokoll über die festgestellten Schwachstellen. Dieses Protokoll gilt als gültiger Nachweis bei einem Audit.
Halten Sie die wichtigsten Kontakte griffbereit: Anbieter der Datensicherung, IT-Support, Firewall-Dienstleister, Versicherung und die zuständige Ansprechperson auf Kundenseite.
Ein solcher Ablauf verhindert zwar keinen Sicherheitsvorfall, aber er kann verhindern, dass aus einem Vorfall ein gescheitertes Audit wird.
Was auf dem Spiel steht, wenn Sie das Audit Ihres Kunden nicht bestehen
Sobald der Ablauf bei Sicherheitsvorfällen schriftlich festgehalten ist, stellt sich nicht mehr nur eine technische, sondern vor allem eine wirtschaftliche Frage.
Die unmittelbaren Kosten betreffen den Vertrag. Die tatsächlichen Kosten umfassen jedoch auch eine ausbleibende Vertragsverlängerung, Empfehlungen innerhalb des Unternehmens, die künftig nicht mehr ausgesprochen werden, und eine Referenz, die Ihnen dieser Kunde nicht mehr geben wird.
Der Verlust eines Grosskunden zwingt Sie dazu, den entsprechenden Umsatz mit mehreren kleineren Kunden zu ersetzen. Das bedeutet mehr Vertriebsaufwand und eine geringere Marge pro eingesetzter Arbeitsstunde.
Wenn der Sicherheitsvorfall seinen Ursprung in Ihrer eigenen IT-Umgebung hatte, verändert sich zudem die gesamte Diskussion. Es geht dann nicht mehr um Preise oder Fristen, sondern um die Verantwortung gegenüber Dritten.
Auch der Reputationsschaden kann sich schnell verbreiten: Einkaufsabteilungen und technische Verantwortliche tauschen sich innerhalb ihrer Branche über Dienstleister aus. Der Ruf als schwächstes Glied der Lieferkette kann sich festsetzen, bevor Sie überhaupt Gelegenheit haben, Ihre Sicht der Dinge darzulegen.
Berechnen Sie die Auswirkungen anhand Ihrer eigenen Zahlen: den Jahresumsatz mit Ihrem grössten Kunden, die aufgewendeten Wartungsstunden und die tatsächlichen Kosten, um diesen Kunden zu ersetzen.
Verglichen mit dem Aufwand, die bereits umgesetzten Massnahmen zu dokumentieren, rechtfertigt diese Zahl die Investition besser als jedes technische Argument.
Wie Cybersicherheit für KMU zum Verkaufsargument wird
Wenn die vorherige Berechnung die Investition rechtfertigt, sollten Sie handeln.
Beginnen Sie mit der bereits beschriebenen Selbstbewertung der vier Bausteine und halten Sie fest, was Sie heute anhand eines Protokolls nachweisen können und was Sie lediglich mündlich bestätigen. Genau diese Lücken haben Priorität.
Erstellen Sie ein wiederverwendbares Lieferantendossier mit Inventar, Datensicherungsrichtlinie, Patch-Bericht, Berechtigungsmatrix und Notfallplan für Sicherheitsvorfälle. So können Sie denselben Fragebogen beantworten, ohne bei jedem Audit die Arbeit von vorne beginnen zu müssen.
Bestimmen Sie eine interne verantwortliche Person und legen Sie eine vierteljährliche Überprüfung fest. Ohne klare Zuständigkeit veraltet die Dokumentation innerhalb weniger Monate und wird erneut zu einem leeren Versprechen.
Wenn Ihnen eine entsprechende Fachperson im Unternehmen fehlt, können Sie sich auf einen externen IT-Partner stützen, der die bereits beschriebenen Bereiche abdeckt.
So wird Cybersicherheit für KMU von einem Kostenfaktor zu einem Verkaufsargument.
Nutzen Sie Ihr Lieferantendossier bei Ausschreibungen und ersten Gesprächen mit Grosskunden. Damit positionieren Sie sich als verlässlicher und vertretbarer Anbieter und nicht nur als der günstigste.
Fazit: Hören Sie auf, das schwächste Glied zu sein, und beweisen Sie es
Das Lieferantendossier ist nicht das Ziel, sondern der Ausgangspunkt. Machen Sie heute den Test: Wenn Ihr grösster Kunde morgen seinen Sicherheitsfragebogen schicken würde, mit welchen Nachweisen könnten Sie antworten?
Notieren Sie die Lücken. Schliessen Sie diese mit einer einfachen Dokumentation: regelmässige Sicherheitsupdates, getestete Datensicherungen, überprüfte Zugriffsberechtigungen und ein Notfallplan für Sicherheitsvorfälle, den Ihr Team kennt.
Mit einer intern verantwortlichen Person und einer vierteljährlichen Überprüfung bleibt dieses Dossier aktuell und kann bei jedem neuen Kunden wiederverwendet werden.
Wenn Sie diese Aufgaben intern nicht zuverlässig abdecken können, ziehen Sie einen externen IT-Partner in der Zentralschweiz bei.
Warten Sie nicht bis zum Audit, um festzustellen, dass Sie nicht vorbereitet sind.
