Die Frage kommt meistens im Verwaltungsrat, und meistens zu spät: Wer schaut eigentlich auf unsere IT-Sicherheit? Am Tisch drehen sich dann alle Köpfe Richtung IT, und die Runde ist erleichtert. Geklärt ist damit nichts. Bei der IT-Sicherheit bleibt die Verantwortung im KMU bei der Geschäftsführung, unabhängig davon, wer die Arbeit macht.
Das ist kein moralischer Appell, sondern eine Arbeitsteilung, die sich nicht auflösen lässt. Du kannst Aufgaben vergeben, Werkzeuge einkaufen und einen Dienstleister beauftragen. Was du nicht vergeben kannst, ist die Pflicht zu wissen, ob das Ganze funktioniert.
Arbeit lässt sich delegieren, Verantwortung nicht. Die Geschäftsführung muss Defender nicht bedienen können. Sie sollte aber ohne Rückfrage sagen können, wer die Sicherheitswarnungen liest, wie schnell bei einem kritischen Fall reagiert wird und was davon dokumentiert ist. In unserer Erfahrung gibt es in den meisten KMU auf diese drei Fragen keine belastbare Antwort.
Was bedeutet Verantwortung für IT-Sicherheit im KMU konkret?
Konkret heisst sie drei Dinge: entscheiden, welche Risiken der Betrieb bewusst trägt, die Mittel dafür bereitstellen und regelmässig prüfen, ob es wirkt. Alles andere ist Arbeit und gehört in die Hände von Fachleuten: die Konfiguration, die Auswertung der Alarme, die Aufarbeitung eines Vorfalls.
In grossen Organisationen hat dieser Teil einen Namen und eine Stelle. In einem Betrieb mit 20 bis 150 Mitarbeitenden gibt es keinen CISO, und in aller Regel wird es auch keinen geben. Die Verantwortung wandert deshalb nicht nach oben, sie landet in der Praxis nirgendwo. Formal bleibt sie bei der Geschäftsführung, faktisch bei der Person, die zufällig am meisten von IT versteht.
Lange fällt das nicht auf, weil der Zustand ruhig aussieht. Es gibt Lizenzen, es gibt einen IT-Partner, es beschwert sich niemand. Ruhe ist aber kein Signal. Sie ist die Abwesenheit eines Signals, und die beiden lassen sich nur unterscheiden, wenn jemand hinschaut.
Delegieren kann man die Arbeit, nicht die Verantwortung
In fast jedem Betrieb dieser Grösse gibt es einen IT-Verantwortlichen, oft in einer Doppelrolle: 30 oder 40 Prozent IT, der Rest ERP, Einkauf oder Administration. Diese Person ist in der Regel fähig und weiss ziemlich genau, was sie nicht schafft. Wenn sie die Sicherheitsüberwachung zusätzlich übernehmen soll, ohne Zeit, ohne Spezialwissen und ohne zweite Person im Rücken, dann ist das keine Delegation. Das ist Hoffnung mit Organigramm.
Die Lücke ist dabei selten technisch. Microsoft 365 bringt in den gängigen Business-Lizenzen bereits Erkennungsmechanismen mit, die laufen und melden, auch ohne dass jemand sie je bewusst eingeschaltet hätte. Die Warnungen entstehen also längst. Nur liest sie niemand. Wer an dieser Stelle ein weiteres Produkt kauft, vergrössert den Stapel, den niemand anschaut.
«Wir haben jemanden dafür» ist keine Antwort, solange niemand sagen kann, was dieser Jemand im letzten Monat angeschaut hat. Der Unterschied zwischen Zuständigkeit und Überwachung ist genau dieser Nachweis.
Technische Tiefe schuldet die Geschäftsführung dabei niemandem. Was sie schuldet, ist eine nachvollziehbare Entscheidung. Wer bewusst festhält, dass für diesen Betrieb eine Überwachung zu Bürozeiten genügt, und das begründen kann, steht deutlich besser da als jemand, der die Frage nie gestellt hat und sie im Schadenfall zum ersten Mal beantworten muss.
Reicht es nicht, wenn sich unser IT-Partner darum kümmert?
Meistens nicht, und das ist kein Vorwurf an den IT-Partner. Support und Sicherheitsüberwachung sind zwei Berufe mit unterschiedlichen Werkzeugen und Reflexen. Der typische Supportvertrag deckt Verfügbarkeit ab: Geräte, Benutzer, Störungen, Projekte. Sicherheitsüberwachung steht selten darin, und wenn doch, dann ohne zugesicherte Reaktionszeit.
Am bestehenden Vertrag ist das in zehn Minuten geklärt. Drei Punkte entscheiden: eine benannte Leistung für Security Monitoring, eine Reaktionszeit für sicherheitsrelevante Vorfälle und ein wiederkehrender Bericht. Stehen alle drei drin, ist die Lücke geschlossen. Steht keiner davon drin, ist das kein Mangel im Vertrag, sondern der Auftrag, den nie jemand erteilt hat. Warum das bei den meisten IT-Partnern so aussieht, haben wir in einem eigenen Beitrag über die Lücke zwischen Support und Monitoring aufgeschrieben.
Was im Ernstfall von dir verlangt wird
Solange nichts passiert, bleibt die Verantwortungsfrage abstrakt. Konkret wird sie an dem Tag, an dem jemand etwas von dir will, und dann sind es in unserer Erfahrung drei Parteien gleichzeitig.
Die Aufsicht. Gehen Personendaten verloren oder gelangen sie an Unbefugte, muss der Verantwortliche das dem EDÖB melden, sobald daraus voraussichtlich ein hohes Risiko für die betroffenen Personen entsteht. Meldeweg und Voraussetzungen stehen auf der Seite des EDÖB zur Meldung von Datensicherheitsverletzungen. Verantwortlicher im Sinne des Gesetzes ist das Unternehmen, nicht die Person, die die IT betreut. Zusätzlich kann jeder Betrieb einen Vorfall freiwillig beim Bundesamt für Cybersicherheit melden; die dort seit dem 1. April 2025 geltende Meldepflicht innert 24 Stunden gilt für Betreiber kritischer Infrastrukturen und damit für die wenigsten KMU.
Die Versicherung. Im Schadenfall zählt, was zum Zeitpunkt des Vorfalls tatsächlich in Betrieb war, nicht was im Fragebogen angekreuzt wurde. Welche Monitoring-Anforderungen im Versicherungsfragebogen gemeint sind, ist ein Thema für sich.
Die Kunden. Ein Grosskunde oder ein Auditor verlangt einen Nachweis. Nachweis heisst dort ein Dokument: wer überwacht, in welcher Zeit reagiert wird, was in den letzten Monaten vorgefallen ist. Ein Produktname allein erfüllt das nicht.
Allen drei Anfragen ist etwas gemeinsam. Melden, belegen und nachweisen kann nur, wer gemerkt hat, dass etwas war. Eine Meldepflicht ohne Überwachung ist eine Pflicht, die man verletzt, ohne es zu wissen.
Wie das in einem Betrieb mit 60 Mitarbeitenden aussieht
Ein Schweizer Handelsbetrieb, rund 60 Mitarbeitende, vollständig auf Microsoft 365, ein IT-Verantwortlicher mit 40 Prozent neben dem ERP. Über ein Phishing-Mail übernahm ein Angreifer das Konto einer Mitarbeiterin in der Buchhaltung. Er legte im Postfach eine Regel an, die eingehende Lieferantenmails aussortierte, und verschickte Rechnungen mit geänderter Bankverbindung.
Aufgefallen ist es, als ein Lieferant zum zweiten Mal mahnte für eine Rechnung, die längst bezahlt war. Beim Aufräumen fand der IT-Verantwortliche die Anmeldung aus dem Ausland im Defender-Portal, seit Wochen als auffällig markiert. Die Erkennung hatte funktioniert. Gelesen hatte sie niemand.
Die erste Frage der Geschäftsführung war nicht technisch. Sie lautete: seit wann? Beantworten konnte das an dem Tag niemand. Die Rekonstruktion, also welche Mails der Angreifer gelesen und welche Kunden er angeschrieben hatte, dauerte um ein Vielfaches länger als das Schliessen des Zugangs. Teuer an einem spät bemerkten Vorfall ist die Beweisführung im Nachhinein.
Vier Fragen, die du beantworten können solltest
Du musst Defender nicht bedienen können. Aber diese vier Punkte solltest du ohne Rückfrage im Haus beantworten können.
- Wer liest die Sicherheitswarnungen? Ein Name, keine Abteilung, dazu ein Rhythmus.
- Was passiert zwischen 18:00 und 08:00? Automatisierte Abwehr läuft rund um die Uhr. Die Frage ist, wer am Morgen übernimmt und ob das irgendwo vereinbart ist.
- Wie schnell wird bei einem kritischen Fall reagiert? Lautet die Antwort «so schnell wie möglich», dann gibt es keine Reaktionszeit, sondern eine Absichtserklärung.
- Woran würden wir merken, dass heute ein Konto übernommen wird? Die ehrlichste der vier Fragen, weil sie sich nicht mit einem Produktnamen beantworten lässt.
Wenn du bei dreien davon nachfragen müsstest, ist genau das das Ergebnis. Kein Drama und kein Versäumnis von jemandem im Haus. Aber es ist der Stand, den du gegenüber Versicherung, Kunde und Verwaltungsrat vertrittst.
Was kostet es, diese Lücke zu schliessen?
Weniger als eine eigene Stelle und ein Mehrfaches weniger als ein klassisches 24/7-MDR. Bei uns beginnt der SOC-Betrieb bei CHF 1'850 pro Monat, abgestuft nach Risikolevel, mit zwölf Monaten Mindestlaufzeit. Wo dein Tenant heute steht, klärt ein M365 Tenant Review für einmalig CHF 990. Die Preise nach Risikolevel stehen offen auf der Startseite.
Der Vergleichsmassstab ist dabei nicht null. Er ist entweder ein eigener Spezialist, der ein volles Gehalt kostet, trotzdem nur zu Bürozeiten arbeitet und Ferien hat, oder ein Enterprise-MDR, gebaut für Betriebe, bei denen jede Minute Ausfall direkt Geld kostet.
Unser Modell trennt die beiden Ebenen bewusst. Die Automatisierung in Microsoft Defender XDR und Sentinel reagiert rund um die Uhr, etwa indem sie eine riskante Anmeldung unterbricht. Unsere Analysten bewerten und übernehmen Mo bis Fr von 08:00 bis 17:30, mit vertraglichen Reaktionszeiten von 30 Minuten bei kritischen, 2 Stunden bei hohen und 4 Stunden bei mittleren Vorfällen. Wenn dein Betrieb rund um die Uhr produziert oder regulatorisch eine echte Reaktion durch Menschen um 03:00 Uhr braucht, ist das hier das falsche Angebot. Wir sagen das lieber vorher als im Schadenfall.
Für alle anderen zählt am Ende eine einzige Sache: ob du im nächsten Quartalsgespräch sagen kannst, was in deiner Umgebung passiert ist und wer es angeschaut hat. Das ist eine niedrigere Latte, als sie in den meisten Offerten steht, und sie ist deutlich schwerer zu erreichen, als sie klingt.
Häufige Fragen
Kann die Geschäftsführung die Verantwortung für IT-Sicherheit auslagern?
Die Arbeit ja, die Verantwortung nein. Ein Dienstleister übernimmt Überwachung, Bewertung und Reaktion und schuldet dafür eine vereinbarte Reaktionszeit und einen Nachweis. Die Pflicht zu wissen, ob das funktioniert, und im Ernstfall zu entscheiden, bleibt bei der Geschäftsführung. Genau deshalb ist der monatliche Bericht kein Beiwerk, sondern der eigentliche Gegenstand des Vertrags.
Müssen wir einen Cybervorfall in der Schweiz melden?
Gehen dabei Personendaten verloren oder gelangen sie an Unbefugte und entsteht daraus voraussichtlich ein hohes Risiko für die betroffenen Personen, dann ja, an den EDÖB. Für Betreiber kritischer Infrastrukturen gilt zusätzlich eine Meldepflicht innert 24 Stunden beim Bundesamt für Cybersicherheit, die für ein normales KMU nicht greift. Freiwillig melden kann jeder Betrieb.
Was legen wir dem Verwaltungsrat vor, wenn er nach IT-Sicherheit fragt?
Am besten etwas ohne Fachjargon: wer überwacht, in welcher Zeit reagiert wird, welche Vorfälle es im Berichtszeitraum gab und was daraus geändert wurde. Eine Liste offener Schwachstellen ohne Entscheidung dahinter erzeugt im Gremium vor allem Unruhe. Eine Seite mit Zuständigkeit, Reaktionszeit und Verlauf beantwortet die Frage, die gestellt wurde.