Kaum Awareness-Kampagnen

Wie die Umfrageergebnisse weiter zeigen, fühlen sich 60 Prozent der KMU durch Firewalls und Virenschutzprogramme ausreichend vor Zugriffen auf ihre Unternehmensdaten geschützt. Immerhin 17 Prozent aller Befragten glauben, dass ihre IT-Schutzmassnahmen nicht ausreichen, rund ein Viertel der befragten KMU konnten nicht einschätzen, ob sie genügend Schutzvorkehrungen getroffen haben.

Und auch bei den weiteren technischen Abwehr- und Vorsorgemassnahmen gibt es Unterschiede: 73 Prozent aller befragten KMU machen ein regelmässiges Backup ihrer Daten, etwas mehr als zwei Drittel haben eine Virensoftware installiert. 55 Prozent der befragten KMU haben eine Firewall installiert, um das Unternehmensnetzwerk zu schützen, nur 46 Prozent hat Richtlinien für Passwörter etabliert.

Ebenfalls weniger im Fokus zur Verbesserung der IT-Sicherheit stehen die eigenen Mitarbeitenden, nur zwei von fünf KMU sensibilisieren ihre Belegschaft für die bestehenden Cyberrisiken. Dabei zeigen sich deutliche Unterschiede in Bezug auf die Unternehmensgrösse: Während 74 Prozent der grossen KMU mit 50 bis 250 Mitarbeitenden ihre Belegschaft für mögliche IT-Risiken sensibilisiert, tun dies nur 51 Prozent der mittleren KMU mit 10 bis 49 Beschäftigten und nur 38 Prozent der kleinen KMU mit 2 bis 9 Mitarbeitenden.

Doch gerade hier sollten KMU investieren, rät Axas Cyberexpertin Rothenbühler. «Bei rund 70 Prozent der Cyberattacken öffnen die Mitarbeitenden das Einfallstor für Schadsoftware. Entsprechend sollte vor allem in die Ausbildung des eigenen Personals investiert werden», gibt sie zu Protokoll. Nicht nur die Software müsse regelmässig auf den neusten Stand gebracht werden, sondern eben auch die eigenen Leute, fügt Rothenbühler an. «So wird das Eindringen für die Kriminellen erschwert und falls es doch zu einer Infektion kommt, wissen gut geschulte Mitarbeitende auch, wie sie reagieren müssen», erklärt sie.

Noch kaum auf dem Radar haben die KMU das neue Datenschutzgesetz. Die Studienergebnisse zeigen, dass sich gut ein Fünftel der befragten KMU von der Totalrevision gar nicht betroffen fühlt. Und auch von denjenigen Unternehmen, die sich im Geltungsbereich des DSG sehen, ist bis anhin erst jedes zweite KMU aktiv geworden. Gerade einmal 16 Prozent haben schon Informationen dazu eingeholt, konkrete Umsetzungsmassnahmen wurden nur von rund jedem zehnten KMU ergriffen.

Brigitte Imbach, Anwältin und Data Privacy Officer der Axa-Arag, warnt davor, die Auswirkungen des neuen Datenschutzgesetzes zu unterschätzen: «Mit der Totalrevision des Schweizer Datenschutzgesetzes ändern sich ab September 2023 wichtige Bestimmungen über die Bearbeitung von Personendaten, davon sind auch kleine und mittlere Unternehmen betroffen.»

Vorsätzliche Verstösse gegen das neue Datenschutzgesetz wie Verletzung von Informations-, Auskunfts-, Mitwirkungs- oder Sorgfaltspflichten können mit Bussen bis 250'000 Franken sanktioniert werden. Gebüsst wird grundsätzlich die verantwortliche natürliche Person. Neu kann jedoch auch das Unternehmen selbst mit einer Busse bis 50'000 Franken betraft werden, wenn die Ermittlung der fehlbaren Person innerhalb des Unternehmens mit unverhältnismässigem Untersuchungsaufwand verbunden wäre.

«KMU tun deshalb gut daran, die neuen gesetzlichen Datenschutzanforderungen rechtzeitig in ihrem Unternehmen umzusetzen sowie ihre Datenschutzerklärungen und -richtlinien zu überprüfen und entsprechend anzupassen. Wer unternehmensintern nicht über die nötigen Kompetenzen verfügt, sollte externe Unterstützung in Anspruch nehmen und sich unbedingt beraten lassen», rät die Expertin.