Cyberangriffe: wie sich Unternehmen wirksam schützen

Als einer der folgenreichsten Cyberangriffe gilt der Ransomware-Angriff auf die Berner IT-Firma Xplain im Mai 2023. Dabei wurden rund 1,3 Millionen Datenobjekte gestohlen, darunter über 9000 Objekte der Bundesverwaltung. Mehr als die Hälfte davon mit sensitiven Informationen. Betroffen waren unter anderem das Bundesamt für Polizei (Fedpol), das Bundesamt für Zoll und Grenzsicherheit (BAZG), diverse Kantonspolizeien, die SBB und der Kanton Aargau.

Auch grosse Schweizer Unternehmen und Bundesstellen sind nicht vor professionellen Cyberangriffen gefeit.

Ein Cyberangriff kann unterschiedlich ablaufen, je nach dem Ziel der Kriminellen. Bei Ransomware-Angriffen verschlüsseln die Angreifer zunächst wichtige Daten und Systeme des Unternehmens und fordern dann Lösegeld für die Entschlüsselung. Oft werden die Daten zusätzlich gestohlen und mit Veröffentlichung gedroht.

Bei Phishing-Angriffen gelangen Kriminelle über gefälschte E-Mails oder Websites an Zugangsdaten und können sich dann im Firmennetzwerk ausbreiten. CEO-Fraud und Invoice-Fraud zielen direkt auf Zahlungen ab, indem Mitarbeitende zur Überweisung an falsche Konten verleitet werden. Vishing-Angriffe nutzen Telefonanrufe, um Opfer zur Installation von Remote-Software zu bewegen, was den Kriminellen vollständigen Systemzugriff verschafft. 

Die Folgen reichen von Datenverlust über Betriebsunterbrechungen bis hin zu massiven finanziellen Schäden und Reputationsverlust. Besonders kritisch: Viele Angriffe bleiben zunächst unbemerkt, während die Täter systematisch das Netzwerk durchsuchen.

Die Dauer eines Cyberangriffs variiert stark. Die eigentliche Kompromittierung eines Systems kann innerhalb von Minuten oder Stunden erfolgen, zum Beispiel wenn ein Mitarbeiter oder eine Mitarbeiterin auf einen Phishing-Link klickt oder Zugangsdaten preisgibt. Professionelle Angreifer verweilen jedoch oft wochenlang unentdeckt im Netzwerk, bevor sie zuschlagen. Diese Phase nutzen sie, um Administratorrechte zu erlangen, weitere Systeme zu infiltrieren und wertvolle Daten zu identifizieren. Bei Ransomware-Angriffen erfolgt die Verschlüsselung dann schlagartig, oft nachts oder am Wochenende, wenn niemand reagieren kann.

Die Wiederherstellung nach einem Angriff dauert typischerweise Tage bis Wochen. Kritisch ist dabei die Detektionszeit: Je schneller ein Angriff erkannt wird, desto geringer ist der Schaden. Das BACS empfiehlt daher kontinuierliche Überwachung und schnelle Reaktionsmechanismen.

In der Schweiz haftet bei Datenschutzverletzungen nicht das Unternehmen, sondern die verantwortliche natürliche Person – ein wichtiger Unterschied zur EU-DSGVO. Das revidierte Datenschutzgesetz (DSG) sieht Bussen bis zu 250 000 Franken vor, die sich gegen den Organisationsverantwortlichen richten, typischerweise Geschäftsleitung oder Verwaltungsrat. Voraussetzung ist vorsätzliches Handeln, wobei bereits Eventualvorsatz (das Inkaufnehmen eines Verstosses) genügt. 

Ein häufiger Irrtum: Cyberangriffe gelten nicht automatisch als «höhere Gewalt». Wenn grundlegende Schutzmassnahmen wie Zwei-Faktor-Authentifizierung oder Firewalls fehlen, wird der Angriff oft als vermeidbar eingestuft. Seit April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innerhalb von 24 Stunden dem BACS melden. Bei einem Verstoss drohen Bussen bis zu 100 000 Franken. Zusätzlich zur strafrechtlichen Haftung sind zivilrechtliche Schadenersatzforderungen von betroffenen Kunden oder Geschäftspartnern möglich. Unternehmen sollten daher angemessene technische und organisatorische Massnahmen implementieren und dokumentieren.

Cyberangriffe verfolgen hauptsächlich zwei Ziele: erstens finanzieller Gewinn durch Erpressung (Ransomware), Betrug (CEO-Fraud, Invoice-Fraud) oder Diebstahl von Zahlungsinformationen. Zweitens Datendiebstahl und Spionage, etwa von Geschäftsgeheimnissen, Kundendaten oder strategischen Informationen. Manchmal werden beide Ziele kombiniert: Daten werden gestohlen und das Unternehmen wird zusätzlich erpresst. 

Die Verantwortung für die Cybersicherheit ist geteilt: Die Geschäftsleitung trägt die strategische Verantwortung und muss angemessene Massnahmen und Budgets bereitstellen. Die IT-Abteilung implementiert technische Sicherheitsmassnahmen wie Firewalls, Antivirensoftware und Zugriffskontrollen. Doch die wichtigste Verteidigungslinie sind die Mitarbeitenden selbst: Da über 90 Prozent der erfolgreichen Angriffe auf menschliches Fehlverhalten zurückgehen (Klick auf Phishing-Link, Preisgabe von Passwörtern), ist kontinuierliche Sensibilisierung und Schulung unerlässlich. Cybersicherheit ist somit keine reine IT-Aufgabe, sondern eine gesamtunternehmerische Verantwortung, die nur durch Zusammenarbeit aller Beteiligten funktioniert.