«Wir haben ja einen Virenschutz.» Diesen Satz hören wir oft, wenn wir ein Unternehmen zum ersten Mal besuchen. Viele KMU fühlen sich damit gut geschützt: In der Studie «KMU Cybersicherheit 2026» schätzt sich jedes zweite Unternehmen als gut oder sehr gut geschützt ein. Das ist nachvollziehbar, denn oft ist über Jahre nichts passiert.

Doch die Zeiten haben sich geändert. Mit KI finden Angreifer Schwachstellen schneller. Selbst Sicherheitsfachleute und Softwarehersteller kommen mit dem Schliessen von Lücken kaum noch nach.

Gerade deshalb lohnt sich ein genauer Blick. Bei Neukunden finden wir regelmässig dieselben Schwachpunkte. Nicht, weil jemand etwas falsch gemacht hätte, sondern weil Lösungen im Alltag gewachsen sind. In diesem Artikel zeigen wir Geschäftsleitungen und IT-Verantwortlichen fünf Befunde aus unserer Praxis und für jeden den kleinen nächsten Schritt.

Wie kann ein Klick trotz Virenschutz weite Kreise ziehen?

Das folgende Szenario ist kein realer Kundenfall, sondern ein typischer Ablauf. Stellen Sie sich ein Planungsbüro mit zwölf Mitarbeitenden vor:

1. Eine Mitarbeiterin öffnet den Anhang einer täuschend echten Rechnung.
2. Der Virenschutz kennt die neue Schadsoftware noch nicht und schlägt nicht an.
3. Der PC läuft mit Admin-Rechten. Die Schadsoftware erhält dadurch weitreichenden Zugriff auf das Gerät.
4. Auf dem Share, also der gemeinsamen Netzwerkfreigabe, liegt eine Excel-Liste mit Passwörtern.
5. Im Netzwerk kann jedes Gerät jedes andere erreichen. Die Schadsoftware gelangt so auf Server und NAS.
6. Das Backup ist ebenfalls über das Netzwerk erreichbar und wird mitverschlüsselt. Eine Kopie ausser Haus, ein sogenanntes Offsite-Backup, gibt es nicht.

Aus einem betroffenen PC wird so ein Problem für das ganze Unternehmen. Die gute Nachricht: Jeder dieser Schritte lässt sich unterbrechen. Genau dort setzen die folgenden Abschnitte an.

Was schützt ein Virenschutz und warum reicht er nicht?

Das sehen wir: Auf die Frage nach der IT-Sicherheit nennen viele Unternehmen zuerst ihren Virenschutz. Weitere Massnahmen fehlen teilweise oder sind nicht festgelegt.

Das kann passieren: Ein Virenschutz erkennt vor allem Schadsoftware. Viele Angriffe zielen aber auf Menschen und Zugangsdaten. Auch das Bundesamt für Cybersicherheit (BACS) rät, sich nicht allein auf Antivirensoftware zu verlassen, weil selbst aktuelle Programme nicht jede Bedrohung erkennen.

Diese Übersicht zeigt, wo der Virenschutz hilft und wo Sie zusätzliche Massnahmen brauchen:

Situation	Hilft der Virenschutz?	Was zusätzlich hilft
Bekannte Schadsoftware	Ja	Updates
Neue, noch unbekannte Schadsoftware	Teilweise	EDR, eingeschränkte Rechte
Gefälschte Login-Seite	Teilweise	Passkeys
Anmeldung mit gestohlenem Passwort	Kaum	MFA, Passkeys
Gefälschte Zahlungsanweisung per E-Mail	Kaum	Rückruf, Vier-Augen-Prinzip
Zugriff auf eine Passwort-Liste mit gültigem Konto	Kaum	Passwortmanager, Zugriffsrechte
Ausbreitung im Netzwerk	Kaum	Netzsegmentierung
Daten nach einem Angriff wiederherstellen	Nein	Getrenntes, geprüftes Backup

EDR (Endpoint Detection and Response) überwacht das Verhalten auf einem Gerät und erkennt so auch verdächtige Abläufe, für die es noch keine bekannte Signatur gibt. MFA (Multi-Faktor-Authentifizierung) verlangt bei der Anmeldung neben dem Passwort einen zweiten Nachweis.

Der kleine nächste Schritt: Behalten Sie Ihren Virenschutz und halten Sie ihn aktuell. Gehen Sie zusätzlich die Tabelle einmal mit Blick auf Ihren Betrieb durch. Warum sich dabei auch der Umstieg auf Passkeys lohnt und was sich beim Microsoft-Login ändert, lesen Sie in unseren separaten Artikeln.

Warum sind lokale Admin-Rechte ein Risiko?

Das sehen wir: Mitarbeitende arbeiten täglich mit Admin-Rechten, also mit vollen Verwaltungsrechten auf ihrem PC. Oft waren diese Rechte einmal für eine Installation nötig und sind danach geblieben.

Das kann passieren: Schadsoftware arbeitet in der Regel mit den Rechten der angemeldeten Person. Mit Admin-Rechten kann sie sich auf dem PC dauerhaft festsetzen, Schutzfunktionen wie den Virenschutz abschalten und gespeicherte Zugangsdaten auslesen.

Der kleine nächste Schritt: Nutzen Sie im Alltag ein Standardkonto und für konkrete Verwaltungsaufgaben ein separates Admin-Konto. Das empfehlen wir auch in Regel 8 unserer Verhaltensregeln zur Cyberresilienz.

Die Sorge, danach nicht mehr normal arbeiten zu können, hören wir oft. Fakt ist aber, dass die meisten Anwendungen darauf ausgelegt sind, mit Standardrechten zu laufen. Für einzelne ältere Programme braucht es allenfalls eine gezielte Lösung.

Warum gehören Passwörter nicht in eine Excel-Liste?

Das sehen wir: Die Passwort-Liste auf dem Share treffen wir bei Neukunden regelmässig an. Sie ist praktisch und meist gut gemeint, denn so finden alle die Zugänge rasch wieder.

Das kann passieren: Angreifer durchsuchen gezielt lokale Dateien und Netzwerkfreigaben nach gespeicherten Zugangsdaten. Eine solche Liste wirkt wie ein Schlüsselkasten, in dem alle Firmenschlüssel beschriftet hängen. Zudem können Sie nicht nachvollziehen, wer die Datei kopiert oder ausgedruckt hat. Gut möglich also, dass ehemalige Mitarbeitende noch heute eine Kopie der Liste besitzen.

Der kleine nächste Schritt: So lösen Sie die Liste ab:

1. Durchsuchen Sie den Share nach Dateien, die Passwörter enthalten.
2. Führen Sie einen Passwortmanager mit Teamfunktion ein. Er regelt, wer welche Zugänge sehen darf.
3. Übernehmen Sie die Einträge und ändern Sie wichtige Passwörter, denn die alte Liste könnte bereits kopiert worden sein. Richten Sie dabei am besten gleich auch MFA oder Passkeys ein.
4. Löschen Sie die Liste, auch alte Versionen und Kopien.
5. Regeln Sie Austritte: Zugriffe entziehen und geteilte Passwörter ändern. Mit SSO (Single Sign-On, also einer zentralen Anmeldung für alle Dienste) genügt dafür oft schon das Sperren des zentralen Kontos.

Warum sollte nicht jedes Gerät jedes andere erreichen?

Das sehen wir: In Büros mit eigener Infrastruktur vor Ort hängen PCs, Server, NAS (ein Netzwerkspeicher), Drucker, Kameras und oft auch das Gäste-WLAN im selben Netzwerk. Jedes Gerät kann jedes andere erreichen.

Das kann passieren: Angreifer nutzen ein befallenes Gerät als Sprungbrett. Meist nisten sie sich zuerst unbemerkt ein und bewegen sich dann Schritt für Schritt zu weiteren Systemen im Netzwerk. In einem Netzwerk ohne Trennung stellt sich ihnen dabei nichts in den Weg. Stellen Sie sich ein Gebäude ohne Brandschutztüren vor: Ein Feuer in einem Raum erreicht ungehindert alle Stockwerke. Netzsegmentierung teilt das Netzwerk in getrennte Bereiche auf, zwischen denen nur die nötigen Verbindungen erlaubt sind.

Der kleine nächste Schritt: Beginnen Sie mit den naheliegenden Trennungen:

1. Trennen Sie das Gäste-WLAN vom Firmennetz.
2. Verschieben Sie Drucker, Kameras und andere vernetzte Geräte in einen eigenen Bereich.
3. Machen Sie Server, NAS und Backup nur für die Geräte erreichbar, die sie wirklich brauchen.

Technisch geschieht das meist über VLANs (virtuelle Netzwerke auf derselben Hardware) und Regeln in der Firewall. Ob Ihre bestehenden Geräte das unterstützen, lässt sich in der Regel rasch klären. Planen Sie gerade einen Neubau oder Umbau? Dann lohnt es sich, das Netzwerk von Anfang an mitzuplanen.

Woher wissen Sie, dass Ihr Backup im Ernstfall funktioniert?

Das sehen wir: Ein Backup ist eingerichtet, doch niemand kontrolliert regelmässig, ob es auch läuft. Eine Wiederherstellung wurde nie getestet.

Das kann passieren: Ob ein Backup funktioniert, zeigt sich oft erst im Ernstfall. Dann stellt sich heraus, dass die Sicherung seit Wochen fehlschlägt oder wichtige Ordner fehlen. Es ist wie ein Reserverad ohne Luft: Sie merken es erst bei der Panne. Zudem versuchen Angreifer gezielt, Backups auszuschalten, zu löschen oder zu verschlüsseln, damit eine Wiederherstellung nicht mehr möglich ist.

Der kleine nächste Schritt:

1. Bestimmen Sie eine Person, welche die Meldungen der Backup-Software regelmässig prüft.
2. Stellen Sie testweise Dateien oder einen ganzen Ordner wieder her, zum Beispiel einmal pro Quartal.
3. Bewahren Sie mindestens eine Kopie getrennt vom Netzwerk auf. Das entspricht der 3-2-1-Regel: drei Kopien Ihrer Daten, auf zwei verschiedenen Speichermedien, eine davon ausser Haus. Mehr dazu in den Regeln 10 und 11 unserer Verhaltensregeln zur Cyberresilienz.

Wo fangen Sie am besten an?

Sie müssen nicht alles gleichzeitig angehen. Wir empfehlen diese Reihenfolge:

1. Passwort-Liste ablösen: Hier senken Sie ein grosses Risiko mit überschaubaren Mitteln.
2. Admin-Rechte im Alltag entfernen: So begrenzen Sie, wie weit ein einzelner Klick reicht.
3. MFA oder Passkeys einrichten: Beginnen Sie bei E-Mail und Cloud-Diensten. Wo möglich, schützen Sie auch interne Anwendungen mit MFA, etwa den Fernzugriff ins Firmennetz oder die Buchhaltung. Bei Konten, die sich mehrere Personen im Team teilen, wirkt MFA oft wie eine grosse Hürde. Dafür gibt es praxistaugliche Lösungen, und wir helfen Ihnen gerne weiter.
4. Backup prüfen: Testen Sie eine Wiederherstellung und legen Sie fest, wer die Meldungen kontrolliert.
5. Netzwerk aufteilen: Trennen Sie zuerst Gäste-WLAN und vernetzte Geräte wie Drucker und Kameras ab.

Diese fünf Schritte bilden eine solide Grundlage. Arbeitet Ihr Unternehmen mit besonders sensiblen Daten oder hängen kritische Abläufe an der IT, etwa in einer Arztpraxis oder Anwaltskanzlei, braucht es zusätzliche Massnahmen. Diese hier aufzuführen, würde den Rahmen des Artikels sprengen. Gerne geben wir Ihnen dazu weitere Informationen.

Sie müssen das nicht allein lösen. Wenn Sie unsicher sind, wo Sie beginnen sollen, helfen wir Ihnen gerne bei der Einordnung.

Häufig gestellte Fragen

Reicht der integrierte Virenschutz von Windows aus?

Windows bringt bereits einen Virenschutz mit, der einen soliden Basisschutz bietet. Daneben gibt es zahlreiche weitere Anbieter. Viele davon haben Lösungen speziell für Unternehmen im Angebot, die zum Beispiel EDR und eine zentrale Verwaltung aller Geräte enthalten. Welche Lösung für Sie sinnvoll ist, hängt von Ihrer Umgebung und Ihren Anforderungen ab. Unabhängig vom Produkt gilt: Ein Virenschutz ersetzt weder MFA noch sauber geregelte Rechte.

Ist eine Excel-Liste mit Passwortschutz sicher genug?

Ein Passwortschutz ist besser als eine offene Datei, löst aber die Kernprobleme nicht und lässt sich oft relativ einfach knacken. Meist kennen mehrere Personen dasselbe Passwort. Sie sehen nicht, wer wann auf welchen Zugang zugegriffen hat. Und bei einem Austritt lässt sich das Wissen nicht zurücknehmen. Ein Passwortmanager mit Teamfunktion ist deshalb die bessere Wahl.

Können Mitarbeitende ohne Admin-Rechte normal arbeiten?

Ja, in den meisten Fällen. Die meisten Anwendungen sind für Standardrechte ausgelegt. Für Installationen und Verwaltungsaufgaben nutzt die zuständige Person ein separates Admin-Konto. Auch wir arbeiten im Alltag ohne Admin-Rechte, und zwar unter Windows, macOS und Linux.

Lohnt sich eine Netzsegmentierung auch für ein kleines Büro?

Ja. Schon ein vom Firmennetz getrenntes Gäste-WLAN ist eine einfache Form der Segmentierung. Wie fein Sie das Netzwerk darüber hinaus aufteilen, hängt von Ihren Geräten und Abläufen ab.

Wie oft sollten wir unser Backup testen?

Eine feste Regel gibt es nicht. Wir empfehlen, mindestens einmal pro Quartal und vor und nach grösseren Änderungen an der IT eine Wiederherstellung zu testen. Prüfen Sie dabei nicht nur, ob die Datei zurückkommt, sondern auch, ob sie sich öffnen lässt.

Fazit: Kleine Schritte wirken mehr als ein gutes Gefühl

Ein Virenschutz ist ein sinnvoller Baustein, ersetzt aber keine Vorsorge. Mit getrennten Admin-Konten, einem Passwortmanager im Team, einem aufgeteilten Netzwerk und einem geprüften Backup unterbrechen Sie typische Angriffswege an wichtigen Stellen.

Der nächste Schritt ist die Vorbereitung auf den Ernstfall, denn laut der Studie verfügen nur 28 % der KMU über einen Notfallplan.

Haben Sie Fragen zu einem dieser Punkte? Melden Sie sich gerne bei uns, auch wenn es nur um eine kurze Frage geht. Zum Kennenlernen kommen Sie gerne bei uns vorbei, oder wir besuchen Sie in Ihrem Unternehmen. Jetzt Kontakt aufnehmen