Mitarbeitende in kleinen und mittleren Schweizer Unternehmen unterschätzen die Gefahr von Cyberattacken für den eigenen Betrieb. Um dieses von den eigenen Mitarbeitenden ausgehende Cyberrisiko zu senken, braucht es Sensibilisierungsmassnahmen und die Vorbereitung von Notfallszenarien. Das zeigt eine aktuelle Studie der ZHAW Zürcher Hochschule für Angewandte Wissenschaften und von Allianz Suisse.

Mitarbeitende sind gegenüber den Cyberrisiken nicht genügend wachsam

Die Einstellung der eigenen Mitarbeitenden gegenüber Cyberattacken macht kleine und mittlere Schweizer Unternehmen verwundbar: Zwar sind sich die Mitarbeitenden der allgemeinen Risiken von Cyberkriminalität und des grossen Schadenpotenzials eines Angriffs durchaus bewusst. Allerdings schätzen sie ihren eigenen Betrieb und sich selbst nicht als wichtig genug ein, um ein lohnendes Ziel darzustellen. Diese Haltung verleitet Mitarbeitende allzu oft dazu, gegenüber den Cyberrisiken nicht genügend wachsam zu sein. Zu diesem Ergebnis kommt die Studie «Cyberrisiken und Schweizer KMU: Eine Untersuchung der Einstellungen von Mitarbeitenden und verhaltensbedingter Anfälligkeiten», welche das «Institut für Risk & Insurance» der ZHAW Zürcher Hochschule für Angewandte Wissenschaften in Zusammenarbeit mit Allianz Suisse durchgeführt hat. Die Forschenden haben dafür vertiefte Interviews mit Mitarbeitenden aus ausgewählten Betrieben geführt, um ihre Haltungen und die Treiber von Entscheidungen zu verstehen, die hinsichtlich Cyberrisiken getroffen werden.

Auch die Schweiz ist stark betroffen

In der Studie wird unterstrichen: Die befragten Mitarbeitenden bringen Cyberattacken in erster Linie mit geopolitischen Konfrontationen, Terrorismus oder dem organisierten Verbrechen in Verbindung. Die Schweiz hingegen sehen sie als Ort, die im Vergleich deutlich sicherer ist. Das ist jedoch ein Trugschluss. Denn auch hierzulande waren schon rund ein Drittel der kleineren und mittleren Betriebe Cyberangriffen ausgesetzt.

Empfehlungen der Studienautoren

Um die Risiken und Auswirkung einer Cyberattacke zu senken, geben die Studienautoren eine Reihe von Empfehlungen: Diese umfassen namentlich Informationsmassnahmen durch interne oder externe informationstechnologische Profis, die Mitarbeitende für die objektive Cyberbedrohung sensibilisieren und ihnen aufzeigen, wie sie zu deren Abwehr beitragen können. Weiter sollten die Unternehmen Strategien erarbeiten, um allfällige Cyberattacken und damit verbundene Ausfälle von informationstechnologischen Systemen zu bewältigen und diese Szenarien trainieren. Bei der Entwicklung entsprechender Lösungsstrategien sollten die Betriebe ihre Mitarbeitenden aktiv einbeziehen und deren in den meisten Fällen sehr engagierte Arbeitshaltung nutzen.