Jede Woche behauptet ein Artikel, dass Cyberangriffe in der Schweiz explodieren. Zahlen kursieren, oft ohne Quelle, manchmal ohne Datum. Ein KMU-Inhaber, der wissen möchte, wo er steht, sieht sich einer Mischung aus offiziellen Statistiken, kommerziellen Schätzungen und unüberprüfbaren Behauptungen gegenüber.
Dieser Artikel zitiert nur Zahlen, die von offiziellen Quellen oder von Studien mit bekannter Methodik veröffentlicht wurden. Für jede Zahl wird angegeben, was sie tatsächlich misst, und vor allem, was sie nicht misst. Genau dieser zweite Teil fehlt fast immer, und doch bestimmt er, was Sie daraus schliessen können.
Die wichtigsten Referenzzahlen
freiwillige Meldungen zu Cybervorfällen im Jahr 2025, gegenüber 62'954 im Jahr 2024
Quelle: NCSC, Halbjahresbericht 2025/II, veröffentlicht am 30. März 2026
der Meldungen im 2. Halbjahr 2025 betreffen Betrug, das sind 15'090 Meldungen
Quelle: NCSC, Halbjahresbericht 2025/II (Juli bis Dezember 2025)
der Schweizer KMU geben an, in drei Jahren Opfer eines schweren Cyberangriffs gewesen zu sein
Quelle: KMU-Cybersicherheitsstudie 2025, 515 befragte KMU
Die erste Zahl ist jene, die von den meisten Medien übernommen wird. Sie stammt vom Nationalen Zentrum für Cybersicherheit, dem NCSC, das die Meldungen der Bevölkerung und der Unternehmen zentralisiert. 2025 erhielt es 64’733 Meldungen, gegenüber 62’954 im Vorjahr. Der Anstieg existiert, ist aber moderat: rund 3 %.
Das zweite Halbjahr 2025 gliedert sich in 29’006 freiwillige Meldungen und 145 obligatorische Meldungen. Diese Unterscheidung zwischen freiwillig und obligatorisch ist wesentlich, und wir kommen weiter unten darauf zurück.
Was melden Schweizer Unternehmen tatsächlich?
Die Verteilung der Meldungen ist aufschlussreicher als ihre Gesamtzahl. Sie zeigt, welche Phänomene Menschen und Unternehmen tatsächlich im Alltag betreffen.
| Gemeldetes Phänomen | Meldungen im 2. Halbjahr 2025 | Anteil am Total |
|---|---|---|
| Betrug (alle Formen zusammen) | 15’090 | rund 52 % |
| Phishing | 6’299 | rund 22 % |
| Spam | 4’284 | rund 15 % |
| Ransomware (direkt beim NCSC gemeldet) | 57 | unter 1 % |
Quelle: NCSC, Halbjahresbericht 2025/II, für den Zeitraum Juli bis Dezember 2025. Die Anteile werden auf Basis der 29’006 freiwilligen Meldungen dieser Periode berechnet.
Daraus ergeben sich drei Erkenntnisse.
Cyberkriminalität im grossen Massstab ist vor allem Betrug. Mehr als jede zweite Meldung betrifft einen Betrugsversuch: eine gefälschte Rechnung, ein falscher technischer Support, ein gefälschter Onlineshop, eine gefälschte Investition. Diese Angriffe zielen auf Gutgläubigkeit, nicht auf technische Schwachstellen. Keine Firewall hält sie auf.
Phishing bleibt das Einfallstor Nummer eins. Mit 6’299 Meldungen bildet es die zweitgrösste Kategorie. Es ist auch jene, die dem Rest häufig vorausgeht: ein per E-Mail gestohlenes Passwort öffnet die Tür zu Betrug oder Ransomware. Unser Artikel über Phishing beschreibt die Formen, die solche Nachrichten annehmen.
Ransomware ist selten in der Zahl, aber entscheidend in den Folgen. Nur 57 Vorfälle wurden im zweiten Halbjahr 2025 direkt beim NCSC gemeldet. Die Variante Akira, bereits im ersten Halbjahr führend, hat ihre Position gefestigt. Dieses geringe Volumen sollte nicht beruhigen: Ein KMU, das von Ransomware betroffen ist, kann tagelang vollständig stillstehen.
Der Sonderfall des CEO-Betrugs
Eine Bedrohung verdient eine gesonderte Betrachtung, weil sie speziell Unternehmen und nicht die breite Öffentlichkeit betrifft. Beim CEO-Betrug gibt sich jemand als Führungskraft aus, um von einem Mitarbeitenden der Finanzabteilung eine dringende Überweisung zu erwirken.
Schweizer Unternehmen reichten im ersten Halbjahr 2025 605 Meldungen dieser Art ein, ein Rekordwert, danach 366 im zweiten Halbjahr. Der Rückgang in der zweiten Periode bedeutet nicht, dass das Phänomen dauerhaft abnimmt: Diese halbjährlichen Schwankungen folgen häufig den Kampagnen krimineller Gruppen.
Diese Zahl sollte die Aufmerksamkeit eines KMU-Inhabers besonders auf sich ziehen, denn sie entspricht genau dem Risikoprofil einer kleinen Struktur: wenige Hierarchieebenen, ein Buchhalter, der den Chef persönlich kennt, und eine Kultur, in der eine Anfrage der Geschäftsleitung nicht hinterfragt wird. Der Mechanismus wird ausführlich in unserem Artikel über CEO-Betrug beschrieben.
Welche Grenzen haben diese Zahlen?
Das ist der wichtigste Abschnitt dieses Artikels. Diese Statistiken sind die besten, über die die Schweiz verfügt, messen aber nicht das, was viele glauben.
Die 64'733 Meldungen von 2025 sind zur überwiegenden Mehrheit freiwillig. Niemand verpflichtet ein KMU, einen Vorfall zu melden. Die tatsächliche Zahl der Vorfälle in der Schweiz liegt daher notwendigerweise höher, und keine verlässliche Methode erlaubt es, diese Lücke zu beziffern. Eine Meldung bedeutet auch nicht, dass ein Angriff erfolgreich war: Viele Meldungen betreffen rechtzeitig erkannte Versuche.
Vier Verzerrungen kommen zusammen, die man kennen sollte, bevor man diese Statistiken zitiert.
Die Freiwilligkeit der Meldung. Ein Unternehmen, das einen Angriff erleidet, hat keine allgemeine Pflicht, dies zu melden. Viele tun es nicht, aus Angst um ihren Ruf, aus Angst, Kunden oder Partner zu verlieren, weil sie nicht wissen, dass ein Meldekanal existiert, oder weil sie das Problem lieber diskret mit ihrem IT-Dienstleister regeln.
Nie entdeckte Vorfälle. Man kann nur melden, was man gesehen hat. Ein betrügerischer Zugriff auf ein E-Mail-Postfach kann monatelang unentdeckt bleiben. Die Statistiken erfassen nur den sichtbaren Teil.
Der Sensibilisierungseffekt. Ein Anstieg der Meldungen kann einen Anstieg der Angriffe widerspiegeln, aber auch eine bessere Kenntnis des Meldesystems. Präventionskampagnen erhöhen mechanisch die Anzahl der Meldungen. Die beiden Effekte lassen sich unmöglich mit Sicherheit trennen.
Das Fehlen einer Abstufung. Eine Meldung für eine in drei Sekunden gelöschte Phishing-E-Mail zählt im Total genauso viel wie eine Meldung für eine Ransomware, die ein Unternehmen lahmgelegt hat. Das Total sagt nichts über den Schweregrad aus.
Diese Grenzen machen die Zahlen nicht unbrauchbar. Sie verlangen lediglich, sie als Indikator für Tendenz und Struktur der Bedrohungen zu lesen, nicht als erschöpfende Zählung.
Die Meldepflicht betrifft Ihr KMU nicht
Seit dem 1. April 2025 sind Betreiber kritischer Infrastrukturen verpflichtet, Cyberangriffe beim NCSC zu melden. Rechtsgrundlage ist das Informationssicherheitsgesetz, das ISG. Sanktionen bei Verstössen sind seit dem 1. Oktober 2025 anwendbar.
Dieser Punkt wird regelmässig falsch verstanden, auch in der Presse.
Die Meldepflicht des ISG betrifft ausschliesslich Betreiber kritischer Infrastrukturen: insbesondere Verwaltungen, Energie, Verkehr, Gesundheit, Telekommunikation und den Finanzsektor. Ein Treuhandbüro, eine Garage, eine unabhängige Arztpraxis oder ein Industrie-KMU sind von diesem Gesetz nicht betroffen. Sie können freiwillig melden, was nützlich ist, sind dazu aber nicht verpflichtet.
Die Verteilung der 145 obligatorischen Meldungen des zweiten Halbjahres 2025 bestätigt diesen Geltungsbereich: 25 % stammten aus dem öffentlichen Sektor, 18 % aus IT und Telekommunikation, 15,7 % aus Finanzen und Versicherungen.
Eine wichtige Nuance bleibt bestehen. Nicht dem ISG zu unterstehen bedeutet nicht, keine Pflichten zu haben. Das Datenschutzgesetz verpflichtet dazu, dem EDÖB Verletzungen der Sicherheit von Personendaten zu melden, die ein hohes Risiko für die betroffenen Personen darstellen. Diese Regelung ist unabhängig vom ISG und gilt für alle Unternehmen. Wir behandeln dies ausführlich in Ihre nDSG-Pflichten.
Was halten Schweizer KMU von ihrem eigenen Schutz?
Die Meldungen beim NCSC beschreiben die Bedrohungen. Sie sagen nichts über die Vorbereitung der Unternehmen aus. Dafür muss man sich der KMU-Cybersicherheitsstudie 2025 zuwenden.
Ihre Methodik ist öffentlich, was selten ist und hervorgehoben werden sollte: eine Befragung vom 25. Juni bis 5. August 2025 bei 515 KMU mit 1 bis 49 Mitarbeitenden und 336 IT-Dienstleistern, auf Initiative der Alliance Sécurité Digitale Suisse zusammen mit der Mobiliar, digitalswitzerland, der FHNW, der HES-SO Valais-Wallis, dem ISSS, der SATW, der SISA und YouGov Schweiz.
Vier Ergebnisse gehen daraus hervor.
4 % der befragten KMU geben an, in den letzten drei Jahren einen schweren Cyberangriff erlitten zu haben. Die Zahl wirkt niedrig. Sie betrifft jedoch schwere und gemeldete Angriffe, in sehr kleinen Unternehmen, von denen viele nicht über die Mittel verfügen, einen unauffälligen Vorfall zu erkennen.
42 % halten sich für ausreichend geschützt, gegenüber 55 % im Vorjahr. Dieser Vertrauensrückgang lässt sich auf zwei Arten lesen: Entweder sind KMU objektiv weniger gut geschützt, oder sie schätzen besser ein, was sie nicht wissen. Die zweite Lesart wäre eher eine gute Nachricht.
28 % betrachten das Thema nicht mehr als Priorität, gegenüber 18 %. Dieser Anstieg ist das besorgniserregendste Signal der Studie. Die Aufmerksamkeit lässt nach.
88 % beurteilen die Cyberkriminalität als ernstes Problem. Die Differenz zum vorherigen Wert fasst die Situation vieler Westschweizer KMU zusammen: Das Risiko wird grundsätzlich anerkannt, führt aber nicht zu konkreten Massnahmen.
Was sollte eine Geschäftsführung daraus mitnehmen?
Aus all diesen Daten ergeben sich drei Schlussfolgerungen, und keine davon hängt von einer fragwürdigen Schätzung ab.
Ihr Hauptrisiko ist nicht technisch, sondern menschlich. Betrug und Phishing machen zusammen fast drei Viertel der Meldungen aus. Diese Angriffe erfolgen über Ihre Mitarbeitenden, nicht über eine Schwachstelle in Ihrem Server. Die Sensibilisierung Ihres Teams bringt daher eine höhere Rendite als jede Hardware-Anschaffung.
Die Statistik, die Sie am meisten betrifft, ist jene, die niemand veröffentlicht. Es ist nicht die nationale Zahl der Angriffe, sondern Ihre Fähigkeit, wieder anzulaufen. Wie lange würde Ihr Unternehmen stillstehen, wenn Ihre Daten morgen früh verschlüsselt wären? Die Antwort hängt von Ihren Backups ab, und davon, wann Sie diese zuletzt getestet haben. Siehe die 3-2-1-Regel für Backups.
Das Fehlen einer gesetzlichen Pflicht ist kein Grund, nichts zu melden. Eine Meldung beim NCSC kostet nichts, trägt zum nationalen Wissen über Bedrohungen bei und verschafft Ihnen Zugang zu Empfehlungen. Sie gehört auch zu den Reflexen für die ersten Stunden eines Vorfalls.
Um Ihr Unternehmen konkret im Verhältnis zu diesen Erkenntnissen einzuordnen, bewertet der Cyber-Check-up in wenigen Minuten Ihre wichtigsten Schwachstellen. Alle hier beschriebenen Bedrohungen werden ausführlich im Themenbereich Bedrohungen behandelt.