Wieviel kostet eigentlich IT-Security für eine KMU?

Letzte Woche sass ich mit einem Kunden zusammen – ein Metallbau-Betrieb mit 35 Mitarbeitern in der Ostschweiz. Der Geschäftsführer hatte gerade ein Angebot von einem IT-Sicherheitsberater erhalten: 180’000 Franken für ein „umfassendes Sicherheitspaket”.

„Lukas”, sagte er, „ich habe 25’000 Franken Budget. Nicht 180’000. Was soll ich damit machen? Ist das überhaupt genug?”

‍

Die unbequeme Wahrheit: Keines dieser Budgets kauft „perfekte Sicherheit”

Selbst mit 50’000 CHF pro Jahr bist du nicht unhackbar. Nichts ist perfekt. Nichts ist absolut. Sicherheit schon gar nicht.

Aber darum geht’s nicht.

Es geht darum, dass:

1. Die meisten Angriffe scheitern (Prävention)

2. Die wenigen erfolgreichen Angriffe früh erkannt werden (Erkennung)

3. Der Schaden begrenzt wird (Reaktion) 4. Du finanziell abgesichert bist (Versicherung)

‍

Die Realität: Ein einziger Ransomware-Angriff kostet ein KMU durchschnittlich 294’000 CHF (wie ich in meinem letzten Artikel gezeigt habe). Mit intelligentem Budget-Einsatz verhinderst du entweder den Angriff komplett – oder du begrenzt den Schaden auf einen Bruchteil dieser Summe.

Kein Budget für IT-Security zu haben ist nämlich die teuerste Lösung von allen.

Also: Was kannst du mit begrenztem Budget erreichen?

In diesem Artikel zeige ich dir, wie du drei verschiedene Sicherheitsbudgets – 10’000 CHF, 25’000 CHF und 50’000 CHF pro Jahr – so ausgibst, dass du maximalen Schutz für dein Geld bekommst.

‍

Die Grundregel: Priorisieren, nicht alles auf einmal wollen

Ein Konzern gibt Millionen für Cybersecurity aus – und wird trotzdem gehackt. Als KMU mit begrenztem Budget musst du dich auf das konzentrieren, was statistisch gesehen am wahrscheinlichsten ist und am meisten Schaden verursacht.

Die Daten zeigen: - 72% der Datenschutzverletzungen beginnen mit Fehlkonfiguration oder menschlichem Fehler - 88% der KMU-Angriffe involvieren Ransomware - MFA stoppt 99,9% der automatisierten Angriffe (Microsoft-Statistik)

Was heisst das? Verhindere die häufigsten Angriffe zuerst. Dann baue Erkennung und Reaktion auf. Dann denk über fortgeschrittene Bedrohungen nach.

‍

‍

Budget 1: 10’000 CHF pro Jahr – Das Überlebenspaket

Für wen: Kleine Unternehmen (5-20 Mitarbeiter), Startups, Firmen mit sehr knappem Budget

Philosophie: Wir verhindern 80% der Angriffe, die auf „low-hanging fruits” abzielen. Wir sind kein leichtes Ziel mehr.

‍

Was du kaufst:

‍

1. Zentralverwalteter Virenscanner auf Clients und Server – 2’000 CHF/Jahr

Was du bekommst: - Professionelle Antivirus-Lösung mit zentraler Verwaltung - Malware-Schutz mit erweitertem Support des Herstellers - Monitoring und Updates über zentrale Konsole - Schutz für alle Endgeräte und Server

Warum wichtig: Consumer-Antivirus (wie gratis Avast) schützt einzelne Geräte. Enterprise-Lösungen schützen dein gesamtes Netzwerk und geben dir Übersicht: Welches Gerät ist gefährdet? Wo muss gepatcht werden?

‍

2. Sicherheitscheckup: MFA-Zugang auf Online-Ressourcen – 2’000 CHF

Was du kaufst: - Professionelles Setup von Multi-Faktor-Authentifizierung (MFA) - Für alle Cloud-Dienste: Microsoft 365, Google Workspace, etc. - Konfiguration und Mitarbeiter-Onboarding - Dokumentation

Warum wichtig: MFA allein stoppt 99,9% der automatisierten Angriffe. Aber viele Firmen haben MFA verfügbar – und nicht aktiviert. Dieser Checkup stellt sicher, dass MFA richtig implementiert ist.

‍

3. Sicherheitseinstellungen Basic in Office 365 – 1’000 CHF

Was du kaufst: - Konfiguration der Sicherheitsfeatures in Microsoft 365 - Anti-Phishing-Regeln - Anti-Spam-Filter - Safe Links und Safe Attachments (falls verfügbar in deiner Lizenz) - Audit-Logging aktivieren

Warum wichtig: Microsoft 365 hat viele Sicherheitsfeatures – die meisten sind standardmässig ausgeschaltet. Dieser Service schaltet sie ein und konfiguriert sie richtig.

‍

4. Upgrade zu Microsoft 365 Business Premium (falls noch nicht vorhanden) – 4’000 CHF/Jahr

~20 CHF/User/Monat × 15 User

Wenn du noch Office 365 Business Basic/Standard hast:

Was du zusätzlich bekommst: - Erweiterte E-Mail-Sicherheit (Anti-Phishing, Anti-Spam) - Mobile Device Management (MDM) - Information Protection (Verschlüsselung) - Cloud-Speicher mit 30-Tage-Wiederherstellung

Warum wichtig: Business Premium ist die Mindest-Lizenz für sinnvolle Security. Alles darunter fehlt kritische Features.

‍

5. Backup-Lösung – 1’500 CHF/Jahr

Was du kaufst: - Tägliche Backups aller kritischen Daten - Immutable Backups (können nicht verschlüsselt werden, selbst wenn Angreifer Admin-Zugang hat) - 3-2-1-Regel: 3 Kopien, 2 Medien, 1 offsite

Warum wichtig: Ein Ransomware-Angriff kostet im Schnitt 294’000 CHF. Mit sauberen Backups? Du sagst „Nein” zum Lösegeld, stellst Daten wieder her, und bist in 2-3 Tagen wieder online.

Aber: Backup ist nur so gut wie der Restoretest, welcher gemacht wird. Ein Backup, das du nie getestet hast, ist kein Backup – es ist eine Hoffnung.

‍

6. Security Awareness Training – 5’000 CHF/Jahr

Was du kaufst: - Vierteljährliche Phishing-Simulationen - Tracking: Wer klickt auf Phishing-Links? - Security Awareness Schulung alle 6 Monate – persönlich und auf dein Unternehmen angepasst

Warum wichtig: 72% der Angriffe beginnen mit menschlichem Fehler. Nach 6-12 Monaten Training sinkt die Klickrate auf Phishing-Links von ~30% auf unter 5%.

Der Unterschied zu generischen Online-Kursen: Persönliche Schulungen, die auf deine Branche, deine Tools, deine Prozesse zugeschnitten sind. Mitarbeiter verstehen nicht nur „klick nicht auf Links” – sie verstehen, warum und wie Angreifer gerade euer Unternehmen ins Visier nehmen.

‍

7. Professionelle Firewall – 5’000 CHF einmalig (= 1’667 CHF/Jahr über 3 Jahre)

Was du kaufst: Professionelle Firewall von Fortigate mit entsprechenden Leistungen des Herstellers (Webfilter, IPS, etc.)

Warum wichtig: Die meisten KMUs nutzen den Router vom Telecom-Provider. Diese haben meist keine Sicherheitsfunktionen.

Eine professionelle Firewall: - Blockiert bekannte Angriffs-IPs automatisch - Filtert schädliche Websites (Webfilter) - Erkennt und stoppt Angriffe in Echtzeit (Intrusion Prevention System) - Trennt IoT-Geräte vom Hauptnetzwerk

‍

8. Jährlicher Security Check-up – 2’500 CHF

Was du kaufst: - Vulnerability Scan (automatisiertes Tool) - Review der Sicherheitsrichtlinien - Bericht mit priorisierten Empfehlungen

Warum wichtig: Ein externer Blick einmal pro Jahr deckt „tote Winkel” auf – veraltete Software, offene Ports, zu viele Admin-Konten, Backups die nicht getestet wurden.

‍

Was du NICHT abgedeckt hast:

❌ Kein 24/7-Monitoring (Angriffe nachts/am Wochenende erkennst du erst Montag)

❌ Keine Advanced Threat Detection (raffinierte Angriffe)

❌ Kein Incident Response Team

❌ Keine Cyber-Versicherung

‍

Was du abgedeckt hast:

✅ 70-80% der Massen-Angriffe (Phishing, Ransomware, Brute-Force)

✅ Datenverlust durch Backup wiederherstellbar

✅ Mitarbeiter sind sensibilisiert (und persönlich geschult!)

✅ Grundlegende Netzwerk-Sicherheit

✅ MFA richtig implementiert

‍

ROI: Ein einziger Ransomware-Angriff kostet 294’000 CHF. Selbst wenn du nur einen Angriff alle 5 Jahre verhinderst: 10’000 CHF × 5 Jahre = 50’000 CHF ausgegeben. 294’000 CHF gespart. ROI: 5.9x

‍

Budget 2: 25’000 CHF pro Jahr – Die ausgewogene Lösung

Für wen: Mittelgrosse KMUs (20-50 Mitarbeiter), Firmen mit sensiblen Daten

Philosophie: Wir verhindern die meisten Angriffe UND wir können Angriffe erkennen und darauf reagieren, die durchkommen.

‍

Du behältst alles aus dem 10’000-CHF-Paket und fügst hinzu:

‍

9. Offsite Backup – 2’500 CHF/Jahr

Was du kaufst: - Auslagerung der Datensicherung zu Nettrust - Daten bleiben im Fall eines Falles zugänglich - Unabhängig von der lokalen Infrastruktur

Warum wichtig: Lokale Backups sind gut. Aber wenn dein Büro abbrennt? Wenn Ransomware auch die Backup-Festplatte verschlüsselt?

Mit Offsite-Backup bei Nettrust: - Daten sind physisch getrennt von deiner Infrastruktur - Zugriff auch bei totalem Infrastruktur-Ausfall - Schweizer Rechenzentrum, DSGVO-konform

‍

10. EDR (Endpoint Detection & Response) – 5’000 CHF/Jahr

Was ist EDR: SentinelOne, CrowdStrike Falcon, Microsoft Defender for Endpoint, Sophos XDR

Was macht EDR: Traditionelle Antivirus-Software erkennt bekannte Malware durch Signaturen. EDR beobachtet das Verhalten von Programmen: - Öffnet ein Word-Dokument plötzlich 1’000 Dateien? → Stopp, Ransomware! - Verbindet sich Excel mit einem Server in Nordkorea? → Stopp, Malware! - Lädt PowerShell verschleierte Scripts herunter? → Stopp, Angriff!

Warum wichtig: 88% der KMU-Angriffe sind Ransomware. EDR ist deine beste Verteidigung gegen moderne Ransomware, die traditionellen Antivirus umgeht.

‍

11. MDR (Managed Detection & Response) – 6’000 CHF/Jahr

Was ist MDR: Ein externer SOC (Security Operations Center) überwacht dein Netzwerk 24/7

Du kannst dir keinen internen Sicherheitsexperten leisten (Gehalt: 100’000-140’000 CHF/Jahr). Aber du kannst einen outsourcen.

MDR-Anbieter (Nettrust zum Beispiel, Sophos MDR) überwachen deine Logs und schlagen Alarm: - Login um 3 Uhr morgens ausserhalb der Schweiz? → Alert - 500 Dateien in 2 Minuten verschlüsselt? → Sofortiger Anruf + Isolation des Geräts - Verdächtige Netzwerkaktivität? → Analyse und Reaktion

Warum wichtig: Angreifer schlagen nachts und am Wochenende zu. Ohne Monitoring merkst du es erst Montag – dann ist es zu spät.

Mit MDR: Angriff wird in Minuten erkannt und gestoppt. Nicht in Stunden oder Tagen.

‍

12. Cyber-Versicherung – 3’500 CHF/Jahr

Deckung: 100’000 - 250’000 CHF

Was ist abgedeckt: - Ransomware-Lösegeldzahlung - Forensik-Kosten (Experten, die untersuchen, wie es passiert ist) - Rechtskosten (Anwälte, DSGVO-Meldungen) - Benachrichtigungskosten (Kunden informieren) - Betriebsunterbrechung (teilweise)

Wichtig: Versicherungen zahlen NUR, wenn du gewisse Grundlagen hast: - MFA aktiviert ✅ (hast du) - Backups vorhanden ✅ (hast du) - Security Training ✅ (hast du)

Warum wichtig: Selbst mit allen Vorsichtsmassnahmen kann’s passieren. Die Versicherung ist dein finanzieller Airbag.

‍

13. Incident Response Retainer – 2’000 CHF/Jahr

Was du kaufst: - Vorausbezahlte Stunden mit einem IR-Team - Im Ernstfall: Sofortiger Zugang (statt „wir rufen zurück in 3 Tagen”)

Warum wichtig: Wenn ein Angriff läuft, zählt jede Minute.

Ohne Retainer: - Du googlest „Incident Response Firma Schweiz” - Du rufst 5 Firmen an - Alle sind ausgebucht oder brauchen 2-3 Tage

Mit Retainer: - Ein Anruf → IR-Team ist in 2-4 Stunden vor Ort (oder remote) - Schaden wird begrenzt

‍

14. Erweiterte Security Awareness Training – 7’000 CHF/Jahr total

(5’000 CHF Basis + 2’000 CHF Erweiterung)

Was ändert sich: - Monatliche (statt vierteljährliche) Phishing-Simulationen - Gezielte Trainings für Risikogruppen (Buchhaltung, HR) - Erweiterte Inhalte (CEO-Fraud, Deepfakes, USB-Angriffe) - Personalisierte Schulungen für die Mitarbeitenden

Warum wichtig: Die Buchhaltung ist anders gefährdet als der Aussendienst. HR hat Zugang zu Personaldaten. Mit gezielten Trainings schulst du die richtigen Leute für die richtigen Bedrohungen.

‍

Für exakt 25’000 CHF: kleinere Firma (10 User statt 15), oder kleinere Versicherungsdeckung (50k statt 100k), oder Verzicht auf IR Retainer im ersten Jahr.

‍

Was du NICHT abgedeckt hast:

❌ Penetration Testing

❌ Vollständige Compliance-Zertifizierung (ISO 27001)

❌ Privileged Access Management

❌ DDoS-Schutz

‍

Was du abgedeckt hast:

✅ 90-95% aller Angriffe (einschliesslich raffinierterer Ransomware)

✅ 24/7-Erkennung und Reaktion

✅ Finanzielle Absicherung durch Versicherung

✅ Schnelle Hilfe im Ernstfall (IR Retainer)

✅ Moderne Malware-Erkennung (EDR)

✅ Daten auch bei Totalausfall sicher (Offsite Backup)

‍

ROI: Erwarteter Schaden pro Angriff sinkt von 294’000 CHF auf ~30’000-50’000 CHF (dank früher Erkennung + Versicherung). ROI: 4-6x

‍

Budget 3: 50’000 CHF pro Jahr – Die umfassende Lösung

Für wen: Grössere KMUs (50-100 Mitarbeiter), stark regulierte Branchen, sehr sensible Daten

Philosophie: Wir sind nicht nur sicher – wir sind compliance-ready und haben eine echte Security-Strategie.

Du behältst alles aus dem 25’000-CHF-Paket und fügst hinzu:

‍

15. Virtual CISO (vCISO) – 10’000 CHF/Jahr

Was du kaufst: 1 Tag pro Monat mit einem erfahrenen Security-Experten von Nettrust

Was macht ein vCISO: - Erstellt eine Security Roadmap (was bauen wir wann aus?) - Entwickelt Sicherheitsrichtlinien (Password Policy, Incident Response Plan, BYOD Policy) - Bereitet Compliance-Audits vor (ISO 27001, DSGVO/FADP) - Bewertet neue Risiken (Cloud-Migration, M&A, neue Software) - Berichtet an Geschäftsleitung (Risk Dashboard)

Warum wichtig: Ohne Strategy wird Sicherheit reaktiv: „Wir brauchen MFA, weil wir gehackt wurden.”

Mit vCISO wird Sicherheit proaktiv: „Wir implementieren MFA jetzt, bevor wir gehackt werden, weil 99,9% der Angriffe damit verhindert werden.”

‍

16. Jährlicher Penetration Test – 7’000 CHF

Was du kaufst: - Externes + internes Netzwerk-Testing - Web-Applikationen-Testing (wenn vorhanden) - Social Engineering Test (versuchen Hacker telefonisch an Passwörter zu kommen?)

Was ist ein Pentest: Ethische Hacker versuchen aktiv, in dein Netzwerk einzudringen – mit denselben Methoden wie echte Angreifer.

Sie finden: - Ungepatchte Schwachstellen - Fehlkonfigurationen (z.B. offener SMB-Port) - Schwache Passwörter - Unsichere WLAN-Konfiguration

Warum wichtig: Der jährliche Check-up (aus dem 10k-Paket) ist automatisiert. Ein Pentest ist manuell – Hacker finden kreative Wege, die Tools übersehen.

‍

17. Privileged Access Management (PAM) – 2’400 CHF/Jahr

Was du kaufst: 1Password Business, Keeper, CyberArk (KMU-Version)

Was ist PAM: Admin-Konten sind das Kronjuwel für Angreifer. Wer Admin ist, kontrolliert alles.

PAM: - Speichert alle Admin-Passwörter in verschlüsseltem Vault - Erzwingt MFA für Admin-Zugriff - Loggt jede Nutzung („Wer hat wann Admin-Zugriff genutzt?“) - Rotiert Passwörter automatisch

Warum wichtig: In 60% der Angriffe eskalieren Angreifer zu Admin-Rechten. Mit PAM wird das massiv schwieriger.

‍

Was du NICHT abgedeckt hast:

❌ 24/7 internes SOC-Team (du hast MDR, aber kein eigenes Team)

❌ Vollständige ISO 27001 Zertifizierung (Audit kostet zusätzlich 20-30k CHF)

❌ DDoS-Mitigation (grössere Angriffe können dich offline nehmen)

❌ Advanced Threat Hunting (proaktive Suche nach APTs)

‍

Was du abgedeckt hast:

✅ 95-98% aller Angriffe (einschliesslich sehr raffinierter)

✅ Strategische Security-Führung (vCISO)

✅ Aktive Schwachstellensuche (Pentest)

✅ Compliance-Vorbereitung (DSGVO/FADP, Grundlagen für ISO 27001)

✅ Admin-Konten gesichert (PAM)

✅ Schnellste Reaktion im Ernstfall

‍

ROI: Erwarteter Schaden pro Angriff: ~10’000-20’000 CHF (dank sehr früher Erkennung + Versicherung). ROI: 6-10x

‍

Was du für dein Geld bekommst

‍

10’000 CHF/Jahr: „Wir sind kein leichtes Ziel”

• Schutz: 70-80% der Angriffe

• Fokus: Prävention

• Für wen: Kleine Firmen, knappes Budget

Kernelemente: - Zentralverwalteter Virenscanner ✅ - MFA richtig implementiert ✅ - Backups (mit Restore-Tests!) ✅ - Personalisierte Security Trainings ✅ - Professionelle Firewall (Fortigate) ✅

‍

25’000 CHF/Jahr: „Wir können Angriffe erkennen und stoppen”

• Schutz: 90-95% der Angriffe

• Fokus: Prävention + Erkennung + Reaktion

• Für wen: Mittelgrosse KMUs, sensible Daten

Kernelemente: - Alles aus 10k ✅ - Offsite Backup (bei Nettrust) ✅ - EDR (moderne Malware-Erkennung) ✅ - MDR (24/7 Monitoring) ✅ - Cyber-Versicherung ✅ - IR Retainer (schnelle Hilfe) ✅

‍

50’000 CHF/Jahr: „Wir sind professionell abgesichert und compliance-ready”

• Schutz: 95-98% der Angriffe

• Fokus: Prävention + Erkennung + Reaktion + Strategie + Compliance

• Für wen: Grössere KMUs, stark reguliert

Kernelemente: - Alles aus 25k ✅ - Virtual CISO (Strategie) ✅ - Penetration Test (aktive Schwachstellensuche) ✅ - PAM (Admin-Konten gesichert) ✅ - Compliance-Vorbereitung ✅

‍

Die unbequeme Wahrheit (nochmal)

Selbst mit 50’000 CHF pro Jahr bist du nicht unhackbar. Aber darum geht’s nicht.

Es geht darum, dass:

1. Die meisten Angriffe scheitern (Prävention)

2. Die wenigen erfolgreichen Angriffe früh erkannt werden (Erkennung)

3. Der Schaden begrenzt wird (Reaktion)

4. Du finanziell abgesichert bist (Versicherung)

‍

Zurück zu meinem Kunden, dem Metallbau-Betrieb mit 25’000 CHF Budget:

„Lukas, ist das genug?”

Meine Antwort: „Für perfekte Sicherheit? Nein. Um zu verhindern, dass ein Ransomware-Angriff deine Firma zerstört? Ja.”

Er hat das 25k-Paket umgesetzt. Sechs Monate später: Sein MDR-Service hat um 2 Uhr morgens einen Ransomware-Angriff erkannt. Das infizierte Gerät wurde automatisch isoliert. Null Dateien verschlüsselt. Produktionsausfall: 4 Stunden (bis IT-Team am Morgen das Gerät neu aufsetzte).

Kosten: ~1’500 CHF (IT-Zeit + neues Gerät). Nicht 294’000 CHF.

Das ist der Unterschied zwischen intelligentem Budget und keinem Budget. Kein Budget ist nämlich immer das teuerste.

‍

Was ist dein nächster Schritt?

1. Wo stehst du heute?

‍Hast du MFA? Backups? Training? Wenn nein → Start bei 10k-Paket.

‍

2. Welches Budget ist realistisch?

Rechne: 0,5-1% vom Jahresumsatz für IT-Security ist Industriestandard.

‍

3. Priorisiere:

Wenn Budget knapp ist, bau schrittweise auf.

- Jahr 1: Basis (10k).

- Jahr 2: Erkennung (25k).

- Jahr 3: Strategie (50k).

‍

Und denk daran: Die teuerste Sicherheitsmassnahme ist die, die du nach einem Angriff ergreifen musst.

‍

Du kannst auch einfach bei Nettrust anrufen. Wir kümmern uns um den Rest.

‍