Wie krisenfest ist Ihre Firma? Der Cyber-Selbsttest des Bundes

Sie haben Vieles richtig gemacht, und trotzdem fehlt das Wichtigste

Die meisten KMU, die wir betreuen, haben ein Backup. Sie haben einen Virenscanner, oft auch eine Firewall, und beim Login kommt inzwischen ein Code aufs Handy. Auf dem Papier sieht das ordentlich aus. Fragt man dann aber, wann das Backup zuletzt zurückgespielt wurde, oder wer im Notfall zuerst anruft, wird es still.

Genau das ist der wunde Punkt. Nicht dass nichts da wäre, sondern dass die einzelnen Teile nie zu einem Ganzen zusammengesetzt wurden. Das Bundesamt für Cybersicherheit (BACS) formuliert es nach seinem ersten grossen Feldversuch fast wörtlich so: Einzelne Schutzmassnahmen sind oft vorhanden, ein durchdachtes Gesamtkonzept fehlt.

Was das BACS mit CyRA vorhat

Das BACS hat ein Selbstbewertungs-Instrument gebaut, das Cyberresilienz-Assessment, kurz CyRA. Erprobt wurde es erstmals im Kanton Aargau unter realen Bedingungen, also mit echten Betrieben und nicht nur am Schreibtisch. Die Idee dahinter ist so einfach wie nützlich: Eine Firma soll ihren eigenen Stand einmal strukturiert einordnen, statt ihn nach Bauchgefühl zu schätzen.

Resilienz meint mehr als Abwehr. Ein Angriff lässt sich nicht immer verhindern. Umso mehr zählt, ob Sie ihn überstehen und danach rasch wieder arbeiten können. CyRA prüft den eigenen Stand entlang sechs sogenannter Resilienz-Ziele. Sie decken die ganze Kette ab, von der Frage, ob Sie Ihre wichtigsten Systeme überhaupt kennen, bis zur Frage, wie schnell Sie nach einem Vorfall wieder arbeiten können.

Das Ergebnis ist keine Note und kein Zertifikat. Es ist eine Standortbestimmung. Und weil viele Betriebe denselben Fragebogen ausfüllen, können Sie Ihren Stand mit anderen vergleichen. Das nimmt der Sache das Gefühl, alleine im Dunkeln zu tappen.

Warum das für einen kleinen Betrieb überhaupt zählt

Der klassische Einwand lautet: Wir sind zu klein, uns trifft es nicht. Die Erfahrung sagt das Gegenteil. Ein Verschlüsselungsangriff läuft heute automatisiert. Der Täter sucht nicht gezielt nach Ihnen, sondern nach einer offenen Tür, und ob dahinter acht oder achthundert Leute sitzen, merkt die Schadsoftware erst später.

Rechnen Sie einmal nach, was ein Stillstand kostet. Acht Mitarbeitende, die drei Tage nicht an ihre Daten kommen, keine Rechnungen, keine Aufträge, und die Nerven liegen blank. Da sind schnell zehntausende Franken weg, und das ist nur der direkte Ausfall. Der Ruf beim Kunden steht auf einem anderen Blatt.

Ein Selbsttest verhindert diesen Vorfall nicht. Aber er zeigt Ihnen vorher, wo die offene Tür ist. Das ist der Unterschied zwischen einem Feuermelder und einem Löschzug: Der eine warnt rechtzeitig, den anderen brauchen Sie erst, wenn es schon brennt.

So gehen Sie es an, ohne einen Tag zu verlieren

Setzen Sie eine ruhige Stunde an, am besten zu zweit. Der Chef weiss, was der Betrieb wirklich braucht, die IT weiss, was technisch läuft. Beides zusammen ergibt ein ehrliches Bild. Das CyRA finden Sie beim BACS unter ncsc.admin.ch, im Bereich zum Cyberresilienz-Assessment.

Füllen Sie den Fragebogen ehrlich aus, nicht so, wie es gut aussieht. Ein geschöntes Ergebnis hilft niemandem, am wenigsten Ihnen selbst. Wenn Sie bei einer Frage nicht weiterwissen, ist das kein Makel, sondern schon ein Befund. Genau die Lücken, die Sie beim Ausfüllen spüren, sind die, um die Sie sich kümmern sollten.

Am Ende haben Sie eine Liste vor sich. Widerstehen Sie der Versuchung, alles auf einmal anzupacken. Nehmen Sie sich die zwei, drei Punkte vor, die im Ernstfall den grössten Schaden abwenden. In fast allen Fällen sind das dieselben: ein Backup, das nachweislich funktioniert, ein zweiter Faktor beim Login, und ein Zettel, auf dem steht, wen man anruft, wenn nichts mehr geht.

Wo der Selbsttest an seine Grenzen kommt

Ehrlich bleiben gehört dazu, auch beim Werben für ein gutes Werkzeug. CyRA ist eine Selbstauskunft. Es prüft, was Sie zu wissen glauben, nicht, was tatsächlich der Fall ist. Wer meint, sein Backup laufe sauber, kreuzt guten Gewissens Ja an, und merkt erst beim Ernstfall, dass die letzten drei Sicherungen leer waren.

Der Selbsttest ersetzt also keine echte Prüfung. Er ist der Einstieg. Sinnvoll wird er zusammen mit den Dingen, über die wir hier schon geschrieben haben: einem Notfallplan, der die ersten 24 Stunden regelt, und einer Cyberversicherung, die im Fall der Fälle einspringt. CyRA sagt Ihnen, wo Sie stehen. Was Sie mit dem Ergebnis machen, bleibt Ihnen überlassen.

Und noch etwas: Ein Test, den Sie einmal ausfüllen und dann in einer Schublade vergessen, bringt wenig. Setzen Sie sich einen Termin, sagen wir in einem Jahr, um das Ganze zu wiederholen. Ihre IT verändert sich, neue Leute kommen, neue Programme laufen. Der Stand von heute ist in zwölf Monaten überholt.

Der ehrliche Rat zum Schluss

Wenn Sie noch nie strukturiert hingeschaut haben, wie es um Ihre IT-Sicherheit steht, ist dieser Gratis-Test des Bundes der beste Einstieg, den es gerade gibt. Er kostet Sie eine Stunde und keinen Franken, und er sagt Ihnen unbequeme Wahrheiten, bevor es ein Angreifer tut. Nehmen Sie sich diese Stunde. Der Rest ergibt sich aus dem, was Sie sehen.

Kurz-Checkliste:

• Rechnen Sie eine ruhige Stunde ein, am besten Geschäftsführung und IT gemeinsam.
• Das CyRA finden Sie beim BACS unter ncsc.admin.ch (Bereich Cyberresilienz-Assessment).
• Füllen Sie ehrlich aus. Jede Frage, bei der Sie zögern, ist selbst schon ein Befund.
• Packen Sie danach zwei bis drei Punkte an, nicht alles auf einmal.
• Zuerst das Backup testen, den zweiten Faktor beim Login einschalten, die Notfallkontakte auf einen Zettel bringen.
• Sehen Sie den Test als Standortbestimmung und wiederholen Sie ihn in einem Jahr.