Wer in einem Unternehmen Software zur Verwaltung von Kundendaten, Rechnungen, Projekten oder Personaldaten einsetzt, arbeitet täglich mit sensiblen Informationen. Genau hier treffen sich zwei Themen, die für Schweizer KMU untrennbar zusammengehören: IT-Sicherheit und Datenschutz. IT-Sicherheit bezeichnet den technischen und organisatorischen Schutz vor Angriffen und Ausfällen, während der Datenschutz regelt, wie mit Personendaten rechtmässig umgegangen wird. Beide Aspekte sind kein Thema nur für grosse Konzerne – gerade kleinere und mittlere Unternehmen sind häufig Ziel von Cyberangriffen, weil ihre Schutzmassnahmen oft lückenhaft sind.
Diese Übersichtsseite erklärt die wichtigsten Grundlagen, zeigt, welche rechtlichen Rahmenbedingungen in der Schweiz gelten, und gibt praktische Hinweise, worauf Sie bei der Auswahl und dem Betrieb von Unternehmenssoftware achten sollten.
Viele Unternehmen gehen davon aus, dass Cyberkriminelle sich vor allem an Grossfirmen orientieren. Das Gegenteil ist häufig der Fall: Angreifer suchen gezielt nach leicht zugänglichen Schwachstellen, und kleinere Betriebe haben oft weniger Ressourcen für Abwehrmassnahmen. Ein erfolgreicher Angriff kann neben direkten finanziellen Schäden auch reputationsrechtliche Folgen haben, etwa wenn Kundendaten abgeflossen sind.
Dazu kommt: Unternehmenssoftware wie ERP- oder CRM-Systeme bündelt zentrale Geschäftsdaten an einem Ort. Werden diese Systeme kompromittiert, ist gleich der gesamte Betrieb betroffen – von der Buchhaltung bis zur Kundenkommunikation.
In der Schweiz unterliegt der Umgang mit Personendaten dem Bundesgesetz über den Datenschutz (DSG). Die revidierte Fassung dieser Regulierung in Kraft bringt einige Pflichten, die auch für den Einsatz von Unternehmenssoftware relevant sind. Kernanliegen ist, dass Personendaten rechtmässig, nachvollziehbar und nur für klar definierte Zwecke verarbeitet werden.
Wer Software bei ausländischen Anbietern einsetzt oder Daten ins Ausland überträgt, muss zusätzlich prüfen, ob ein angemessenes Datenschutzniveau gewährleistet ist. Das betrifft etwa Cloud-Dienste, deren Server nicht in der Schweiz oder in einem Land mit gleichwertigem Rechtsschutz stehen.
In der Praxis entstehen Sicherheitsrisiken selten durch raffinierte Angriffe allein – meist spielen einfache Fehler eine entscheidende Rolle. Die folgenden Schwachstellen lassen sich in vielen Betrieben finden:
Ein fiktives Beispiel: Ein Handwerksbetrieb mit zwanzig Mitarbeitenden nutzt eine Cloud-Software für Offerten und Rechnungen. Der Administrator-Account verwendet ein einfaches Passwort, das nie gewechselt wurde. Über ein gestohlenes Login verschaffen sich Angreifer Zugriff und verschlüsseln die gesamten Geschäftsdaten. Ein getestetes Backup hätte den Schaden auf wenige Stunden begrenzt – ohne Backup steht der Betrieb Wochen still.
Gute IT-Sicherheit ruht auf wenigen Grundprinzipien, die sich auch ohne grosses IT-Team umsetzen lassen.
Das sogenannte Need-to-know-Prinzip besagt: Jede Person erhält nur die Zugriffsrechte, die sie für ihre Arbeit tatsächlich braucht. Moderne Unternehmenssoftware erlaubt Rollen- und Rechtekonzepte, mit denen sich etwa Buchhaltung, Vertrieb und Geschäftsführung klar trennen lassen.
Eine Zwei-Faktor-Authentifizierung (2FA) ergänzt das Passwort um einen zweiten Nachweis, etwa einen Code aus einer App. Selbst wenn ein Passwort abhandenkommt, bleibt das Konto damit weitgehend geschützt. Bei Unternehmenssoftware mit sensiblem Datenbestand sollte 2FA heute Standard sein.
Software-Hersteller schliessen Sicherheitslücken laufend durch Updates. Wer Updates hinauszögert, lässt bekannte Schwachstellen offen. Automatische Updates oder klar geregelte Update-Zyklen helfen, dieses Risiko zu senken.
Backups sind die Versicherung gegen Ransomware, Hardwareausfälle und menschliche Fehler. Wichtig ist nicht nur die Existenz von Sicherungskopien, sondern ihre regelmässige Überprüfung: Nur ein wiederherstellbares Backup ist ein echtes Backup.
Beim Bezug von Software – insbesondere Cloud-Lösungen – wird der Anbieter zum wichtigen Partner in Datenschutzfragen. Folgende Fragen sollten Sie vor einer Entscheidung klären:
Ein seriöser Anbieter beantwortet diese Fragen bereitwillig und dokumentiert seine Massnahmen. Ablehnende oder vage Auskünfte sind ein Warnsignal.
Technik allein reicht nicht aus – Sicherheit entsteht durch das Zusammenspiel von Werkzeugen, Prozessen und Menschen.
Der Mensch bleibt die häufigste Angriffsfläche: Phishing-Mails, die an Administrator-Logins oder Rechnungsdaten gelangen, sind weit verbreitet. Kurze regelmässige Schulungen und klare Absprachen – etwa dass Passwörter niemals per E-Mail weitergegeben werden – wirken oft mehr als teure Speziallösungen.
Selbst in kleinen Teams lohnt sich eine einfache Sicherheitsrichtlinie: Wer administriert die Systeme, wie werden neue Konten angelegt und alte gelöscht, wie wird auf Vorfälle reagiert? Ein gelöschtes Konto für ausgeschiedene Mitarbeitende gehört zu den am häufigsten übersehenen Sicherheitslücken.
Datenschutz endet nicht bei der Erhebung. Personendaten, die für keinen Zweck mehr benötigt werden, sollten gelöscht werden. Unternehmenssoftware mit Aufbewahrungsregeln oder automatisierten Löschfristen erleichtert dies erheblich – wichtig auch im Hinblick auf geschäftliche Aufbewahrungspflichten, die mit Datenschutzanforderungen in Einklang gebracht werden müssen.
Wer heute eine neue Unternehmenssoftware auswählt, sollte Sicherheit und Datenschutz von Anfang an in die Entscheidung einbeziehen – nicht erst nachträglich. Ein strukturierter Vergleich hilft:
Software, die Datenschutz und Sicherheit von Grund auf mitdenkt – Fachleute sprechen von Privacy by Design – erleichtert den Betrieb nachhaltig und senkt das Risiko teurer Nachbesserungen.
IT-Sicherheit und Datenschutz sind keine einmaligen Projekte, sondern kontinuierliche Aufgaben. Wer die Grundprinzipien – minimale Zugriffe, starke Authentifizierung, aktuelle Software, getestete Backups und sensibilisierte Mitarbeitende – konsequent umsetzt, erreicht bereits ein hohes Schutzniveau. Beim Einsatz von Unternehmenssoftware zahlt sich ausserdem die sorgfältige Prüfung des Anbieters aus: Hosting-Standort, Datenvertrag und technische Massnahmen sollten so transparent wie möglich sein. So schützen Sie nicht nur Ihre Geschäftsdaten, sondern auch das Vertrauen Ihrer Kundinnen, Kunden und Mitarbeitenden – das letztlich einer Ihrer wertvollsten Unternehmenswerte ist.