Wie viel Budget braucht Security?

Was Cyber Security ein Schweizer KMU kostet

Der Check oben liefert eine Spanne. Dieser Text erklärt, woher sie kommt, was sie bedeutet und wo das Geld zuerst wirkt — damit die Zahl nicht im Raum steht, sondern eine Entscheidung wird.

Kurz gesagt: Schweizer Unternehmen geben im Schnitt rund 11 Prozent ihres IT-Budgets für Sicherheit aus. Je nach Branche, Grösse, Datensensibilität und Regulierung liegt der sinnvolle Anteil zwischen 5 und 15 Prozent. Für ein Dienstleistungs-KMU mit 25 Mitarbeitenden sind das grob 15’000 bis 25’000 Franken pro Jahr — verteilt auf zehn Kontrollbereiche, von denen Managed Detection und Identitätsschutz die grössten sind.

Warum es keine feste Zahl gibt

Die Frage «Was kostet Cyber Security?» hat dieselbe Antwort wie «Was kostet ein Auto?»: Es kommt darauf an, wofür. Fünf Treiber bestimmen den Betrag:

• Branche. Eine Bank oder ein Spital verarbeitet Daten, deren Verlust existenzbedrohend ist, und unterliegt Aufsicht. Ein Handwerksbetrieb nicht. Der Anteil am IT-Budget schwankt deshalb von 5 Prozent bei der öffentlichen Hand bis 15 Prozent bei Finanzdienstleistern.
• Grösse. Mehr Mitarbeitende heisst mehr Konten, mehr Geräte, mehr Angriffsfläche — aber auch mehr Skaleneffekte. Ein Sicherheitsbudget wächst mit der Organisation, nur langsamer.
• Exposition. Wer sein Geschäft online macht, viele Schnittstellen betreibt oder Kunden Zugang zu Systemen gibt, ist sichtbarer als ein Betrieb, dessen IT hinter einer Firewall Buchhaltung macht.
• Regulierung. ISO 27001, nDSG, FINMA-Rundschreiben oder die Anforderungen von NIS2-Kunden verlangen Nachweise — und Nachweise kosten Zeit.
• Reifegrad. Wer bei null anfängt, braucht in den ersten zwei Jahren mehr: Grundlagen wie MFA, Backup und EDR sind einmalige Investitionen mit laufenden Kosten danach.

Der Check oben fragt genau diese fünf Dinge ab. Das ist keine wissenschaftliche Methode, aber eine ehrliche: Die Spanne ist absichtlich breit, weil eine einzelne Zahl Genauigkeit vortäuschen würde, die es nicht gibt.

Richtwerte: der Anteil am IT-Budget

Der gängigste Massstab ist der Anteil der Sicherheitsausgaben am gesamten IT-Budget. Öffentlich dokumentierte Benchmarks — etwa die jährlichen Erhebungen grosser Beratungshäuser und Analysten — landen seit Jahren bei rund 10 bis 12 Prozent als Durchschnitt über alle Branchen. Der Check verwendet 11 Prozent als Vergleichslinie und folgende Spannen je Branche:

Branche	Anteil am IT-Budget	Typische IT-Ausgaben pro Kopf
Finanzdienstleistungen	10–15 %	CHF 25’000
Gesundheitswesen	8–12 %	CHF 12’000
IT / Software	9–13 %	CHF 20’000
Industrie / Produktion	6–9 %	CHF 8’000
Handel / E-Commerce	6–9 %	CHF 7’000
Öffentliche Hand	5–8 %	CHF 9’000
Dienstleistung / KMU	6–10 %	CHF 10’000

Die IT-Ausgaben pro Kopf sind Grössenordnungen, um ein fehlendes IT-Budget zu schätzen. Wer sein Budget kennt, gibt es im Check direkt ein — das Resultat wird dann deutlich genauer. Auf die Spannen kommen Zuschläge für hohe Datensensibilität, formelle Compliance-Anforderungen und hohe Exposition sowie ein Aufschlag, wenn der Reifegrad noch bei den Grundlagen liegt.

Drei Rechenbeispiele

• Treuhandbüro, 25 Mitarbeitende, Microsoft 365, keine formellen Vorgaben: IT-Budget grob 250’000 Franken, Anteil 6 bis 10 Prozent → 15’000 bis 25’000 Franken pro Jahr.
• Maschinenbauer, 100 Mitarbeitende, eigene Server, Kunden verlangen ISO 27001: IT-Budget grob 800’000 Franken, Anteil 6 bis 9 Prozent plus Compliance-Zuschlag → rund 55’000 bis 85’000 Franken.
• Software-Firma, 50 Mitarbeitende, Online-Geschäft kritisch, Gesundheitsdaten: IT-Budget grob 1 Million, Anteil 9 bis 13 Prozent plus Zuschläge für Daten und Exposition → 100’000 bis 150’000 Franken.

Auffällig: Der Betrag pro Mitarbeitenden liegt in allen drei Fällen zwischen 600 und 3’000 Franken pro Jahr. Wer deutlich darunter liegt, sollte wissen, warum.

Wo das Geld zuerst wirkt

Ein Budget ist nur so gut wie seine Verteilung. Der Check teilt den Betrag auf zehn Kontrollbereiche auf, gewichtet nach Grösse — bei kleinen Firmen dominiert eingekaufte Überwachung, bei grossen das eigene Personal. Für ein KMU mit 10 bis 50 Mitarbeitenden sieht die Verteilung ungefähr so aus:

1. Managed Detection (MDR/SOC), rund ein Fünftel. Jemand muss nachts auf die Alarme schauen. Ein KMU hat dafür kein eigenes Team; ein externer Dienst kostet einen Bruchteil davon.
2. Security-Personal und Know-how, rund 15 Prozent. Meist ein Teilpensum einer Person, die den Überblick behält, plus Weiterbildung.
3. Identity & Access, rund 12 Prozent. MFA, Conditional Access, Rechteverwaltung. Bei Microsoft 365 ist der grösste Teil davon in Business Premium enthalten — wie man ihn nutzt, zeigt Microsoft 365 härten: 12 Einstellungen.
4. Endpoint & EDR, rund 12 Prozent. Der Schutz auf jedem Gerät, der auch dann greift, wenn die Mail durchgekommen ist.
5. Netzwerk, rund 8 Prozent. Firewall, Segmentierung, VPN.
6. Backup & Resilienz, rund 8 Prozent. Getestete, offline gehaltene Sicherungen — die Massnahme, die Erpressung ihre Hebelwirkung nimmt.
7. Awareness & Phishing-Training, rund 8 Prozent. Die günstigste Massnahme mit der breitesten Wirkung; die Phishing-Simulation zeigt, worum es dabei geht.
8. SIEM & Logging, rund 5 Prozent. Logs einschalten, aufbewahren, durchsuchbar machen.
9. GRC, Audits & Pentests, rund 5 Prozent. Nachweise, Risikoregister, ein Test pro Jahr.
10. IR-Retainer & Reserve, rund 5 Prozent. Ein Vertrag mit einem Incident-Response-Team, bevor man ihn braucht, und eine Reserve für den Ernstfall.

Die Reihenfolge ist keine Rangliste der Wichtigkeit, sondern der Kosten. Die wichtigste Massnahme ist oft die billigste: MFA für alle kostet bei den meisten Lizenzen nichts und stoppt den grössten Teil der Kontoübernahmen. Was ein Assessment in Microsoft 365 typischerweise findet, steht in M365-Assessment: Wo Tenants wirklich verwundbar sind.

Regulatorik treibt das Budget

Der Compliance-Zuschlag im Check ist kein Selbstzweck. Drei Entwicklungen erhöhen den Nachweisaufwand für Schweizer Unternehmen gleichzeitig:

• NIS2 über die Lieferkette. EU-Kunden reichen ihre Pflichten vertraglich weiter — Fragebögen, Auditrechte, Sicherheitsanhänge. Was das konkret heisst, steht in NIS2 und die Schweiz.
• ISG und Meldepflicht. Seit April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innert 24 Stunden dem BACS melden. Melden kann nur, wer erkennt — das ist ein Argument für Detection, nicht nur für Papier.
• nDSG. Das revidierte Datenschutzgesetz verlangt angemessene Massnahmen und macht Verletzungen der Datensicherheit meldepflichtig.

Wer auf all das mit einem Zertifikat antworten will, findet in ISO 27001 für Schweizer KMU Aufwand, Kosten und einen Fahrplan. Die Kosten dafür liegen im GRC-Anteil des Budgets — und im ersten Jahr meist darüber.

Nachweise und Reifegrad

Der Reifegrad-Score im Check ist bewusst grob: Basis, solide, fortgeschritten, korrigiert um Compliance-Anforderungen und Risiko. Er soll eine Frage beantworten: Wissen wir, wo wir stehen? Ein Unternehmen, das seine Risiken kennt, seine Massnahmen dokumentiert und Belege dafür hat, ist nicht automatisch sicherer — aber es kann Prioritäten setzen und Fragen beantworten. Dafür braucht es kein teures Werkzeug: CISO Assistant ist Open Source und deckt Assessments, Risikoregister und Evidenzen ab; wer Alternativen sehen will, findet sie im Vergleich von Open-Source-GRC-Tools.

Was ein Angriff kostet

Die andere Seite der Rechnung ist der Schaden. Er besteht selten aus dem Lösegeld — meist aus Stillstand. Eine einfache Überschlagsrechnung für das eigene Unternehmen: Tagesumsatz mal Anzahl Tage, an denen ohne IT nicht gearbeitet werden kann, plus Wiederherstellungskosten, plus das, was Kundenvertrauen wert ist. Bei einem Betrieb mit 5 Millionen Umsatz und zehn Ausfalltagen sind das schnell 200’000 Franken, bevor ein einziger Franken Lösegeld bezahlt ist. Das Bundesamt für Cybersicherheit (BACS) dokumentiert in seinen Halbjahresberichten, dass Ransomware und Betrug per Kontoübernahme die häufigsten gemeldeten Vorfälle bei Unternehmen sind — nicht die spektakulären Fälle aus den Schlagzeilen.

Wie eine solche Kompromittierung Schritt für Schritt abläuft und an welchen fünf Stellen sie sich stoppen lässt, zeigt die Anatomie eines Angriffs. Jede dieser Stellen entspricht einem Kontrollbereich aus der Liste oben.

Budget nach Reifegrad: die ersten drei Jahre

Ein Sicherheitsbudget ist keine Konstante. Wer bei den Grundlagen anfängt, gibt in den ersten zwei Jahren mehr aus als später — und sollte das einplanen, statt jedes Jahr neu zu erschrecken.

• Jahr 1 — Grundlagen. MFA für alle, Legacy-Protokolle weg, getestete Backups, EDR auf allen Geräten, ein Passwortmanager, die ersten Schulungen. Der Aufschlag im Check («Basis») bildet genau dieses Jahr ab: Einmalige Projekte kommen zu den laufenden Kosten dazu.
• Jahr 2 — Sichtbarkeit. Logs zentral sammeln, einen MDR-Dienst einkaufen, Alarme definieren, ein erster Penetrationstest. Jetzt entsteht der Teil des Budgets, der wiederkehrt.
• Jahr 3 — Nachweis und Routine. Risikoregister, Massnahmenplan, interne Audits, vielleicht ISO 27001. Das Budget pendelt sich auf dem Branchenwert ein; der Reifegrad-Score sollte jetzt bei «etabliert» oder darüber liegen.

Wer diesen Verlauf kennt, kann der Geschäftsleitung eine Kurve zeigen statt einer Zahl — und das ist meist das überzeugendere Argument.

Typische Fehler beim Budgetieren

• Nur Produkte zählen. Lizenzen sind der sichtbare Teil. Die Zeit, sie richtig einzustellen und zu überwachen, ist der grössere — und fehlt in den meisten Budgets.
• Einmalig statt laufend. Eine Firewall kaufen und drei Jahre nicht anfassen ist keine Sicherheit, sondern eine Momentaufnahme.
• Awareness vergessen. Die günstigste Position wird am häufigsten gestrichen — dabei beginnt fast jeder Angriff mit einer Nachricht an einen Menschen.
• Keine Reserve. Ein Vorfall kommt nie zum Budgettermin. Fünf Prozent Reserve verhindern, dass im Ernstfall die falschen Entscheide aus Kostengründen fallen.
• Am Reifegrad vorbei kaufen. Ein SIEM ohne jemanden, der es liest, ist ein teurer Speicher. Erst Grundlagen, dann Sichtbarkeit, dann Automatisierung.

Wie der Check rechnet

Transparenz gehört dazu: Der Check nimmt die Spanne je Branche als Basis, schätzt bei fehlender Angabe das IT-Budget aus Branche und Mitarbeiterzahl, addiert Zuschläge in Prozentpunkten für Datensensibilität, Compliance-Anforderungen und Exposition, zieht einen halben Punkt ab, wenn das Programm bereits fortgeschritten ist, und legt einen Punkt drauf, wenn es noch bei den Grundlagen steht. Der Reifegrad-Score startet je nach Selbsteinschätzung bei 35, 60 oder 82 Punkten und wird um Compliance-Bonus und Risiko-Malus korrigiert. Die Verteilung auf die zehn Bereiche folgt einer Tabelle je Grössenklasse. Alle Werte sind Richtwerte aus öffentlich dokumentierten Benchmarks — keine Beratung, aber ein Anfang für ein Gespräch mit der Geschäftsleitung.

Häufige Fragen

Reichen 3 Prozent des IT-Budgets?

Für einen Betrieb ohne sensible Daten, ohne Online-Geschäft und ohne Vorgaben vielleicht. Für alle anderen liegt das deutlich unter jedem Benchmark — und meist fehlen dann genau die Dinge, die einen Angriff stoppen: Überwachung, getestete Backups, Training.

Ist Microsoft 365 Business Premium schon «Security»?

Ein grosser Teil davon, ja: MFA, Conditional Access, Defender für Endgeräte und E-Mail sind enthalten. Aber enthalten ist nicht eingeschaltet. Die Lizenz ist die Basis, die Konfiguration und die Überwachung sind das Budget.

Sollte ein KMU ein eigenes SOC aufbauen?

Unter einigen hundert Mitarbeitenden praktisch nie. Ein externer MDR-Dienst liefert Überwachung rund um die Uhr für einen Bruchteil der Kosten einer einzigen Vollzeitstelle — deshalb ist er im Check für kleine Firmen der grösste Posten.

Wie oft sollte das Budget überprüft werden?

Jährlich mit dem IT-Budget, und zusätzlich nach jedem Ereignis, das die Treiber verändert: neue Kunden mit Vorgaben, neue Standorte, ein Vorfall, ein Wechsel in die Cloud.