IT-Sicherheitscheck für KMU: Was er kostet und was er bringt
Was ein IT-Sicherheitscheck oder IT-Audit für ein Schweizer KMU prüft, was er kostet und wann er sich lohnt. Mit Checkliste nach Empfehlungen des Bundes.
Viele KMU haben keine eigene IT-Abteilung. Die Website hat eine Agentur gebaut, die E-Mails laufen über Microsoft 365, und um den Rest kümmert sich ein Bekannter oder ein IT-Supporter, wenn etwas nicht geht. Das funktioniert, bis etwas passiert. Dann stellt sich oft heraus, dass niemand je geprüft hat, ob die Grundlagen stimmen.
Genau dafür gibt es den IT-Sicherheitscheck. In diesem Artikel erklären wir, was ein Sicherheitscheck, ein IT-Audit und ein Security Audit sind, was sie kosten und was Sie davon haben.
Warum das Thema auch kleine Firmen betrifft
Viele Inhaber denken: «Wir sind zu klein, uns greift niemand an.» Das Bundesamt für Cybersicherheit (BACS) widerspricht deutlich. Angreifer nutzen automatisierte Programme, die das ganze Internet nach Schwachstellen absuchen. Ob dahinter ein Konzern oder ein Handwerksbetrieb mit fünf Mitarbeitenden steht, spielt für diese Programme keine Rolle.
Auch eine aktuelle Studie von Deloitte zeigt die Lücke. In der Befragung von Mitarbeitenden Schweizer KMU gaben 49 Prozent an, in den letzten drei Monaten einen ernsten Cybervorfall bei ihrem Arbeitgeber erlebt zu haben. Als hoch schätzen das Risiko aber nur 22 Prozent ein. Multi-Faktor-Anmeldung, einer der wichtigsten Schutzmechanismen, gibt es laut derselben Studie erst bei 66 Prozent der Firmen.
Sicherheitscheck, IT-Audit, Security Audit: Was ist was?
Die Begriffe gehen im Alltag durcheinander. Grob lassen sie sich so unterscheiden:
| Begriff | Was geprüft wird | Für wen |
|---|---|---|
| IT-Sicherheitscheck | Die wichtigsten Grundlagen: Website, Domain, E-Mail-Schutz, Konten, Updates | Kleine und mittlere Firmen ohne eigene IT |
| IT-Audit | Die ganze IT im Vergleich mit einem Standard, inklusive Abläufe und Dokumentation | Firmen mit Vorgaben von Kunden, Banken oder Behörden |
| Security Audit | Meist gleich wie IT-Audit, mit Fokus auf Sicherheit, zum Beispiel nach ISO 27001 | Firmen, die eine Zertifizierung anstreben |
| Penetrationstest | Ein erlaubter, gezielter Angriff durch Spezialisten | Firmen mit eigener Software, Onlineshops, sensiblen Daten |
Für die meisten KMU ist der Sicherheitscheck der richtige Einstieg. Ein volles Audit oder ein Penetrationstest kostet ein Vielfaches und lohnt sich erst, wenn die Grundlagen stimmen. Sonst bezahlen Sie teure Spezialisten dafür, Ihnen zu sagen, dass ein Backup fehlt.
Was ein guter Sicherheitscheck prüft
Ein Sicherheitscheck sollte sich auf das konzentrieren, was bei kleinen Firmen am häufigsten fehlt. Das BACS nennt fünf Sofortmassnahmen, die das Schutzniveau stark erhöhen: Mehr-Faktor-Anmeldung, regelmässige Backups, konsequente Updates, Vorsicht bei E-Mails und sichere Passwörter. Ein Check zeigt Ihnen, wo Sie bei diesen Punkten stehen.
Von aussen sichtbar, ohne Zugriff auf Ihre Systeme:
- Website: Ist das SSL-Zertifikat gültig? Läuft noch veraltete Technik, zum Beispiel eine alte PHP-Version oder WordPress ohne Updates?
- E-Mail-Schutz: Können Betrüger E-Mails in Ihrem Namen verschicken? Das zeigen die Einträge SPF, DKIM und DMARC. Mehr dazu in unserem Artikel DMARC einfach erklärt.
- Domain: Wann läuft sie ab? Sind die DNS-Einträge sauber?
- Spam-Listen: Steht Ihre Domain auf einer Sperrliste, sodass Ihre E-Mails beim Kunden im Spam landen?
Remote, mit Lesezugriff auf Ihre Firmenkonten:
- Haben alle Benutzer in Microsoft 365 oder Google Workspace eine Zwei-Faktor-Anmeldung?
- Wer hat Admin-Rechte, und braucht diese Person sie wirklich?
- Gibt es alte Konten von ehemaligen Mitarbeitenden?
- Leiten Postfächer E-Mails heimlich nach aussen weiter?
- Welche Dateien sind mit Externen geteilt?
Im Gespräch oder per Fragebogen:
- Gibt es ein Backup, das nicht dauernd mit dem Netzwerk verbunden ist? Wurde die Wiederherstellung je getestet?
- Werden Updates auf allen Geräten eingespielt?
- Wissen die Mitarbeitenden, wem sie einen verdächtigen Klick melden?
Was ein Sicherheitscheck kostet
Seriöse Anbieter nennen Ihnen den Preis vorher. Bei uns sieht das so aus, alle Preise sind Endpreise:
| Angebot | Umfang | Preis |
|---|---|---|
| Sicherheitscheck | Website, Domain, E-Mail-Schutz und Spam-Listen von aussen geprüft, Bericht mit Ampel | CHF 390 |
| IT-Check Cloud | Alles aus dem Sicherheitscheck plus Microsoft 365 oder Google Workspace, komplett remote mit Lesezugriff, Massnahmenplan und Besprechung per Video | ab CHF 1’490 |
| IT-Begleitung | Laufende Überwachung, Check jedes Quartal, Ansprechpartner für IT-Fragen, 4 Stunden pro Monat inklusive | ab CHF 290 pro Monat |
| Vor Ort und Zusatzaufwand | Nicht in den Paketen: Prüfung vor Ort, Backup-Test, Umsetzung, Hilfe bei Offerten | CHF 120 pro Stunde |
Wichtig beim Vergleich: Fragen Sie immer, was nicht im Preis enthalten ist. Ein günstiger Check, der nur ein automatisches Tool laufen lässt und Ihnen 80 Seiten Fachbegriffe schickt, hilft Ihnen wenig. Ein guter Bericht sagt in einfachen Worten, was zuerst wichtig ist und was warten kann.
Was ein Sicherheitscheck bringt
1. Klarheit statt Bauchgefühl. Sie wissen danach schwarz auf weiss, wo Ihre Firma steht. Viele Inhaber sind überrascht, wie viel schon gut ist. Und wie einfach sich die Lücken oft schliessen lassen.
2. Eine Liste, die Ihr IT-Partner abarbeiten kann. Der Bericht ist eine unabhängige zweite Meinung. Sie können ihn direkt Ihrem IT-Supporter geben. Viele Punkte sind in einer Stunde erledigt.
3. Bessere Antworten gegenüber Versicherung und Kunden. Cyberversicherungen stellen im Antrag Fragen zu Backup, Updates und Zwei-Faktor-Anmeldung. Grössere Kunden schicken Lieferanten oft Sicherheitsfragebögen. Mit einem aktuellen Check können Sie diese ehrlich und vollständig beantworten. Wie das geht, lesen Sie in unserem Artikel zum Fragebogen der Cyberversicherung.
4. Datenschutz im Griff. Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz (DSG). Es verlangt, dass Sie Kundendaten mit angemessenen technischen und organisatorischen Massnahmen schützen. Laut BACS erfüllen Sie mit den grundlegenden Massnahmen bereits einen grossen Teil dieser Anforderungen.
Was ein Check nicht ist: eine Garantie. Er ist eine Momentaufnahme. Neue Lücken tauchen jede Woche auf, wie zuletzt PHP2Shell. Deshalb empfehlen wir, den Check regelmässig zu wiederholen.
So wählen Sie den richtigen Anbieter
Achten Sie auf diese Punkte:
- Fester Preis: Sie wissen vorher, was es kostet.
- Klarer Umfang: Was wird geprüft, was nicht?
- Unabhängigkeit: Wer Ihnen danach gleich neue Hardware oder Lizenzen verkaufen will, hat einen Interessenkonflikt.
- Verständlicher Bericht: Für die Geschäftsleitung, nicht nur für Informatiker.
- Schriftlicher Auftrag: Seriöse Anbieter prüfen nur Systeme, für die Sie den Auftrag gegeben haben.
Unser Angebot
Im Sicherheitscheck prüfen wir Website, Domain und E-Mail-Schutz von aussen. Sie geben uns nur Ihre Domain, kein Passwort und keinen Termin vor Ort. Sie erhalten innert 5 Arbeitstagen einen Bericht mit Ampel und klaren nächsten Schritten. Alle Pakete und Details finden Sie auf unserer Seite IT-Beratung und IT-Sicherheitscheck für KMU.
Sicherheitscheck für CHF 390 ansehen
Quellen: BACS: Erste Schritte für Unternehmen, BACS: Grundschutz für Unternehmen und Behörden, Deloitte Medienmitteilung zur KMU-Cyberstudie vom 20. August 2026. Stand: 22. Oktober 2026.
Häufige Fragen
Was kostet ein IT-Sicherheitscheck für KMU?
Das hängt vom Umfang ab. Unser Sicherheitscheck prüft Website, Domain und E-Mail von aussen und kostet CHF 390 zum Fixpreis. Der IT-Check Cloud prüft zusätzlich Microsoft 365 oder Google Workspace, komplett remote, und kostet ab CHF 1'490. Alles vor Ort und jeder Zusatzaufwand kostet CHF 120 pro Stunde. Alle Preise sind Endpreise.
Was ist der Unterschied zwischen Sicherheitscheck, IT-Audit und Security Audit?
Die Begriffe werden oft gleich verwendet. Ein Sicherheitscheck prüft die wichtigsten Grundlagen, meist von aussen und in wenigen Tagen. Ein IT-Audit oder Security Audit geht tiefer und vergleicht Ihre IT mit einem Standard, zum Beispiel ISO 27001. Ein Penetrationstest ist ein gezielter, erlaubter Angriff durch Spezialisten.
Braucht ein kleines KMU überhaupt einen Sicherheitscheck?
Ja, gerade kleine Firmen. Das Bundesamt für Cybersicherheit schreibt, dass Angreifer automatisierte Programme nutzen, die das Internet nach Schwachstellen absuchen. Die Grösse der Firma spielt dabei keine Rolle. Ein Check zeigt, wo die einfachsten Einfallstore offen sind.
Muss ich für den Check Passwörter herausgeben?
Nein. Für unseren Sicherheitscheck brauchen wir nur Ihre Domain und Ihre Bestätigung, dass sie Ihrer Firma gehört. Für den IT-Check Cloud mit Microsoft 365 oder Google Workspace richten Sie einen Lesezugriff ein. Damit sehen wir Einstellungen, aber keine E-Mails und keine Dokumente.
Wie oft sollte man die IT prüfen lassen?
Mindestens einmal pro Jahr und nach grösseren Änderungen, etwa einem neuen E-Mail-Anbieter, einer neuen Website oder einem Wechsel des IT-Partners. In unserer IT-Begleitung ab CHF 290 pro Monat, mit 4 Stunden inklusive, wiederholen wir den Sicherheitscheck jedes Quartal automatisch.
Zuletzt aktualisiert: 25. Oktober 2026