Was IT-Sicherheit in einem KMU kostet, hängt weniger von deiner Grösse ab als von deiner Unordnung. In unserer Erfahrung liegen zwei Betriebe mit 120 Mitarbeitenden, gleiche Branche, vergleichbare Systeme, im Jahresaufwand für Sicherheit gut und gern um den Faktor zwei auseinander. Nicht, weil der eine besser geschützt wäre. Sondern weil der eine weiss, was er betreibt, und der andere es Stück für Stück herausfinden muss.
Die Frage selbst ist berechtigt, und sie kommt in fast jedem Erstgespräch in den ersten zehn Minuten. Nur die Standardantwort taugt wenig. Sie lautet meistens: so und so viel Prozent vom IT-Budget.
Warum die Prozentzahl eine gute Frage falsch beantwortet
Benchmarks wie "Sicherheit sollte X Prozent des IT-Budgets ausmachen" klingen nach Orientierung. Praktisch taugen sie für ein KMU wenig.
Solche Werte stammen fast immer aus Organisationen mit eigener Sicherheitsfunktion. Ein Konzern mit zwölf Leuten im Security-Team hat eine andere Kostenstruktur als ein Schweizer Industriebetrieb, bei dem der IT-Leiter das Thema nebenbei trägt. Der Mittelwert über beide Welten beschreibt keine von beiden.
Dazu kommt ein Rechenproblem, das gern übersehen wird. Ein Prozentsatz ist ein Anteil an einer Zahl, die selbst nie geprüft wurde. Wenn dein IT-Budget zu hoch ist, weil Altsysteme mitlaufen, die niemand abschaltet, dann sind acht Prozent davon auch zu viel. Ist es zu tief, sind acht Prozent zu wenig. Du rechnest einen Fehler weiter, statt ihn zu finden.
Am meisten weh tut in der Budgetdiskussion aber ein anderer Punkt: Ein Prozentsatz sagt nichts darüber, ob das Geld Schutz kauft. Zwei Firmen können denselben Betrag ausgeben. Bei der einen ist die Mehrfachabdeckung bezahlt und nie konfiguriert, bei der anderen läuft weniger, aber es läuft betreut. Die Rechnung sieht gleich aus. Das Ergebnis nicht.
Deshalb führt die Frage nach den IT-Sicherheitskosten im KMU nur weiter, wenn du sie in Blöcke zerlegst.
Die vier Blöcke, aus denen sich deine IT-Sicherheitskosten zusammensetzen
Der Posten, den alle zuerst nennen, sind Lizenzen und Werkzeuge. Meistens ist er auch der langweiligste, denn ein erheblicher Teil davon ist bei Schweizer KMU längst bezahlt. Wer Microsoft 365 in einer höheren Stufe lizenziert hat, trägt Schutzfunktionen im Abo, die im Tenant nie eingeschaltet wurden. Dieses Geld fliesst bereits ab. Die Frage ist nicht, ob du es ausgibst, sondern ob du etwas dafür bekommst.
Der zweite Block ist der Betrieb, also die Stunden, in denen jemand hinschaut, Meldungen beurteilt, Patches nachzieht, Berechtigungen aufräumt und im Ernstfall entscheidet. Er ist bei fast allen KMU der grösste und in den wenigsten Budgets sichtbar, weil er in Personalkosten verschwindet, die anders beschriftet sind. Wenn du wissen willst, was IT-Sicherheit bei dir tatsächlich kostet, rechne ihn als Erstes aus. Wie sich dieser Betrieb ohne eigenes Team organisieren lässt, haben wir in IT-Sicherheit ohne eigenes Security-Team betreiben beschrieben.
Dann kommt der Nachweis: Audits, Zertifizierungen, Kundenfragebögen, Versicherungsformulare, Dokumentation. Selten gross, aber mit einer unangenehmen Eigenschaft. Er ist fremdbestimmt. Ein einziger Enterprise-Kunde, der einen ISO-Nachweis in die Ausschreibung schreibt, kann ihn über Nacht verdoppeln. Wie sich dieser Posten in der Praxis verteilt, steht in Was kostet ISO 27001.
Bleiben die einmaligen Vorhaben. Eine Bestandsaufnahme, eine Migration, das Nachziehen einer Lücke, die du nicht mehr ignorieren willst. Diese Kosten fallen auf, weil sie als Offerte auf dem Tisch liegen, und sie sind der einzige Block, bei dem du vorher genau weisst, was du bezahlst. Unser Security Assessment mit Umsetzung kostet zum Beispiel CHF 9'800 zum Festpreis, inklusive Massnahmenplan und Stopp-Liste. Wir publizieren den Preis, damit du ihn nicht erfragen musst.
Wer diese vier Blöcke einmal nebeneinander legt, sieht meistens dasselbe Bild. Die Lizenzen werden überschätzt, der Betrieb unterschätzt, der Nachweis vergessen, und diskutiert wird ausgerechnet über den Block, der ohnehin als Zahl auf dem Tisch liegt.
Der Kostentreiber ist Unordnung, nicht die Bedrohungslage
Jetzt zum eigentlichen Punkt, und der ist unspektakulär.
Die Sicherheitskosten eines KMU richten sich nach dem unklaren Bestand, der mitläuft, und kaum nach der Zahl der Angriffe da draussen. Geräte, von denen niemand weiss, wer sie betreut. Ein Zugang, der seit dem Abgang eines Mitarbeiters offen ist. Drei Produkte, die denselben Job machen, weil jedes in einem anderen Jahr von einem anderen Anbieter verkauft wurde. Eine Meldung, die jeden Morgen aufpoppt und der niemand zugeordnet ist.
Jedes dieser Stücke kostet Geld, aber fast nie als Rechnungsposten. Es kostet Stunden. Und Stunden sind teurer als Lizenzen, weil sie beim Menschen anfallen, der ohnehin zu wenig davon hat.
Ein Beispiel aus einem Industriebetrieb, mit dem wir gearbeitet haben, anonymisiert, aber im Muster typisch. Auf den Endgeräten liefen drei Produkte, die im Kern dieselbe Aufgabe erfüllten. Eines war vor Jahren mit einem Serverprojekt mitgekommen, eines hatte der frühere Dienstleister gesetzt, eines war im Microsoft-Abo ohnehin enthalten. Alle drei erzeugten Meldungen. Keines war vollständig konfiguriert, weil sich niemand zuständig fühlte, und zwei davon bremsten in bestimmten Konstellationen die Produktion aus. Der teuerste Teil dieser Situation stand auf keiner Rechnung: Es war die Zeit, die der IT-Leiter jeden Monat damit verbrachte, Meldungen gegeneinander abzugleichen, statt eine davon zu Ende zu bearbeiten.
Das ist auch der Grund, warum Aufräumen bei den meisten KMU günstiger ist als Nachrüsten. Wer den Bestand kennt, kann Werkzeuge zusammenlegen, Doppelspurigkeiten kündigen und die frei gewordene Zeit in Betrieb stecken. Wir haben das in Sicherheitstools konsolidieren und in IT-Sicherheit richtig dimensionieren statt aufstocken ausführlicher beschrieben. Der Effekt wiederholt sich in unserer Erfahrung zuverlässig: Der Schutz steigt, der Aufwand sinkt, und niemand musste dafür etwas Neues kaufen.
Ehrlicherweise gilt das nicht unbegrenzt. Es gibt Punkte, an denen schlicht etwas fehlt und Geld die richtige Antwort ist. Aber diese Punkte findest du erst, wenn der Rest sortiert ist. Vorher kaufst du ins Ungewisse.
Die Posten, bei denen Sparen teuer wird
Damit kein falscher Eindruck entsteht: Es geht hier nicht darum, das Sicherheitsbudget grundsätzlich zu drücken. Es geht darum, es dorthin zu schieben, wo es wirkt. Ein paar Posten sind dabei die schlechtesten Sparkandidaten, die wir kennen.
Das Backup gehört dazu, genauer die Prüfung, ob es sich zurückspielen lässt. Ein Backup, das nie getestet wurde, ist eine Annahme mit Wartungsvertrag. Ebenso die Identität, also Mehrfaktor-Anmeldung und ein sauberer Prozess für Ein- und Austritte. Das ist der Bereich mit dem besten Verhältnis von Aufwand zu Wirkung, und in vielen Abos ist er bereits bezahlt.
Und dann ist da die Zuständigkeit, der unscheinbarste Posten von allen. Eine Aufgabe ohne Namen daneben wird nicht billiger. Sie wird nur später erledigt, meistens an einem Tag, an dem es ungünstig ist. Alles andere darf zur Diskussion stehen. Diese Posten stellen wir in Mandaten nicht zur Diskussion, weil das Aufräumen danach regelmässig mehr kostet als das Vorhalten davor.
Drei Fragen, mit denen du deine eigene Zahl bekommst
Für eine belastbare Zahl brauchst du keine Marktstudie. Du brauchst drei Antworten, und die kannst du in ein bis zwei Tagen zusammentragen.
Was zahlst du heute schon, ohne es als Sicherheit zu verbuchen?
Geh die Lizenzstufen durch, den Vertrag mit dem IT-Dienstleister, die Backup-Lösung, die Versicherungsprämie. Bei den meisten KMU, mit denen wir arbeiten, liegt hier bereits ein Betrag, der überrascht. Hoch ist er selten. Zusammengezählt wurde er nur nie.
Wer macht die Arbeit, und in welcher Zeit?
Nicht in Stellen, sondern in Stunden pro Monat. Frag die Person, die es tatsächlich macht, nicht die, die es verantwortet. Die beiden Antworten liegen fast immer auseinander, und die ehrlichere ist die von unten.
Was musst du im nächsten Jahr belegen können?
Ein Kunde, eine Versicherung, eine Aufsicht, eine Ausschreibung. Wenn du hier einen konkreten Namen nennen kannst, hast du einen Termin und damit eine Zahl. Wenn nicht, darf der Nachweis vorerst klein bleiben.
Mehr braucht es für eine erste Grössenordnung nicht. Was danach kommt, ist Priorisierung, und die ist eine andere Übung.
Die Zahl, mit der du anfängst
Wenn du aus diesem Text eine Sache mitnimmst: Rechne zuerst zusammen, was du heute bereits bezahlst, bevor du fragst, was du zusätzlich ausgeben solltest. Diese eine Zahl verschiebt das Gespräch mehr als jeder Benchmark, weil sie aus deinem Betrieb stammt statt aus einem Durchschnitt.
In den meisten KMU führt sie zu einer von zwei Erkenntnissen. Entweder du zahlst mehr, als du dachtest, und bekommst weniger dafür, als du annahmst. Oder du zahlst weniger, als du fürchtetest, und der Abstand zu einem soliden Schutz ist kleiner als erwartet. Beides ist eine gute Ausgangslage. Nur die Ungewissheit ist es nicht.
Eine Frage bleibt dabei offen, und wir haben dafür keine allgemeine Antwort. Ab welchem Punkt lohnt es sich für ein KMU, den Betrieb der Sicherheit dauerhaft auszulagern, statt ihn intern weiter zu verdichten? Die Schwelle liegt je nach Betrieb erstaunlich weit auseinander, und wir haben bisher kein Kriterium gefunden, das sie zuverlässig vorhersagt. Firmengrösse jedenfalls nicht.
Wenn du bei dieser Rechnung eine zweite Meinung willst, sprich uns an. Ein erstes Gespräch ist unverbindlich und kostet dich eine halbe Stunde.
Häufige Fragen
Wie viel Prozent vom IT-Budget sollte IT-Sicherheit ausmachen?
Eine belastbare Prozentzahl gibt es für ein KMU nicht. Solche Benchmarks stammen meist aus Organisationen mit eigener Sicherheitsfunktion, und sie sind ein Anteil an einem IT-Budget, das selbst nie geprüft wurde. Nützlicher ist, die eigenen Kosten in Lizenzen, Betrieb, Nachweis und einmalige Vorhaben zu zerlegen.
Welcher Kostenblock ist bei IT-Sicherheit im KMU der grösste?
In fast allen KMU ist es der Betrieb, also die Stunden für das Beurteilen von Meldungen, Patches, Berechtigungen und Entscheidungen im Ernstfall. Dieser Block taucht in den wenigsten Budgets auf, weil er in Personalkosten verschwindet, die anders beschriftet sind. Wer seine Sicherheitskosten kennen will, rechnet ihn zuerst aus.
Wie kann ein KMU IT-Sicherheitskosten senken, ohne Schutz zu verlieren?
Zuerst den Bestand klären, dann Werkzeuge zusammenlegen und Doppelspurigkeiten kündigen. In unserer Erfahrung ist Aufräumen günstiger als Nachrüsten, weil die eigentlichen Kosten in Stunden anfallen und nicht in Lizenzen. Backup-Prüfung, Mehrfaktor-Anmeldung und klare Zuständigkeiten bleiben dabei die schlechtesten Sparkandidaten.
