KMU in Luzern brauchen jetzt professionelle Cybersecurity – bevor der Angriff kommt
Luzern ist kein Einzelfall: 2023 traf ein schwerer Cyberangriff das Luzerner Kantonsspital (LUKS) und legte kritische IT-Systeme für Wochen lahm. Patientendaten waren gefährdet, der Betrieb massiv eingeschränkt. Was das Kantonsspital zu spät lernte, gilt genauso für die rund 15’000 KMU im Kanton Luzern: Wer seine Systeme nicht aktiv auf Schwachstellen testet, erfährt ihre Existenz erst dann, wenn Angreifer sie bereits ausnutzen.
Cybersecurity in Luzern bedeutet heute mehr als Firewall und Antivirenprogramm. Unternehmen aus dem Tourismus, der Versicherungsbranche, dem Gesundheitswesen und dem wachsenden Tech-Sektor rund um die Hochschule Luzern (HSLU) stehen vor realen Bedrohungen – und haben gleichzeitig den Vorteil, auf spezialisierte Sicherheitspartner mit Zentralschweizer Verankerung zugreifen zu können.
Warum Luzerner KMU besonders im Visier stehen
Der Wirtschaftsstandort Luzern: Vielfalt als Angriffsfläche
Der Kanton Luzern vereint eine ungewöhnliche Mischung aus Branchen: Rund 3 Millionen Übernachtungen pro Jahr machen den Tourismus zum grössten Wirtschaftsfaktor – Hotels, Reisebüros und Freizeitbetriebe verarbeiten täglich riesige Mengen an Kreditkartendaten und Buchungsinformationen. Gleichzeitig hat sich Luzern als Versicherungsstandort etabliert: Unternehmen wie die Mobiliar und zahlreiche Versicherungsbroker halten hochsensible Kundendaten. Die HSLU bringt zudem kontinuierlich Start-ups und Spin-offs hervor, die oft proven Technologien entwickeln, aber Cybersecurity in der frühen Phase vernachlässigen.
Diese Branchenmischung schafft vielfältige Einfallstore. Angreifer wissen: Ein kompromittiertes Hotel-PMS gibt Zugriff auf zehntausende Kreditkartennummern. Ein gehackter Versicherungsbroker liefert vollständige Personendaten für Identitätsdiebstahl. Ein Start-up ohne IT-Sicherheit ist die schwächste Stelle in der Lieferkette eines grösseren Unternehmens.
Zahlen zur Bedrohungslage
- 43 % aller Cyberangriffe in der Schweiz richten sich gegen KMU mit weniger als 250 Mitarbeitenden (NCSC Jahresbericht 2024)
- CHF 85’000 beträgt der durchschnittliche Schaden pro erfolgreichen Ransomware-Angriff auf ein Schweizer KMU – ohne Reputationsschäden und Kundenverluste
- 67 % der betroffenen Unternehmen entdecken einen Angriff erst nach mehr als 90 Tagen – in dieser Zeit haben Angreifer freien Zugriff auf alle Systeme
- Der Angriff auf das LUKS 2023 kostete nach öffentlichen Schätzungen mehrere Millionen Franken in Wiederherstellung und Mehraufwand
Die häufigsten Angriffsvektoren für Luzerner Unternehmen
Phishing und Business Email Compromise
Für Luzerner KMU ist Phishing der häufigste Angriffseinstieg. Buchungsbestätigungen für Hotels, Rechnungen von Lieferanten, HR-Mitteilungen der HSLU – Angreifer kennen die lokalen Kontexte und passen ihre E-Mails entsprechend an. Business Email Compromise (BEC) zielt gezielt auf Unternehmen mit Auslandskontakten, wie sie im Luzerner Tourismussektor zahlreich vorkommen.
Ransomware gegen Dienstleister
Kleine IT-Dienstleister und Managed Service Provider (MSP) in der Zentralschweiz sind besonders gefährdet, weil ein einziger kompromittierter MSP gleichzeitig Zugriff auf Dutzende Kundenunternehmen gibt. Angreifer nutzen diese “Supply Chain”-Schwachstelle systematisch aus.
Angriffe auf veraltete Infrastruktur
Viele Luzerner KMU, besonders im traditionellen Handwerk und im Detailhandel, betreiben IT-Infrastruktur, die seit Jahren nicht grundlegend erneuert wurde. Veraltete Windows-Versionen, ungepatchte VPN-Zugänge und schwache Passwortrichtlinien sind Einladungen für automatisierte Angriffe.
Was funktioniert: Cybersecurity-Massnahmen für Luzerner KMU
Schritt 1: Bestandsaufnahme mit der Cybersecurity-Checkliste
Bevor Sie in Sicherheitsmassnahmen investieren, brauchen Sie Klarheit über Ihren aktuellen Stand. Die Cybersecurity-Checkliste für KMU führt Sie strukturiert durch die wichtigsten Kontrollfragen – von Zugriffsrechten über Backup-Strategien bis zur Mitarbeiterschulung. In weniger als zwei Stunden wissen Sie, wo Ihre grössten Risiken liegen.
Schritt 2: Technische Schwachstellen identifizieren
Ein Penetrationstest prüft Ihre Systeme auf bekannte Schwachstellen und gibt Ihnen einen klaren Bericht mit Massnahmenempfehlungen. Für KMU mit weniger als 50 Mitarbeitenden ist ein fokussierter Pentest auf kritische Systeme oft der erste sinnvolle Schritt.
Schritt 3: Realistische Angriffssimulation mit Red Teaming
Wer wirklich wissen will, ob sein Unternehmen einem gezielten Angriff standhält, braucht Red Teaming. Dabei agiert ein spezialisiertes Team wie echte Angreifer: Sie versuchen mit allen realistischen Mitteln – technisch, sozial, physisch – in Ihre Systeme einzudringen. Das Ergebnis zeigt nicht nur technische Schwachstellen, sondern auch, ob Ihre Mitarbeitenden eine Phishing-Mail erkennen, ob Ihr Sicherheitsteam den Angriff bemerkt und wie Ihre Incident-Response-Prozesse unter echtem Druck funktionieren.
Für Luzerner KMU mit sensiblen Kundendaten – ob im Tourismus, der Versicherungsbranche oder im Gesundheitsbereich – ist Red Teaming die einzige Methode, die echte Sicherheit liefert, statt falscher Gewissheit.
Luzern-spezifische Branchen und ihre Sicherheitsanforderungen
Tourismusunternehmen
Hotels, Bergbahnen und Freizeitanlagen in der Region Luzern verarbeiten täglich PCI-DSS-relevante Zahlungsdaten. Anforderungen: Sichere Zahlungsterminals, segmentierte Netzwerke, geschützte Buchungssysteme, regelmässige Penetrationstests der Zahlungsinfrastruktur.
Versicherungen und Finanzdienstleister
Versicherungsbroker und Vermögensverwalter unterliegen der FINMA-Regulierung und müssen Kundengelder sowie Personendaten nach höchsten Standards schützen. Anforderungen: Datenverschlüsselung, strenge Zugriffskontrollen, Notfallplanung (BCP), regelmässige Sicherheitsaudits.
HSLU-Spin-offs und Tech-Start-ups
Junge Unternehmen aus dem HSLU-Umfeld unterschätzen oft, wie wertvoll ihr geistiges Eigentum für Mitbewerber und staatlich gesponserte Angreifer ist. Anforderungen: Schutz von Quellcode und Forschungsdaten, sichere Cloud-Konfigurationen, Entwickler-Sicherheitsschulungen (DevSecOps).
Gesundheitswesen und Praxen
Nach dem LUKS-Angriff ist das Bewusstsein gestiegen, aber viele Arztpraxen und Spitexdienste in der Agglomeration Luzern haben ihre Sicherheitsmassnahmen noch nicht angepasst. Anforderungen: Verschlüsselte Patientenakten, sichere Fernzugriffe, Backup-Konzepte für Behandlungsdaten.
Red Teaming vs. klassischer Penetrationstest: Was braucht Ihr Luzerner KMU?
Der Unterschied ist entscheidend. Ein Penetrationstest ist strukturiert, zeitlich begrenzt und prüft bekannte Schwachstellen in definierten Systemen. Red Teaming ist unstrukturiert, szenariobasiert und simuliert einen echten, zielgerichteten Angriff über Wochen hinweg – inklusive Social Engineering, physischer Infiltration und Angriffe auf Mitarbeitende.
Den vollständigen Vergleich mit Entscheidungshilfe für Ihr Unternehmen finden Sie unter Red Teaming vs. Penetrationstest.
Faustregel für Luzerner KMU:
- Bis 20 Mitarbeitende, keine regulierten Daten: Starten Sie mit der Checkliste und einem fokussierten Pentest
- 20–100 Mitarbeitende oder sensible Kundendaten: Penetrationstest plus gezieltes Social-Engineering-Assessment
- Ab 100 Mitarbeitende oder kritische Infrastruktur: Red Teaming als jährliche Massnahme
Was kostet Cybersecurity in Luzern?
Die vollständige Kostenübersicht für Red Teaming und Penetrationstests in der Schweiz schlüsselt alle Kostentreiber transparent auf. Als Orientierung:
- Cybersecurity-Checkliste und Beratung: CHF 1’500–4’500
- Fokussierter Penetrationstest (3–5 Tage): CHF 4’500–12’000
- Red Teaming Engagement (2–4 Wochen): ab CHF 11’900
Im Vergleich zum durchschnittlichen Schadensfall (CHF 85’000 allein an direkten Kosten, ohne Betriebsunterbruch und Reputationsschäden) ist professionelle Prävention wirtschaftlich klar vorteilhaft. Für viele Luzerner KMU ist ein Red-Teaming-Engagement günstiger als eine einzige Woche Betriebsausfall durch Ransomware.
So läuft eine Zusammenarbeit ab
- Erstgespräch (kostenlos, 30 Minuten): Sie schildern Ihre Situation, wir erklären, welche Massnahmen für Ihr Unternehmen Sinn machen
- Angebot und Scope: Gemeinsame Definition des Umfangs – welche Systeme, welche Szenarien, welcher Zeitraum
- Durchführung: Das Red-Team-Engagement läuft im Hintergrund, ohne Ihren Betrieb zu stören
- Bericht und Debriefing: Detaillierter Bericht mit priorisierten Massnahmen, präsentiert Ihrer Geschäftsleitung
- Nachsorge: Optional begleiten wir die Umsetzung der empfohlenen Massnahmen
Fazit: Luzerner KMU brauchen mehr als guten Willen
Der Angriff auf das Luzerner Kantonsspital hat gezeigt, dass auch gut ausgestattete Organisationen in der Zentralschweiz nicht automatisch sicher sind. Für KMU mit weniger Ressourcen und weniger IT-Personal ist das Risiko noch grösser – und die Konsequenzen eines erfolgreichen Angriffs oft existenzbedrohend.
Warten Sie nicht auf den eigenen Vorfall. Lassen Sie Ihre Systeme von echten Angreifern testen – bevor es die falschen tun.
Starten Sie mit einem Red-Teaming-Engagement ab CHF 11’900 und wissen Sie endlich, wie sicher Ihr Luzerner Unternehmen wirklich ist.