Schweizerdeutsch
DSG trat 2023 in Kraft. Drei Jahre später zeigen die Zahlen: knapp 70 % der Schweizer KMU mit mehr als 50 Mitarbeitenden haben noch keine belastbare, audierte Sicherheitsstrategie.
Gleichzeitig wurden 2024/25 im Schnitt 118’000 Franken pro Unternehmen für „IT-Security“ ausgegeben.
Wohin ist das Geld gegangen?
Die vier grössten Verschwendungen, die wir in Audits immer wieder sehen:
-
Tool-Sammlung statt Architektur
11 verschiedene Security-Tools, die niemand richtig betreibt und die trotzdem Lücken lassen, weil die Daten nie richtig korreliert werden. -
„Wir haben ein SOC“ (bei einem 24/7 Dienstleister, den keiner kennt)
Die SLA klingt toll. Bis du realisierst, dass der Dienstleister nur Alarme produziert, aber niemand intern die Ownership übernimmt. -
Einmaliger Penetration-Test pro Jahr und danach wieder Ruhe
Sehr teuer und nach 11 Monaten schon wieder irrelevant, weil drei neue Web-Apps und eine veraltete Exchange-Version live sind. -
Zero-Trust als Marketing-Slide
„Wir haben Zero-Trust.“ – Zwei Wochen später meldet sich der Praktikant aus dem Home-Office mit Global-Admin-Rechten per VPN ohne MFA.
Was wirklich den Unterschied macht (und fast nie teuer ist):
- Ein einziges, sauberes Logging- und Alerting-Konzept mit klarer Eskalationsmatrix (bei uns meist unter 20 Zeilen Terraform).
- Quartalsweise, kleine rote-team Übungen statt gigantischer Jahres-Audits.
- Ein CISO oder Security-Verantwortlicher im eigenen Haus, der auch gegenüber der Geschäftsleitung berichten kann – keine reine Berater-Rolle.
Mini-Case (real, 58 Mitarbeitende, Zürich):
Vorher: 147’000 Franken/Jahr Security-Budget, monatlich 300+ Alert-E-Mails, zwei Datenschutzvorfälle 2024.
Nach 5 Monaten mit uns:
- Budget runter auf 61’000 Franken
- 14 relevante Alerts/Monat (alles andere automatisch gefiltert)
- 0 Datenschutzvorfälle
- Erfolgreiche DSG-interne Revision im Oktober 2025
Fazit:
Compliance ist kein Tool-Kauf. Es ist ein Prozess, den du leben musst. Und genau deshalb versickert bei so vielen so viel Geld ohne Ergebnis.
English
The Swiss Data Protection Act became fully applicable in 2023.
Three years later, roughly 70 % of Swiss companies with 50+ employees still do not have an audited, enforceable security posture — while spending an average of CHF 118 k per year on “cybersecurity”.
Where did the money actually go?
The four most common money pits we see in post-mortems:
- Tool sprawl without architecture – 11 different consoles nobody really owns.
- “We have a SOC” (outsourced 24/7 to a partner nobody in the company has met).
- Expensive annual pentest followed by radio silence for the other eleven months.
- “Zero-Trust” as the title of a single PowerPoint slide created by the last consultant.
What actually moved the needle in every project that worked:
- One clean, centralised telemetry + alerting layer (usually < 20 lines of Terraform).
- Small, recurring tabletop + red-team exercises every quarter.
- At least one internal person who owns the risk register and can speak in front of the board.
Real case (58-employee Zurich company):
Before our engagement: CHF 147 k / year, 300+ noise alerts per month, two privacy incidents in 2024.
After five months: CHF 61 k annual spend, 14 actionable alerts/month, zero privacy incidents, clean internal DSG audit.
Security theatre is expensive.
Real, living processes are cheaper and they actually work.