Ein neues Framework aus dem Crypto Valley beantwortet eine Frage, die sich jedes Schweizer Startup irgendwann stellt: Womit anfangen, wenn ISO 27001 zwei Nummern zu gross ist – und Nichtstun keine Option mehr?
Das Dilemma jedes Gründerteams
Es gibt einen Punkt in der Entwicklung eines Startups, an dem Sicherheit vom abstrakten Thema zum konkreten Problem wird. Meist ist es der erste Enterprise-Kunde, der einen Security-Fragebogen schickt. Oder der Investor, der in der Due Diligence nach Prozessen fragt. Oder – schlimmstenfalls – der Vorfall selbst.
Was Gründerinnen und Gründer an diesem Punkt vorfinden, hilft ihnen selten weiter. NIST CSF, ISO 27001, SOC 2, CIS Controls: allesamt geschrieben für Organisationen mit Security-Abteilung, dediziertem Budget und Zeit zum Planen. Ein Team von fünf Leuten mit begrenztem Runway hat nichts davon. Es hat ein Produkt zu bauen.
Die Crypto Valley Association hat Ende Mai 2026 ein Dokument publiziert, das dieses Dilemma explizit adressiert. Das «Cyber Framework for Startups» ist zwar für Digital-Asset-Unternehmen geschrieben – der Aufbau und die Denklogik sind aber für jedes technologiegetriebene Startup interessant.
Die eigentliche Idee: Priorisierung statt Vollständigkeit
Der Kern des Frameworks ist nicht die Liste der Massnahmen. Die findet man verstreut auch anderswo. Der Kern ist die Sortierung in drei Reifestufen:
Crawl – Getting Started. Jene 20 Prozent der Massnahmen, die 80 Prozent der Vorfälle verhindern. Die Formulierung der Autoren ist unmissverständlich: Wer diese überspringt, wird gehackt.
Walk – Building Resilience. Wiederholbare Prozesse, die den Weggang einzelner Personen überleben. Pflicht, sobald es Nutzer oder Vermögenswerte gibt.
Run – Institutional Grade. Auditierbar, mehrschichtig, tauglich für regulierte Umgebungen und Due Diligence durch Gegenparteien.
Zwei Punkte machen das Modell für Gründer brauchbar. Erstens: Die Stufen hängen nicht an der Teamgrösse, sondern am Risiko. Vier Leute, die kritische Kundendaten oder Vermögenswerte verwalten, gehören ab Tag eins auf Walk. Zweitens: Die Einstufung erfolgt pro Themenbereich. Es ist völlig legitim, beim Zugriffsmanagement auf Walk zu stehen und bei Developer Security auf Crawl – solange man weiss, dass es so ist.
Genau das ist der Unterschied zu einer Compliance-Checkliste. Man arbeitet nicht 400 Kontrollen ab, sondern beantwortet die Frage: Wo stehe ich, und was ist der nächste sinnvolle Schritt?
Wie ein Crawl-Level konkret aussieht
Damit klar wird, wie niederschwellig der Einstieg gedacht ist – drei Beispiele aus verschiedenen Kapiteln.
- Verantwortlichkeit (Governance). Eine Person als benannte Eigentümerin der Informationssicherheit bestimmen; Teilzeit ist ausdrücklich zulässig. Die Führung bestätigt ihre Verantwortung schriftlich. Dokumentieren, wer für welches kritische System zuständig ist. Das war’s. Kein ISMS, kein Policy-Ordner.
- Asset-Inventar. Ein einziges Spreadsheet, das alle Cloud-Accounts und wichtigen SaaS-Tools auflistet – Code-Repository, CI/CD, Ticketing, CRM. Pro Eintrag: eine verantwortliche Person, der Zweck, die Umgebung (Dev/Test/Prod). Und: «Neues Asset ins Inventar eintragen» wird zum festen Schritt beim Onboarding jedes neuen Tools.
- Menschen. Jede neue Person absolviert am ersten Tag ein Basis-Briefing – MFA einrichten, Passwortmanager, Geräteverschlüsselung – bevor sie Zugriff auf Produktionssysteme erhält. Dazu eine kurze Acceptable Use Policy, die alle lesen und unterschreiben. Einmal jährlich eine formale Schulung mit Nachweis.
Nichts davon kostet Geld. Alles davon lässt sich an einem Nachmittag aufsetzen. Und genau das ist der Punkt: Die Hürde ist nicht das Budget, sondern die Entscheidung, es zu tun.
Warum das Nachrüsten so teuer ist
Markus Perdrizat, Chairman der CVA Cybersecurity Working Group und Initiator des Frameworks, begründet das Projekt im Vorwort mit einer Beobachtung, die weit über Krypto hinausreicht: Er habe wiederholt erfolgreiche Teams scheitern sehen.
Product-Market-Fit sei schwer zu erreichen. Wenn er aber eintritt, muss es sehr schnell gehen. Und wenn die Fundamente zu diesem Zeitpunkt falsch gelegt sind, ist Nachrüsten enorm teuer – teilweise praktisch unmöglich. Wer beim Start nicht vorbereitet ist, hat bereits verloren.
Dazu kommt ein Zeitfaktor: Mit den kommenden KI-Modellen verkürze sich die Spanne zwischen erfolgreichem Launch und erstem ernsthaften Angriff für alle, die nicht vorbereitet sind, spürbar. Automatisierte Angriffe skalieren – manuelle Vorbereitung nicht.
Der Nebeneffekt: Fundraising und Enterprise-Sales
Das Framework adressiert neben Gründern ausdrücklich eine zweite Zielgruppe: Investoren, Auditorinnen und Berater, die Frühphasenunternehmen beurteilen. Die Reifestufen sollen ein gemeinsames Vokabular liefern für die Frage, wo ein Startup in seiner jeweiligen Wachstumsphase stehen sollte.
Für Gründerteams ist das ein praktisches Argument. Eine Selbsteinschätzung entlang der drei Stufen ist ein Artefakt, das man in eine Due Diligence oder ein Enterprise-Sales-Gespräch legen kann. Nicht als Zertifikat – das Framework ist ausdrücklich keines und liefert kein Attestat –, sondern als Beleg dafür, dass das Thema strukturiert bearbeitet wird und man die eigenen Lücken kennt.
Die Autoren argumentieren zudem, dass die Umsetzung den späteren Weg zu ISO 27001, SOC 2 oder einer Lizenzierung erheblich verkürzt. Wer Walk erreicht hat, muss für ein Audit nicht bei null anfangen.
Wo die Grenzen liegen
Ehrlichkeitshalber gehört dazu, was das Dokument nicht ist – und es sagt das selbst deutlich:
- Keine Rechtsberatung. Jurisdiktionsspezifische Pflichten gehören zu qualifiziertem Rechtsbeistand.
- Kein Ersatz für professionelle Security-Arbeit bei Skalierung. Ab Walk und Run braucht es externe Audits und eine dedizierte Security-Funktion.
- Kein Zertifikat.
- Nichts Statisches. Vorgesehen ist eine jährliche Überarbeitung, bei materiellen Änderungen der Bedrohungs- oder Regulierungslage früher.
Und: Ein erheblicher Teil des Inhalts ist krypto-spezifisch – Key Management, Smart-Contract-Sicherheit, On-Chain-Monitoring. Wer kein Digital-Asset-Startup baut, überspringt diese Kapitel. Die Governance-, Risiko-, Vendor-, DevSecOps-, Incident- und Awareness-Kapitel sind dagegen weitgehend branchenneutral nutzbar.
Was Gründer daraus mitnehmen können
Drei Dinge lassen sich unabhängig von der Branche übernehmen:
- Priorisieren statt vervollständigen. Die relevante Frage ist nicht «Was fehlt uns alles?», sondern «Was sind die drei Dinge, deren Fehlen uns umbringt?».
- Reifestufe pro Bereich bestimmen, nicht fürs Unternehmen. Ungleichmässige Reife ist normal. Gefährlich wird sie erst, wenn niemand sie kennt.
- Den Termin für die Wiederholung setzen. Sicherheitsniveau zerfällt mit der Zeit; das Framework empfiehlt mindestens eine jährliche Neubeurteilung.
Verfasst wurde das Dokument von 13 Praktikern aus Security-Engineering, Kryptografie, Recht, Risiko und Compliance mit Erfahrung bei Börsen, Custodians, Infrastrukturanbietern und regulierten Finanzinstituten. Edition 1.0 ist am 28. Mai 2026 erschienen und über die Crypto Valley Association verfügbar.
Perdrizats Rat im Vorwort ist entsprechend pragmatisch gehalten: lesen, mit einer KI darüber diskutieren, umsetzen was zur eigenen Phase passt – und nächstes Jahr wiederkommen und mehr umsetzen. Sicherheit ist kein Projekt mit Enddatum.
🔒@thecryptovalley has published the 2026 CVA Cybersecurity Framework for Startups: 17 chapters, a three-level maturity model (Crawl / Walk / Run) and actionable checklists, built by 13 practitioners from crypto exchanges, custodians and regulated financial institutions.
Inside:… pic.twitter.com/GvosEOWCuB
— Crypto Valley (@thecryptovalley) August 7, 2026