Die kurze Antwort
Ein Cyberangriff löst in der Schweiz nicht automatisch dieselbe Meldung für jedes Unternehmen aus. Entscheidend sind Organisation, betroffene Daten, Auswirkungen und anwendbare Spezialregeln.
| Prüffrage | Behörde | Zeitpunkt | Geltungsbereich |
|---|---|---|---|
| Verletzung der Datensicherheit mit voraussichtlich hohem Risiko? | EDÖB | So rasch als möglich | Verantwortliche nach Art. 24 DSG |
| Erfasste kritische Infrastruktur und meldepflichtiger Cyberangriff? | BACS | Innert 24 Stunden nach Entdeckung | Gesetzlich erfasste Betreiber kritischer Infrastrukturen |
| Zusätzliche Aufsichts-, Vertrags- oder Branchenpflicht? | Je nach Regel | Je nach Regel | Zum Beispiel beaufsichtigte oder besonders regulierte Organisationen |
Die feste 72-Stunden-Frist der EU-DSGVO ist keine allgemeine Frist des Schweizer DSG. Wer in mehreren Ländern tätig ist, muss jedoch zusätzlich prüfen, ob ausländisches Recht gilt.
Art. 24 DSG: Wann muss der EDÖB informiert werden?
Verantwortliche melden dem EDÖB eine Verletzung der Datensicherheit, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Die Meldung erfolgt so rasch als möglich.
Die Beurteilung sollte mindestens dokumentieren:
- welche Personendaten betroffen sein könnten;
- wie sensibel die Daten sind;
- Umfang, Dauer und mögliche Empfänger;
- mögliche Folgen für betroffene Personen;
- bereits getroffene Schutz- und Begrenzungsmassnahmen;
- weshalb ein hohes Risiko bejaht oder verneint wurde.
Betroffene Personen sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Ein rein technischer Ausfall ohne Verletzung der Datensicherheit fällt nicht allein deshalb unter Art. 24 DSG.
Der EDÖB-Leitfaden zu Data Breaches erläutert Beurteilung, Inhalt und Meldeweg.
BACS: 24 Stunden nur für erfasste kritische Infrastrukturen
Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen, die in den gesetzlichen Geltungsbereich fallen, bestimmte Cyberangriffe dem Bundesamt für Cybersicherheit (BACS) innert 24 Stunden nach Entdeckung melden.
Ob eine Organisation erfasst ist und ein Angriff die gesetzlichen Kriterien erfüllt, lässt sich nicht allein aus Branche oder Unternehmensgrösse ableiten. Das BACS stellt dafür Informationen, FAQ und ein Meldeformular bereit. Bei Unsicherheit sollte die Zuständigkeit früh geklärt und die Beurteilung dokumentiert werden.
Die Durchsetzung ist abgestuft: Das BACS weist zunächst auf die Meldepflicht hin und kann anschliessend eine Verfügung mit Strafandrohung erlassen. Eine Busse bis CHF 100’000 kommt erst bei vorsätzlicher Nichtbefolgung einer rechtskräftigen Verfügung in Betracht — nicht automatisch bei jeder verspäteten Erstmeldung.
Weitere Pflichten getrennt prüfen
Zusätzlich können aufsichtsrechtliche, strafrechtliche, arbeitsrechtliche oder vertragliche Pflichten gelten. Beispiele sind Vorgaben einer Branchenaufsicht, Informationspflichten gegenüber Geschäftspartnern oder Anforderungen aus Auftragsbearbeitungsverträgen.
Eine Strafanzeige kann sinnvoll sein, ist aber nicht für jeden Cybervorfall generell vorgeschrieben. Bei kompromittierten Zahlungen sollten Bank und Strafverfolgung möglichst früh kontaktiert werden. Für regulierte Unternehmen gehört die zuständige Compliance- oder Rechtsfunktion in den Krisenstab.
Die ersten Schritte nach einem Vorfall
Ein belastbarer Notfallplan legt Verantwortlichkeiten und sichere Kommunikationswege bereits vor dem Ereignis fest. Im Vorfall helfen diese Schritte:
- Krisenteam aktivieren. IT, Geschäftsleitung, Datenschutz, Recht und Kommunikation zusammenbringen.
- Ausbreitung begrenzen. Betroffene Systeme nach dem Incident-Response-Plan isolieren; bei Unsicherheit forensische Fachleute beiziehen, bevor Beweise verändert werden.
- Zeit und Entscheidungen protokollieren. Entdeckung, Systeme, Daten, Massnahmen und Verantwortliche fortlaufend festhalten.
- Vertragliche Hilfe aktivieren. Falls eine Cyberpolice besteht, Meldeweg und Zustimmungsvorbehalte der Police beachten.
- Meldepflichten parallel beurteilen. EDÖB, BACS, Aufsicht, Betroffene und Vertragspartner getrennt prüfen.
- Beweise sichern. Logs, Nachrichten und relevante Systeme nach forensischer Anleitung erhalten.
- Wiederherstellung kontrollieren. Nur aus geprüften Backups und nach Schliessung des Angriffswegs wieder in Betrieb gehen.
Nicht jede Standardsituation erlaubt dieselbe technische Sofortmassnahme. Ein pauschales “immer ausschalten” oder “nie ausschalten” kann Beweise oder Betrieb zusätzlich gefährden; der vorbereitete Incident-Response-Prozess ist massgebend.
Welche Rolle kann eine Cyberversicherung spielen?
Je nach Police können Incident Response, IT-Forensik, Rechtsberatung, Benachrichtigung, Krisenkommunikation oder Betriebsunterbruch versichert sein. Das ist keine automatische Leistung. Zu prüfen sind insbesondere:
- versicherte Ereignisse und Definitionen;
- Limiten, Sublimiten, Selbstbehalt und Wartefristen;
- Ausschlüsse und Sicherheitsvoraussetzungen;
- vorgegebene Dienstleister und Zustimmung vor Kosten;
- Meldefristen gegenüber dem Versicherer;
- Geltungsbereich für Behördenverfahren und Drittforderungen.
Bussen sind nicht pauschal versicherbar. Ob Verteidigungskosten oder andere Aufwendungen gedeckt sind, hängt von Recht und Vertragswortlaut ab.
Sanktionen richtig einordnen
Das DSG sieht für bestimmte vorsätzliche Pflichtverletzungen natürlicher Personen Bussen bis CHF 250’000 vor. Eine verspätete oder unterlassene Meldung nach Art. 24 DSG löst jedoch nicht automatisch eine Busse in dieser Höhe aus.
Bei der BACS-Pflicht ist die Reihenfolge ebenfalls wichtig: Hinweis, mögliche Verfügung mit Strafandrohung und erst danach eine mögliche Sanktion bei vorsätzlicher Nichtbefolgung der rechtskräftigen Verfügung.
Deshalb sollte ein Unternehmen weder verharmlosen noch mit pauschalen Maximalbussen arbeiten. Entscheidend sind die konkrete Rechtsgrundlage, der Sachverhalt und das Verfahren.
Praktische Checkliste
- Zuständige Personen und Stellvertretungen bestimmt
- Externe Notfallkontakte offline verfügbar
- Entscheidungslog und sichere Kommunikation vorbereitet
- Kriterien nach Art. 24 DSG dokumentiert
- Eigene BACS-Unterstellung geprüft
- Branchen-, Vertrags- und Auslandspflichten erfasst
- Versicherungsbedingungen und Schadenmeldung griffbereit
- Backups und Wiederherstellungsprozess getestet
- Notfallübung durchgeführt und Erkenntnisse umgesetzt
Dieser Leitfaden ist eine Orientierung und keine Rechtsberatung. Bei einem konkreten Vorfall sind die aktuelle Rechtslage, der Einzelfall und allfällige Spezialpflichten zu prüfen.