Wenn von Datendiebstahl die Rede ist, denkt man an einen Hacker, der sich gewaltsam Zugang zu einem entfernten Server verschafft. Dieses Bild gibt es, aber es täuscht. Im wirklichen Alltag eines KMU beginnt das Datenleck viel häufiger mit einer banalen Handlung: einer Datei, die an den falschen Empfänger geschickt wird, einem Laptop, der im Zug vergessen wird, einem Konto, das nach einem Weggang nie geschlossen wurde.
Das Ergebnis ist dennoch dasselbe. Informationen über Ihre Kundschaft, Ihre Mitarbeitenden oder Ihre Partner geraten aus Ihrer Kontrolle. Und ab diesem Moment müssen Sie drei Fragen beantworten: Was ist herausgekommen, wer kann damit was anfangen, und wozu sind Sie verpflichtet.
Ein Datenleck ist nicht zwangsläufig ein Hackerangriff
Der Schweizer Rechtsbegriff ist bewusst weit gefasst. Eine Verletzung der Datensicherheit ist jede Verletzung, die unbeabsichtigt oder unrechtmässig zum Verlust von Personendaten, deren Veränderung, Löschung, Vernichtung oder zu deren Offenlegung an unbefugte Personen führt. Das wichtige Wort ist «unbeabsichtigt». Der Fehler zählt genauso wie der Angriff.
| Ursache | Wie sieht das in der Praxis aus | Was macht sie wahrscheinlich |
|---|---|---|
| Hackerangriff | Eindringen in einen Server oder ein Postfach, Exfiltration von Dateien vor der Verschlüsselung | Schwaches Passwort, ungeschützter Fernzugriff, ungepatchte Schwachstelle |
| Menschliches Versagen | Anhang an den falschen Empfänger, sichtbar kopierte Kundenliste, für alle geöffneter freigegebener Ordner | Keine Kontrolle, schlecht konfigurierte Cloud-Freigabe, Zeitdruck |
| Verlust oder Diebstahl von Geräten | Laptop, Telefon oder USB-Stick verloren, mit unverschlüsselten Daten | Keine Festplattenverschlüsselung, kein Sperrcode |
| Kompromittierter Dienstleister | Die Lohnsoftware, das Treuhandbüro oder der Hoster erleidet einen Angriff, Ihre Daten gehen mit | Vertrag ohne Sicherheitsklausel, keine Sichtbarkeit über den Auftragsbearbeiter |
| Ehemaliger Mitarbeiter | Kopie der Kundendatei mitgenommen, Konto noch Monate nach dem Weggang aktiv | Kein Offboarding-Verfahren, gemeinsam genutzte Konten, nie überprüfte Zugänge |
Keine dieser fünf Zeilen ist eine Randerscheinung. Die drei mittleren erfordern von niemandem technisches Können, und sie reichen aus, um Ihre gesamte Kundendatenbank offenzulegen.
Das ist die banalste und beständigste Schwachstelle. Ein Mitarbeitender verlässt das Unternehmen, sein Badge wird zurückgegeben, sein Computer ebenfalls, aber sein Zugang zu E-Mail, CRM oder Dateifreigabe bleibt aktiv. Manchmal über Jahre hinweg. Am Tag des Weggangs muss der Widerruf der Zugänge auf derselben Liste stehen wie die Rückgabe der Schlüssel.
Welchen Wert haben Ihre Daten für einen Angreifer?
Viele Geschäftsführende denken, ihre Dateien interessierten niemanden. «Ich verkaufe Fenster, keine Staatsgeheimnisse.» Das ist eine Fehleinschätzung der Natur dieses Marktes. Daten werden nicht wegen ihres Inhalts weiterverkauft, sondern wegen dessen, was sie zu tun ermöglichen.
Identitätsübernahme und Betrug. Ein Name, ein Geburtsdatum, eine Adresse und eine AHV-Nummer reichen aus, um Konten zu eröffnen oder auf Kredit im Namen eines Dritten zu bestellen. Ihre Personaldossiers enthalten genau das.
Gezielter Zahlungsbetrug. Ihre E-Mail-Kommunikation und Ihre Buchhaltung zeigen, wer was an wen und in welchem Rhythmus bezahlt. Ein Angreifer, der das weiss, kann eine perfekt glaubwürdige gefälschte Änderung der Bankangaben zum richtigen Zeitpunkt versenden.
Sprungbrett zu Ihrer Kundschaft. Ihre Kontakte sind ein Einfallstor. Eine Nachricht, die scheinbar von einem bekannten Lieferanten kommt, mit dem richtigen Ton und den richtigen Referenzen, wird ohne Zögern geöffnet. Der Schaden verlässt dann Ihr Unternehmen und trifft Ihre Partner.
Erpressung durch Veröffentlichung. Das ist das Modell der heutigen Ransomware-Gruppen: Die Daten werden zuerst gestohlen, dann verschlüsselt, und ihre Veröffentlichung dient als zusätzliches Druckmittel. Man spricht von doppelter Erpressung. Im zweiten Halbjahr 2025 wurden dem Bundesamt für Cybersicherheit 57 Ransomware-bezogene Vorfälle gemeldet. Die vollständige Funktionsweise dieser Angriffe wird in unserem Artikel zu Ransomware beschrieben.
Über das gesamte Jahr 2025 erhielt das BACS 64’733 freiwillige Meldungen von Cybervorfällen, gegenüber 62’954 im Jahr 2024. Diese Meldungen sind freiwillig: Sie geben einen Trend an, keine vollständige Zählung.
Welche Pflichten haben Sie, wenn das Leck festgestellt wird?
Hier wenden viele Schweizer KMU in gutem Glauben Regeln an, die nicht die ihren sind.
Die Frist von 72 Stunden stammt aus der europäischen Verordnung, nicht aus dem Schweizer Recht. Das Bundesgesetz über den Datenschutz verlangt eine Meldung «so rasch als möglich», ohne Zahlenangabe. Und vor allem ist die Meldung an den EDÖB nur erforderlich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Nicht jedes Leck muss gemeldet werden.
Merken Sie sich drei grundsätzlich gültige Prinzipien.
Die Schwelle ist das hohe Risiko. Eine versehentlich intern versandte geschäftliche Kontaktadresse liegt nicht auf derselben Stufe wie eine nach aussen gelangte Lohntabelle, ein medizinisches Dossier oder eine Liste von Bankangaben. Es liegt an Ihnen, dies zu beurteilen, und vor allem, Ihre Beurteilung zu dokumentieren, auch wenn Sie zum Schluss kommen, dass keine Meldung erforderlich ist.
Eine Meldung setzt Sie nicht strafrechtlich aus. Das Gesetz sieht ausdrücklich vor, dass die dem EDÖB erstattete Meldung ohne Zustimmung der meldenden Person nicht in einem Strafverfahren gegen sie verwendet werden darf. Dieser Punkt ist wichtig zu kennen, denn die Angst vor Selbstbelastung hält viele Geschäftsführende zurück.
Wenn Sie Auftragsbearbeiter sind, gilt die Schwelle nicht für Sie. Ein Auftragsbearbeiter muss jede Verletzung seinem Auftraggeber melden, ohne Bedingung eines hohen Risikos. Wenn Sie Daten einer Kundschaft hosten oder bearbeiten, ist die Transparenz in jedem Fall geschuldet.
Hinzu kommen Pflichten, die nicht aus dem Gesetz stammen. Ihre Geschäftsverträge enthalten oft Vertraulichkeitsklauseln und Informationsfristen im Falle eines Vorfalls. Ihre Kundschaft kann Sie auf dieser Grundlage schon lange vor einer Behörde zur Rechenschaft ziehen. Das vollständige Verfahren wird in Ihren nDSG-Pflichten erläutert sowie in unserem Artikel zu der Meldung einer Verletzung.
Die realen Folgen für ein KMU
Die Verwaltungssanktion ist nicht das erste Problem. Was kostet, ist das, was danach kommt.
Der Vertrauensverlust ist unmittelbar und dauerhaft. Eine Kundin, die erfährt, dass ihre Bankangaben im Umlauf waren, denkt nicht in Kategorien der Konformität. Sie fragt sich schlicht, ob sie weiterhin mit Ihnen zusammenarbeiten will. Was dabei auf dem Spiel steht, hängt stark davon ab, wie sie es erfahren hat und von wem: Unser Artikel zur Kommunikation während eines Cyberangriffs erläutert im Detail, was, an wen und über welchen Kanal zu sagen ist.
Die vertragliche Haftung folgt. Wenn Ihr Vertrag Sie zum Schutz der anvertrauten Daten verpflichtet, kann ein Datenleck den Weg für eine Schadenersatzforderung öffnen, unabhängig von jedem offiziellen Verfahren.
Der interne Aufwand wird schliesslich weitgehend unterschätzt. Zu ermitteln, was herausgekommen ist, braucht Zeit, oft die einer externen Fachperson. Danach muss informiert werden, es müssen Fragen beantwortet und Abläufe wiederaufgebaut werden. Währenddessen produziert das Unternehmen nicht.
Prävention, in der Reihenfolge ihrer Wirksamkeit
Drei Massnahmen decken die grosse Mehrheit der Szenarien aus der Tabelle ab.
Zugriffe begrenzen. Jede Person greift nur auf das zu, was sie benötigt, und auf nichts sonst. Keine gemeinsam genutzten Konten, eine mindestens jährliche Überprüfung der Rechte und ein Offboarding-Verfahren, das am letzten Tag alles widerruft. Dieses Thema wird in der Zugriffsverwaltung vertieft.
Geräte verschlüsseln. Die Festplattenverschlüsselung ist in Windows und macOS integriert und lässt sich in wenigen Minuten aktivieren. Ein verschlüsselter und gesperrter Laptop, der verschwindet, bleibt ein materielles Problem, kein Datenleck. Dieser Punkt ist umso entscheidender, je häufiger Geräte das Büro verlassen: Die entsprechenden Massnahmen sind in unserem Artikel zu Homeoffice und mobilen Geräten zusammengefasst.
Wissen, wo sich Ihre Daten befinden. Erstellen Sie eine Liste dessen, was Sie besitzen, wo, und wer darauf Zugriff hat, auch bei Ihren Dienstleistern. Ohne dieses Verzeichnis können Sie weder ein Risiko beurteilen noch am Tag eines Vorfalls die entscheidende Frage beantworten: Was genau ist herausgekommen?
Die Mehrheit der durch menschliches Versagen verursachten Datenlecks entscheidet sich an einem einzelnen Versand. Bevor Sie eine Datei nach aussen schicken, prüfen Sie drei Dinge: den Empfänger, den Anhang und die versteckten Tabellenblätter. Eine Excel-Datei, die wegen ihrer Monatszahlen versendet wird, enthält manchmal in einem zweiten Tabellenblatt die komplette Personalliste mit den Löhnen.
Diese Massnahmen ergänzen sich mit Ihren Backups, die die Verfügbarkeit Ihrer Daten schützen, und mit der Wachsamkeit gegenüber Ihren Lieferanten, über die ein wachsender Anteil der Vorfälle eintrifft.
Was sollten Sie ab heute tun?
Eine Studie von 2025 ergab, dass 42 % der Schweizer KMU ihren Schutz für ausreichend halten, gegenüber 55 % ein Jahr zuvor. Das Vertrauen sinkt, was eher gesund ist: Der Klarblick geht dem Handeln voraus.
Beginnen Sie mit dem Einfachsten. Listen Sie die aktiven Konten in Ihren Werkzeugen auf und vergleichen Sie diese Liste mit Ihrem tatsächlichen Personalstand. Viele Geschäftsführende entdecken dabei Zugänge, die nie hätten überleben dürfen. Entscheiden Sie anschliessend, wer in Ihrem Unternehmen als Erstes benachrichtigt wird, wenn ein Datenleck festgestellt wird, und was diese Person innerhalb der folgenden Stunde tut. Die Schritte der Reaktion sind in Ihren rechtlichen Pflichten nach einem Vorfall beschrieben.
Um Ihr Schutzniveau insgesamt einzuordnen, widmet der Cyber-Check-up mehrere Fragen den Zugängen und der Vertraulichkeit der Daten. Die weiteren Risiken, denen ein KMU ausgesetzt ist, sind im Themenbereich Bedrohungen zusammengefasst.
Für besondere Situationen, insbesondere einen Streitfall mit einem ehemaligen Mitarbeitenden oder einen Zweifel an der Schwelle des hohen Risikos, bleibt die Einschätzung eines spezialisierten Anwalts unerlässlich.