An dem Tag, an dem Ihr Unternehmen betroffen ist, stellt sich sehr rasch eine Frage, oft noch bevor sich die technische Lage stabilisiert hat: Muss man jemanden benachrichtigen, und innerhalb welcher Frist?
Die Schweizer Antwort ist weniger beängstigend, als man gewöhnlich hört, aber auch differenzierter. Dieser Artikel geht die Pflichten durch, die tatsächlich bestehen, jene, die nicht bestehen, und jene, die in keinem Gesetz stehen, sondern in Ihren Verträgen.
Haben Sie wirklich 72 Stunden Zeit für die Meldung?
Das ist der am weitesten verbreitete Irrtum zu diesem Thema, und er kursiert sogar in Fachpublikationen. Nein, Sie haben in der Schweiz keine 72 Stunden Zeit, um eine Datenschutzverletzung zu melden.
Die 72-Stunden-Frist ist eine Regel der DSGVO, der europäischen Datenschutz-Grundverordnung. Das Schweizer Bundesgesetz über den Datenschutz (nDSG) verwendet eine andere Formulierung: Die Meldung erfolgt „so rasch als möglich“. Keine Stundenzahl, keine Tageszahl.
Das Fehlen einer festen Frist gibt Ihnen nicht drei Wochen Zeit. Es bedeutet, dass die angemessene Zeit von den Umständen abhängt: der Schwere, der Art der Daten, der Geschwindigkeit, mit der Sie den Sachverhalt klären können. Eine nicht begründbare Verzögerung würde Ihnen zur Last gelegt. Die praktische Regel ist einfach: Melden Sie, sobald Sie über die minimal nötigen Angaben verfügen, und ergänzen Sie danach.
Ein wichtiger Vorbehalt: Verarbeiten Sie Daten von Personen in der Europäischen Union, etwa weil Sie dort Kundschaft oder Mitarbeitende haben, kann die DSGVO parallel zum Schweizer Recht zur Anwendung kommen. In diesem Fall werden die 72 Stunden wieder relevant. Unser Artikel DSGVO oder nDSG, was gilt erläutert dieses Zusammenspiel.
Wann muss man den EDÖB benachrichtigen?
Artikel 24 Absatz 1 nDSG stellt eine einzige Bedingung auf. Der Verantwortliche meldet dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) Verletzungen der Datensicherheit, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen.
Kein hohes Risiko, keine Meldepflicht. Das ist eine deutlich höhere Schwelle als bei der DSGVO, die eine Meldung verlangt, sobald das Risiko nicht unwahrscheinlich ist. In der Praxis sind viele Vorfälle, die in Europa meldepflichtig wären, es in der Schweiz nicht.
Der Inhalt der Meldung ist ebenfalls gesetzlich festgelegt. Artikel 24 Absatz 2 nDSG verlangt mindestens drei Angaben: die Art der Verletzung, ihre Folgen und die getroffenen oder geplanten Massnahmen. Mehr wird nicht verlangt. Fehlen Ihnen noch einzelne Angaben, sagen Sie das und ergänzen Sie später. Die Meldung erfolgt online über das Portal des EDÖB.
Viele Geschäftsleitende zögern aus Angst, dass sich ihre Meldung gegen sie richten könnte. Artikel 24 Absatz 6 nDSG geht direkt auf diese Sorge ein: Die Meldung darf ohne Zustimmung der meldepflichtigen Person nicht in einem Strafverfahren gegen sie verwendet werden. Der Gesetzgeber wollte verhindern, dass die Angst vor Selbstbezichtigung Unternehmen davon abhält zu melden. Dieser Schutz deckt hingegen weder die zivilrechtlichen Folgen des Vorfalls noch Ihre vertraglichen Verpflichtungen ab.
Das eigentliche Hindernis: den Vorfall einordnen
Das ist der Punkt, den juristische Ratgeber meist verschweigen. Um zu entscheiden, ob ein „hohes Risiko“ vorliegt, muss man genau wissen, welche Daten betroffen waren, von wem, wie lange, und ob sie kopiert oder nur eingesehen wurden.
Genau das aber weiss ein KMU in dem Moment nicht, in dem es entscheiden muss. Drei Tage nach dem Angriff lautet die Frage nicht „ist das Risiko hoch“, sondern „was genau ist herausgekommen“. Ohne aufbewahrte Zugriffsprotokolle, ohne Inventar dessen, was sich auf dem betroffenen Server befand, ohne die Fähigkeit, einen Zugriff von einer Extraktion zu unterscheiden, lautet die ehrliche Antwort: Man weiss es nicht.
Diese Einordnung ist eine Kompetenz, kein Häkchen zum Setzen. Sie erfordert technische Analyse (was die Spuren zeigen), Kenntnis der Daten (eine Rechnungsdatei und eine Gesundheitsakte haben nicht das gleiche Gewicht) und rechtliches Urteilsvermögen. Das ist auch der Grund, weshalb es sich lohnt, den Boden vor dem Vorfall vorzubereiten: zu wissen, wo Ihre sensiblen Daten liegen, und verwertbare Protokolle zu führen, verändert die Qualität der Entscheidung, die Sie am entscheidenden Tag treffen werden, vollständig.
Muss ich melden, wem, und innerhalb welcher Frist?
Die folgende Tabelle fasst die häufigsten Situationen zusammen. Sie gibt eine allgemeine Orientierung und ersetzt nicht die Beurteilung durch eine Juristin oder einen Juristen für Ihren konkreten Fall.
| Situation | Meldung erforderlich? | An wen | Frist |
|---|---|---|---|
| Personendaten offengelegt, hohes Risiko wahrscheinlich | Ja | EDÖB, über das Online-Portal | So rasch als möglich, ohne feste Frist |
| Personendaten offengelegt, geringes oder kein Risiko | In der Regel nein | Niemanden, aber Entscheid dokumentieren | Gegenstandslos |
| Sie sind Auftragsbearbeiter für einen Kunden | Ja, immer | Ihr Auftraggeber | Rasch, damit er handeln kann |
| Betroffene Personen müssen sich schützen (Passwort, Bankkonto) | Ja | Die betroffenen Personen | So schnell wie möglich, der Nutzen zählt |
| Kundenvertrag mit Meldepflicht | Ja | Ihr Kunde | Gemäss Vertrag, oft 24 bis 48 Stunden |
| Sie betreiben eine kritische Infrastruktur | Ja | NCSC, zusätzlich zum Übrigen | Gemäss anwendbarer Regelung |
Auftragsbearbeiter, betroffene Personen: zwei Sonderfälle
Sind Sie Auftragsbearbeiter, ändert sich die Regel vollständig. Artikel 24 Absatz 3 nDSG verpflichtet Sie, jede Verletzung Ihrem Auftraggeber zu melden, ohne jede Risikoschwelle. Eine Webagentur, die die Kundendatenbank eines Unternehmens hostet, ein Treuhandbüro, das Löhne bearbeitet, ein IT-Dienstleister, der einen Server verwaltet: Alle müssen den Vorfall, auch einen geringfügigen, an denjenigen weiterleiten, für den sie tätig sind. Dieser entscheidet dann, ob eine Meldung an den EDÖB angezeigt ist.
Die Information der betroffenen Personen ist eine eigenständige Pflicht, die nicht in denselben Fällen ausgelöst wird. Sie müssen Ihre Kundschaft, Ihre Mitarbeitenden oder Ihre Lieferanten informieren, wenn dies zu ihrem Schutz notwendig ist, etwa damit sie ein anderswo wiederverwendetes Passwort ändern oder ein Konto überwachen, oder wenn der EDÖB dies verlangt. Man kann also melden müssen, ohne zu informieren, oder informieren, ohne zu melden.
Ihre Verträge sind oft strenger als das Gesetz
Das ist der am häufigsten übersehene Punkt, und dennoch der in der Praxis anspruchsvollste.
Viele Kundenverträge, insbesondere mit Grosskunden, internationalen Konzernen oder europäischen Unternehmen, enthalten eine Klausel zur Vorfallmeldung. Diese Klauseln schreiben regelmässig deutlich kürzere Fristen vor als das Schweizer Recht: 24 Stunden, manchmal weniger, mit einer benannten Kontaktperson und einem vorgeschriebenen Format. Dieselben Klauseln finden sich oft auch in den Bedingungen Ihrer Cyberversicherung, wo eine verspätete Meldung den Versicherungsschutz beeinträchtigen kann.
Nehmen Sie sich in Ruhe eine Stunde Zeit, um aus Ihren wichtigsten Kundenverträgen und Ihrer Versicherungspolice die Meldeklauseln herauszuziehen: welche Frist, welcher Empfänger, welcher Kanal. Halten Sie sie auf einer einzigen, offline zugänglichen Seite fest. Am Tag der Krise wird niemand Zeit haben, zwanzig Verträge nachzulesen, und genau dann läuft die vertragliche Frist.
Müssen Sie dem NCSC melden?
Seit dem 1. April 2025 besteht im Schweizer Recht eine Pflicht, Cyberangriffe dem Nationalen Zentrum für Cybersicherheit zu melden, mit Sanktionen seit dem 1. Oktober 2025. Sie wird regelmässig so dargestellt, als würde sie für alle Unternehmen gelten. Das ist nicht der Fall.
Diese Pflicht richtet sich ausschliesslich an Betreiber kritischer Infrastrukturen: Energie, Wasser, Gesundheit, Verkehr, Telekommunikation, öffentliche Verwaltungen und einige weitere bezeichnete Kategorien. Ein gewöhnliches KMU, selbst ein grösseres, ist davon in der Regel nicht betroffen. Unser Artikel zu den Pflichten je Branche geht auf die Sonderfälle ein.
Sie können den Vorfall jedoch freiwillig melden. Das NCSC erhielt 64’733 freiwillige Meldungen zu Cybervorfällen im Jahr 2025, gegenüber 62’954 im Jahr 2024. Diese Meldungen fliessen in das nationale Lagebild ein und ermöglichen es, andere Unternehmen zu warnen. Das ist kostenlos, schnell, und hat für Sie keine Konsequenzen.
Zerstören Sie keine Beweise
Der natürliche Reflex nach einem Angriff ist es, aufzuräumen: neu formatieren, neu installieren, sauber neu beginnen. Tun Sie das, aber erst nachdem Sie die Spuren gesichert haben.
Verbindungsprotokolle, Abbilder der betroffenen Datenträger, Kopfzeilen betrügerischer Nachrichten und die Zeitstempel der Ereignisse sind das einzige Material, das Ihnen später erlaubt zu sagen, was tatsächlich geschehen ist. Diese Elemente dienen dazu, den Vorfall einzuordnen, einer Kundin oder einem Kunden zu antworten, einen Entscheid gegen eine Meldung zu begründen, ein Anliegen bei Ihrer Versicherung zu stützen und gegebenenfalls eine Strafanzeige einzureichen.
Isolieren Sie die Maschinen vom Netzwerk, statt sie abrupt auszuschalten, wo dies möglich ist, und ziehen Sie jemanden hinzu, der weiss, wie man Beweise sichert, bevor man neu aufbaut. Der praktische Ablauf der ersten Stunden ist in den ersten Stunden nach einem Angriff im Detail beschrieben.
Was dieser Artikel nicht ersetzt
Die hier beschriebenen Regeln gelten im Allgemeinen. Ihre Situation kann davon abweichen: reglementierte Tätigkeit, Gesundheitsdaten, europäische Kundschaft, internationaler Konzern, mehrstufige Unterbeauftragung. In diesen Fällen lohnt sich eine gezielte Rechtsberatung, und diese kostet vor dem Vorfall immer weniger als danach.
Behalten Sie vor allem im Kopf, dass die Schwierigkeit fast nie darin besteht, die Regel zu kennen. Sie besteht darin, am entscheidenden Tag zu wissen, was tatsächlich betroffen war. Das ist technische Arbeit, und sie wird im Voraus vorbereitet: Ihre Daten kartieren, verwertbare Protokolle führen, wissen, wen man anruft. Der Cyber-Check-up gibt Ihnen dazu einen ersten Anhaltspunkt, und die weiteren Krisenreflexe sind im Themenbereich Auf einen Angriff reagieren zusammengefasst. Das Meldeverfahren selbst ist Schritt für Schritt in unserem Artikel zu der Meldung einer Verletzung an den EDÖB beschrieben.