Eine falsch adressierte E-Mail mit Lohndaten, ein verlorenes Smartphone oder ein zu weit geöffneter Ordner in der Cloud: Datenpannen entstehen selten durch spektakuläre Angriffe allein. Fünf Massnahmen wirken in Schweizer KMU besonders gut, weil sie im Arbeitsalltag ansetzen: in HR, Vertrieb, Administration, IT und bei externen Dienstleistern.
Art. 8 DSG verlangt, dass Unternehmen Personendaten mit geeigneten technischen und organisatorischen Massnahmen schützen. Was angemessen ist, hängt von Art, Umfang und Sensibilität der bearbeiteten Daten ab. Ein Treuhandbüro bearbeitet andere Daten als eine Arztpraxis oder ein Architekturbüro. Wer die Mindestanforderungen an die Datensicherheit vorsätzlich missachtet, riskiert nach Art. 61 DSG eine Busse von bis zu 250’000 Franken, und zwar persönlich, nicht als Firma. Die Grundidee bleibt jedoch gleich: Risiken erkennen, Zugriffe begrenzen, Mitarbeitende befähigen und Vorfälle kontrolliert behandeln.
Warum Datenpannen oft im Prozess beginnen
Eine Datenpanne liegt nicht erst dann vor, wenn ein System verschlüsselt wird oder ein Hackerangriff öffentlich wird. Sie kann auch auftreten, wenn Unbefugte Personendaten einsehen, verändern, verlieren oder nicht mehr verfügbar machen können. Typische Auslöser sind Fehlversand, unklare Berechtigungen, mangelhafte Ablage, schwache Passwörter (dagegen hilft eine verbindliche Passwort-Richtlinie) oder ein Dienstleister, dessen Zugriff nie sauber geregelt wurde.
Technische Schutzmassnahmen sind unverzichtbar. Sie reichen aber nicht aus, wenn Mitarbeitende nicht wissen, wie sie mit verdächtigen E-Mails, vertraulichen Dokumenten oder Anfragen betroffener Personen umgehen sollen. Umgekehrt bleiben gute Richtlinien wirkungslos, wenn Berechtigungen jahrelang unverändert bestehen. Wirksamer Datenschutz verbindet deshalb Organisation, Menschen und Technik.
1. Personendaten und Risiken sichtbar machen
Wer nicht weiss, welche Personendaten im Unternehmen fliessen, kann sie kaum gezielt schützen. Der erste Schritt ist deshalb eine pragmatische Bestandsaufnahme: Welche Abteilungen bearbeiten welche Daten? Wo werden sie gespeichert? Wer hat Zugriff? Und welche externen Stellen erhalten sie?
Besonders kritisch sind typischerweise Personalakten, Bewerbungsunterlagen, Gesundheitsdaten, Kunden- und Kontaktdaten, Zahlungsinformationen sowie Zugangsprotokolle. Auch vermeintlich harmlose Excel-Listen können problematisch werden, wenn sie sensible Informationen enthalten oder breit geteilt werden.
Ein aktuell geführtes Bearbeitungsverzeichnis schafft hierfür eine belastbare Grundlage. Es muss nicht als kompliziertes Rechtsdokument geführt werden. Entscheidend ist, dass Verantwortliche nachvollziehen können, welche Bearbeitungen bestehen, welchem Zweck sie dienen, wie lange Daten aufbewahrt werden und welche Schutzmassnahmen vorgesehen sind. Diese Übersicht erleichtert auch Audits, Kundenfragebögen und interne Entscheidungen.
Praxisfrage: Wo beginnt man bei gewachsenen Strukturen?
Starten Sie nicht mit jeder einzelnen Datei. Priorisieren Sie Prozesse mit vielen Personendaten oder hohem Schadenspotenzial: Personalwesen, CRM, Newsletter, Lohnbuchhaltung, Support, Zutrittskontrolle und Cloud-Zusammenarbeit. Daraus entsteht schrittweise ein Bild, das für weitere Massnahmen nutzbar ist.
2. Zugriffe nach Aufgaben statt nach Gewohnheit vergeben
Viele Datenpannen entstehen, weil zu viele Personen zu viele Daten sehen können. Ein ehemaliger Mitarbeitender besitzt noch ein aktives Konto. Ein Team hat Zugriff auf den gesamten Personalordner, obwohl nur einzelne Dokumente benötigt werden. Oder ein externer IT-Partner erhält einen permanenten Administrationszugang, obwohl Einsätze nur punktuell stattfinden.
Das Prinzip ist einfach: Zugriff soll nur erhalten, wer ihn für eine konkrete Aufgabe benötigt. In der Praxis bedeutet das rollenbasierte Berechtigungen, getrennte Benutzerkonten und eine klare Freigabe für besonders schützenswerte Bereiche. Gemeinsame Logins sind zwar bequem, erschweren aber die Nachvollziehbarkeit erheblich.
Berechtigungen sollten zudem bei Eintritt, Funktionswechsel und Austritt überprüft werden. Gerade beim Austritt zählt die Geschwindigkeit: Konten deaktivieren, Geräte zurücknehmen, Weiterleitungen prüfen und Zugänge zu Cloud-Diensten sowie gemeinsam genutzten Passwörtern bereinigen. Ein standardisierter Offboarding-Prozess verhindert, dass diese Schritte im Tagesgeschäft vergessen gehen.
Mehr Kontrolle bedeutet nicht automatisch mehr Bürokratie. Kleine Unternehmen können mit einer übersichtlichen Rollenmatrix beginnen. Wichtig ist, dass Fachverantwortliche und IT gemeinsam festlegen, wer welchen Bedarf hat. Die Geschäftsleitung sollte Ausnahmen bewusst genehmigen, statt sie stillschweigend bestehen zu lassen.
3. Mitarbeitende auf typische Fehlhandlungen vorbereiten
Die meisten Mitarbeitenden wollen korrekt handeln. Unter Zeitdruck passieren dennoch Fehler: ein falscher E-Mail-Empfänger, ein Anhang ohne Empfängerprüfung, ein Dokument auf dem privaten Gerät oder die Freigabe eines Cloud-Ordners per öffentlichem Link. Schulungen müssen deshalb konkret sein und an den Arbeitsalltag anknüpfen.
Eine wirksame Sensibilisierung erklärt nicht nur Regeln, sondern zeigt Entscheidungssituationen. Was ist vor dem Versand einer Liste zu prüfen? Wie wird ein verdächtiger Link gemeldet? Welche Daten dürfen in einem Videocall gezeigt werden? Wie reagiert jemand, der einen USB-Stick oder ein Smartphone verliert?
Ein einmaliger Vortrag reicht selten. Sinnvoller sind kurze, wiederkehrende Impulse für unterschiedliche Rollen. HR braucht andere Beispiele als der Kundendienst, die Buchhaltung oder das Verkaufsteam. Neue Mitarbeitende sollten die wichtigsten Vorgaben bereits beim Eintritt erhalten. Ergänzend helfen einfache Hilfsmittel: eine Versand-Checkliste, eine klare Meldestelle und gut sichtbare Regeln für mobile Arbeit.
Entscheidend ist die Fehlerkultur. Wer einen Fehlversand aus Angst verschweigt, vergrössert den Schaden möglicherweise. Mitarbeitende müssen wissen: Vorfälle sollen unverzüglich gemeldet werden, damit das Unternehmen Empfänger kontaktieren, Zugriffe sperren, Daten zurückrufen oder weitere Schritte prüfen kann. Es geht nicht um Schuldzuweisung, sondern um schnelles und geordnetes Handeln.
4. Technische Schutzmassnahmen konsequent umsetzen
Technische Massnahmen sollten zum tatsächlichen Risiko passen. Eine kleine Garage benötigt nicht dieselbe Sicherheitsarchitektur wie ein Unternehmen mit umfangreichen Gesundheits- oder Forschungsdaten. Mindeststandards sind jedoch fast überall sinnvoll: starke, einzigartige Passwörter, Mehrfaktor-Authentifizierung für zentrale Systeme, regelmässige Updates, verschlüsselte Geräte und gesicherte Datensicherungen.
Besondere Aufmerksamkeit verdienen E-Mail und Cloud-Dienste, weil dort viele Datenbewegungen stattfinden. Funktionen zur Warnung bei externen Empfängern, eingeschränkte Freigabelinks, Ablaufdaten für geteilte Dateien und Protokolle für administrative Zugriffe können Fehlhandlungen deutlich reduzieren. Für vertrauliche Unterlagen sollten Unternehmen festlegen, wann ein geschützter Übermittlungsweg erforderlich ist.
Backups sind ebenfalls Teil des Datenschutzes. Sie helfen nicht nur nach einem technischen Defekt, sondern auch nach versehentlichem Löschen oder einem Sicherheitsvorfall. Entscheidend ist, dass Wiederherstellungen regelmässig getestet werden. Ein Backup, das sich nicht zurückspielen lässt, schafft nur vermeintliche Sicherheit.
Dokumentieren Sie die getroffenen technischen und organisatorischen Massnahmen verständlich und aktuell. Das hilft bei Veränderungen im Betrieb, bei Kundenanforderungen und bei der jährlichen Überprüfung. Eine Datenschutz-Management-Software wie DSMS+ kann diese Informationen zentral mit Prozessen, Verantwortlichkeiten und Nachweisen verbinden.
5. Einen klaren Ablauf für den Ernstfall festlegen
Auch gut organisierte Unternehmen können Datenpannen nicht vollständig ausschliessen. Deshalb braucht es vor dem Vorfall einen einfachen Notfallprozess. Er sollte festlegen, wer Meldungen entgegennimmt, wer die erste Beurteilung vornimmt, wie Beweise und Fakten gesichert werden und wer intern informiert wird.
In den ersten Stunden zählen verlässliche Informationen mehr als Vermutungen. Welche Daten sind betroffen? Wie viele Personen könnten betroffen sein? Wer hatte Zugriff? Ist der Zugriff noch möglich? Welche Sofortmassnahmen wurden bereits getroffen? Ein kurzes Vorfallsprotokoll hilft, den Überblick zu behalten und Entscheidungen nachvollziehbar zu dokumentieren.
Führt die Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen, muss das Unternehmen sie nach Art. 24 DSG so rasch als möglich dem EDÖB melden, am einfachsten über das Meldeportal des EDÖB. Die betroffenen Personen sind zu informieren, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt. Wie Sie den Ernstfall Schritt für Schritt abwickeln, zeigt der Beitrag zum Datenpannen-Management im KMU. Diese Beurteilung sollte nicht erst unter Zeitdruck ohne Zuständigkeiten erfolgen. Definierte Eskalationswege, aktuelle Kontaktangaben und vorbereitete Kommunikationsbausteine schaffen Handlungssicherheit, ohne vorschnell zu kommunizieren.
Nach dem Vorfall folgt die Verbesserung: War eine Berechtigung zu weit gefasst? Fehlte eine Schulung? War ein Prozess unklar? Diese Auswertung ist kein Zusatzaufwand, sondern der Punkt, an dem aus einem Ereignis eine wirksame Präventionsmassnahme wird.
Vorbeugung ist eine laufende Aufgabe
Die grösste Wirkung entsteht nicht durch ein einzelnes Dokument oder ein einmaliges IT-Projekt. Sie entsteht, wenn Datenbearbeitungen sichtbar sind, Verantwortlichkeiten feststehen und Schutzmassnahmen im Alltag überprüft werden. Für viele KMU ist ein jährlicher Grundcheck sinnvoll, ergänzt durch Prüfungen bei neuen Tools, neuen Dienstleistern, Reorganisationen oder veränderten Datenflüssen.
Wer heute mit einer überschaubaren Bestandsaufnahme und einem klaren Meldeweg beginnt, schafft eine tragfähige Grundlage. Der nächste sinnvolle Schritt ist, einen konkreten Prozess aus dem eigenen Unternehmen auszuwählen, etwa den Versand von Bewerbungsunterlagen oder die Freigabe von Kundenlisten, und ihn gemeinsam mit Fachbereich und IT auf unnötige Risiken zu prüfen.
Häufige Fragen
Was gilt nach dem DSG als Datenpanne?
Das DSG spricht von einer Verletzung der Datensicherheit (Art. 5 lit. h DSG): Personendaten gehen unbeabsichtigt oder widerrechtlich verloren, werden gelöscht, vernichtet, verändert oder Unbefugten zugänglich. Dazu zählt auch die falsch adressierte E-Mail oder der offen geteilte Cloud-Ordner, nicht nur der Hackerangriff.
Welche Massnahme verhindert die meisten Datenpannen?
In KMU bringen enge Zugriffsrechte und ein sauberer Austrittsprozess am meisten, zusammen mit Mehrfaktor-Authentisierung für E-Mail und Cloud. Die meisten Vorfälle sind Fehlversand, zu breite Freigaben und vergessene Konten, also Organisationsfehler und keine technischen Angriffe.
Muss jede Datenpanne dem EDÖB gemeldet werden?
Nein. Meldepflichtig ist nach Art. 24 DSG nur eine Verletzung, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen führt. Dann muss die Meldung so rasch als möglich erfolgen. Dokumentieren sollten Sie aber jeden Vorfall samt Beurteilung, auch wenn Sie nicht melden.
Wie oft sollten KMU ihre Schutzmassnahmen überprüfen?
Bewährt hat sich ein Grundcheck pro Jahr: Berechtigungen, Backups mit Wiederherstellungstest, Dienstleisterzugänge und Schulungsstand. Dazu kommt eine Prüfung bei jedem Anlass, etwa bei einem neuen Tool, einem neuen Dienstleister oder einer Reorganisation.