Was ist eine Sicherheitsverletzung?
Eine Datenschutzverletzung (“Data Breach”) heisst bei Personendaten, dass Personendaten unerlaubt oder unbeabsichtigt verloren gehen, gestohlen, missbraucht oder anderweitig kompromittiert werden.
Typische Beispiele sind:
Sicherheitsverletzungen können schwerwiegende Folgen haben – für die betroffenen Personen und für das Unternehmen.
Brauchen Sie Unterstützung?
Muss man eine Verletzung melden?
Meldung an den EDÖB
Ja, Verletzungen der Datensicherheit müssen unter bestimmten Voraussetzungen gemeldet werden:
Eine Meldung an den EDÖB ist nur Pflicht bei hohen Risiken (aufgrund der Verletzung) für betroffene Personen. Das ist kein klarer Begriff, und verbindliche Beispiele gibt es in der Schweiz nicht.
Wenn eine Meldung verpflichtend ist, muss sie so rasch wie möglich erfolgen. Eine fixe Dauer gibt es nicht, und man darf gewisse Abklärungen treffen. Im Zweifel sollte man aber rascher melden und dann u.U. nachmelden.
Meldeformular EDÖB
Der EDÖB stellt für die Meldung an ihn ein Formular zur Verfügung. Das Formular fragt aber zu viele Informationen ab, und der EDÖB unterliegt dem Öffentlichkeitsprinzip. Meldungen können deshalb öffentlich werden. Eine Meldung per E‑Mail ist oft sinnvoller.
Meldung an betroffene Personen
Verletzungen der Datensicherheit müssen den betroffenen Personen gemeldet werden, wenn diese zum eigenen Schutz aktiv werden müssen (z.B. ein Passwort wechseln, ein Konto sperren, den Pass erneuern). Das kann auch dann sein, wenn keine Meldung an den EDÖB gemacht werden muss.
Was müssen kritische Infrastrukturen melden?
Das Bundesgesetz über die Informationssicherheit beim Bund (ISG) wird um Bestimmungen zur Meldepflicht der Betreiberinnen bestimmter kritischer Infrastrukturen ergänzt. Die revidierten Bestimmungen sind am 1. April 2025 in Kraft getreten.
Bestimmte kritische Infrastrukturen (Kritis) müssen Cyberangriffe melden:
Meldepflichtige Personen sind bspw. Behörden, Sozialversicherungsträger einschliesslich der Pensionskassen, Energieversorger, Banken, Listenspitäler, medizinische Laboratorien, Arzneimittelhersteller oder ‑distributoren, registrierte FDA und bestimmte Anbieter im SaaS‑, Cloud- und Hardwarebereich und diverse weitere Stellen, sofern sie einen Sitz in der Schweiz haben.
Gemeldet werden müssen mindestens teilweise erfolgreiche Cyberangriffe. Das sind absichtlich ausgelöste Beeinträchtigungen der Vertraulichkeit, Verfügbarkeit oder Integrität von Informationen der Nachvollziehbarkeit ihrer Bearbeitung – der Schlüsselbegriff ist “absichtlich”: Human Error ist nicht erfasst. Auch Portscans und dergleichen nicht.
Cyberangriffe müssen aber nur gemeldet werden, wenn
Die Meldung muss ggf. an das Bundesamt für Cybersicherheit BACS erfolgen.
Arbeitsmaterialien zum ISG
Gibt es weitere Meldepflichten?
Zu den Meldepflichten nach dem DSG bzw. der DSGVO und nach dem ISG können weitere Meldepflichten kommen, die aus den eigenen Zielen der jeweiligen gesetzlichen Ordnung motiviert sind. Dazu gehören folgende: