Sophie B. leitet eine Treuhandfirma in der Westschweiz. Letzten Monat fragte sie ein Kunde fast beiläufig: "Sie sind doch datenschutzkonform, oder?" Sie sagte Ja, erleichtert, dass sie ihr Bearbeitungsverzeichnis im Vorjahr aktualisiert hatte. Dann holte sie ein leiser Zweifel ein: Was, wenn "konform" nicht "sicher" bedeutet? Zum Abschluss dieser Serie über Cybersecurity-Irrtümer hier die letzten beiden Fehlannahmen — an der Oberfläche die beruhigendsten und deshalb die riskantesten.
Warum diese zwei Cybersecurity-Irrtümer so teuer sind
Die ersten acht Irrtümer der Serie kreisten alle um denselben Reflex: "Das trifft nur die anderen." Die letzten beiden sind subtiler, weil sie sich auf etwas Wahres stützen — einen bereits getätigten Schritt —, um das Aufhören zu rechtfertigen.
Der erste ist der Glaube, dass gesetzeskonform gleichbedeutend mit geschützt sei. In der Schweiz verlangt das revDSG — das revidierte Datenschutzgesetz, in Kraft seit September 2023 — von einem KMU, das Personendaten bearbeitet, "angemessene" Sicherheitsmassnahmen zu treffen und eine Verletzung so rasch als möglich der Bundesbehörde (dem EDÖB, dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten) zu melden. Sind Ihre Kunden in der Europäischen Union tätig, kommt die DSGVO mit ihrer Meldefrist von 72 Stunden hinzu.
Doch ein Gesetz beschreibt einen Rahmen, nicht Ihre technische Lage an einem bestimmten Tag. Ein aktuelles Verzeichnis und eine sauber formulierte Datenschutzerklärung blockieren keine präparierte E-Mail, aktivieren keine Zwei-Faktor-Authentifizierung (MFA — zusätzlich zum Passwort ein zweiter Identitätsnachweis, etwa ein Code auf dem Telefon) und testen keine Backups. Konformität und Sicherheit sind benachbarte, aber unterschiedliche Baustellen: Die eine beantwortet "Erfüllen wir unsere Pflichten?", die andere "Was schützt uns wirklich, wenn es heute Abend jemand versucht?". Sie können jedes rechtliche Kästchen ankreuzen und trotzdem verwundbar sein — wegen einer nie aktualisierten Software, eines geteilten Passworts oder einer Mitarbeiterin, die nie geschult wurde. Und Konformität ist eine Momentaufnahme: Sie beschreibt einen Stand an einem Datum, während sich die Bedrohungen jede Woche weiterentwickeln.
Ein anschauliches Beispiel: Eine Treuhandfirma kann ein tadelloses Bearbeitungsverzeichnis führen und am selben Tag mehrere Mitarbeitende dasselbe Passwort für den Zugang zur Buchhaltungssoftware teilen lassen. Auf dem Papier ist alles sauber; in der Praxis genügt ein einziger durchgesickerter Zugang, um die Tür zu sämtlichen Kundenakten zu öffnen. Das juristische Dokument war nie dazu gedacht, das zu verhindern — das ist Aufgabe konkreter Massnahmen, jener, die man nicht in einen Ordner schreibt, sondern in den Werkzeugen aktiviert.
Der zweite Irrtum ist noch leiser: "Wir kümmern uns darum, wenn es passiert." Das heisst darauf zu wetten, dass Improvisation am Tag X genügt. Genau die Improvisation ist aber das Teuerste während eines Vorfalls. Für Sophie B. bedeutet eine an einem Freitagabend von Ransomware — Schadsoftware, die Ihre Dateien verschlüsselt und Lösegeld fordert — verschlüsselte Kundenakte eine Kaskade von Fragen ohne vorbereitete Antwort: Wen ruft man zuerst an? Gibt es ein brauchbares Backup? Wer informiert die betroffenen Kunden, und mit welchen Worten? Muss man den EDÖB melden, und in welcher Frist? Jede Minute, die man mit der Suche nach dem Entscheider verbringt, ist eine Minute, in der das Problem wächst und das Vertrauen bröckelt. Incident Response — die organisierte Art, zu reagieren, wenn etwas schiefgeht — ist nur dann etwas wert, wenn sie vor dem Vorfall festgelegt wird, nicht während.
Klar gesagt, wie es Camille, unsere Beraterin, zusammenfasst: Konformität und Sicherheit antworten zwei verschiedenen Richtern. Die erste legt einem Regulator Rechenschaft ab, auf Papier, zu einem bestimmten Datum. Die zweite legt einem Angreifer Rechenschaft ab, unter realen Bedingungen, jeden Tag. Ein gelassenes KMU bearbeitet beide zugleich, ohne zu glauben, das eine erspare das andere. Genau das schauen sich zunehmend auch Ihre eigenen Kunden an: Ein Auftraggeber, der Ihnen seine Daten anvertraut, fragt nicht mehr nur "Sind Sie in Ordnung?", sondern "Was haben Sie tatsächlich umgesetzt?".
Was Sie mitnehmen sollten
- In Ordnung sein und geschützt sein ist nicht dasselbe. Das revDSG legt Pflichten fest; Sicherheit ist die Summe konkreter Massnahmen, die halten, wenn Sie angegriffen werden. Das eine erkauft nicht das andere.
- Konformität ist ein Foto, Sicherheit ist ein Film. Ein Audit beschreibt einen Moment; die Bedrohungen hören am nächsten Tag nicht auf. Was im Januar "in Ordnung" war, kann im Juni ein Loch haben.
- "Wir kriegen das hin" ist kein Plan. Den Unterschied am Tag eines Vorfalls macht nicht das Improvisationstalent, sondern das, was in Ruhe aufgeschrieben und getestet wurde: wer was tut, wer wen anruft, welches Backup wir wiederherstellen.
Schritte für diese Woche
1. Trennen Sie "Pflichten" und "Schutz" auf einer Seite
Nehmen Sie ein Blatt mit zwei Spalten. Links, was Sie fürs Gesetz tun: Bearbeitungsverzeichnis, Kundeninformation, Verträge mit Ihren Dienstleistern. Rechts, was Sie wirklich schützt: aktivierte Zwei-Faktor-Authentifizierung, getestete Backups, aktuelle Geräte, sensibilisierte Mitarbeitende. Die Übung dauert eine Stunde und enthüllt fast immer eine kürzere rechte Spalte als erwartet. Dort sitzt das echte Risiko — nicht im juristischen Ordner.
2. Schreiben Sie Ihre "erste halbe Stunde" eines Vorfalls auf
Kein vollständiger Krisenplan — nur eine einseitige Karte, ausgehängt und allen bekannt. Drei Fragen, drei Antworten: Wen alarmiert man intern zuerst (eine namentlich genannte Person, eine Nummer)? Wen ruft man aussen an (Ihren IT-Dienstleister, allenfalls die Versicherung)? Und was tut man in Panik auf keinen Fall (ein Lösegeld zahlen, Maschinen wahllos ausschalten, Spuren löschen)? Diese vorbereitete halbe Stunde ist mehr wert als jedes nachträglich gekaufte Werkzeug.
3. Machen Sie einen Wiederherstellungstest, ein einziges Mal
Backups zu haben nützt nichts, solange Sie nie geprüft haben, dass sie sich wirklich wiederherstellen lassen. Wählen Sie einen unwichtigen Ordner, bitten Sie Ihren Dienstleister, ihn aus dem Backup zurückzuholen, und stoppen Sie die Zeit. Weiss niemand wie, oder dauert es zwei Tage, haben Sie soeben etwas Wesentliches in Ruhe gelernt statt unter Druck an einem Montagmorgen.
Wo stehen Sie wirklich?
Diese letzten beiden Cybersecurity-Irrtümer haben eines gemeinsam: Sie vermitteln das Gefühl, das Nötige getan zu haben, während ein blinder Fleck bleibt. Die gute Nachricht: Ihn zu schliessen erfordert kein grosses Budget — gerade in einer Struktur wie der von Sophie B., ohne interne IT: Es erfordert einen ehrlichen Blick darauf, wo Sie wirklich stehen.
Genau dafür ist die Cyber-Passport-Selbstbeurteilung da. Sie zertifiziert nichts und erklärt Sie nie für "konform": Sie zeigt Ihnen Frage für Frage, was zu Ihren Pflichten gehört, was zu Ihrem echten Schutz, und wo Ihre Organisation noch auf Glück oder Gewohnheit baut. Ein klarer Ausgangspunkt, teilbar mit Ihren Kunden und Prüfern. Und um aus "wir kriegen das hin" einen echten Plan zu machen, führt der Blueprint "Incident Response" Sie Schritt für Schritt durch das Vorgehen.
