Nach einem Cyberangriff braucht die Führung klare Entscheidungswege. Wer darf handeln, welche Pflichten gelten und wie bereitet sich ein Unternehmen auf den Ernstfall vor? Was Schweizer KMU frühzeitig klären sollten.
Ein mögliches Szenario: Am Samstag entdeckt der Informatikpartner einen Angriff. Er empfiehlt, Server zu isolieren und Spezialist beizuziehen. Die Geschäftsführerin ist nicht erreichbar. Darf ihre Stellvertretung den Betriebsunterbruch und zusätzliche Kosten freigeben?
Wer darf handeln und wer bleibt verantwortlich?
Legen Sie vorab fest, wer Systeme isolieren lässt und Ausgaben freigibt – inklusive Stellvertretung und Wochenendkontakten. Wer die Folgen eines Ausfalltags kennt, kann entscheiden, welche Geschäftsprozesse zuerst wieder funktionieren müssen.
Der Informatikpartner übernimmt vereinbarte Aufgaben. Damit geht aber nicht sämtliche Verantwortung auf ihn über. Bei einer Aktiengesellschaft zum Beispiel bleibt die Oberaufsicht beim Verwaltungsrat. Wer Personendaten extern bearbeiten lässt, muss den Dienstleister sorgfältig auswählen, instruieren und angemessen überwachen.
Klären Sie gemeinsam, wer im Verdachtsfall handeln darf und wer für Updates, Alarmüberwachung und Wiederherstellungstests zuständig ist. Eine zugesicherte Reaktionszeit bedeutet noch nicht, dass der Betrieb dann wieder läuft.
Wie gut ist Ihr Unternehmen auf einen Cyberangriff vorbereitet?
In den ersten Minuten eines Cyberangriffs müssen oft weitreichende Entscheidungen getroffen werden. Welche Systeme werden abgeschaltet? Wer informiert Mitarbeitende und Kunden? Wann werden externe Spezialisten, die Versicherung oder rechtliche Fachpersonen beigezogen?
Unklare Verantwortlichkeiten können die Krisenbewältigung zusätzlich erschweren. Deshalb braucht es nicht nur technische Schutzmassnahmen, sondern auch eine funktionierende Notfallorganisation.
Folgende Massnahmen sollten Unternehmen frühzeitig treffen:
- Verantwortlichkeiten festlegen: Definieren Sie ein Krisenteam mit klaren Entscheidungsbefugnissen, Stellvertretungen und Eskalationswegen.
- Notfallplan erstellen: Halten Sie fest, welche Schritte bei einem Cyberangriff einzuleiten sind und welche Geschäftsprozesse Priorität haben.
- Erreichbarkeit sicherstellen: Hinterlegen Sie wichtige Kontakte und alternative Kommunikationsmöglichkeiten, falls die regulären Systeme nicht mehr verfügbar sind.
- Mitarbeitende sensibilisieren: Schulen Sie Ihre Mitarbeitenden anhand konkreter Beispiele und üben Sie das Verhalten im Ernstfall.
- Wiederherstellung vorbereiten: Prüfen Sie regelmässig Backups, Wiederherstellungsprozesse und Möglichkeiten zur Aufrechterhaltung des Geschäftsbetriebs.
Ein dokumentierter Notfallplan allein genügt nicht. Entscheidend ist, dass die Beteiligten ihre Aufgaben kennen und die vorgesehenen Abläufe auch unter Zeitdruck funktionieren.
Wann entstehen Haftungsrisiken?
Ein Cyberangriff allein begründet noch keine persönliche Haftung. Bei einer Aktiengesellschaft können Verwaltungsrat und Geschäftsführung jedoch haften, wenn eine schuldhafte Pflichtverletzung vorliegt, daraus ein Schaden entsteht und ein ursächlicher Zusammenhang besteht. Bereits leichte Fahrlässigkeit kann genügen. Entsprechende Haftungsgrundsätze gelten auch für die Geschäftsführung einer Gesellschaft mit beschränkter Haftung (GmbH).
Umso wichtiger ist es, erkannte Risiken zu bewerten, angemessene Massnahmen zu treffen und Entscheidungen nachvollziehbar zu dokumentieren. Dokumentation kann die Erfüllung von Sorgfaltspflichten belegen, ersetzt aber keine wirksamen Sicherheitsmassnahmen.
Auch gegenüber Kunden und Geschäftspartnern können vertragliche Verpflichtungen bestehen. Unternehmen sollten deshalb ihre Leistungszusagen, Informationspflichten und vertraglichen Haftungsregelungen kennen.
Davon zu trennen sind strafrechtliche Folgen nach dem Datenschutzgesetz: Dessen Strafbestimmungen erfassen bestimmte vorsätzliche Pflichtverletzungen und richten sich hauptsächlich gegen natürliche Personen.
Was muss während der Krisenbewältigung geschehen?
Während Fachpersonen den Angriff eindämmen, muss die Unternehmensführung wichtige Entscheidungen treffen und rechtliche Pflichten prüfen.
Datensicherheitsverletzungen mit voraussichtlich hohem Risiko für die Persönlichkeit oder Grundrechte Betroffener sind dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich zu melden. Die 24-Stunden-Frist an das Bundesamt für Cybersicherheit gilt für erfasste Betreiber kritischer Infrastrukturen und meldepflichtige Angriffe.
Verträge können weitere Informationspflichten vorsehen. Nicht jeder Cybervorfall ist meldepflichtig, doch die entsprechenden Pflichten müssen geprüft und die Entscheidungen dokumentiert werden. Reputationsängste rechtfertigen keine unterlassene Pflichtmeldung.
Klären Sie mit der Cyberversicherung frühzeitig Deckung, Meldefristen und allfällige Kostenfreigaben. Stimmen Sie Beweissicherung und Wiederanlauf ab: Überstürzte Neuinstallationen können wichtige Spuren vernichten. Das Bundesamt für Cybersicherheit empfiehlt eine Strafanzeige.
Auch die Kommunikation gehört zur Krisenbewältigung. Mitarbeitende, Kunden und Geschäftspartner benötigen je nach Situation rechtzeitig verlässliche Informationen. Wer dafür zuständig ist und welche Informationen weitergegeben werden dürfen, sollte bereits vor einem Vorfall geklärt sein.
Verantwortung beginnt vor dem Ernstfall
Zurück zum Samstagmorgen: Die Stellvertretung muss ihren Handlungsspielraum kennen, Unterstützung erreichen und die notwendigen Entscheidungen treffen können. Ob ein Unternehmen einen Cyberangriff bewältigt, hängt deshalb nicht allein von seiner IT-Sicherheit ab, sondern auch von seiner organisatorischen Vorbereitung.
Cybersicherheit ist eine gemeinsame Aufgabe von Unternehmensführung, Mitarbeitenden und IT-Fachpersonen. Risiken lassen sich nie vollständig ausschliessen. Mit klaren Verantwortlichkeiten, wirksamen Schutzmassnahmen und einer vorbereiteten Krisenorganisation können Unternehmen jedoch ihre Widerstandsfähigkeit stärken.
Wie gut ist Ihr KMU auf einen Cyberangriff vorbereitet?
Wer stoppt einen Angriff, welche Geschäftsprozesse müssen wie schnell wieder funktionieren, und haben Sie unter realistischen Bedingungen getestet, ob sich Systeme und Daten innerhalb dieser Zeit wiederherstellen lassen? Besprechen Sie mit iSource, wie gut Ihr Unternehmen auf den Ernstfall vorbereitet ist.
Mehr zum Thema in unserem Podcast
Wie laufen Cyberangriffe in der Praxis ab? Welche Risiken werden von Unternehmen häufig unterschätzt und worauf kommt es im Ernstfall wirklich an?
Diese und weitere Fragen standen im Mittelpunkt unseres Security & Compliance Events vom 10. September 2026 in Zürich. Gemeinsam mit Gregor Wegberg von Oneconsult AG, Experte für Cybersicherheit, und Markus Näf von Eversheds Sutherland, Rechtsanwalt und Experte für Datenschutz und Compliance, haben wir die technischen und rechtlichen Herausforderungen für Schweizer KMU beleuchtet.
Die beiden Podcast-Specials wurden live am Event aufgezeichnet und bieten spannende Einblicke, praxisnahe Empfehlungen und wertvolle Denkanstösse.
Jetzt reinhören:
Podcast-Special Teil 1:
Der Angriff: Wenn Führungskräfte zu Cyberangreifern werden
Podcast-Special Teil 2:
Vom Angriff zur Verantwortung: Wenn Führungskräfte im Ernstfall entscheiden müssen