Ein Mitarbeitender klickt auf einen präparierten Link, ein E-Mail-Postfach wird gehackt, eine Kundendatei gerät in die falschen Hände. Die erste Frage, die in der Krisensitzung fast immer aufkommt, ist dieselbe: Müssen wir melden, und in welcher Frist?
Dieser Artikel beantwortet das Thema Punkt für Punkt. Er ergänzt Ihre nDSG-Pflichten, indem er sich ausschliesslich auf das Meldeverfahren nach Artikel 24 des Datenschutzgesetzes konzentriert.
Der Grundsatz: hohes Risiko, und nichts anderes
Artikel 24 Abs. 1 nDSG ist kurz. Der Verantwortliche meldet dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich die Verletzungen der Datensicherheit, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen.
Drei Wörter tragen das ganze Gewicht der Regel.
Verletzung der Datensicherheit deckt viel ab: Verlust, Vernichtung, unbefugte Änderung, aber auch schon der Zugriff oder die Offenlegung an Personen, die die Daten nicht hätten sehen dürfen. Ein an den falschen Empfänger gesendeter Anhang ist eine Verletzung, ebenso wie ein Ransomware-Angriff.
Voraussichtlich bedeutet, dass Sie auf der Grundlage einer Wahrscheinlichkeit urteilen, nicht einer Gewissheit. Sie müssen nicht auf den Beweis warten, dass ein Schaden tatsächlich eingetreten ist.
Hohes Risiko ist der entscheidende Filter, und genau hier unterscheidet sich die Schweiz deutlich von Europa.
Der Mythos der 72 Stunden
Das ist der verbreitetste Irrtum zu diesem Thema, auch bei IT-Dienstleistern und Beratern.
Der Gesetzestext spricht von „so rasch als möglich“. Er nennt weder 72 Stunden, noch 24 Stunden, noch 5 Tage. Die 72 Stunden stammen aus der europäischen DSGVO, die für Ihr KMU nur gilt, wenn Sie aktiv den EU-Markt ansprechen. Wer die beiden Regelungen verwechselt, gerät entweder unnötig in Panik oder wendet eine Regel an, die nicht die eigene ist.
Das Fehlen einer Uhr bedeutet nicht, dass die Zeit keine Rolle spielt. „So rasch als möglich“ bleibt eine ernstzunehmende Anforderung. Sie wird von Fall zu Fall beurteilt: Je unmittelbarer das Risiko für die betroffenen Personen ist, desto schneller muss gemeldet werden. Eine Frist von einigen Tagen, die für die korrekte Einordnung des Vorfalls verwendet wird, lässt sich ohne Weiteres rechtfertigen. Drei Wochen Schweigen deutlich weniger.
Die praktische Konsequenz ist eher vorteilhaft für KMU. Sie haben das Recht, sich Zeit zu nehmen, um zu verstehen, was geschehen ist, bevor Sie melden, was übereilte, halb falsche Meldungen verhindert.
Die Schweizer Schwelle ist höher als bei der DSGVO
Zweiter wesentlicher Unterschied, und er verringert die Zahl der betroffenen Vorfälle deutlich.
Die DSGVO verlangt die Meldung, ausser wenn das Risiko unwahrscheinlich ist. Der Grundsatz ist dort also zu melden, und die Ausnahme zu schweigen. Das Schweizer Recht macht das Gegenteil: Es verlangt die Meldung nur, wenn das Risiko hoch ist. Der Grundsatz ist also, nicht zu melden, und die Ausnahme zu melden.
Konkret sind in der Schweiz deutlich weniger Vorfälle meldepflichtig. Ein verlorener, verschlüsselter Laptop, ohne mögliche Zugriffsmöglichkeit auf die Daten, löst in der Regel keine Meldepflicht aus. Dasselbe unverschlüsselte Gerät, das Gesundheitsdossiers enthält, löst sie fast sicher aus.
Dieser Punkt wird in unserem Vergleich DSGVO und nDSG weiter ausgeführt.
Muss ich melden? Entscheidungsbaum
Diese Tabelle gibt die Logik von Artikel 24 in Form aufeinanderfolgender Fragen wieder. Sie bietet eine erste Orientierung, keine endgültige Rechtsauskunft.
| Schritt | Frage | Falls ja | Falls nein |
|---|---|---|---|
| 1 | Sind personenbezogene Daten betroffen (Verlust, Zugriff, Offenlegung, Änderung)? | Weiter zu Schritt 2 | Keine Meldung nach nDSG erforderlich |
| 2 | Sind Sie Verantwortlicher oder Auftragsbearbeiter für einen Auftraggeber? | Auftragsbearbeiter: Melden Sie Ihrem Auftraggeber, ohne Risikoschwelle (Art. 24 Abs. 3). Verantwortlicher: weiter zu Schritt 3 | Klären Sie Ihre Rolle, bevor Sie fortfahren |
| 3 | Waren die Daten so geschützt, dass sie unverwertbar blieben (starke Verschlüsselung, nicht kompromittierte Schlüssel)? | Ein hohes Risiko ist grundsätzlich ausgeschlossen; dokumentieren Sie Ihre Analyse | Weiter zu Schritt 4 |
| 4 | Handelt es sich um besonders schützenswerte Daten, Finanzdaten, Zugangsdaten oder eine grosse Anzahl betroffener Personen? | Hohes Risiko wahrscheinlich; weiter zu Schritt 5 | Beurteilen Sie das Risiko im Einzelfall |
| 5 | Drohen den betroffenen Personen Identitätsdiebstahl, Betrug, Rufschädigung oder Diskriminierung? | Melden Sie dem EDÖB so rasch als möglich | Dokumentieren Sie den Entscheid, nicht zu melden |
| 6 | Ist die Information zum Schutz der betroffenen Personen erforderlich, oder verlangt der EDÖB dies? | Informieren Sie auch die betroffenen Personen | Meldung nur an die Behörde |
Beachten Sie Schritt 6. Die Meldung an den EDÖB und die Information der betroffenen Personen sind zwei unterschiedliche Pflichten, die nicht unter denselben Bedingungen ausgelöst werden. Die eine kann ohne die andere bestehen.
Wie meldet man, und was muss die Meldung enthalten?
Die Meldung erfolgt über das Online-Portal des EDÖB, unter databreach.edoeb.admin.ch/report. Das Formular führt Sie durch die erwarteten Rubriken. Halten Sie den Namen einer Kontaktperson in Ihrem Unternehmen, die Chronologie des Vorfalls und die Liste der betroffenen Datenkategorien bereit.
Artikel 24 Abs. 2 nDSG legt den Mindestinhalt fest:
- die Art der Verletzung, das heisst, was geschehen ist, wann, welche Datenkategorien und wie viele Personen betroffen sind;
- die Folgen für die betroffenen Personen, tatsächlich oder wahrscheinlich;
- die getroffenen oder vorgesehenen Massnahmen, sowohl zur Behebung der Schwachstelle als auch zur Begrenzung der Auswirkungen des Vorfalls.
Nichts verpflichtet Sie, vor der Meldung über ein vollständiges Dossier zu verfügen. Fehlen noch Angaben, weisen Sie darauf hin und ergänzen Sie später. Eine rasche, unvollständige Meldung dient den betroffenen Personen besser als eine späte, umfassende.
Artikel 24 Abs. 6 nDSG ist eindeutig: Die Meldung darf ohne Zustimmung der meldepflichtigen Person nicht in einem Strafverfahren gegen sie verwendet werden. Der Gesetzgeber hat das Risiko der Selbstbelastung bewusst ausgeschaltet, damit die Angst vor den Folgen nicht zum Schweigen führt. Das ist das Argument, das Sie vorbringen können, wenn intern jemand vorschlägt, „sicherheitshalber“ nichts zu sagen.
Zwei Meldungen, die nicht zu verwechseln sind. Der EDÖB behandelt die datenschutzrechtliche Seite. Das Nationale Zentrum für Cybersicherheit hingegen nimmt Meldungen zu Cybersicherheitsvorfällen entgegen, in einem eigenen Rahmen. Das NCSC erhielt 2025 64 733 freiwillige Meldungen, gegenüber 62 954 im Jahr 2024. Je nach Art des Vorfalls und Ihrer Branche können beide Schritte zusammen erforderlich sein.
Muss ich die betroffenen Personen informieren?
Das ist die heikelste Frage, weil sie Ihre Kundenbeziehung betrifft.
Die Regel: Sie informieren die betroffenen Personen, wenn dies zu ihrem Schutz erforderlich ist, oder wenn der EDÖB dies verlangt.
Das Kriterium ist praktischer Natur. Die Information ist erforderlich, wenn sie den Personen ermöglicht zu handeln: ein anderswo wiederverwendetes Passwort zu ändern, einen Kontoauszug zu überwachen, misstrauisch gegenüber betrügerischen Anrufen zu sein, die sich auf Ihr Unternehmen berufen. Können die Personen mit der Information nichts anfangen, entsteht die Pflicht nicht automatisch.
Eine gute Information ist kurz, sachlich und endet mit konkreten Handlungsschritten. Sie sagt, was geschehen ist, welche Daten betroffen sind, was Sie unternommen haben und was die Person jetzt tun sollte. Sie vermeidet Fachjargon und beschwichtigende Formulierungen.
Nach einer Kompromittierung eines E-Mail-Postfachs schreiben Angreifer oft in Ihrem Namen an Ihre Kontakte. Ihre Kundinnen und Kunden werden auf die eine oder andere Weise vom Vorfall erfahren. Es von Ihnen zu erfahren, früh und klar, bewahrt die Beziehung; es durch eine betrügerische E-Mail zu erfahren, zerstört sie. Die Frage ist fast nie „soll man es sagen“, sondern „wie sagt man es“.
Was geschieht nach der Meldung?
Die klassische Sorge ist die einer automatisch folgenden Kontrolle. So funktioniert es in der Regel nicht.
Der EDÖB nimmt die Meldung entgegen und prüft sie. Er kann Präzisierungen verlangen, Massnahmen empfehlen, verlangen, dass Sie die betroffenen Personen informieren, und in den schwerwiegendsten Fällen ein Verfahren eröffnen und verbindliche Entscheide treffen. Eine in gutem Glauben erfolgte Meldung, begleitet von glaubwürdigen Korrekturmassnahmen, wird als das behandelt, was sie ist: ein Zeichen von Ernsthaftigkeit.
Für Sie selbst endet der Vorfall nicht mit der Meldung. Es bleibt, die Chronologie zu dokumentieren, die technischen Beweise aufzubewahren, die Ursache zu beheben und zu überprüfen, dass die Behebung hält. Diese Schritte werden in unseren Leitfäden zu den ersten Stunden nach einem Angriff und zu Ihren rechtlichen Pflichten nach einem Vorfall detailliert beschrieben.
Sich vorher vorbereiten, nicht währenddessen
Eine Meldung bereitet man in Ruhe vor. Drei Elemente reichen für ein KMU.
- Ein einseitiges Entscheidungsblatt. Wer beurteilt den Vorfall, wer entscheidet über die Meldung, wer verfasst sie, wer spricht mit den Kunden. Ohne schriftlich festgehaltene Namen wartet jeder darauf, dass jemand anders entscheidet.
- Ein Inventar Ihrer schützenswerten Daten. Sie können ein hohes Risiko nicht beurteilen, wenn Sie nicht wissen, was Ihre Systeme enthalten. Es ist dasselbe Inventar, das in unseren Artikeln über Datendiebstahl und Datenlecks beschrieben wird.
- Ein Vorfallprotokoll. Auch für jene Vorfälle, die Sie nicht melden. Die schriftliche Aufzeichnung Ihrer Überlegungen ist Ihre beste Verteidigung, falls der Entscheid später angefochten wird.
Jede Situation hat ihre Besonderheiten, und die Einordnung des hohen Risikos kann diskutabel sein. Bei einem Vorfall mit besonders schützenswerten Daten oder einer grossen Anzahl betroffener Personen lassen Sie sich von einer spezialisierten Juristin oder einem spezialisierten Juristen begleiten, statt allein zu entscheiden.
Um Ihren Vorbereitungsstand in drei Minuten einzuschätzen, gibt Ihnen der Cyber-Check-up eine Punktzahl und Ihre drei Prioritäten. Die weiteren Pflichten für Schweizer Unternehmen sind im Themenbereich Vorschriften zusammengefasst.