Cyberangriff im KMU: Wann Geschäftsleitung und Verwaltungsrat persönlich haften
Pascal BornerBei einem erfolgreichen Cyberangriff haftet die Geschäftsleitung in der Schweiz nicht für den Einbruch an sich, sondern für mangelnde Sorgfalt im Vorfeld. Das revidierte Datenschutzgesetz (revDSG) sieht persönliche Bussen von bis zu CHF 250'000.- für vorsätzliche Pflichtverletzungen vor. Wer Mindeststandards wie MFA, getrennte Backups und Mitarbeiterschulungen dokumentiert einsetzt, schützt das Unternehmen vor Stillstand und sich selbst vor rechtlichen Konsequenzen.
- Niemand in der Geschäftsleitung weiss genau, wer Zugriff auf administrative Konten hat.
- Die Multi-Faktor-Authentifizierung (MFA) ist nicht für alle Mitarbeitenden und Mailkonten zwingend aktiviert.
- Euer Backup wurde seit über sechs Monaten nicht mehr auf einer isolierten Testumgebung wiederhergestellt.
- Es gibt kein schriftliches Dokument, das regelt, wer bei einem Ransomware-Vorfall wen informiert.
- Mitarbeitende wurden noch nie praxisnah geschult, wie Phishing-Mails im Schweizer Geschäftsalltag aussehen.
Cyber-Risiken sind Chefsache, keine reine IT-Frage
Lange galt IT-Sicherheit in Schweizer KMU als technisches Detail, das an einen externen Informatiker oder eine interne Fachperson delegiert wurde. Mit dem revidierten Schweizer Datenschutzgesetz (revDSG) und der Rechtsprechung zum Aktienrecht (Art. 716a OR) hat sich die Rechtslage grundlegend verschärft: Die Gesamtleitung und die Aufsicht über die IT-Sicherheit sind unübertragbare Aufgaben der obersten Führungsebene.
Der entscheidende Unterschied: Angriff vs. Pflichtverletzung
Kein Gesetz verlangt hundertprozentige Sicherheit gegen professionelle Cyberkriminelle. Was Gerichte, Versicherungen und Aufsichtsbehörden im Schadenfall prüfen, ist die Sorgfaltspflicht: Hat die Geschäftsleitung nach dem Stand der Technik und den wirtschaftlichen Möglichkeiten des KMU angemessene Schutzmassnahmen getroffen und deren Einhaltung kontrolliert?
Die drei Haftungsfallen für Schweizer Geschäftsleitungen
- Strafrechtliche Bussen nach revDSG: Verstösst ein Unternehmen vorsätzlich gegen grundlegende Sicherheitsstandards und gelangen dadurch sensible Personendaten in falsche Hände, haften die handelnden Personen privat mit bis zu CHF 250'000.-. Eine Übernahme dieser Busse durch eine Firmenversicherung ist gesetzlich ausgeschlossen.
- Zivilrechtliche Organhaftung (Art. 754 OR): Entsteht der Gesellschaft oder Kunden durch einen Betriebsstillstand ein Millionenschaden, können Verwaltungsrat und Geschäftsleitung wegen mangelnder Überwachung auf Schadenersatz belangt werden.
- Leistungsverweigerung der Cyberversicherung: Fast alle Cyberversicherungen fordern im Schadenfall den lückenlosen Nachweis von Mindeststandards wie MFA und getrennten Offline-Backups. Fehlt dieser Nachweis, zahlt die Versicherung oft keinen Rappen.
In 4 Schritten die persönliche Haftung minimieren
Um als Geschäftsleitung auf der sicheren Seite zu stehen, braucht es kein millionenschweres Enterprise-Budget, sondern ein nachvollziehbares und dokumentiertes Sicherheitsfundament:
- Multi-Faktor-Authentifizierung (MFA) flächendeckend erzwingen: Jeder Zugang zu Mails, Cloud-Speichern und ERP-Systemen muss mit einem zweiten Faktor geschützt sein, ohne Ausnahme für Kaderpersonen.
- Unveränderbare Backups (3-2-1-Prinzip): Mindestens eine Kopie aller Unternehmensdaten muss physisch oder logisch vom Firmennetzwerk getrennt und gegen Verschlüsselung geschützt sein.
- Kompakter Notfallplan auf Papier: Ein zweiseitiges Dokument mit Notfallkontakten, Kommunikationswegen und klaren Zuständigkeiten, das auch bei komplettem Netzausfall physisch greifbar ist.
- Regelmässige Sensibilisierung des Teams: Kurze, praxisnahe Schulungen für Mitarbeitende, um die Erkennung von Phishing und Social Engineering zu trainieren.
Produktions- und Handelsbetrieb im Kanton Aargau, 38 Mitarbeitende. Keine zentrale Sicherheitsrichtlinie, MFA war nur für Kader optional aktiviert. Bei einer Risikoanalyse wurde festgestellt, dass Passwörter mehrfach verwendet wurden und das Backup direkt im Netzwerk erreichbar war.
Einführung von zwingender Multi-Faktor-Authentifizierung für alle Konten, Einrichtung eines unveränderbaren Cloud-Backups und Erstellung eines zweiseitigen IT-Notfallplans für die Geschäftsleitung. Die Sorgfaltspflichten sind nun lückenlos dokumentiert und die Cyberversicherung hat die Police ohne Vorbehalte bestätigt.
Als externe IT-Abteilung von BeeBase schützen wir Schweizer KMU pragmatisch und wirksam. Wir sorgen dafür, dass moderne Sicherheitsstandards, saubere Zugriffsrechte und getestete Backups im Alltag zuverlässig greifen. Gleichzeitig dokumentieren wir alle Massnahmen nachvollziehbar für Geschäftsleitung, Verwaltungsrat und Versicherungen.
Häufige Fragen zum Thema
Pascal Borner ist Geschäftsführer von BeeBase und begleitet Schweizer KMU als verlässlicher Partner in der IT-Transformation.
Nino Lanfranchi ist Geschäftsführer von BeeBase und begleitet Schweizer KMU bei Infrastruktur und Betrieb ihrer IT.