Das neue Schweizer Datenschutzgesetz (revidiertes DSG; seit 1. September 2023 in Kraft) stellt viele KMU vor praktische Umsetzungsfragen: Welche Pflichten müssen wir organisatorisch regeln? Welche technischen Massnahmen sind „angemessen“? Und wie reagieren wir im Ernstfall schnell genug?
Parallel dazu nimmt der Cyberdruck zu: Laut Cyberstudie 2024 schätzen 68 % der befragten IT-Dienstleister das Risiko für Cyberangriffe auf Schweizer KMU als gross oder sehr gross ein.
Gerade deshalb lohnt sich ein Ansatz, der Datenschutz und IT-Sicherheit zusammen denkt – inklusive Backup- und Wiederherstellbarkeit.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung, bietet aber eine praxisnahe Orientierung für KMU.
Das neue DSG betrifft Personendaten natürlicher Personen – also z. B. Daten von Kundinnen/Kunden, Mitarbeitenden, Bewerbenden, Ansprechpartnern bei Geschäftspartnern. Daten juristischer Personen sind nicht mehr vom DSG erfasst.
Für KMU ändert das nichts am Kern: In praktisch jedem KMU werden täglich Personendaten natürlicher Personen bearbeitet.
Datenschutz muss bereits bei Auswahl und Konfiguration von Systemen berücksichtigt werden:
KMU müssen nachvollziehbar informieren, welche Daten wofür bearbeitet werden, und Prozesse für Auskunft, Berichtigung oder Löschung definieren – nicht erst, wenn die erste Anfrage eintrifft.
Wichtig: Die 72-Stunden-Frist ist eine EU-DSGVO-Regel. Im Schweizer DSG gilt: Der Verantwortliche meldet dem EDÖB eine Verletzung der Datensicherheit „so rasch als möglich“, wenn diese voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte der betroffenen Person führt. Auftragsbearbeiter müssen den Verantwortlichen über jede Verletzung informieren.
Praxis-Konsequenz für KMU:
Wenn Logs fehlen, Zuständigkeiten unklar sind oder Restore-Prozesse ungetestet, wird die Risikoabwägung und Kommunikation im Incident unnötig schwierig.
Das DSG sieht Bussen bis CHF 250’000 vor – zentral ist aber die Systematik: Die Strafnormen sprechen ausdrücklich von „privaten Personen“ und setzen typischerweise Vorsatz voraus (z. B. bei Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten).
Für KMU bedeutet das: klare Verantwortlichkeiten, dokumentierte Prozesse und saubere Umsetzung reduzieren nicht nur Risiko, sondern auch persönlichen Stress im Ernstfall.
Datenschutz und IT-Sicherheit sind in der Praxis eng gekoppelt. Typische Baustellen bei KMU:
Backups sind ein Kernbaustein, um Betriebsunterbrüche und Datenverlust nach Vorfällen zu begrenzen. Für KMU sind besonders wichtig:
Eine praxistaugliche Architektur umfasst typischerweise:
Swiss S3 Storage bietet u. a. S3 Object Lock (Immutable Storage), kostenfreien Ingress/Egress-Traffic und individuelle Retention Policies/Periods; zudem wird die Schweizer Datenhaltung betont.
Unser M365 Backup ist agentenlos und nennt als Features u. a. AES-256-Verschlüsselung, eine „Restore Operator“-Rolle (Restores durchführen ohne in die Daten einzusehen), anpassbares Dashboard, Reportings sowie konkrete Restore-Optionen (Restore in Quelle, Restore in neue Ziele, Download über Webbrowser).
Cyber Protection beschreibt u. a. BitDefender®-Engine, Vulnerability Assessment, Patch Management, Remote Access, URL-Filtering und Device Management.
Die Managed Cyber Protection hebt hervor, dass sich Expert:innen fortlaufend um die Sicherheit der IT-Umgebung kümmern – passend für KMU, die Security nicht dauerhaft selbst pflegen können.
Phase 1 (Wochen 1–4): Überblick & Risiko
Phase 2 (Wochen 5–12): Technische Grundlagen
Phase 3 (Wochen 13–20): Prozesse & Doku
Phase 4 (Wochen 21–24): Test & Verbesserung
Das neue DSG ist für KMU ein Umsetzungsprojekt: Prozesse, Technik und Verantwortlichkeiten müssen zusammenpassen. Wer Incident-Reaktion und Wiederherstellbarkeit (Backups + Restore) ernst nimmt, reduziert sowohl Geschäftsrisiko als auch Compliance-Stress deutlich.
Wenn Sie möchten: Backup ONE kann gemeinsam mit Ihnen die Ist-Situation prüfen (Backup-Ziel, Retention, Restore-Fähigkeit, Schutz vor Ransomware) und eine pragmatische Roadmap für Ihre KMU-Umgebung ableiten.
Das sind weitere Beiträge, die Sie interessieren könnten.
Zur Blogübersicht