Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Adrian Lobsiger, hat seit Anfang 2026 455 Meldungen über Verletzungen der Datensicherheit erhalten. Das sagte er in einem Interview mit dem Deutschschweizer Wochenblatt SonntagsBlick, über das die Agentur Keystone-SDA und SWI swissinfo.ch am 25. Oktober 2026 berichteten. Für das gesamte Jahr 2025 zählte der Beauftragte 343 Meldungen. Nach seiner Einschätzung liegt die tatsächliche Zahl der Datenschutzverletzungen in der Schweiz wohl deutlich höher.
Was der Beauftragte am 25. Oktober 2026 bekannt gab
Die Zahl von 455 umfasst die Meldungen, die seit dem 1. Januar 2026 bis zum am 25. Oktober veröffentlichten Interview eingegangen sind. Das Jahr ist also noch nicht vorbei, und die Summe übertrifft bereits jene von 2025.
Adrian Lobsiger relativiert diese Zahl umgehend. Er geht davon aus, dass ihm viele Fälle nie gemeldet werden. Die 455 Meldungen messen also, was auf seinem Tisch landet, nicht die Gesamtheit der Vorfälle.
Das Interview erscheint wenige Tage nach einem viel beachteten Fall. Der Beauftragte hat eine formelle Untersuchung gegen PK Softech eröffnet, den Softwarelieferanten mehrerer Schweizer Pensionskassen. Die Untersuchung richtet sich vorerst gegen diesen externen IT-Dienstleister.
Adrian Lobsiger schliesst nicht aus, sie später auf Bundesorgane und Pensionskassen auszuweiten. Weitere Einzelheiten nannte er wegen der Vertraulichkeit der Untersuchung nicht.
Wie sind diese 455 Meldungen einzuordnen?
Der Vergleich mit 2025 zeigt einen deutlichen Anstieg. Beide Zahlen stammen vom Beauftragten, zitiert von Keystone-SDA.
| Zeitraum | Beim EDÖB eingegangene Meldungen über Verletzungen |
|---|---|
| Gesamtes Jahr 2025 | 343 |
| 2026, bis zum am 25. Oktober veröffentlichten Interview | 455 |
Unsere Berechnung: Noch vor Jahresende zählt 2026 bereits 112 Meldungen mehr als das ganze Jahr 2025. Der Anstieg liegt also schon jetzt über 30%, und es bleiben noch zwei Monate.
Die konsultierten Quellen nennen keine Zahlen für die Jahre vor 2025. Sie erlauben daher keine Aussage darüber, ob der Trend schon länger besteht.
Was die Zahl nicht aussagt
Eine Meldung ist kein Angriff. Die Zahl erfasst eingegangene Meldungen, nicht erwiesene Vorfälle und auch nicht deren Schwere.
Mehrere Erklärungen bleiben möglich, und unsere Quellen entscheiden nicht zwischen ihnen:
- mehr tatsächliche Vorfälle;
- Organisationen, die ihre Vorfälle häufiger melden;
- Serienangriffe, bei denen ein einziger betroffener Dienstleister mehrere Meldungen nach sich zieht.
Unsere Analyse: Dieser letzte Mechanismus ist alles andere als theoretisch. Ende September 2026 traf der Angriff auf einen Softwarelieferanten die Pensionskasse der Stadt Zürich, und auch die Pensionskasse der Post erklärte sich als betroffen. Eine einzige Schwachstelle kann so beim Beauftragten mehrere Dossiers auslösen.
Wer meldet eine Datenschutzverletzung, und wem?
In der Schweiz nehmen zwei Stellen des Bundes Meldungen entgegen, mit unterschiedlichen Rollen. Der Beauftragte kümmert sich um den Schutz der Personendaten. Das Bundesamt für Cybersicherheit (BACS) behandelt Cybervorfälle unter technischen Gesichtspunkten.
Die jüngsten Fälle zeigen den ersten Weg. PK Softech meldete den Angriff am 8. Oktober 2026 selbst dem Beauftragten. Auch das Onlinemagazin Republik meldete dem Beauftragten den Diebstahl von Daten seiner Nutzerinnen und Nutzer.
Der zweite Weg führt über das BACS. Für ein KMU bleibt die Meldung an dieses Amt freiwillig. Seit dem 1. April 2025 müssen ihm hingegen die Betreiber kritischer Infrastrukturen ihre Cybervorfälle melden.
Unsere Analyse: Ein und derselbe Angriff kann also beide Stellen betreffen. Das BACS hilft, den Vorfall einzudämmen, während der Beauftragte prüft, was mit den Personendaten geschehen ist.
Warum sich die Verletzungen laut dem Beauftragten häufen
Adrian Lobsiger nennt zuerst einen menschlichen Faktor. Nach seinen Worten zeigt die Analyse der Ursachen der gemeldeten Angriffe, dass die Schwachstelle selten die Technik ist. In der grossen Mehrheit der Fälle handelt es sich um menschliches Versagen.
Der Beauftragte bezeichnet auch die Bedrohung durch künstliche Intelligenz (KI) als «real». Er stellt sie jedoch nicht an die erste Stelle der beobachteten Ursachen.
Seine Behörde verweist schliesslich auf ein organisatorisches Risiko. Die Vernetzung von Daten und die Aufhebung von Datensilos erhöhen nach seiner Einschätzung das Risiko einer Verletzung der Datensicherheit.
Was das für ein KMU in der Schweiz bedeutet
Die Empfehlungen des Beauftragten lassen sich in konkrete Schritte übersetzen. Er verlangt, nur die unbedingt notwendigen Daten weiterzugeben. Zudem empfiehlt er, vorzugsweise mit anonymisierten Testdaten zu arbeiten.
Unsere Analyse: Diese beiden Ratschläge zielen direkt auf den Austausch mit Dienstleistern. Ein KMU, das einem Lieferanten eine Kundendatei anvertraut, kann sich fragen, was es ihm wirklich schickt und ob fiktive Daten nicht genügen würden.
Das vom Beauftragten angesprochene menschliche Versagen deckt sich mit den grundlegenden Massnahmen der IT-Sicherheit: das Team zu Phishing schulen, Zugänge schützen, Notfallkontakte aktuell halten. Laut der KMU-Cybersicherheitsstudie 2026 schult nur rund ein Drittel der KMU ihr Personal regelmässig.
Was man noch nicht weiss
- Die Aufteilung der 455 Meldungen nach Branche, Grösse der Organisation oder Art des Vorfalls: Das Interview nennt sie nicht.
- Die Zahlen der Jahre vor 2025, die es erlauben würden, den Anstieg über einen längeren Zeitraum einzuordnen.
- Der Anteil der Meldungen, die auf ein und denselben Serienangriff zurückgehen, wie jenen auf die Pensionskassen.
- Das Ausmass der nicht gemeldeten Fälle: Der Beauftragte schätzt es als bedeutend ein, ohne es zu beziffern.
- Die genauen Kriterien und die Frist, die das Datenschutzgesetz (nDSG) für die Meldung einer Verletzung vorsieht: Die für diesen Artikel konsultierten Quellen führen sie nicht im Detail aus.
