Ein Reaktionsplan für Cyberangriffe legt im Voraus fest, wer entscheidet, wer alarmiert wird, wie die Daten wiederhergestellt werden und was den Kunden gesagt wird. In der Schweiz bleibt ein kleines oder mittleres Unternehmen (KMU) für seinen eigenen Vorfall verantwortlich. Das Bundesamt für Cybersicherheit (BACS) greift nur unterstützend ein. Dieses Dokument beantwortet deshalb die Frage «Was tun nach einem Cyberangriff?», einschliesslich der Meldungen an die Behörden.
Dieser Plan ergänzt die Grundlagen der KMU-Cybersicherheit wie Updates und Zwei-Faktor-Authentifizierung. Er ersetzt die Prävention nicht: Er organisiert die Stunden nach einem Angriff. Dieser Artikel unterscheidet zwischen den von unseren Quellen berichteten Fakten und unserer eigenen Analyse.
Kennzahlen
- 6 % der Schweizer KMU haben laut der Studie «Cybersicherheit in KMU 2026» in drei Jahren einen schweren Cyberangriff erlitten, gegenüber 4 % in den Jahren 2024 und 2025.
- 7 % der KMU wurden laut derselben Studie bereits Opfer einer Erpressung.
- Neun von zehn KMU erstellen Backups, aber nur ein Viertel testet regelmässig deren Wiederherstellung.
- 40 % der KMU wären bereit, einen Vorfall dem BACS zu melden.
- Die Pikettlinie des BACS ist 24 Stunden am Tag in Betrieb; die Vorfälle werden dort in vier Stufen eingeteilt, von «gering» bis «kritisch».
- Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen ihre Cybervorfälle dem BACS melden.
Warum braucht ein KMU einen schriftlichen Plan?
Weil niemand den Vorfall an seiner Stelle bewältigt. «In der Schweiz liegt die Bewältigung von Vorfällen in der Eigenverantwortung der betroffenen Organisation, das BACS handelt subsidiär», erklärt Roman Hüssy gegenüber dem Magazin PME. Er ist Co-Leiter des Govcert, des Einsatzteams des BACS.
Das Amt hat keine Weisungsbefugnis. Das Unternehmen entscheidet, ob es eine forensische Analyse durchführt, um den Angriff zu verstehen, oder Sofortmassnahmen ergreift, um ihn einzudämmen. Unsere Analyse: Diese Entscheidung fällt gelassener, wenn sie vor dem Vorfall besprochen wurde.
Solche Pläne sind noch wenig verbreitet. Laut der am 22. Oktober 2026 veröffentlichten Studie zur KMU-Cybersicherheit 2026 sind Notfallpläne deutlich seltener als technische Massnahmen. Die Studie beziffert ihren Anteil nicht genau. Sicherheitsaudits und die Kontrolle der Lieferanten weisen denselben Rückstand auf.
Um den eigenen Ausgangspunkt zu bestimmen, liefert ein KMU-Cybersicherheitstest eine erste Bestandesaufnahme. Unternehmen, die einen umfassenderen Rahmen suchen, können sich auf den IKT-Minimalstandard (Informations- und Kommunikationstechnologien) des Bundes stützen.
Wer macht was während eines Cyberangriffs?
Der erste Entscheid besteht darin, auf Ebene der Geschäftsleitung eine verantwortliche Person zu bestimmen. Die Studie 2026 nennt dies als ersten Ansatz und stellt fest, dass mehr KMU dies tun. Cybersicherheit wird so zur Sache der Geschäftsleitung und nicht mehr nur der Informatikabteilung.
Unsere Analyse: Ein nützlicher Plan verteilt mindestens drei Rollen, mit Namen statt vager Funktionen.
- die Person, die entscheidet: ein System abschalten, Analyse oder Wiederinbetriebnahme wählen, Strafanzeige erstatten;
- die Person oder der Dienstleister, die bzw. der die technische Arbeit ausführt und die erhaltenen Empfehlungen umsetzt;
- die Person, die mit den Mitarbeitenden, den Kunden und den Behörden spricht.
Welche Kontakte gehören in den Plan?
Eine aktuelle Kontaktliste ist der einfachste Teil des Plans und der am häufigsten vernachlässigte. Roman Hüssy nennt veraltete Kontaktdaten, welche die Alarmierung verlangsamen, als häufigen Fehler.
Unsere Quellen erlauben es, die Grundlage dafür zu legen:
- das BACS, erreichbar über ein Meldeformular oder über seine Pikettlinie, die 24 Stunden am Tag besetzt ist;
- der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) in Bern, dessen Hotline von Montag bis Freitag von 10 bis 11:30 Uhr unter 058 462 43 95 antwortet;
- die Informatikdienstleister und Softwarelieferanten, die Daten des Unternehmens halten.
Die Dienstleister verdienen besondere Beachtung. Ende September 2026 ermöglichte ein Angriff auf einen Softwarelieferanten den Diebstahl von Daten der Pensionskasse der Stadt Zürich. Diese Daten waren ihm im Hinblick auf einen Wechsel des Verwaltungssystems übermittelt worden. Unsere Analyse: Ein KMU muss wissen, wer seine Daten hält und wen es bei jedem anrufen muss.
Warum Backups testen und nicht nur erstellen?
Ein Backup schützt nur, wenn es sich rechtzeitig wiederherstellen lässt. Laut der Studie 2026 erstellen neun von zehn KMU Backups, aber nur ein Viertel testet regelmässig deren Wiederherstellung.
«Es reicht nicht, die Daten zu sichern. KMU müssen regelmässig testen, ob sie ihre Tätigkeit nach einem Cyberangriff rasch wieder aufnehmen können», betont Anu Anthamatten, Projektleiterin bei digitalswitzerland.
Was auf dem Spiel steht, misst sich in Arbeitszeit. Unter den 44 betroffenen KMU der Stichprobe wird der grosse Aufwand für die Wiederherstellung 16-mal genannt, ebenso oft wie die emotionale Belastung. Der finanzielle Schaden folgt erst danach, mit 10 Nennungen.
Unsere Analyse: Der Plan kann die Häufigkeit der Wiederherstellungstests und die Person festlegen, die sie durchführt. Unsere Quellen nennen weder eine Regel zu Offline-Backups noch eine empfohlene Häufigkeit.
Was tun in den ersten Stunden nach einem Cyberangriff?
Der vom BACS beschriebene Ablauf beginnt mit einer Kontaktaufnahme. Das betroffene Unternehmen erreicht das Amt per Formular oder über die Pikettlinie. Der Govcert leistet dann laut Roman Hüssy erste Hilfe und nimmt eine erste technische Beurteilung vor, «wie eine Feuerwehr». Danach wird der Vorfall nach seinem Schweregrad eingestuft.
Die erhaltenen Empfehlungen müssen vollständig umgesetzt werden. Roman Hüssy nennt ihre nur teilweise Umsetzung als häufigen Fehler, denn sie ermöglicht es den Angreifern, sich weiter auszubreiten.
Der Fall des Onlinemagazins Republik im Jahr 2026 zeigt, was eine Verzögerung kostet. Unbekannte nutzten eine Lücke in Metabase aus, einem Werkzeug zur Datenanalyse. «Die Sicherheitslücke war seit dem 6. August bekannt, aber wir haben die nötigen Gegenmassnahmen nicht rechtzeitig ergriffen», räumte das Magazin ein.
Für Schadsoftware hat das BACS am 6. Oktober 2026 die Massnahmen veröffentlicht, die bei Verdacht auf eine Infektion zu ergreifen sind. Unsere Analyse: Der Plan verweist besser auf diese offiziellen Seiten, statt technische Anweisungen abzuschreiben, die sich ändern werden.
Welche Meldungen sind nach dem Vorfall zu machen?
Drei Schritte tauchen in den jüngsten Schweizer Fällen auf, und sie richten sich nicht an dieselben Empfänger.
| Schritt | Wer betroffen ist | Was unsere Quellen sagen |
|---|---|---|
| Meldung an das BACS | Jedes Unternehmen; obligatorisch für Betreiber kritischer Infrastrukturen | Freiwillig für ein KMU; seit dem 1. April 2025 Pflicht zur unverzüglichen Meldung für kritische Infrastrukturen |
| Meldung an den EDÖB | Unternehmen, bei dem Personendaten betroffen sein könnten | Republik und der Lieferant PK Softech haben ihren Vorfall dem Beauftragten gemeldet |
| Strafanzeige | Unternehmen, das Opfer des Angriffs ist | Die Pensionskasse der Stadt Zürich hat Strafanzeige erstattet |
Das BACS nimmt die freiwilligen Meldungen der Unternehmen entgegen und hilft ihnen bei den nötigen Schritten. Für ein KMU, das keine kritische Infrastruktur betreibt, bleibt diese Meldung freiwillig.
Der Beauftragte ist die Aufsichtsbehörde für den Datenschutz. Er wacht darüber, dass private Unternehmen Personendaten nicht widerrechtlich bearbeiten. Seine Fragen geben eine Vorstellung davon, was ein KMU dokumentieren können muss.
Datiertes Beispiel: PK Softech, Softwarelieferant mehrerer Pensionskassen, meldete dem Beauftragten am 8. Oktober 2026 einen Angriff. Am 23. Oktober 2026 eröffnete dieser eine formelle Untersuchung gegen das Unternehmen. Er will drei Punkte klären:
- die Personendaten, welche die Kassen dem Lieferanten anvertraut hatten;
- den rechtlichen Rahmen dieser Übermittlungen und dessen Anwendung in der Praxis;
- das Ausmass der gestohlenen Informationen.
Unsere Analyse: Ein KMU, das ein Inventar seiner Daten und seiner Dienstleister führt, kann diese Fragen schneller beantworten. Der Plan ist der richtige Ort, um es aufzubewahren.
Wie informiert man Kunden und Personal?
Die Betroffenen wollen zuerst wissen, was noch funktioniert. Die Stadt Zürich gab an, dass ihre Kasse und die Auszahlung der Renten funktionsfähig blieben. Die Pensionskasse der Post präzisierte, dass das Vorsorgevermögen und die Renten nicht gefährdet seien.
Danach wollen sie wissen, welche Daten betroffen sind. Die Kasse der Post listete die Daten auf, die betroffen sein könnten, etwa Name, Adresse und Sozialversicherungsnummer. Republik schlüsselte die eingesehenen Kategorien auf und präzisierte, dass keine Kreditkartendaten abgeflossen seien.
Unsere Analyse: Ein Datenleck macht Betrugsversuche glaubwürdiger. Kontaktdaten in Kombination mit einer IBAN-Nummer ermöglichen eine sehr gezielte betrügerische E-Mail. Kunden und Mitarbeitende vor solchen Nachrichten zu warnen, gehört deshalb in die im Plan vorgesehene Kommunikation.
Auch der Zeitplan zählt. Im Fall der Pensionskassen war es Sache jeder Kasse, die Betroffenen nach Abschluss ihrer Analyse zu informieren.
Was unsere Quellen nicht präzisieren
- Die gesetzlichen Voraussetzungen und die Frist für eine Meldung an den EDÖB nach einer Datenschutzverletzung.
- Eine Regel zu Offline-Backups oder eine empfohlene Testhäufigkeit.
- Ein offizielles Muster eines Reaktionsplans für KMU oder der genaue Anteil der KMU, die einen haben.
Weitere Ressourcen finden sich in der Rubrik Das eigene Unternehmen schützen.
