Nach grossen Datenlecks: Schweizer Rechtsanwalt erklärt, was zählt – und wo es klemmt
Während die Medien regelmässig über Datendiebstähle und Datenlecks berichten, bleibt es selbst nach der Enthüllung spektakulärer Fälle medial häufig auffallend ruhig. Die Verantwortlichen der betroffenen Firmen sagen in der Regel – und auf Anraten der Polizei – möglichst wenig.
Und auch die Behörden, die in solchen Fällen aktiv werden, schweigen. Denn es gilt die Unabhängigkeit von Untersuchungen und das Amtsgeheimnis zu wahren und die Rechte aller Verfahrensbeteiligten zu schützen.
Wenn sensible Daten im Internet exponiert oder von Cyberkriminellen erbeutet wurden, beginnt für die Opfer eine schwierige, belastende Zeit. Doch welche Rechte und Handlungsmöglichkeiten haben sie? Und was müsste sich auf politischer, gesetzgeberischer Ebene ändern, um die Cybersicherheit in der Schweiz zu stärken?
Ein unabhängiger Experte nimmt Stellung.
Die Ausgangslage
Herr Steiger, watson enthüllte kürzlich massive Datenlecks bei Schweizer Schulfotografen und bei Parkplatz-Überwachern. Ab wann spricht man juristisch gesehen nicht mehr von «Pech gehabt», sondern von grober Fahrlässigkeit bezüglich IT-Sicherheit?
Martin Steiger: Der gesetzliche Massstab ist, dass eine dem Risiko angemessene Datensicherheit durch geeignete technische und organisatorische Massnahmen gewährleistet werden muss. Dabei wird keine absolute Datensicherheit verlangt.
Ob ein Unternehmen Pech gehabt oder grob fahrlässig gehandelt hat, wird nur selten aufgearbeitet – und das normalerweise hinter verschlossenen Türen. Im besten Fall überlebt ein Unternehmen eine Verletzung der Datensicherheit und kann daraus für die Zukunft die notwendigen Lehren ziehen.
Es gibt gesetzlich vorgeschriebene Sicherheitsvorkehrungen, um Personendaten zu schützen. Wie kann es sein, dass Firmen mit klaffenden Sicherheitslücken wie ungesicherten Programmierschnittstellen oder frei zugänglichen Datenbanken operieren?
Die Gewährleistung der Datensicherheit obliegt in der Schweiz in weiten Teilen der berühmt-berüchtigten Eigenverantwortung. Das führt dazu, dass es grosse Unterschiede zwischen Unternehmen gibt. Der grosse Spielraum, den das Datenschutzrecht einräumt, kann falsche Anreize bis zum Laisser-faire setzen. Letzteres ist vor allem beim Umgang mit KI zu beachten. «Vibe Coding» und Angriffe auf die Lieferketten der IT-Industrie führen zu viel mehr Verletzungen der Datensicherheit als noch vor einigen Jahren.
Was sind eigentlich TOMs?
Wer auf Servern oder anderen IT-Systemen persönliche Daten speichert, muss diese vor Verlust, Diebstahl oder neugierigen Blicken schützen – so schreibt es das Schweizer Datenschutzgesetz (DSG) vor. Der Fachbegriff dafür lautet TOM und steht für «technische und organisatorische Massnahmen».
Technische Massnahmen beziehen sich auf die IT-Infrastruktur, Software und physische Barrieren, die die Daten schützen sollen. Zu erwähnen sind Passwort-Schutz und Verschlüsselung, aber auch die Gewährleistung der Netzwerksicherheit (Firewall, Virenscanner, regelmässiges Installieren von Updates) und eine regelmässige Datensicherung (Backups).
Organisatorische Massnahmen beziehen sich auf die «Spielregeln», die die internen Abläufe und das Verhalten im Betrieb regeln. Denn die teuerste Hardware und Software nützt nichts, wenn der Mensch unvorsichtig agiert. Ein Beispiel dafür sind regelmässige Schulungen des Personals, um betrügerische Phishing-E-Mails rechtzeitig zu erkennen.
Welche Massnahmen im Alltag nötig sind, hängt vom konkreten Risiko ab. Eine Arztpraxis mit sensiblen Informationen in den Patientenakten muss logischerweise höhere technische Hürden einbauen als ein Verein bei seiner Mitgliederliste.
Der Fall Funkwache und Unisecur
Beim Datenleck von Funkwache und Unisecur wurden Daten von Parkplatznutzern exponiert, darunter Kontrollschilder, Standorte und Zeiten. Verlangt das Gesetz von privaten Überwachungsfirmen höhere TOMs als von einem normalen Webshop-Betreiber?
Mit Blick auf das höhere Risiko: Ja.
Viele Betroffene fragen sich: Warum speichert eine Parkplatzfirma meine Daten überhaupt noch, wenn die Umtriebsentschädigung längst bezahlt ist? Müsste hier das Prinzip der Datensparsamkeit und der automatischen Löschung nicht viel rigoroser durchgesetzt werden?
Massgeblich ist der Grundsatz der Erforderlichkeit: Personendaten, die für den Zweck der Bearbeitung nicht mehr erforderlich sind, müssen anonymisiert oder vernichtet werden. Das ist manchmal schwierig, aber nicht bei strukturierten Daten wie jenen der privaten Parkplatzbewirtschafter.
Die Daten lagen noch Monate oder Jahre nach Bezahlen einer Umtriebsentschädigung in den Datenbanken dieser Firmen. Wenn eine private Firma Daten ohne ersichtlichen Grund über Jahre hortet und diese dann gestohlen werden: Liegt hier nicht neben dem Datenleck an sich ein fundamentaler Verstoss gegen das Prinzip der Zweckbindung und der Löschungspflicht vor?
Wenn die Daten nicht mehr erforderlich sind: Ja, das lässt sich nicht schönreden.
Wie fehlbare Firmen gebüsst werden
Im Gegensatz zur europäischen DSGVO büsst das Schweizer Recht nicht das Unternehmen mit Millionenbeträgen, sondern die verantwortlichen natürlichen Personen (z.B. die Geschäftsleitung) mit bis zu 250'000 Franken. Wie gut funktioniert dieses System in der Praxis?
Theoretisch wäre auch eine Busse von höchstens 50’000 Franken für ein fehlbares Unternehmen möglich. In der Praxis scheint es kaum Strafverfahren gemäss den datenschutzrechtlichen Strafbestimmungen zu geben. Allerdings ist die Angst vor solchen Strafverfahren je nach Umfeld bei den einzelnen verantwortlichen Personen überraschend gross. Das betrifft aber in erster Linie grössere Unternehmen mit Fachpersonen, die sich um den Datenschutz kümmern.
Mit Blick auf die Praxis kann man bislang nur zum Schluss kommen, dass Bussen für einzelne verantwortliche Personen nicht zielführend sind.
Das DSG bestraft in der Regel nur vorsätzliches Handeln, keine Fahrlässigkeit. Ist diese hohe Hürde des Vorsatzes der Grund, warum wir in der Schweiz bei all diesen Datenlecks kaum von verhängten Bussen hören?
Die eigentliche Hürde liegt bei den betroffenen Personen: Die direkt betroffenen Personen wissen häufig gar nicht, dass sie einen Strafantrag stellen könnten. Und wenn sie es wissen, empfinden sie den Aufwand häufig als zu hoch.
Es genügt nicht, einen Strafantrag zu stellen, sondern man muss das Verfahren aktiv begleiten. Dafür benötigen die meisten betroffenen Personen anwaltliche Unterstützung. Das alles kostet Energie, Geld und Zeit – und am Ende wird im besten Fall für die betroffene Person eine einzelne verantwortliche Person mit einer Busse bestraft, während man selbst auf dem grössten Teil der eigenen Kosten sitzen bleibt.
Im Kanton Zürich liegen solche Verfahren nicht einmal bei den Staatsanwaltschaften, sondern bei den Statthalterämtern, weil es sich um Übertretungen handelt. Dort ist man es sich nicht gewohnt, im Zusammenhang mit Datenschutz und Personendaten zu ermitteln.
Welche Beweise müssen vorliegen, damit eine mangelhafte Informationspolitik gegenüber der Kundschaft oder das Missachten der Datensicherheit strafrechtliche Folgen hat?
Die betroffenen Personen sind auf Ermittlungen der Strafverfolgungsbehörden angewiesen. Dafür müssen sie aber erst einmal einen Strafantrag stellen. Danach müssen die Behörden überhaupt Ermittlungen aufnehmen. Das ist keine Selbstverständlichkeit. Nach einer Datenpanne bei Patientendaten durch «Vibe Coding» in diesem Jahr beispielsweise endete eine Strafanzeige im Kanton Zürich mit der Nichtanhandnahme. Da es um Patientendaten und damit um das Arztgeheimnis ging, war eine Staatsanwaltschaft zuständig. Sie verfügte ohne sichtbare Ermittlungen die Nichtanhandnahme, sah also keinerlei Fleisch am Knochen.
Die Zürcher Sicherheitsdirektion und das dazugehörige Strassenverkehrsamt lassen auf Anfrage verlauten: «Wir nehmen den Vorfall ernst und haben geeignete Massnahmen getroffen. Wir stehen in Kontakt mit dem EDÖB und der kantonalen Datenschutzbeauftragten.» Ein Fragenkatalog von watson bleibt hingegen unbeantwortet.
Auch der Erpressungsfall der Firma Portraitbox
in Deutschland, der viele Schweizer Schulfotografen betrifft, wie watson publik machte, hält den EDÖB auf Trab. Betroffene Kunden haben beim Datenschützer formelle Beschwerden eingereicht und stehen zudem mit den zuständigen kantonalen Rechtsbehörden in Kontakt.
Was man zum Auskunftsbegehren wissen sollte
Wenn die Verantwortlichen einer betroffenen Firma gegenüber den Medien und den Betroffenen schweigen: Ab wann bricht dieses «Mauern» geltendes Recht?
Medien haben – anders als betroffene Personen – kein Recht auf Auskunft. Gegenüber betroffenen Personen muss ein Auskunftsbegehren immer beantwortet werden. Das kann bedeuten, dass die Auskunft verweigert wird, aber gar nicht zu reagieren, verletzt das Recht auf Auskunft.
Haben Betroffene nach einem Hackerangriff das Recht zu erfahren, ob genau ihre Daten abgeflossen sind, oder darf sich die Firma auf die Aussage beschränken: «Es gab einen Angriff, potenziell sind alle betroffen»?
Betroffene Personen können eine entsprechende Auskunft verlangen, wenn sie vom betreffenden Unternehmen nicht von sich aus informiert werden. Wenn ein Unternehmen keine Auskunft erteilt, müssen betroffene Personen ihr Recht auf Auskunft einzeln auf dem Rechtsweg durchsetzen. Das ist für viele betroffene Personen eine zu hohe Hürde. Es gibt keine Sammelklage und kein Verbandsbeschwerderecht.
Wie stellt man ein Auskunftsbegehren?
In der Schweiz müssen Firmen Auskunft darüber geben, welche Daten sie von Personen gespeichert haben. Der Jurist Lucien Jucker, Leiter Datenschutz bei der Stiftung für Konsumentenschutz (SKS), erklärt das Vorgehen, um ein schriftliches Datenschutzbegehren zu stellen:
«Betroffene können bei den Firmen ein Datenauskunftsbegehren stellen, welches grundsätzlich innert 30 Tagen beantwortet werden muss. Damit lässt sich zwar der Datenabfluss nicht rückgängig machen, die Betroffenen wissen danach aber wenigstens, welche Daten potenziell abgeflossen sind. Die Auskunft erfolgt i.d.R. kostenlos, die 30-tägige Frist kann von den Datenbearbeiter:innen verlängert werden.»
Auf der SKS-Website gibt es dafür einen Musterbrief-Generator. Eine weitere Möglichkeit bietet datenauskunftsbegehren.ch. Und auch auf der Website des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gibt's eine Vorlage.
Und wenn Betroffene erreichen möchten, dass ihre von den Firmen gespeicherten Daten gelöscht werden?
Auch hier können Betroffene ein entsprechendes schriftliches Begehren einsenden. Anders als beim Datenauskunftsbegehren, das in (fast) jedem Fall beantwortet werden muss, müssen hier die Interessen der Parteien geprüft werden. Dies könne dazu führen, dass nicht sämtliche Daten gelöscht werden müssen.
Betroffene mit Wohnsitz in der EU können ihre Rechte nach der dort geltenden (strengeren) EU-Datenschutzgrundverordnung (DSGVO) geltend machen. «Die Betroffenen können grundsätzlich auch unsere Musterbriefe verwenden, müssen diese aber anpassen», erklärt der SKS-Jurist. Betroffene im EU-Raum könnten ausserdem eine Beschwerde bei ihrer Aufsichtsbehörde platzieren oder womöglich auf Schadenersatz klagen.
Im September 2025 hat das Parlament die Einführung der Verbands- bzw. Sammelklage versenkt. Sind Schweizer Konsumenten nach massenhaften Datendiebstählen/Datenabflüssen juristisch gesehen Freiwild?
In jedem Fall können sich Konsumenten nicht gemeinsam und wirksam zur Wehr setzen, schon gar nicht gegen grosse Unternehmen in der Schweiz oder im Ausland.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) könnte intervenieren. Das geschieht aber, soweit für mich ersichtlich, nur selten. Das beginnt schon damit, dass der EDÖB von einer Verletzung der Datensicherheit überhaupt erfahren muss. Und auch in diesem Fall muss er bereit sein, den Aufwand für eine Intervention zu betreiben. Der EDÖB geniesst aufgrund seiner Unabhängigkeit grösste Freiheit, was er unternimmt – oder eben nicht unternimmt.
Firmen reagieren auf Auskunftsbegehren in Krisenzeiten oft nur mit automatisierten Floskeln. Welche Druckmittel hat man, wenn die Fragen zu gestohlenen Daten nach Ablauf der 30-Tage-Frist ignoriert werden?
Die betroffenen Personen könnten im Wesentlichen auf Auskunft klagen oder Anzeige beim EDÖB erstatten. Leider haben betroffene Personen, die Anzeige beim EDÖB erstatten, keine Parteistellung. Sie müssen also darauf hoffen, dass der EDÖB etwas unternimmt, worauf sie aber nicht zählen können. Sie können den EDÖB nicht zum Handeln zwingen. Eine Klage auf Auskunft ist möglich, aber aufwendig. Dito ein Strafantrag.
Kann das Ignorieren von Betroffenen-Anfragen rechtliche Konsequenzen für die Geschäftsleitung haben?
Das Ignorieren von Auskunftsbegehren ist nach heutigem Stand nicht strafbar in der Schweiz. Der EDÖB könnte intervenieren und die Auskunftserteilung strafbewehrt verfügen. Wenn die Auskunft nicht erteilt wird, droht eine Bestrafung der einzelnen verantwortlichen Personen.
Ferner kann der EDÖB ein betroffenes Unternehmen an den Internet-Pranger stellen. Im vergangenen Jahr traf es eine bekannte schweizerische Bank. Das funktioniert aber nur bei Unternehmen, die einen Ruf zu verlieren haben.
Ob sich eine Klage lohnt
Wenn sensible Daten abfliessen, verursacht dies oft einen immateriellen Schaden, der schwer in Franken zu beziffern ist. Lohnt es sich für eine Privatperson in der Schweiz überhaupt, wegen eines solchen Datenlecks einzeln auf Schadenersatz oder Genugtuung zu klagen?
Faustregel: Nein. Im Einzelfall: Vielleicht. In den meisten Fällen riskieren die betroffenen Personen, auch im besten Fall eine solche Angelegenheit mit einem finanziellen Minus abzuschliessen. Die Höhe einer Genugtuung ist in der Schweiz notorisch tief und die Hürden, einen behaupteten Schaden zu beweisen, sind hoch.
Was aus Expertensicht für Betroffene ratsam ist
Was ist Menschen zu raten, deren Daten erwiesenermassen durch Nachlässigkeit einer Firma in kriminellen Händen oder schlimmstenfalls im Darknet gelandet sind? Was sind die wichtigsten Schritte?
Am Anfang steht immer die Auskunft bzw. die Information im Zusammenhang mit einer solchen Verletzung der Datensicherheit (siehe oben). Damit können die betroffenen Personen entscheiden, wie sie vorgehen möchten, insbesondere zum eigenen Schutz. Allerdings gehören viele Schutzmassnahmen ohnehin zum Alltag, zum Beispiel gegen das alltägliche Phishing oder mit genügend langen Passwörtern sowie der Verwendung von Zwei-Faktor-Authentifizierung.
Wer online aktiv ist, muss davon ausgehen, dass die eigenen Daten schon von zahlreichen Datenpannen betroffen waren. Wir müssen jederzeit mit Identitätsmissbrauch und Betrugsmaschen rechnen. Es kommt allenfalls gar nicht mehr auf eine weitere Datenpanne an.
Immer möglich ist eine Anzeige beim EDÖB. Man sollte allerdings nicht erwarten, dass der eidgenössische Datenschutz- Öffentlichkeitsbeauftragte tatsächlich interveniert.
Helfen kann die Unterstützung durch eine passende Cyberversicherung, als einzelne zusätzliche Versicherung oder als Teil einer sonstigen Versicherung – mit Betonung auf «passend». Viele Cyberversicherungen sehen viel zu geringe Deckungssummen vor. Mit 10’000 oder 20’000 Franken kann sich eine betroffene Person nicht wirksam zur Wehr setzen, wenn sie das Opfer einer Verletzung der Datensicherheit wurde. Wie immer muss man genau prüfen, was eine Versicherung leistet.
Ob eine gesetzliche Verschärfung sinnvoll wäre
Das revidierte Datenschutzgesetz (DSG) ist nun gut zweieinhalb Jahre in Kraft. Hat sich die Datensicherheitskultur in Schweizer KMU spürbar verbessert, oder gab es primär eine Zunahme an «Papiertigern» in Form von endlosen Datenschutzerklärungen?
Der Stand der Datensicherheit bei KMU in der Schweiz ist sehr unterschiedlich. Bei vielen KMU hat sich mit dem neuen Datenschutzgesetz nichts geändert, andere sehen die Gewährleistung der Datensicherheit als wichtigen Prozess und setzen die notwendigen Ressourcen ein.
Leider ist für die Kundschaft, die Nutzerinnen und Nutzer, von aussen häufig nicht sichtbar, was der jeweilige Stand der Datensicherheit ist. Gleichzeitig kann auch ein Unternehmen, das viel Aufwand für die Gewährleistung der Datensicherheit betreibt, Pech haben und einem «Zero Day» zum Opfer fallen. So oder anders ist es mit einem nervigen und häufig unnötigen Cookie-Banner natürlich nicht getan.
Wenn das Schweizer Datenschutzgesetz heute nachgebessert werden könnte: Welche Änderung bräuchte es, um Firmen zu mehr IT-Sicherheit zu zwingen?
Zwang hat immer Grenzen, gerade bei der Gewährleistung der Sicherheit. Wenn wir mehr Datensicherheit bei Unternehmen in der Schweiz möchten, wären aus Sicht der betroffenen Personen verschiedene Massnahmen erforderlich, die für schweizerische Verhältnisse ungewohnt sind.
- Verletzungen der Datensicherheit müssten finanziell schmerzen – und zwar die Unternehmen selbst, nicht bloss einzelne verantwortliche Personen. Dabei müssten auch fahrlässige Verletzungen der Datensicherheit erfasst werden, denn Vorsatz ist in dieser Hinsicht selten. Die möglichen Sanktionen – rechtlich gesprochen Verwaltungssanktionen – müssten risiko- und umsatzbasiert ausfallen.
- Die Meldepflichten könnten ausgeweitet werden, damit Verletzungen der Datensicherheit überhaupt bekannt werden. Wer nicht von sich aus meldet, sollte – anders als heute – mit Sanktionen rechnen müssen. Eine Whistleblower-Regelung könnte in dieser Hinsicht helfen.
- Die Möglichkeiten der betroffenen Personen müssten gestärkt werden, indem Sammelklagen und ein Verbandsbeschwerderecht geschaffen würden. So könnten sich Betroffene zusammenschliessen. Auch könnten NGOs wie die Digitale Gesellschaft oder die Stiftung für Konsumentenschutz für die betroffenen Personen den Rechtsweg beschreiten.
Mit solchen Massnahmen wäre für Unternehmen nicht mehr die Verletzung der Datensicherheit das abstrakte Risiko, sondern der Verzicht auf Prävention ein konkretes Risiko. Es würde sich lohnen, in die Prävention zu investieren.
Das bedeutet nicht, dass jede Verletzung der Datensicherheit zu Sanktionen führen müsste. Im Vordergrund müssten die Aufklärung und das gemeinsame Lernen aus den Fehlern anderer stehen. In der Luftfahrt spricht man diesbezüglich von einer «Just Culture» oder «Safety Culture». Das bedeutet nicht, dass es in der Luftfahrt keine Sanktionen gibt, aber es ist allen gedient, wenn gemeinsam gelernt und verbessert wird. In der Schweiz könnte das Bundesamt für Cybersicherheit (BACS) in dieser Hinsicht eine stärkere Rolle spielen. Ferner könnten sich Branchenverbände verstärkt einbringen.
Es gibt genügend Unternehmen, die als positive Beispiele für die Gewährleistung der Datensicherheit dienen können. Schmerzhafte finanzielle Sanktionen sollten jene treffen, die besonders schwerwiegend versagt haben oder sich als nicht lernfähig erweisen, also die «schwarzen Schafe». In dieser Hinsicht könnten wir auch prüfen, was bei Sanktionen – finanziell und nicht finanziell – in der Europäischen Union mit der Datenschutz-Grundverordnung (DSGVO) funktioniert.
Quellen
- Experten-Interview (redigiert, leicht gekürzt)
