Was verursacht Datenverlust am häufigsten, wenn kein Hacker im Spiel ist?

Ein Mitarbeitender löscht den falschen Ordner. Eine Synchronisation überschreibt eine wichtige Datei. Nach einem Softwareupdate ist eine Datenbank nicht mehr lesbar. Für solche Datenverluste braucht es keinen Hacker. Oft genügt eine alltägliche Handlung, die das System als berechtigt akzeptiert.

Zu den wesentlichen Ursachen ohne Cyberangriff gehören Bedienungsfehler, Fehlkonfigurationen, Hardwaredefekte, Softwareprobleme und fehlgeschlagene Speichervorgänge. Welche Ursache statistisch am häufigsten ist, lässt sich ohne eine vergleichbare Datengrundlage nicht seriös bestimmen. Für die Geschäftsführung zählt ohnehin eine andere Frage: Welche dieser Ereignisse können den Betrieb unterbrechen, und wie schnell lassen sich die Daten wiederherstellen?

Gerade Schweizer KMU müssen dabei Technik, Prozesse und rechtliche Verantwortung gemeinsam betrachten. Denn auch eine unbeabsichtigte Löschung kann datenschutzrechtlich relevant sein. Der wirksamste Schutz besteht deshalb nicht aus einem einzelnen Sicherheitsprodukt, sondern aus passenden Zugriffsrechten, nachvollziehbarer Datenklassifizierung, unabhängigen Sicherungskopien und einem getesteten Notfallverfahren.

Warum Datenverlust oft durch Routinefehler entsteht und nicht durch Angriffe

Routinefehler verursachen Datenverluste, weil Mitarbeitende oder Administratoren unbeabsichtigt gültige Änderungen ausführen. Eine Löschung, eine falsche Synchronisation oder eine fehlerhafte Konfiguration kann wichtige Daten unzugänglich machen, ohne dass ein Sicherheitssystem Alarm auslöst. Ob solche Fehler insgesamt häufiger sind als Angriffe oder technische Defekte, ist damit allerdings nicht belegt.

Ein typischer Ablauf beginnt unspektakulär: Eine Mitarbeiterin bereinigt eine gemeinsam genutzte Projektablage und entfernt einen Ordner, den sie für veraltet hält. Erst später stellt ein Kollege fest, dass darin noch aktuelle Vertragsunterlagen lagen. Ist die Löschung bereits auf andere Geräte synchronisiert worden und gibt es keine brauchbare Sicherung, wird aus einer gewöhnlichen Aufräumaktion ein betrieblicher Vorfall.

Ähnliche Risiken entstehen durch:

• Versehentliches Überschreiben: Eine ältere Datei ersetzt die aktuelle Fassung.
• Fehlkonfiguration: Nach einem Update zeigen Anwendungen auf den falschen Speicherort oder verarbeiten Daten fehlerhaft.
• Speicherprobleme: Ein voller Datenträger lässt Schreib- oder Verarbeitungsvorgänge scheitern.
• Ungeprüfte Automatismen: Eine Synchronisations- oder Bereinigungsregel verändert zahlreiche Dateien gleichzeitig.

Zeitdruck, parallele Aufgaben und unklare Zuständigkeiten können solche Situationen begünstigen. Auch erfahrene Mitarbeitende sind nicht davor geschützt. Besonders kritisch ist, dass viele Aktionen technisch autorisiert sind und deshalb nicht wie ein Angriff aussehen.

Für Schweizer KMU kommt die rechtliche Dimension hinzu. Nach den Informationen des EDÖB zu Datensicherheitsverletzungen können auch unbeabsichtigter Verlust, Löschung oder Veränderung von Personendaten eine Datensicherheitsverletzung darstellen. Eine Meldung wird insbesondere dann erforderlich, wenn daraus voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen entsteht. Ein Hackerangriff ist keine Voraussetzung.

Auch Versicherungsleistungen sind nicht automatisch gegeben oder ausgeschlossen. Entscheidend sind die Vertragsbedingungen, Ausschlüsse und der konkrete Schaden.

Prüfen Sie Ihr Unternehmen anhand von fünf Fragen: Wer darf kritische Daten löschen? Wer überwacht Änderungen? Wie funktioniert die Wiederherstellung? Wer dokumentiert einen Vorfall? Wer entscheidet über rechtliche und vertragliche Folgen?

Der nächste Schritt ist die Unterscheidung zwischen Daten, deren Verlust lediglich ärgerlich wäre, und Daten, deren Verlust den Betrieb ernsthaft gefährden könnte.

Wie klassifizieren Sie Daten in 4 Stufen, damit Schutzmassnahmen passen?

Klassifizieren Sie Unternehmensdaten nach ihrer Bedeutung für den Betrieb, ihrer Vertraulichkeit, gesetzlichen Anforderungen und dem möglichen Schaden bei Verlust. Ein praktikables Modell unterscheidet vier Stufen: kritisch, vertraulich, intern und öffentlich. Jede Stufe erhält passende Zugriffsrechte, Verschlüsselung, Sicherungsintervalle und Aufbewahrungsregeln. So konzentrieren Sie Ihre Schutzressourcen dort, wo sie tatsächlich benötigt werden.

Die vier Stufen bilden eine betriebliche Arbeitshilfe, keine gesetzlich vorgeschriebene Klassifizierung. Wichtig ist, dass Ihre Organisation die Kriterien dokumentiert und einheitlich verwendet.

Die Stufen sollten keine starre Rangfolge aller Risiken vortäuschen. Eine vertrauliche Datei kann zugleich betriebsentscheidend sein. Legen Sie deshalb fest, dass mehrere Schutzmerkmale gelten dürfen und im Zweifel die strengere Massnahme greift.

Für die Zuordnung helfen vier Kriterien: Wie schwer ist eine Wiederbeschaffung? Welche gesetzlichen oder vertraglichen Pflichten bestehen? Welche Auswirkungen hätte der Verlust auf Kundinnen und Kunden? Wie lange könnte der Betrieb ohne die Daten weiterarbeiten?

Berücksichtigen Sie das Schweizer Datenschutzgesetz (DSG) und gegebenenfalls besondere Branchenanforderungen. Bei regulierten Finanzinstituten können zusätzliche FINMA-Vorgaben relevant sein. Die passende Einstufung ergibt sich aus dem konkreten Datenbestand und den anwendbaren Anforderungen.

Erst wenn klar ist, welche Daten wie lange wiederherstellbar bleiben müssen, lässt sich sinnvoll entscheiden, welche technischen Wiederherstellungsverfahren eingesetzt werden sollten.

Snapshots oder Versionierung: Was rettet Sie schneller bei versehentlichem Löschen?

Snapshots sind besonders hilfreich, wenn ein ganzer Speicherbereich auf einen früheren Zustand zurückgesetzt oder daraus wiederhergestellt werden soll. Dateiversionierung eignet sich häufig besser, wenn einzelne überschriebene Dateien wiederhergestellt werden müssen. Welches Verfahren schneller ist, hängt von Speichersystem, Konfiguration, Zeitpunkt des Fehlers und Umfang der Wiederherstellung ab.

Ein Snapshot hält den Zustand eines Dateisystems, Volumes oder Speicherbereichs zu einem bestimmten Zeitpunkt fest. Je nach Technologie arbeitet er mit Referenzen auf vorhandene Datenblöcke und speichert anschliessende Veränderungen zusätzlich. Nicht jeder Snapshot ist damit eine eigenständige Datenkopie.

Die Versionierung hingegen bewahrt frühere Dateifassungen auf. Dadurch können Nutzende unter geeigneten Bedingungen einzelne Änderungen rückgängig machen, ohne die übrige Ordnerstruktur zurückzusetzen.

Zwei hypothetische Situationen verdeutlichen den Unterschied: Wird eine Datei vor zehn Minuten gelöscht und existiert ein aktueller Snapshot, kann daraus eine Wiederherstellung möglich sein. Gibt es stattdessen einen Papierkorb, ist dieser möglicherweise der einfachere Weg. Wird eine Datei vor drei Wochen überschrieben, hilft eine entsprechend lange Versionshistorie häufig gezielter als ein kurzfristig aufbewahrter Snapshot.

In SharePoint und OneDrive ermöglicht die Microsoft-Dokumentation zur Versionshistorie zufolge das System die Einsicht in frühere Fassungen und deren Wiederherstellung. Das gilt jedoch nicht als Garantie für jede Datei und jeden Aufbewahrungszeitraum.

Kontrollieren Sie deshalb, ob die Funktion tatsächlich aktiviert ist, welche Versionen erhalten bleiben, wer sie wiederherstellen darf und ob Löschungen gesondert abgesichert sind.

Beide Verfahren haben Grenzen. Ein Snapshot auf demselben Speichersystem kann bei dessen vollständigem Ausfall ebenfalls verloren gehen. Eine Versionshistorie kann je nach Konfiguration auch bei beschädigten oder verschlüsselten Dateien helfen, ist aber keine Garantie gegen sämtliche Verlustszenarien.

Für kritische Daten benötigen Unternehmen zusätzlich unabhängige Backups. Deren Nutzen steigt erheblich, wenn Mitarbeitende nicht unbeabsichtigt ganze Verzeichnisstrukturen verändern können.

Der Berechtigungsfehler, der dazu führt, dass 1 Klick ganze Ordner löscht

Ein besonders riskanter Berechtigungsfehler entsteht, wenn Mitarbeitende auf übergeordneten Ordnern umfassende Änderungs- und Löschrechte erhalten, obwohl sie lediglich einzelne Unterordner bearbeiten müssen. Durch vererbte Berechtigungen kann eine einzige versehentliche Aktion zahlreiche Dateien betreffen. Dagegen helfen rollenbasierte Zugriffe, begrenzte Löschrechte, Wiederherstellungsfunktionen und regelmässige Berechtigungsprüfungen.

Stellen Sie sich einen gemeinsam genutzten Projektordner vor. Darin liegen Unterverzeichnisse für Buchhaltung, Kundenbetreuung und technische Dokumentation. Damit alle Mitarbeitenden unkompliziert zusammenarbeiten können, wurde auf dem Hauptordner eine weitreichende Berechtigung vergeben.

Ein Mitarbeiter will lediglich ein abgeschlossenes Teilprojekt entfernen, markiert aber versehentlich den Hauptordner. Je nach Systemkonfiguration kann sich die Löschung auf sämtliche darunterliegenden Verzeichnisse auswirken. Synchronisationsdienste können die Änderung anschliessend auf weitere Geräte übertragen.

Das eigentliche Problem ist nicht der einzelne Klick, sondern die Berechtigungsarchitektur, die ihn ermöglicht.

Das Prinzip der minimalen Rechte bedeutet, dass jede Person nur diejenigen Zugriffe erhält, die für ihre Aufgaben erforderlich sind. Das sollte sich an Funktionen und Verantwortlichkeiten orientieren, nicht an der blossen Zugehörigkeit zu einer Abteilung.

Prüfen Sie insbesondere:

• Welche Gruppen besitzen Änderungs- oder Löschrechte auf Hauptordnern?
• Welche Rechte werden automatisch auf Unterordner vererbt?
• Benötigen alle Gruppenmitglieder dieselben Berechtigungen?
• Können Mitarbeitende freigegebene Ordner versehentlich verschieben oder entfernen?
• Wer genehmigt neue Berechtigungen und kontrolliert bestehende Zugriffe?

Technische Gegenmassnahmen sollten mehrere Schutzebenen bilden. Dazu gehören geeignete Bestätigungsmechanismen für weitreichende Änderungen, Papierkörbe mit definierter Aufbewahrung, eingeschränkte Löschrechte und getrennte Berechtigungen für besonders kritische Datenbestände.

Beachten Sie dabei, dass eine Bestätigungsabfrage allein keinen ausreichenden Schutz bietet. Wer eine Fehlentscheidung bestätigt, kann weiterhin Daten löschen. Auch das Verschieben von Dateien muss kontrolliert werden, weil dadurch Geschäftsprozesse und Zugriffe beeinträchtigt werden können.

Für Schweizer KMU mit mehreren Standorten oder Homeoffice-Strukturen ist ein dokumentierter Freigabeprozess besonders hilfreich. Beispielsweise kann festgelegt werden, dass die Löschung einer gemeinsamen Hauptablage stets durch die zuständige IT-Stelle freigegeben werden muss.

Ein halbjährlicher Berechtigungsreview kann als organisatorischer Ausgangspunkt dienen. Bei besonders sensiblen Daten oder häufig wechselnden Zuständigkeiten können kürzere Intervalle sinnvoll sein.

Damit sinkt die Wahrscheinlichkeit folgenschwerer Bedienungsfehler. Vollständig ausschliessen lassen sie sich nicht. Deshalb muss auch der Ablauf unmittelbar nach einem Datenverlust feststehen.

Welche 6 Schritte müssen in den ersten 60 Minuten nach Datenverlust sitzen?

In den ersten 60 Minuten nach einem Datenverlust sollten Unternehmen sechs Schritte einleiten: weitere Veränderungen verhindern, die IT informieren, betroffene Systeme gezielt absichern, Wiederherstellungsoptionen prüfen, den Vorfall dokumentieren und eine kontrollierte Datenrettung vorbereiten. Die Reihenfolge muss zur Ursache passen. Unüberlegte Neustarts, Schreibzugriffe oder Wiederherstellungsversuche können den Schaden vergrössern.

Die erste Stunde ist ein wichtiger organisatorischer Orientierungsrahmen, keine Garantie für eine erfolgreiche Wiederherstellung. Besonders bei geschäftskritischen Anwendungen entscheidet die vorherige Vorbereitung darüber, ob das Unternehmen handlungsfähig bleibt.

1. Weitere Schreibzugriffe vermeiden. Unterbrechen Sie betroffene Arbeiten, soweit dies gefahrlos möglich ist. Installieren Sie keine zusätzliche Software auf einem möglicherweise beschädigten Datenträger und speichern Sie dort keine neuen Dateien.
2. Verantwortliche verständigen. Informieren Sie die interne IT, den zuständigen Dienstleister und gegebenenfalls die Geschäftsführung. Bestimmen Sie eine Person für die Koordination.
3. Betroffene Systeme gezielt absichern. Stoppen Sie gegebenenfalls fehlerhafte Synchronisations- oder Schreibprozesse. Bei Hinweisen auf eine aktive Kompromittierung kann eine Netzwerkisolation erforderlich sein. Vermeiden Sie jedoch pauschales Ausschalten oder Neustarten ohne technische Lagebeurteilung.
4. Wiederherstellungsoptionen prüfen. Kontrollieren Sie Papierkorb, Versionshistorie, Snapshots und vorhandene Backups zunächst möglichst ohne Veränderungen am Originalbestand.
5. Umfang und Zeitpunkt dokumentieren. Erfassen Sie betroffene Systeme, Dateibestände, Beobachtungen, den mutmasslichen Ereigniszeitpunkt und bereits ausgeführte Massnahmen.
6. Wiederherstellung kontrolliert einleiten. Entscheiden Sie anhand der technischen Lage, ob die interne IT eine sichere Wiederherstellung durchführen kann oder externe Spezialisten erforderlich sind.

Die Entscheidung zur Selbsthilfe hängt wesentlich vom Medium und der Verlustursache ab.

Bei versehentlich überschriebenen Cloud-Dateien kann eine verfügbare Versionshistorie ausreichen. Bei einem mechanisch auffälligen Festplattenlaufwerk, einem ausgefallenen SSD-Speicher oder einer beschädigten Datenbank können weitere Zugriffe dagegen erhebliche Risiken verursachen. Dann ist spezialisierte Unterstützung sinnvoll.

Auch die rechtliche Prüfung muss früh beginnen, wenn Personendaten betroffen sein könnten. Nach Schweizer Datenschutzrecht ist zu bewerten, ob eine meldepflichtige Datensicherheitsverletzung vorliegt. Das hängt vom Risiko für die betroffenen Personen ab und nicht allein von der Anzahl gelöschter Dateien.

Für den Ernstfall sollte eine kurze Notfallanweisung sowohl digital als auch unabhängig von den möglicherweise betroffenen Systemen verfügbar sein. Dazu gehören erreichbare Kontaktpersonen, Entscheidungsbefugnisse und der Speicherort der Wiederherstellungsdokumentation.

Wie erfolgreich die Wiederherstellung anschliessend verläuft, hängt vor allem davon ab, welche Sicherungskopien tatsächlich verfügbar, unverändert und lesbar sind.

Wie erstellen Sie einen Backup-Plan mit 3-2-1-Regel, der wirklich umsetzbar ist?

Ein praktikabler Backup-Plan nach der 3-2-1-Regel sieht drei Kopien wichtiger Daten, zwei voneinander unabhängige Speicherformen oder Speicherumgebungen und mindestens eine räumlich getrennte Kopie vor. Entscheidend sind zusätzlich Offline- oder unveränderbare Sicherungen, klare Verantwortlichkeiten und regelmässig getestete Wiederherstellungen. Ohne dokumentierte Wiederherstellungsziele bleibt selbst ein automatisch laufendes Backup unzureichend.

Die verbreitete 3-2-1-Regel ist eine bewährte Orientierung für redundante Datensicherung. Für besonders wichtige Daten formuliert das Schweizer Bundesamt für Cybersicherheit (BACS) eine konkretisierte Empfehlung.

Im Halbjahresbericht 2024/I des Bundesamts für Cybersicherheit empfiehlt die Behörde mindestens drei Sicherungskopien an zwei unterschiedlichen Standorten, von denen mindestens eine vollständig offline aufbewahrt werden sollte.

Für ein Schweizer KMU könnte eine beispielhafte Architektur so aussehen:

• Die produktiven Daten liegen auf einem zentral verwalteten Server oder Speichersystem.
• Eine zusätzliche Sicherung wird auf einem getrennt administrierten Backup-System abgelegt.
• Eine weitere Kopie befindet sich an einem anderen Standort und ist gegen unbefugte Änderungen geschützt, beispielsweise durch Offline-Aufbewahrung.

Ein NAS im selben Büro und eine permanent angeschlossene externe Festplatte allein bieten keine ausreichende räumliche Trennung. Auch zwei Cloud-Speicher im selben Anbieterumfeld sind nicht automatisch unabhängig voneinander.

Bei der Wahl eines Cloud-Standorts müssen Datenschutzanforderungen, vertragliche Vereinbarungen und gegebenenfalls internationale Datenbekanntgaben berücksichtigt werden. Aus der allgemeinen 3-2-1-Empfehlung ergibt sich keine pauschale Pflicht, sämtliche Unternehmensdaten ausschliesslich in der Schweiz zu speichern.

Ein Backup-Plan sollte konkrete Betriebsanforderungen enthalten. Besonders wichtig sind zwei Kennzahlen:

• RPO (Recovery Point Objective): Wie viel Datenverlust in zeitlicher Hinsicht ist maximal tolerierbar?
• RTO (Recovery Time Objective): Innerhalb welcher Zeit muss ein System wieder nutzbar sein?

Diese Werte müssen betrieblich festgelegt werden. Ein Unternehmen mit laufender Auftragsabwicklung kann andere Anforderungen haben als ein Betrieb, dessen Unterlagen überwiegend archiviert werden. Auch Sicherungsfrequenz und Aufbewahrungsdauer hängen von der Datenklasse ab.

Ein sinnvoller Umsetzungsfahrplan über vier Wochen kann als internes Projektmodell dienen:

Vergessen Sie bei der Bestandesaufnahme weder Endgeräte noch Cloud-Dienste. Auch Microsoft 365 oder Google Workspace sollten anhand der tatsächlichen Wiederherstellungsanforderungen beurteilt werden. Anbieterfunktionen zur Aufbewahrung und Versionierung decken nicht zwangsläufig sämtliche betrieblichen Verlustszenarien ab.

Ein vollständiger Plan definiert ausserdem, wer fehlgeschlagene Sicherungen kontrolliert, wer Wiederherstellungen genehmigt und wann erneut getestet werden muss.

Technische Datensicherung begrenzt die Folgen eines Verlusts. Ergänzend sollten Unternehmen verhindern, dass schlecht verwaltete Zugangsdaten zu unbefugten oder unbeabsichtigten Änderungen führen.

Wie führen Sie Passwortmanager in 30 Tagen ein, ohne Widerstand zu erzeugen?

Ein Passwortmanager lässt sich in 30 Tagen schrittweise einführen, wenn Mitarbeitende früh beteiligt werden und die Lösung ihren Arbeitsalltag tatsächlich vereinfacht. Beginnen Sie mit einer kleinen Pilotgruppe, berücksichtigen Sie Sicherheitsbedenken, schulen Sie die Teams kurz und praxisnah und ersetzen Sie bestehende unsichere Ablagen kontrolliert. Ein dokumentierter Notfallzugang gehört von Anfang an dazu.

Der grösste Widerstand entsteht häufig nicht gegen Sicherheit selbst, sondern gegen zusätzliche Komplexität. Mitarbeitende fürchten, den Zugriff auf sämtliche Konten zu verlieren, wenn sie ein zentrales Passwort vergessen. Andere sorgen sich um gemeinsam verwendete Zugangsdaten oder um die Umstellung bestehender Abläufe.

Diese Bedenken sollten im Auswahlprozess berücksichtigt werden.

Ein geeigneter Passwortmanager für Unternehmen sollte Funktionen für rollenbasierte Freigaben, sichere Passwortgenerierung, Mehrfaktor-Authentifizierung, nachvollziehbare Administration und geregelte Wiederherstellung bieten.

Für gemeinsam genutzte Zugänge sollten kontrollierte Team-Tresore verwendet werden. Wo Fachanwendungen individuelle Benutzerkonten ermöglichen, sind diese gemeinsamen Konten in der Regel vorzuziehen.

Das zentrale Konto selbst benötigt besonderen Schutz. Ein Passwortmanager ist kein risikofreier Speicherort, sondern Teil der Sicherheitsarchitektur. Deshalb müssen der Zugriff, die Wiederherstellungsverfahren und administrative Berechtigungen besonders sorgfältig gestaltet werden.

Besonders hilfreich ist eine Pilotgruppe aus unterschiedlichen Funktionen. Eine Person aus der IT, eine aus der Verwaltung und eine aus einem operativen Team können typische Schwierigkeiten frühzeitig sichtbar machen.

Interne Ansprechpersonen erleichtern den Einstieg. Statt lange Schulungen vorzusehen, können konkrete Aufgaben geübt werden: ein neues Passwort speichern, einen Zugang teilen, ein kompromittiertes Passwort ersetzen oder den Zugang nach einem Gerätewechsel wiederherstellen.

Auch die Einführungskommunikation sollte konkret bleiben. Ein realer Anlass wie die Ablösung einer unsicheren Passwortliste ist verständlicher als eine abstrakte Forderung nach stärkerer Sicherheit.

Nach 30 Tagen sollten Unternehmen mindestens überprüfen, wie viele geschäftliche Zugänge übernommen wurden, welche unsicheren Speicherorte noch bestehen und ob administrative Notfallverfahren dokumentiert sowie getestet sind.

Ein Passwortmanager reduziert den Aufwand, unterschiedliche Zugangsdaten zu verwalten. Damit daraus eine nachhaltige Sicherheitsverbesserung wird, braucht es ergänzend eine kurze und praxistaugliche Passwortrichtlinie.

Welche Passwortrichtlinien sind sinnvoll, wenn Mitarbeitende sonst Post-its nutzen?

Eine sinnvolle Passwortrichtlinie verlangt ausreichend lange, einzigartige Zugangsdaten, unterstützt Passwortmanager und setzt bei kritischen Konten auf Mehrfaktor-Authentifizierung. Sie verzichtet auf unnötige Sonderzeichenpflichten und routinemässige Passwortwechsel ohne konkreten Anlass. Entscheidend ist, dass Mitarbeitende die Anforderungen verstehen und im Arbeitsalltag ohne unsichere Hilfsmittel erfüllen können.

Klassische Passwortregeln können unbeabsichtigte Nebenwirkungen haben. Wer sich zahlreiche komplizierte Zeichenfolgen merken muss, verwendet möglicherweise ähnliche Kennwörter, notiert sie auf Papier oder speichert sie in ungeschützten Dateien.

Moderne Empfehlungen berücksichtigen deshalb nicht nur die theoretische Komplexität eines Passworts, sondern auch seine praktische Verwendung.

Die NIST-Richtlinie zu Passwörtern und Authentifizierung vom Juli 2025 legt für Passwörter, die als alleiniger Authentifizierungsfaktor dienen, eine Mindestlänge von 15 Zeichen fest. Werden Passwörter im Rahmen einer Mehrfaktor-Authentifizierung eingesetzt, sind nach diesem Standard mindestens acht Zeichen zulässig.

Die Richtlinie untersagt ihren adressierten Passwortprüfsystemen zusätzliche verpflichtende Zusammensetzungsregeln, etwa die Kombination bestimmter Zeichenklassen. Auch regelmässige Passwortwechsel ohne konkreten Anlass sollen nicht verlangt werden. Bei nachgewiesener Kompromittierung ist hingegen ein Wechsel erforderlich.

Diese technischen Vorgaben sind keine unmittelbar verbindlichen Schweizer Rechtsnormen. Sie bieten jedoch eine nachvollziehbare Grundlage für die Gestaltung betrieblicher Richtlinien.

Für Schweizer KMU kann eine kompakte Passwortrichtlinie folgende Anforderungen enthalten:

• Ausreichende Länge: Lange, einzigartige Passwörter oder geeignete Passphrasen bevorzugen. Für reine Passwortanmeldung kann der NIST-Wert von mindestens 15 Zeichen als technischer Richtwert dienen.
• Keine Wiederverwendung: Geschäftliche Passwörter dürfen weder für private Konten noch für andere Geschäftsdienste erneut verwendet werden.
• Passwortmanager verwenden: Individuelle, zufällig erzeugte Zugangsdaten müssen nicht auswendig gelernt werden.
• Mehrfaktor-Authentifizierung: Besonders für administrative Zugänge, E-Mail, Cloud-Dienste und kritische Anwendungen zusätzliche Faktoren einsetzen.
• Anlassbezogene Änderungen: Passwörter bei Verdacht auf Offenlegung oder nachgewiesener Kompromittierung umgehend ersetzen.
• Geregelte Zugriffsverwaltung: Berechtigungen bei Rollenwechseln und Austritten anpassen sowie Notfallzugänge dokumentiert absichern.

Passphrasen können vor allem dort sinnvoll sein, wo sich Mitarbeitende ein Geheimnis selbst merken müssen. Mehrere unabhängig gewählte Wörter können leichter handhabbar sein als eine kurze, komplizierte Zeichenfolge. Sie müssen jedoch ausreichend lang und schwer vorhersehbar sein.

Für Konten, die über einen Passwortmanager verwaltet werden, sind zufällig generierte, einzigartige Passwörter häufig besonders praktikabel.

Die organisatorische Verantwortung liegt nicht allein bei einzelnen Mitarbeitenden. Unternehmen müssen angemessene technische und organisatorische Schutzmassnahmen festlegen. Bei der Verarbeitung von Personendaten sind insbesondere die Anforderungen des Schweizer DSG relevant. Auch arbeitsrechtliche Fürsorgepflichten können im konkreten Zusammenhang eine Rolle spielen.

Eine dokumentierte Richtlinie unterstützt den Nachweis, dass Sicherheitsanforderungen festgelegt und kommuniziert wurden. Sie garantiert jedoch weder Haftungsfreiheit noch eine bestimmte Reduktion von Bussen. Dafür kommt es auf die tatsächliche Umsetzung, die anwendbaren Pflichten und den Einzelfall an.

Ebenso wichtig ist die Sicherheitskultur: Wer einen Fehler macht oder ein möglicherweise offengelegtes Passwort meldet, sollte wissen, an wen er sich wenden kann. Klare Meldewege fördern die frühzeitige Reaktion besser als unrealistische Erwartungen an fehlerfreies Verhalten.

Prüfen Sie als nächsten Schritt Ihre bestehenden Passwortvorgaben gemeinsam mit IT und Fachabteilungen. Halten Sie auf einer Seite fest, welche Regeln gelten, wie sichere Alternativen bereitgestellt werden und wer bei Zugriffsproblemen hilft. Kombinieren Sie diese Richtlinie mit der Datenklassifizierung, dem Backup-Plan und der Notfallanweisung zu einem überprüfbaren Schutzkonzept.