Datensicherung und Kontinuität: Anforderungen für Schweizer KMU

Warum Datensicherung und Kontinuität für Schweizer KMU überlebenswichtig werden

Die Digitalisierung eröffnet echte Möglichkeiten zur Optimierung der Geschäftsprozesse. Sie bringt aber auch erhebliche Risiken mit sich: Cyberangriffe, Datenverluste und Systemausfälle. Jede Woche werden dem Nationalen Zentrum für Cybersicherheit (NCSC) mehr als 1'000 Cybervorfälle gemeldet.

Alle Unternehmen sind bedroht. Grosskonzerne sind lukrative Ziele; kleine und mittlere Unternehmen sind relativ leichtere Ziele. Laut NCSC war bereits jedes dritte KMU Opfer eines Cyberangriffs.

Ohne eine Backup-Strategie führt ein Datenverlust zu finanziellen Einbussen, einem Produktivitätsrückgang und einer Schädigung des Rufs. Hinzu kommen der Verlust von Umsatz, Kunden oder Chancen sowie der Verlust oder die Kompromittierung von Daten.

Auch der interne Zeitaufwand ist relevant: Führung, IT, Administration, Vertrieb, Recht, HR und Kundensupport.

Für ein Schweizer KMU gelten zwei Anforderungskategorien, die beide benannt werden müssen. Die rechtlichen Anforderungen ergeben sich aus dem neuen Datenschutzgesetz (nDSG) und seiner Verordnung (VDSG). Die technischen Anforderungen betreffen die Datensicherung, den RPO, den RTO und den Kontinuitätsplan: Häufigkeit, Speichermedien, externe Kopien und Wiederherstellungsfristen.

Sicherung, Wiederherstellung, Kontinuität: drei ergänzende Bausteine

Das Backup (die Datensicherung) dupliziert Daten, um sie nach einer versehentlichen Löschung, Korruption oder bösartigen Verschlüsselung wiederherzustellen. Es beantwortet eine präzise Frage: Wie lassen sich verlorene Daten zurückgewinnen? Bis zu welchem Zeitpunkt reicht das letzte nutzbare Backup zurück?

Die Wiederherstellung ist der eigentliche Restaurationsprozess: Die Kopien werden in der richtigen Reihenfolge auf intakter Hardware wieder in Betrieb genommen, und es wird geprüft, ob die Anwendungen einen konsistenten Zustand erreichen. Dieser Prozess wird durch zwei Parameter gesteuert: die Menge an Daten, deren Verlust akzeptabel ist, und die tolerierte Ausfallzeit für jedes System.

Diese beiden Parameter haben Namen. Der akzeptierte Datenverlust ist das RPO (Recovery Point Objective); die tolerierte Ausfallzeit ist das RTO (Recovery Time Objective). Jede Kontinuitätsanforderung übersetzt sich in ein systemweise festgelegtes RPO und RTO.

Business Continuity besteht nicht darin, Backups zu erstellen, sondern darin, kritische Operationen während und nach dem Vorfall aufrechtzuerhalten oder wiederherzustellen: E-Mail, Branchensoftware, Auftragsannahme, Zugriff für den Kundensupport. Ein Backup ohne getestete Wiederherstellungsprozedur stellt den Betrieb nicht wieder her; ein Kontinuitätsplan ohne aktuelles Backup ermöglicht keine Datenrekonstruktion. Die drei Bausteine ergänzen sich und werden gemeinsam geplant.

Bedrohungen, die das Thema dringlich machen

Die häufigsten Angriffsmuster sind Datendiebstahl, Denial-of-Service-Angriffe und Ransomware-Attacken. Letztere können das Unternehmen lahmlegen und langfristige Schäden verursachen. Bei Ransomware werden Daten gelöscht oder verschlüsselt und können nur mit dem entsprechenden Schlüssel wiederhergestellt werden.

Konkret äussert sich der Vorfall in unzugänglicher E-Mail-Kommunikation, verschlüsselten Dateien, blockierter Branchensoftware, verlangsamter oder eingestellter Produktion, verzögerten Aufträgen, nicht verfügbarem Kundensupport und dringend mobilisierten Teams.

Die Kosten beschränken sich nicht auf die IT-Reparatur. Sie umfassen den Umsatzverlust, die Rufschädigung, den Verlust von Kunden oder Chancen und den verbrauchten internen Zeitaufwand.

Laut der Cyberstudie 2024, durchgeführt von gfs-zürich im Auftrag des Nationalen Zentrums für Cybersicherheit (NCSC), waren 4 % der befragten Schweizer KMU in den letzten drei Jahren Opfer eines schweren Cyberangriffs. Hochgerechnet entspricht dies etwa 24'000 Unternehmen. Laut dem Cyberthreats Report H1 2025 von Acronis liegt die Schweiz auf Rang 4 der Länder, die am häufigsten von Ransomware angegriffen werden. KMU sind gezielt im Visier, weil sie oft weniger gut geschützt sind.

Der gleiche Bericht von Acronis verzeichnet einen Anstieg der Fälle um 70 % gegenüber 2024 und 2023. Zu diesen Bedrohungen kommen die Bussgelder gemäss DSGVO und nDSG hinzu.

Was das nDSG für Ihre Backups ändert

Das neue Bundesgesetz über den Datenschutz (nDSG) und seine Verordnung (VDSG) sind seit dem 1. September 2023 in Kraft. Sie gelten, sobald eine Bearbeitung personenbezogener Daten durch private Personen, natürliche oder juristische, erfolgt, und betreffen somit alle Unternehmen in der Schweiz, unabhängig von ihrer Grösse.

Das Gesetz definiert die Bearbeitung als jede Handlung im Umgang mit Personendaten: Erhebung, Speicherung, Nutzung, Änderung, Bekanntgabe, Archivierung, Löschung oder Vernichtung. Die Speicherung und Archivierung gehören also zu den betroffenen Handlungen.

Die Grundprinzipien bleiben Rechtmässigkeit, Treu und Glauben, Zweckbindung, Transparenz, Verhältnismässigkeit, Richtigkeit und Datensicherheit, und sie gelten für alle Bearbeitungen.

Der Umfang umfasst sensible Personendaten: Gesundheit, Intimsphäre, rassische oder ethnische Herkunft, religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten, genetische Daten und biometrische Daten, die eine Person eindeutig identifizieren. Dazu gehören auch Daten über strafrechtliche oder verwaltungsrechtliche Verfolgungen oder Sanktionen oder über Sozialhilfemassnahmen. Ein Backup, das HR-, Kunden- oder Gesundheitsdaten enthält, fällt daher direkt unter die Sicherheitsanforderung.

Das Gesetz unterscheidet zwischen dem Verantwortlichen, der allein oder gemeinsam mit anderen über die Zwecke und Mittel der Bearbeitung entscheidet, und dem Auftragsverarbeiter, der Daten im Auftrag des Verantwortlichen bearbeitet. Der Cloud-Dienstleister, an den das Unternehmen IT-Funktionen auslagert, handelt typischerweise als Auftragsverarbeiter. Der Verantwortliche muss sicherstellen, dass sein Auftragsverarbeiter in der Lage ist, die Datensicherheit zu gewährleisten: Die Auswahl des Dienstleisters, die Definition der Zugriffe und das Schutzniveau bleiben in seiner Verantwortung.

Die Compliance beginnt mit einer benannten Massnahme: der Identifizierung der Rollen. Jedes Unternehmen bestimmt für die Daten seiner Kunden, Mitarbeitenden und Lieferanten, ob es als Verantwortlicher oder als Auftragsverarbeiter handelt.

Das Gesetz schreibt auch Informationspflichten vor: Die Identität und die Kontaktdaten des Verantwortlichen, der Bearbeitungszweck und die Empfänger der Daten müssen mitgeteilt werden. Transparenz gehört zu den Grundprinzipien, die für alle Bearbeitungen gelten.

Ein wirklich effektives Backup-Konzept entwickeln

Ein Backup-Konzept ist Teil einer umfassenderen Sicherheits- und Risikomanagementstrategie. Es deckt vier Bereiche ab: Grundlagen des Konzepts, Wahl der Methoden, Backup-Zeitplan und Vorbereitung auf Notfälle. Die Wahl einer Methode erfolgt anhand von drei Kriterien: der gebotenen Sicherheit, dem benötigten Speicherplatz und der Zeit, die für die Sicherung wie auch für die Wiederherstellung benötigt wird.

In der Praxis werden die Daten zunächst nach ihrer Kritikalität klassifiziert: Buchhaltung, Kundendaten, HR-Daten, Produktionsdateien, Konfigurationen der Branchensoftware. Für jede Kategorie werden die Backup-Häufigkeit, das verwendete Medium und die Aufbewahrungsdauer festgelegt. Daten, die sich mehrmals täglich ändern und deren Verlust den Betrieb blockiert, erfordern eine andere Behandlung als alte Archivdaten.

Der Zeitplan muss mit dem Rhythmus des Unternehmens kompatibel sein und Notfälle vorsehen. Was geschieht, wenn der Vorfall an einem Freitagabend oder während der Ferien eintritt? Wer löst die Wiederherstellung aus, auf welcher Hardware, in welcher Reihenfolge?

Ein oft vernachlässigter Punkt ist der Test: Ein Backup, dessen Wiederherstellung nie versucht wurde, beweist nichts. Das Vorhalten mehrerer Kopien auf verschiedenen Medien gehört zu den Grundlagen. Eine offline oder extern gelagerte Kopie ermöglicht es, einer Ransomware zu widerstehen, die auch die verbundenen Backups verschlüsseln würde.

Jede Datenkategorie erfordert daher eine schriftliche Antwort auf drei Fragen: Wie oft sichern, auf welchem Medium und wie lange die Kopien aufbewahren? Diese Antworten bilden das Fundament des Konzepts; ohne sie wird die Wiederherstellung im Notfall entschieden.

Vor- und Nachteile eines nicht getesteten Backups

Notfallplan und Business Continuity: der Ablauf

Der Ausgangspunkt ist eine Feststellung: 40 % der in der Cyberstudie 2024 von gfs-zürich für das NCSC befragten Schweizer KMU verfügen über keinen Notfallplan oder keine Business-Continuity-Strategie für den Ernstfall. Ohne diesen Plan weiss ein Unternehmen, das seine Daten wiederherstellen kann, immer noch nicht, wer was tut und in welcher Reihenfolge die Systeme wieder in Betrieb genommen werden.

Die Methode umfasst vier Schritte. Erstens: Identifizierung der kritischen Aktivitäten und ihrer Abhängigkeiten: Branchensoftware, E-Mail, Internetzugang, Cloud-Lieferanten. Es gilt auch, die ein oder zwei Mitarbeitenden zu identifizieren, die undokumentiertes Wissen besitzen.

Zweitens: Definition der Rollen und Stellvertreter, mit Kontaktdaten, die zugänglich sind, ohne über die unternehmenseigene E-Mail zu gehen.

Drittens: Beschreibung der Wiederherstellungsprozeduren: Was wird zuerst wiederhergestellt, wer entscheidet über den Wechsel in einen reduzierten Modus, wie werden Kunden und Behörden informiert.

Viertens: Regelmässiges Testen und Überarbeiten des Plans, da sich der IT-Park und die Lieferanten ändern.

Der Kontinuitätsplan unterscheidet sich vom Backup durch seinen Gegenstand: Er organisiert das Überleben der Operationen während der Krise, auch wenn die IT nicht verfügbar ist, während das Backup den Rohstoff für den Wiederaufbau liefert. Die beiden Dokumente müssen aufeinander abgestimmt sein: Jedes im Plan als kritisch aufgeführte System muss über ein Backup verfügen, dessen Wiederherstellung geplant und zeitlich bemessen ist.

Die vier Schritte werden mit den beiden bereits genannten Parametern gesteuert: einem RTO und einem RPO pro kritischem System. Der Plan sagt, wer handelt und in welcher Reihenfolge; das Backup liefert die Daten.

Prioritäre Massnahmen und Checkliste für ein KMU

Die einfachen und prioritären Aktionen lassen sich in einer kurzen Liste zusammenfassen: Teams schulen, Passwörter härten, den gesamten Park aktualisieren, eine seriöse Antivirensoftware installieren, die Zwei-Faktor-Authentifizierung (2FA) aktivieren, zuverlässige Backups sicherstellen und den Zugriff streng kontrollieren. Jede Massnahme zielt auf einen anderen Angriffsvektor ab: den Menschen, die Anmeldedaten, Softwarelücken, den Arbeitsplatz, den Remote-Zugriff, den Datenverlust, interne Rechte.

Zuverlässige Backups und die Zugriffskontrolle verdienen besondere Aufmerksamkeit, da dies die beiden Massnahmen sind, die die Wiederherstellungsfähigkeit bestimmen. Ein nicht getestetes Backup, das auf einem vom Unternehmensnetzwerk zugänglichen Medium gespeichert ist, schützt nicht vor Ransomware; zu weit gefasste Zugriffsrechte ermöglichen es einem Vorfall, sich auf alle Daten auszubreiten.

Die Cyberversicherung kommt ergänzend hinzu, für den Fall, dass trotz aller Sicherheits- und Vorsichtsmassnahmen etwas passiert. Sie ersetzt weder die Backups noch den Notfallplan.

Hosting, Cloud und Souveränität: Wo platziert man seine Backups?

Globale Anbieter wie Microsoft Azure, AWS oder Google Cloud dominieren den Markt und diktieren oft die Bedingungen; Schweizer KMU verlieren so zunehmend die Kontrolle über ihre Dateninfrastruktur. Hinzu kommen rechtliche Grauzonen: Der Europäische Gerichtshof hat den «Privacy Shield» 2020 annulliert, und seine Nachfolger wie der «EU-US Data Privacy Framework» werden ebenfalls kritisiert.

Geopolitische Spannungen zeigen eine zusätzliche Fragilität globaler Public-Cloud-Modelle auf, sowohl rechtlich als auch operativ. Die EU erwägt beispielsweise Steuern auf digitale Dienste amerikanischer Konzerne wie Amazon, Google oder der Plattform X, als Reaktion auf amerikanische Zölle. Diese Entwicklungen können direkten Einfluss auf die digitale Infrastruktur haben und müssen in die Cloud-Strategie integriert werden, die auch IT-Sicherheit, Compliance und die Abhängigkeit von grossen Anbietern behandeln muss.

Vor der Wahl müssen präzise Fragen gestellt werden: Wo werden die Daten gespeichert, wer kann darauf zugreifen und unter welchem Recht? Wie können die Daten bei einem Anbieterwechsel zurückgeholt werden und in welchem Format (Reversibilität)? Welche vertraglichen Garantien für Sicherheit und Verfügbarkeit werden angeboten? Nicht von einer einzigen Lösung abhängig zu sein und eine Private Cloud oder einen beherrschbaren Anbieter zu prüfen, ermöglicht es Schweizer KMU, die Souveränität ihrer Daten, die Sicherheit und die Compliance zu stärken.

Ein Schweizer Private-Cloud-Anbieter kann diese Fragen beantworten. MTF Solutions positioniert sein Angebot für Schweizer KMU auf Datensouveränität, Sicherheit und Compliance.

Vergleich der Cloud-Modelle für Schweizer KMU

Wie man morgen beginnt

Die effektivste Prioritätenreihenfolge ist folgende. Risiken und Kritikalität der Daten bewerten. Die Datensicherung absichern, einschliesslich getesteter Wiederherstellung und einer Offline- oder Externkopie.

Einen Notfallplan mit Rollen und Wiederherstellungsprozeduren formalisieren. Dann die Mitarbeitenden in den Grundmassnahmen schulen: Passwörter, Phishing, Meldung eines Vorfalls.

Die Überprüfung muss geplant sein und darf nicht dem Zufall überlassen werden. Bei jeder signifikanten Änderung im IT-Park, der Branchensoftware oder beim Cloud-Lieferanten müssen die Liste der kritischen Daten, der Backup-Zeitplan und der Notfallplan erneut kontrolliert werden. Zur Vertiefung ist das NCSC die bundesweite Anlaufstelle, an die Cybervorfälle gemeldet werden.

Drei Anforderungen ziehen sich durch das ganze Thema: ein getestetes Backup mit einer Offline- oder Externkopie; ein schriftlicher Notfall- und Kontinuitätsplan mit Rollen und Stellvertretern; eine Compliance mit nDSG/VDSG, von der Identifizierung der Rollen bis zu den Informationspflichten. Die ersten beiden sind technischer Natur (Backup, RPO/RTO, Kontinuitätsplan), die dritte ist rechtlicher Natur, und keine entbindet von den anderen.