IT-Sicherheit & Datenschutz

Wer in einem Unternehmen Software zur Verwaltung von Kundendaten, Rechnungen, Projekten oder Personaldaten einsetzt, arbeitet täglich mit sensiblen Informationen. Genau hier treffen sich zwei Themen, die für Schweizer KMU untrennbar zusammengehören: IT-Sicherheit und Datenschutz. IT-Sicherheit bezeichnet den technischen und organisatorischen Schutz vor Angriffen und Ausfällen, während der Datenschutz regelt, wie mit Personendaten rechtmässig umgegangen wird. Beide Aspekte sind kein Thema nur für grosse Konzerne – gerade kleinere und mittlere Unternehmen sind häufig Ziel von Cyberangriffen, weil ihre Schutzmassnahmen oft lückenhaft sind.

Diese Übersichtsseite erklärt die wichtigsten Grundlagen, zeigt, welche rechtlichen Rahmenbedingungen in der Schweiz gelten, und gibt praktische Hinweise, worauf Sie bei der Auswahl und dem Betrieb von Unternehmenssoftware achten sollten.

Warum IT-Sicherheit und Datenschutz für KMU so wichtig sind

Viele Unternehmen gehen davon aus, dass Cyberkriminelle sich vor allem an Grossfirmen orientieren. Das Gegenteil ist häufig der Fall: Angreifer suchen gezielt nach leicht zugänglichen Schwachstellen, und kleinere Betriebe haben oft weniger Ressourcen für Abwehrmassnahmen. Ein erfolgreicher Angriff kann neben direkten finanziellen Schäden auch reputationsrechtliche Folgen haben, etwa wenn Kundendaten abgeflossen sind.

Dazu kommt: Unternehmenssoftware wie ERP- oder CRM-Systeme bündelt zentrale Geschäftsdaten an einem Ort. Werden diese Systeme kompromittiert, ist gleich der gesamte Betrieb betroffen – von der Buchhaltung bis zur Kundenkommunikation.

• Finanzielle Schäden durch Ransomware oder Betrug
• Ausfallzeiten, wenn Systeme blockiert oder unbrauchbar sind
• Bussgelder und rechtliche Konsequenzen bei Verstössen gegen das Datenschutzgesetz
• Verlust des Vertrauens von Kunden, Mitarbeitenden und Partnern

Rechtlicher Rahmen in der Schweiz

In der Schweiz unterliegt der Umgang mit Personendaten dem Bundesgesetz über den Datenschutz (DSG). Die revidierte Fassung dieser Regulierung in Kraft bringt einige Pflichten, die auch für den Einsatz von Unternehmenssoftware relevant sind. Kernanliegen ist, dass Personendaten rechtmässig, nachvollziehbar und nur für klar definierte Zwecke verarbeitet werden.

Wichtigste Pflichten im Überblick

• Transparenz: Betroffene Personen müssen wissen, welche Daten über sie erhoben und wie sie verwendet werden.
• Datenminimierung: Es sollten nur Daten erhoben werden, die für den jeweiligen Zweck tatsächlich benötigt werden.
• Sicherheit: Angemessene technische und organisatorische Massnahmen müssen die Daten vor unbefugtem Zugriff schützen.
• Meldung von Datenpannen: Verluste oder Kompromittierungen von Personendaten müssen unter Umständen gemeldet werden.
• Verzeichnis der Verarbeitungstätigkeiten: Unternehmen sollten dokumentieren, welche Daten sie wofür verarbeiten.

Wer Software bei ausländischen Anbietern einsetzt oder Daten ins Ausland überträgt, muss zusätzlich prüfen, ob ein angemessenes Datenschutzniveau gewährleistet ist. Das betrifft etwa Cloud-Dienste, deren Server nicht in der Schweiz oder in einem Land mit gleichwertigem Rechtsschutz stehen.

Typische Schwachstellen beim Einsatz von Unternehmenssoftware

In der Praxis entstehen Sicherheitsrisiken selten durch raffinierte Angriffe allein – meist spielen einfache Fehler eine entscheidende Rolle. Die folgenden Schwachstellen lassen sich in vielen Betrieben finden:

• Zu schwache oder mehrfach verwendete Passwörter für Geschäftssoftware
• Fehlende Zugriffskontrollen, sodass alle Mitarbeitenden auf alle Daten zugreifen können
• Nicht installierte Updates für Betriebssysteme, Software oder Erweiterungen
• Kein regelmässiges Backup oder Backups, die nie auf ihre Wiederherstellung getestet werden
• Unklare Verantwortlichkeiten, wenn niemand weiss, wer für Sicherheit zuständig ist

Ein fiktives Beispiel: Ein Handwerksbetrieb mit zwanzig Mitarbeitenden nutzt eine Cloud-Software für Offerten und Rechnungen. Der Administrator-Account verwendet ein einfaches Passwort, das nie gewechselt wurde. Über ein gestohlenes Login verschaffen sich Angreifer Zugriff und verschlüsseln die gesamten Geschäftsdaten. Ein getestetes Backup hätte den Schaden auf wenige Stunden begrenzt – ohne Backup steht der Betrieb Wochen still.

Grundprinzipien einer sicheren Datenverwaltung

Gute IT-Sicherheit ruht auf wenigen Grundprinzipien, die sich auch ohne grosses IT-Team umsetzen lassen.

Zugriff nur nach Bedarf

Das sogenannte Need-to-know-Prinzip besagt: Jede Person erhält nur die Zugriffsrechte, die sie für ihre Arbeit tatsächlich braucht. Moderne Unternehmenssoftware erlaubt Rollen- und Rechtekonzepte, mit denen sich etwa Buchhaltung, Vertrieb und Geschäftsführung klar trennen lassen.

Mehrfachabsicherung von Konten

Eine Zwei-Faktor-Authentifizierung (2FA) ergänzt das Passwort um einen zweiten Nachweis, etwa einen Code aus einer App. Selbst wenn ein Passwort abhandenkommt, bleibt das Konto damit weitgehend geschützt. Bei Unternehmenssoftware mit sensiblem Datenbestand sollte 2FA heute Standard sein.

Regelmässige Aktualisierungen

Software-Hersteller schliessen Sicherheitslücken laufend durch Updates. Wer Updates hinauszögert, lässt bekannte Schwachstellen offen. Automatische Updates oder klar geregelte Update-Zyklen helfen, dieses Risiko zu senken.

Sicherung und Wiederherstellung

Backups sind die Versicherung gegen Ransomware, Hardwareausfälle und menschliche Fehler. Wichtig ist nicht nur die Existenz von Sicherungskopien, sondern ihre regelmässige Überprüfung: Nur ein wiederherstellbares Backup ist ein echtes Backup.

1. Festlegen, welche Daten wie oft gesichert werden müssen.
2. Eine Kopie ausserhalb des Hauptnetzwerks (z. B. in der Cloud oder extern) aufbewahren.
3. Die Wiederherstellung periodisch testen und das Vorgehen dokumentieren.

Datenschutz bei der Auswahl von Softwareanbietern

Beim Bezug von Software – insbesondere Cloud-Lösungen – wird der Anbieter zum wichtigen Partner in Datenschutzfragen. Folgende Fragen sollten Sie vor einer Entscheidung klären:

• Wo werden die Daten gespeichert, und gibt es eine Option für Hosting in der Schweiz oder in der EU?
• Welche Zertifikate und Sicherheitsnachweise weist der Anbieter auf?
• Wie ist der Datenvertrag geregelt: Wer bleibt Eigentümer der Daten, was passiert bei Vertragsende?
• Bietet die Software Verschlüsselung bei der Übertragung und Speicherung?
• Wie schnell und transparent informiert der Anbieter über sicherheitsrelevante Vorfälle?

Ein seriöser Anbieter beantwortet diese Fragen bereitwillig und dokumentiert seine Massnahmen. Ablehnende oder vage Auskünfte sind ein Warnsignal.

Technische und organisatorische Massnahmen im Alltag

Technik allein reicht nicht aus – Sicherheit entsteht durch das Zusammenspiel von Werkzeugen, Prozessen und Menschen.

Mitarbeitende sensibilisieren

Der Mensch bleibt die häufigste Angriffsfläche: Phishing-Mails, die an Administrator-Logins oder Rechnungsdaten gelangen, sind weit verbreitet. Kurze regelmässige Schulungen und klare Absprachen – etwa dass Passwörter niemals per E-Mail weitergegeben werden – wirken oft mehr als teure Speziallösungen.

Dokumentation und Zuständigkeiten

Selbst in kleinen Teams lohnt sich eine einfache Sicherheitsrichtlinie: Wer administriert die Systeme, wie werden neue Konten angelegt und alte gelöscht, wie wird auf Vorfälle reagiert? Ein gelöschtes Konto für ausgeschiedene Mitarbeitende gehört zu den am häufigsten übersehenen Sicherheitslücken.

Datenlöschung und Aufbewahrung

Datenschutz endet nicht bei der Erhebung. Personendaten, die für keinen Zweck mehr benötigt werden, sollten gelöscht werden. Unternehmenssoftware mit Aufbewahrungsregeln oder automatisierten Löschfristen erleichtert dies erheblich – wichtig auch im Hinblick auf geschäftliche Aufbewahrungspflichten, die mit Datenschutzanforderungen in Einklang gebracht werden müssen.

Sicherheit und Datenschutz als Auswahlkriterium für Software

Wer heute eine neue Unternehmenssoftware auswählt, sollte Sicherheit und Datenschutz von Anfang an in die Entscheidung einbeziehen – nicht erst nachträglich. Ein strukturierter Vergleich hilft:

1. Anforderungen definieren: Welche Daten werden verarbeitet, wie sensibel sind sie, welche rechtlichen Pflichten gelten?
2. Anbieter prüfen: Hosting-Standort, Zertifikate, 2FA, Rollenkonzept, Backup-Konzept, Datenvertrag.
3. Integration bewerten: Wie verhält sich die Software zu bestehenden Systemen – jede Schnittstelle ist auch ein potenzielles Einfallstor?
4. Einführung planen: Zugriffskonzepte, Schulungen und Test der Wiederherstellung von Beginn an einbeziehen.
5. Betrieb überwachen: Update-Zyklen, periodische Rechteüberprüfungen und Reaktion auf Vorfälle festlegen.

Software, die Datenschutz und Sicherheit von Grund auf mitdenkt – Fachleute sprechen von Privacy by Design – erleichtert den Betrieb nachhaltig und senkt das Risiko teurer Nachbesserungen.

Fazit: Sicherheit als laufender Prozess verstehen

IT-Sicherheit und Datenschutz sind keine einmaligen Projekte, sondern kontinuierliche Aufgaben. Wer die Grundprinzipien – minimale Zugriffe, starke Authentifizierung, aktuelle Software, getestete Backups und sensibilisierte Mitarbeitende – konsequent umsetzt, erreicht bereits ein hohes Schutzniveau. Beim Einsatz von Unternehmenssoftware zahlt sich ausserdem die sorgfältige Prüfung des Anbieters aus: Hosting-Standort, Datenvertrag und technische Massnahmen sollten so transparent wie möglich sein. So schützen Sie nicht nur Ihre Geschäftsdaten, sondern auch das Vertrauen Ihrer Kundinnen, Kunden und Mitarbeitenden – das letztlich einer Ihrer wertvollsten Unternehmenswerte ist.