EDÖB-/BACS-Entscheidungsbaum und Vorfallsprotokoll

Arbeitsmittel zu: Datenpanne in der Schweiz: DSG-Entscheidungsbaum für EDÖB-Meldung und BACS-Pflicht

Quellenprüfung: 1. November 2026; Abrufe der Originalquellen am 1. November 2026 nach 09:00 CET, zwischen 09:05 und 09:07 CET; keine Fachfreigabe

Rechtsstand: 1. November 2026 (DSG, DSV, ISG und CSV amtlich verifiziert)

Status: Arbeitsvorlage – allgemeine Orientierung, keine Rechtsberatung

Zweck

Dieses Arbeitsmittel hilft Schweizer Organisationen, einen Cyber- oder Datenschutzvorfall in den ersten Stunden geordnet zu erfassen und zwei separate Meldeprüfungen vorzunehmen:

1. EDÖB / Art. 24 DSG: Liegt eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko für Persönlichkeit oder Grundrechte natürlicher Personen vor? Dann meldet der Verantwortliche dem EDÖB so rasch als möglich.^[1]
2. BACS / Art. 74a–74f ISG: Ist die Organisation meldepflichtig und liegt ein meldepflichtiger Cyberangriff vor? Dann ist die Erstmeldung an das BACS innert 24 Stunden nach Entdeckung erforderlich; bei fehlenden Angaben gewährt das BACS eine Frist von 14 Tagen zur Ergänzung.^{[4] [5] [6]}

Anwendung

1. Drucken Sie das Arbeitsmittel aus oder führen Sie es in einem zugriffsgeschützten Vorfallsordner.
2. Füllen Sie die Faktenfelder bei Entdeckung aus. Kennzeichnen Sie jede Angabe als bestätigt, vermutet oder offen.
3. Bearbeiten Sie die DSG- und die BACS-Spur parallel. Ein «Nein» in einer Spur beendet die andere nicht.
4. Erfassen Sie Entscheide, Uhrzeit, Begründung und Nachweise. Aktualisieren Sie den Stand, wenn neue Fakten eintreffen.
5. Bewahren Sie Meldungen, Empfangsbestätigungen und Nachreichungen bei der Ereignisakte auf.

A. Vorfallkopf: Fakten, Verantwortung und Eindämmung

Sofortkontrollpunkte

• ☐ Betroffene Systeme oder Konten wurden, soweit fachlich vertretbar, kontrolliert isoliert.
• ☐ Zugänge, Logdaten, Zeitstempel, Alarmmeldungen und relevante Konfigurationen wurden gesichert.
• ☐ Keine unnötigen Neustarts, Reparaturen oder Löschungen vorgenommen, bevor der forensische Bedarf beurteilt wurde.
• ☐ Der Vorfallszeitraum und der mögliche Zugriffsweg werden untersucht.
• ☐ Backups und Wiederherstellungszugänge sind gegen weitere Beeinträchtigung geschützt.
• ☐ Die Kontaktwege zu Dienstleistern, Versicherer und gegebenenfalls Behörden sind geprüft.

Notizen zu Sofortmassnahmen, Zeit und Verantwortlichkeit:

________________________________________________________________________________

________________________________________________________________________________

________________________________________________________________________________

Das BACS empfiehlt bei Ransomware, infizierte Systeme vom Netz zu trennen und Logdateien zu sichern. Sollen forensische Untersuchungen möglich bleiben, sollten fachkundige Personen Speicher- und Festplattensicherungen vor weiteren Reparaturversuchen oder Neustarts vornehmen.^[8]

B. Entscheidungsschema: Beide Spuren prüfen

```text

[Vorfall entdeckt]

v

[Systeme schützen, Fakten sichern, Vorfallsleitung einsetzen]

+-----------------------------+-----------------------------+

v v

[DSG-SPUR] [BACS-SPUR]

Sind Personendaten natürlicher Personen Gehört die Organisation zu Art. 74b ISG

betroffen und unbefugt/verloren/verändert? (unter Berücksichtigung CSV-Ausnahmen)?

Nein --+--> Art. 24 DSG nicht ausgelöst; Nein --+--> Keine BACS-Pflicht

| andere Pflichten prüfen. aus diesem Grund;

Ja andere Pflichten prüfen.

v Ja / unklar

Besteht voraussichtlich ein hohes Risiko |

für Persönlichkeit oder Grundrechte? v

| Liegt ein Cyberangriff nach Art. 74d ISG vor?

Nein --+--> Begründung dokumentieren; |-- gefährdete Funktionsfähigkeit?

| weitere Pflichten prüfen. |-- Manipulation oder Informationsabfluss?

Ja |-- längere Zeit unentdeckt?

| |-- Erpressung, Drohung oder Nötigung?

v |

[EDÖB: Verantwortlicher meldet so rasch als möglich] Nein --+--> Begründung dokumentieren;

[DSV-Angaben ergänzen, falls nötig] | andere Pflichten prüfen.

[Betroffeneninformation getrennt prüfen] Ja / unklar

v

[BACS: Erstmeldung innert 24 Stunden

nach Entdeckung; BACS gewährt bei fehlenden

Angaben 14 Tage zur Ergänzung]

```

Entscheidregeln:

• Eine Datensicherheitsverletzung bedeutet, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt beziehungsweise zugänglich gemacht werden.^[1]
• Für die EDÖB-Meldung ist nicht jede Datenpanne massgeblich, sondern ein voraussichtlich hohes Risiko. Beurteilen Sie Schwere und Wahrscheinlichkeit für die am stärksten betroffenen Personen. Bei Zweifel, der ein hohes Risiko nicht innert kurzer Zeit ausschliesst, soll nicht auf lange Abklärungen gewartet werden.^[3]
• Die BACS-Pflicht trifft nicht pauschal alle KMU. Sie folgt dem Katalog in Art. 74b ISG und den Ausnahmen der CSV. Das BACS kann auf Anfrage zur Unterstellung Auskunft geben und auf Antrag verfügen.^{[4] [5]}
• Eine EDÖB-Meldung und eine BACS-Meldung können nebeneinander nötig sein. Prüfen Sie sie getrennt.

C. DSG-Spur: EDÖB-Prüfung nach Art. 24 DSG

C1. Liegt eine Datensicherheitsverletzung mit Personendaten vor?

Rollen und Datenfluss vor dem Entscheid festhalten: Notieren Sie pro betroffenem Dienstleister mindestens die bearbeiteten Datenkategorien, die festgestellten oder möglichen Übermittlungen, den Verantwortlichen, den Auftragsbearbeiter, die vertraglich vereinbarten Vorfallkontakte und den tatsächlichen Erreichbarkeitsweg. Die EDÖB-Mitteilung zur hängigen Untersuchung gegen die PK Softech AG zeigt, dass bei einem Lieferantenvorfall gerade übermittelte Personendaten, Rechtsgrundlagen, tatsächliche Datenübertragungen und der Umfang abgeflossener Informationen abgeklärt werden können. Sie stellt weder einen abschliessenden Verstossbefund noch eine neue allgemeine Meldefrist dar.^[10]

C2. Risiko für Betroffene begründen

Kreuzen Sie nur an, was faktenbasiert ist, und begründen Sie die Einschätzung.

• ☐ Besonders schützenswerte Personendaten können betroffen sein.
• ☐ Die Daten erleichtern Identitätsdiebstahl, Zahlungsbetrug, Diskriminierung, Rufschädigung oder Vermögensschäden.
• ☐ Minderjährige, Personen mit Behinderungen oder andere besonders verletzliche Personen können betroffen sein.
• ☐ Die Daten erlauben eine einfache Bestimmung einzelner Personen.
• ☐ Unberechtigte Dritte, Erpressung, Veröffentlichung oder ein breiter Empfängerkreis sind möglich oder bestätigt.
• ☐ Die Daten waren wirksam verschlüsselt; eine Zugriffsmöglichkeit auf den Schlüssel durch Unbefugte ist nachweislich ausgeschlossen.
• ☐ Die Daten waren nur pseudonymisiert; eine Re-Identifikation ist möglich.
• ☐ Sofortmassnahmen haben das Risiko nachweislich ausgeschlossen oder gemindert. Nachweis: ____________________________

Der EDÖB nennt Datenart und Kontext, Art der Verletzung, Bestimmbarkeit, mögliche Auswirkungen und die Wahrscheinlichkeit als relevante Gesichtspunkte. Besonders schützenswerte Daten sprechen in vielen Fällen für ein hohes Risiko. Eine hohe Zahl Betroffener genügt für sich allein dagegen nicht.^[3]

C3. EDÖB-Meldung und Betroffeneninformation

Falls EDÖB-Meldung bejaht oder fachlich empfohlen:

• ☐ Meldung durch den Verantwortlichen so rasch als möglich veranlasst.
• ☐ Art der Verletzung beschrieben.
• ☐ Zeitpunkt und Dauer, soweit möglich, erfasst.
• ☐ Kategorien und ungefähre Anzahl betroffener Daten und Personen erfasst.
• ☐ Folgen und Risiken für Betroffene beschrieben.
• ☐ Getroffene und vorgesehene Abhilfe- und Minderungsmassnahmen dokumentiert.
• ☐ Kontaktperson für Rückfragen benannt.
• ☐ Fehlende Angaben, Frist und Verantwortlichkeit zur Nachreichung festgelegt.
• ☐ EDÖB-Meldung via DataBreach übermittelt; Bestätigung gesichert.

Art. 15 DSV benennt die Angaben einer EDÖB-Meldung und erlaubt das rasche Nachreichen fehlender Informationen. Betroffene sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Ausnahmen und die konkrete Kommunikation brauchen im Einzelfall eine fachliche Prüfung.^{[1] [2]}

D. BACS-Spur: Unterstellung und Cyberangriff prüfen

D1. Unterstellung der Organisation

D2. Angriffstatbestand und Frist

D3. BACS-Meldung durchführen und nachreichen

• ☐ Erstmeldung an BACS spätestens innerhalb von 24 Stunden nach Entdeckung vorbereitet.
• ☐ Meldeweg festgelegt: ☐ Cyber Security Hub ☐ alternative Meldemöglichkeit.
• ☐ Zeit, Umfang, Auswirkungen und bisherige Massnahmen sachlich beschrieben.
• ☐ Weitere zuständige Behörden und vertragliche Meldewege separat geprüft.
• ☐ Gewünschte Weiterleitung an andere Behörde kontrolliert und dokumentiert.
• ☐ Empfangsbestätigung abgelegt.
• ☐ Fehlende Angaben, verantwortliche Person und die vom BACS gewährte 14-Tage-Frist zur Ergänzung festgelegt.

Das BACS beschreibt die verfügbaren Meldewege und die erforderlichen Angaben für die Erstmeldung auf seiner Informationsseite zum Meldeprozess.^[7]

Art. 74d ISG nennt Gefährdung der Funktionsfähigkeit, Manipulation oder Abfluss von Informationen, länger unentdeckte Angriffe sowie Erpressung, Drohung oder Nötigung als Meldekriterien. Art. 74e ISG verlangt die Erstmeldung innert 24 Stunden nach Entdeckung; bei fehlenden Angaben gewährt das BACS nach Art. 16 CSV eine Frist von 14 Tagen zur Ergänzung.^{[4] [5] [6]}

E. Abschluss, Freigabe und Nachbearbeitung

Grenzen des Arbeitsmittels

Diese Vorlage erfasst weder alle sektoralen noch alle vertraglichen Melde-, Informations- oder Aufbewahrungspflichten. Insbesondere kann die Unterstellung unter Art. 74b ISG von der konkreten Tätigkeit, den CSV-Ausnahmen und der Auswirkung des Angriffs abhängen. Das BACS kann hierzu Auskunft erteilen und auf Antrag verfügen.^[4] Eine EDÖB-Meldung, eine BACS-Meldung, eine Meldung an eine Aufsichtsbehörde, eine Strafanzeige oder eine Betroffeneninformation können parallel geprüft werden; keine ersetzt automatisch die andere.

Die Checkpunkte sind keine Zusicherung, dass eine Meldung rechtzeitig, vollständig oder rechtlich ausreichend ist. ⚖️ Fachprüfung erforderlich Eine konkrete Risikobewertung, die Auslegung von Ausnahmegründen und jede externe Kommunikation brauchen bei Unsicherheit eine angemessene Fachprüfung. Aktualisieren Sie die Vorlage bei Änderungen von DSG, DSV, ISG, CSV oder behördlichen Vorgaben.

Quellen