Arbeitsvorlage

Version 1.2 | Stand: 1. November 2026 | Arbeitsvorlage – nicht freigegeben

Zweck

Diese Vorlage hilft Schweizer KMU, nach einem Cybervorfall eine kurze Erstmitteilung vorzubereiten. Ein Holding Statement hält Kommunikationsfähigkeit her, während IT, Incident Response, Datenschutz und gegebenenfalls Strafverfolgung den Sachverhalt abklären. Es soll nur bestätigte Fakten enthalten, keine Ursache, Auswirkung oder Entwarnung vorwegnehmen und keine individuell erforderliche Information oder Behördenmeldung ersetzen.^{[1] [2]}

Anwendung

1. Aktivieren Sie den definierten Krisenkreis und führen Sie ein zeitgestempeltes Faktenprotokoll.
2. Füllen Sie nur Felder aus, deren Inhalt als bestätigt dokumentiert ist. Kennzeichnen Sie offene Punkte nicht als Tatsachen.
3. Lassen Sie Inhalt, Zielgruppe, Kanal und Zeitpunkt gemäss Ihrem Freigabeweg prüfen und freigeben. Bei Datenschutz-, Vertrags-, Arbeits- oder Strafverfolgungsfragen ist die erforderliche Fachperson beizuziehen.
4. Informieren Sie Mitarbeitende vor der externen Öffentlichkeit, soweit dies die Lage zulässt. Verwenden Sie zuerst Ihre eigenen, vorgesehenen Kanäle.^[1]
5. Legen Sie in der Mitteilung einen realistischen Zeitpunkt für das nächste Update fest. Dokumentieren Sie die versandte Version.
6. Ist ein Software- oder anderer Datenbearbeiter betroffen oder in Abklärung, halten Sie getrennt fest, welche Datenflüsse, vereinbarten Informationswege, Kontaktpersonen und Tatsachen für die eigene Zielgruppe bestätigt sind. Daraus folgt weder eine Aussage über einen Datenschutzverstoss noch eine allgemeine Meldepflicht; die rechtliche Einordnung bleibt fallbezogen.^[5]

Kontrollpunkte vor der Freigabe

Ausfüllbare Vorlage

Version: ______________________________

Erstellt am / um: ______________________________

Zielgruppe: ☐ Mitarbeitende ☐ Kundschaft ☐ Partner/Lieferanten ☐ Öffentlichkeit ☐ Medien

Kanal: ☐ E-Mail ☐ Website ☐ Kundenportal ☐ Telefon ☐ Anderer: ______________________________

Freigegeben durch: Technische Lageführung ____________________ / Kommunikation ____________________ / Geschäftsleitung ____________________

Freigabezeitpunkt: ______________________________

Überschrift

[Unternehmen] untersucht IT-Sicherheitsvorfall

Mitteilungstext

[Unternehmen] untersucht derzeit einen IT-Sicherheitsvorfall, der am [Datum/Uhrzeit] festgestellt wurde.

Bestätigter Stand: [Beschreiben Sie den bestätigten Sachverhalt in ein bis zwei klaren Sätzen. Zum Beispiel: «Bestimmte IT-Systeme stehen vorübergehend nicht zur Verfügung.» Nicht eintragen: vermutete Ursache, Täter oder unbestätigter Datenabfluss.]

Auswirkungen für diese Zielgruppe: [Welche Leistung, welcher Prozess oder welche Information ist nachweislich betroffen? Falls unklar: «Die Auswirkungen werden derzeit abgeklärt.»]

Unsere Massnahmen: Wir haben [konkret bestätigte Sofortmassnahmen] eingeleitet und untersuchen den Vorfall mit [interne/externe Unterstützung, sofern freigegeben].

Was Sie jetzt tun sollten: [Konkrete, bestätigte Handlung. Falls keine Handlung nötig oder möglich: «Derzeit ist keine Handlung Ihrerseits erforderlich. Bitte beachten Sie weitere Mitteilungen über unsere offiziellen Kanäle.»]

Nächstes Update: Wir informieren spätestens am [Datum/Uhrzeit mit Zeitzone] oder früher bei wesentlichen, verifizierten Erkenntnissen.

Kontakt: [Name/Funktion, E-Mail, Telefonnummer oder Supportseite]

Interne Ergänzung: Nicht veröffentlichen

Grenzen der Vorlage

Ein Holding Statement garantiert weder, dass alle Anspruchsgruppen beruhigt sind, noch dass spätere Erkenntnisse unverändert bleiben. Aktualisieren oder korrigieren Sie Aussagen, sobald verifizierte Informationen dies erfordern. Eine kurze Erstmitteilung ersetzt keine technische Eindämmung, keine forensische Sicherung und keine rechtliche Beurteilung.

Bei einer Datensicherheitsverletzung meldet der Verantwortliche dem EDÖB nach Artikel 24 DSG so rasch als möglich, wenn voraussichtlich ein hohes Risiko für Persönlichkeit oder Grundrechte besteht. Betroffene Personen sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.^[2] Betreiber kritischer Infrastrukturen unterliegen unter den gesetzlichen Voraussetzungen einer BACS-Meldepflicht; der erste Bericht ist innerhalb von 24 Stunden nach Entdeckung fällig.^[3] ⚖️ Fachprüfung erforderlich Diese Pflichten sind getrennt von einer allgemeinen externen Erstmitteilung durch zuständige Fachpersonen zu beurteilen.

Der EDÖB veröffentlichte am 23. Oktober 2026 eine Mitteilung zu einer formellen Untersuchung gegen die PK Softech AG nach einem gemeldeten Cyberangriff. Die Mitteilung beschreibt laufende Abklärungen zu übermittelten Personendaten, Rechtsgrundlagen, tatsächlichen Datenübertragungen und dem Umfang abgeflossener Informationen; weitere Auskünfte zum hängigen Verfahren erteilt der EDÖB nicht. Der Einzelfall ist kein Abschlussentscheid und keine Vorlage für Aussagen über andere Organisationen. Nutzen Sie ihn nur als Anlass, die Angaben zu Datenbearbeitern vor einem Vorfall im Faktenprotokoll verfügbar zu halten.^[5]

Quellen