Fachartikel Swiss Infosec AG Archive - Seite 2 von 40

05/2026 – Fachartikel Swiss Infosec AG

Definition der Begriffe

Cybersecurity schützt die digitale Handlungsfähigkeit einer Organisation. Sie ist mehr als IT-Sicherheit, weil sie nicht nur Systeme und Netze umfasst, sondern auch die Schnittstellen zu Krisenmanagement, Kommunikation, Business Continuity Management (BCM), Datenschutz und betrieblichen Abläufen.

Informationssicherheit ist breiter: Sie schützt Informationen, unabhängig davon, ob sie digital, physisch oder mündlich vorliegen.

IT-Sicherheit fokussiert auf die technischen und betrieblichen Schutzmassnahmen rund um Identitäten, Endgeräte, Systeme, Anwendungen und Infrastrukturen.

Datenschutz stellt sicher, dass Personendaten rechtmässig, zweckgebunden, verhältnismässig und nachweisbar bearbeitet werden.

Wer diese Disziplinen trennt, schafft Klarheit; wer sie zusammenführt, schafft Wirksamkeit.

Problemrahmen 2026

Im aktuellen Jahr 2026 ist in vielen Organisationen nicht der Mangel an Einzelmassnahmen das Problem, sondern der Mangel an Zusammenhang. Ein neues Tool ersetzt kein Sicherheitsmodell. Awareness ohne klare Prozesse und Verantwortlichkeiten bleibt punktuell. Und reine Compliance schafft noch keine Resilienz. In einer Realität mit Cloud-Diensten, hybriden Arbeitsformen, komplexen Datenflüssen und zunehmenden Drittparteien-Abhängigkeiten reicht es nicht, Cybersecurity nur als Technikthema zu behandeln. Wer nur einzelne Baustellen optimiert, erzeugt Teilkontrollen – aber kein belastbares Sicherheitsniveau.

Die Symptome sind meist gut erkennbar: Tool-Wildwuchs ohne klares Zielbild, Schatten-IT, unklare Zuständigkeiten zwischen Business, IT, Informationssicherheit und Datenschutz, fehlende Transparenz über kritische Prozesse und Datenflüsse sowie eine Risikobetrachtung, die BCM, Krisenorganisation oder Lieferanten nicht konsequent mitdenkt. Genau dort entstehen in der Praxis die Lücken – nicht zwischen Strategiepapieren, sondern zwischen den Disziplinen.

Was 2026 «ganzheitliche Cybersecurity» bedeutet

Ganzheitliche Cybersecurity bedeutet, Sicherheit mit einem 360°-Blick zu steuern. Im Zentrum stehen nicht einzelne Technologien, sondern die schützenswerten Werte der Organisation: Menschen, Daten, sensitive Informationen, Prozesse, Systeme und wesentliche Abhängigkeiten. Das erfordert ein abgestimmtes Zusammenspiel von Governance, Risiko, Technik, Prozessen, Menschen, rechtlichen Anforderungen und Drittparteien. Ganzheitlich heisst deshalb nicht «alles gleichzeitig», sondern «alles in Beziehung zueinander»: personell, organisatorisch, physisch, technisch, rechtlich und digital.

Praktisch zeigt sich dieser Ansatz über den gesamten Sicherheitszyklus hinweg. Prävention reduziert die Angriffsfläche. Detektion macht Abweichungen und Vorfälle früh sichtbar. Reaktion begrenzt Schaden und schafft Handlungsfähigkeit. Wiederherstellung stellt kritische Leistungen kontrolliert wieder her. Erst wenn diese vier Perspektiven mit BCM, Krisenmanagement und IT Service Continuity Management zusammen gedacht werden, entsteht echte Resilienz. Denn mehr als nur Backups zu haben, heisst: kritische Services, Abhängigkeiten und Wiederanlaufziele wirklich zu verstehen und regelmässig zu testen.

Ein kompaktes Zielbild

Governance und Verantwortlichkeiten: Die Geschäftsleitung setzt Zielbild, Prioritäten und Risikotoleranz. Fachbereiche, IT, Informationssicherheit und Datenschutz brauchen klare Rollen, Eskalationswege und belastbare Entscheidungsmechanismen. Ein Informationssicherheitsmanagementsystem (ISMS) schafft dafür Struktur; kleinere Organisationen können mit einer verbindlichen Minimal-Governance starten und diese schrittweise ausbauen.

Risiko- und Bedrohungsorientierung: Ausgangspunkt sind die kritischen Leistungen und die «Kronjuwelen» der Organisation. Welche Prozesse müssen laufen? Welche Daten dürfen nicht kompromittiert werden? Welche Systeme, Services oder Lieferanten sind dafür entscheidend? Wer diese Fragen sauber beantwortet, priorisiert nach Wirkung.

Basishygiene und technische Kontrollen: Identitäten und Berechtigungen, Mehrfaktor-Authentisierung, Asset-Management, sichere Grundkonfigurationen, Schwachstellen- und Patch-Management, Logging sowie Backup und Restore bilden das Fundament. Entscheidend ist aber immer das Zusammenspiel von Technik und Organisation: Ein Backup schützt erst dann, wenn Wiederherstellung, Zuständigkeiten und Notfallabläufe tatsächlich funktionieren.

Security Operations & Incident Response: Sicherheitsvorfälle brauchen definierte Meldewege, einfache Playbooks, klare Entscheid Befugnisse und regelmässige Übungen. Besonders wirksam sind Table-Top-Übungen mit IT, Business, Kommunikation, Legal und externen Dienstleistern. Wenige Messgrössen genügen zu Beginn, etwa Erkennungszeit, Eindämmungszeit und die Erfolgsquote bei Wiederherstellungen.

Datenschutz/Privacy by Design: Datenschutz gehört nicht an das Ende eines Projekts, sondern an den Anfang von Architektur, Beschaffung und Prozessgestaltung. Datenflüsse, Bearbeitungszwecke, Datenminimierung, Aufbewahrung, Löschung und Nachweisfähigkeit müssen mit Sicherheitsanforderungen zusammenpassen. So wird Datenschutz nicht zum Annex, sondern zum integrierten Teil der Sicherheitsorganisation.

Drittparteien/Lieferkette: Externe Provider, Cloud-Dienste und Partner sind Teil des eigenen Risikoprofils. Deshalb gehören Sicherheits- und Datenschutzanforderungen in Beschaffung und Verträge, kritische Lieferanten in eine risikobasierte Beurteilung und wesentliche Abhängigkeiten in die laufende Überprüfung. Gute Kommunikation bei Sicherheitsvorfällen ist dabei ebenso wichtig wie technische Mindestanforderungen.

Was das für KMU, Grossunternehmen und Behörden heisst

Für KMU bedeutet ganzheitliche Cybersecurity vor allem Fokus. Wer die wichtigsten Prozesse, Daten und Abhängigkeiten kennt und dafür klare Verantwortungen festlegt, erzielt mit begrenzten Mitteln oft mehr als mit isolierten Einzelmassnahmen.

Für Grossunternehmen geht es um Steuerbarkeit. Wer Informationssicherheit, Datenschutz, Cyber- und IT-Sicherheit, BCM und Lieferantensteuerung zusammenführt, reduziert Reibungsverluste und schafft bessere Grundlagen für Priorisierung und Investitionsentscheide.

Für Behörden ist der Nutzen unmittelbar: Schutz der Leistungserbringung, Vertrauensschutz, nachvollziehbare Verantwortlichkeiten und belastbare Krisenfähigkeit. Gerade in föderalen und stark vernetzten Strukturen ist ein ganzheitlicher Ansatz keine Kür, sondern Voraussetzung.

Fazit

Ganzheitliche Cybersecurity ist 2026 entscheidend, weil digitale Risiken nicht an Fachgrenzen haltmachen. Angriffe treffen nicht nur Systeme, sondern Prozesse, Verantwortlichkeiten, Kommunikation, Datenschutz, Lieferketten und die Fähigkeit einer Organisation, unter Druck handlungsfähig zu bleiben.

Wer Sicherheit ganzheitlich denkt, macht sie nicht komplizierter, sondern wirksamer: mit abgestimmten Massnahmen, weniger blinden Flecken und einer Resilienz, die sich auch im Ernstfall bewährt. Genau darin liegt der Unterschied zwischen punktuellem Schutz und professioneller Steuerung der Sicherheit.

Starten Sie hier:

Bestimmen Sie in einem kurzen Workshop Ihre fünf kritischsten Prozesse, Datenbestände und Systeme – inklusive verantwortlicher Personen, Schutzbedarf und wesentlicher Abhängigkeiten. Dabei unterstützen wir Sie mit unseren Dienstleistungen in der Informationssicherheit; insbesondere mit ISDS-Konzepten, von der Schutzbedarfsanalyse über Datenflüsse und Risikoanalyse bis zur strukturierten Ableitung von Sicherheits- und Datenschutzmassnahmen.
Prüfen Sie drei Basiskontrollen mit Nachweis: privilegierte Zugänge, Patch-Stand kritischer Systeme sowie einen erfolgreich getesteten Restore. Dabei unterstützen wir Sie mit unseren Dienstleistungen im Bereich IT-Sicherheit, insbesondere bei IT-Sicherheitsprozessen und -konzepten; etwa bei Berechtigungs- und Rollenkonzepten, Asset Management, Patch Management, Backup & Restore sowie Logging & Monitoring.
Erstellen Sie ein schlankes Incident-Response-Minimum mit Meldeweg, Entscheidungsrunde, externen Kontakten und einer ersten Table-Top-Übung. Dabei unterstützen wir Sie mit unseren Dienstleistungen im Business Continuity Management; etwa mit Business Impact Analysen, Notfall- und Geschäftsfortführungsplänen sowie BCM-/ITSCM-Tests und Table-Top-Übungen unter Einbezug der relevanten Rollen und Bereiche.

Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten in Sachen ganzheitlicher Cybersecurity für Sie tun können: +41 41 984 12 12, infosec@infosec.ch

Swiss Infosec AG; 05.05.2026
Kompetenzzentrum Consulting

05/2026 – Fachartikel Swiss Infosec AG (aktualisiert, 26.5.2026)

Unternehmen, die künstliche Intelligenz (KI) nutzen oder entwickeln, stehen vor neuen regulatorischen Herausforderungen. Zum einen aufgrund der Einführung des totalrevidierten Schweizer Datenschutzgesetzes (DSG) und zum anderen hat das Europäische Parlament am 13. März 2024 den EU Artificial Intelligence Act (AI Act) genehmigt. Der AI Act ist am 1. August 2024 in Kraft getreten und wird stufenweise anwendbar. Diese Gesetzgebungen verfolgen unterschiedliche Ansätze zur Regulierung von KI, was eine sorgfältige Navigation erforderlich macht, um datenschutzkonform zu bleiben und gleichzeitig das volle Potenzial der KI zu nutzen.

Warum wird die KI reguliert?

Der AI Act zielt darauf ab, das Vertrauen in KI zu stärken. Während viele KI-Systeme risikoarm sind, gibt es bestimmte Systeme, deren Risiken adressiert werden müssen, um negative Auswirkungen zu verhindern. Ein zentrales Problem ist die Intransparenz von KI-Entscheidungen, was die Beurteilung und Kontrolle erschwert, beispielsweise bei Einstellungsprozessen oder der Gewährung öffentlicher Leistungen.

Das Schweizer Datenschutzgesetz und KI

Das DSG bietet einen technologieneutralen Rahmen, der auch für KI-Anwendungen relevant ist. So sind beispielsweise folgende Instrumente des DSG auch auf KI-Anwendungen anwendbar:

Automatisierte Einzelentscheidungen: Bereits heute werden Entscheidungen, die vollautomatisch ohne menschliches Eingreifen getroffen werden, durch das DSG reguliert. Es bestehen unter anderem Informations- und Auskunftspflichten.
Grundsatz Privacy by Design und Privacy by Default: KI-Systeme müssen von Anfang an unter Berücksichtigung des Datenschutzes entwickelt und eingesetzt werden.
Profiling: Profiling durch Bundesorgane oder Profiling durch Private mit hohem Risiko für betroffene Personen setzt deren ausdrückliche Einwilligung voraus.
Biometrische Daten: Die Bearbeitung setzt einen Rechtfertigungsgrund oder eine ausdrückliche Einwilligung durch die betroffene Person voraus. Bundesorgane benötigen eine formelle gesetzliche Grundlage.
Datenschutz-Folgenabschätzung (DSFA): Birgt der Einsatz eines KI-Systems besondere Risiken, können diese mittels einer DSFA erkannt und Massnahmen ergriffen werden. Der Einsatz von neuen Technologien wird ausdrücklich erwähnt.
Zuweisung von Verantwortlichkeiten: Verantwortlicher und Auftragsverarbeiter sind gleichermassen für die Einhaltung der rechtlichen Rahmenbedingungen verantwortlich.

Der EU Artificial Intelligence Act (AI-Act) und seine Bedeutung für Schweizer Unternehmen

Schweizer Unternehmen, die in der Europäischen Union aktiv sind, müssen sich auf die Einführung des EU Artificial Intelligence Act (AI Act) einstellen, der seit dem 1. August 2024 in Kraft ist und schrittweise anwendbar wird. Aufgrund seiner extraterritorialen Wirkung betrifft der AI Act nicht nur in der EU ansässige Unternehmen, sondern auch Schweizer Unternehmen, die in der EU tätig sind. Das heisst, Schweizer Unternehmen, die bereits dem Schweizer Datenschutzgesetz (DSG) und der Datenschutz-Grundverordnung (DSGVO) unterliegen, müssen prüfen, ob zusätzliche Verpflichtungen unter dem AI Act für sie gelten.

Die Umsetzung erfolgt gestaffelt: Verbote für inakzeptable KI-Risiken gelten seit dem 2. Februar 2025; Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) gelten seit dem 2. August 2025; die allgemeine Anwendbarkeit tritt am 2. August 2026 in Kraft; und Regelungen für bestimmte eingebettete Hochrisiko-Systeme werden ab dem 2. August 2027 wirksam.

Der AI Act verfolgt einen methodischen Ansatz zur KI-Regulierung. Er klassifiziert KI-Systeme nach ihrem Risikopotenzial in vier Kategorien:

Unzulässige Risiken: Ein generelles Verbot für bestimmte Anwendungen mit spezifischen Ausnahmen, wie zum Beispiel Social Scoring, markiert die strengste Kategorie. Weitere verbotene Praktiken umfassen u.a. Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie manipulative Systeme, die kognitive oder emotionale Schwächen ausnutzen.
Hochrisiko-KI-Systeme: Diese Kategorie erfordert von den Unternehmen die Implementierung eines umfassenden Risikomanagementsystems, beispielsweise bei der Verwaltung öffentlicher Dienstleistungen. Die Anforderungen für Hochrisiko-KI-Systeme werden ab dem 2. August 2026 (bzw. für bestimmte Systeme gemäss Anhang I ab dem 2. August 2027) vollumfänglich gelten.
Begrenztes Risiko: Für KI-Anwendungen mit begrenztem Risiko, wie etwa Chatbots, gelten Informationspflichten und die Notwendigkeit von Warnhinweisen gegenüber den Nutzern über mögliche Fehlinformationen.
Minimales Risiko: Anwendungen, die als minimal riskant eingestuft werden, unterliegen keiner spezifischen Regulierung durch den AI Act.

Für Schweizer Unternehmen bedeutet dies eine sorgfältige Analyse und gegebenenfalls eine Anpassung ihrer KI-Systeme, um den neuen Anforderungen unter dem AI Act zu entsprechen.

Sanktionen im Vergleich

Auch hinsichtlich der Sanktionierung von Verstössen verfolgen das DSG und der AI Act unterschiedliche Ansätze. Seit der Totalrevision sieht das DSG Strafen bis zu CHF 250’000 für Verstösse vor und fokussiert sich auf individuelle Verantwortlichkeiten innerhalb der Unternehmen. Der AI Act hingegen klassifiziert KI-Systeme nach Risikolevel und setzt mit Strafen von bis zu EUR 35 Millionen oder 7% des weltweiten Jahresumsatzes (für Verstösse gegen verbotene KI-Praktiken) bzw. bis zu EUR 15 Millionen oder 3% des Jahresumsatzes (für Verstösse gegen Hochrisiko-Anforderungen) deutlich höhere Sanktionen an, die direkt Unternehmen betreffen können.

Was ist mit den Immaterialgüterrechten?

Insbesondere frei zugängliche KI-Systeme werden mit dem gesamten Wissen des Internets gefüttert. Ob für den Output geschützte Werke verwendet werden, ist oft ungewiss und die Weiterverwendung zu kommerziellen Zwecken wird zum Klumpenrisiko, weil damit Schutzrechte Dritter verletzt werden könnten. Auch nach schweizerischer Rechtsordnung begeht eine Urheberrechtsverletzung, wer urheberrechtsverletzende Ergebnisse eines KI-Systems verwendet.

Jüngst haben die französischen Kartellwächter eine Strafzahlung von 250 Mio. Euro gegen Google erwirkt. Französische Medienhäuser hatten gegen die Meta-Tochter geklagt, weil deren KI-Anwendung «Gemini» ohne Vorabinformation mit ihren Inhalten trainiert wurde. Eine weitere prominente Klage der «New York Times» gegen OpenAI und Microsoft (ChatGTP) ist beim Federal District Court in Manhattan hängig.

Im Bereich der Immaterialgüterrechte gilt es folglich noch einige Gerichtsentscheide und insbesondere deren Begründungen abzuwarten.

Bleiben Sie auf dem Laufenden

Um beim Einsatz von KI-Systemen den Überblick über Sicherheitsfragen und rechtliche Anforderungen zu behalten, empfehlen wir Ihnen unseren Lehrgang «AI Manager Security & Privacy». In diesem Kurs erfahren Sie, welche Vorgaben zu KI bestehen oder in Bearbeitung sind (national und international, u.a. EU AI Act) und welche weiteren Themen und Faktoren auf die Governance von KI-Aktivitäten einwirken.

Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten für Sie tun können: +41 41 984 12 12, infosec@infosec.ch

Swiss Infosec AG; aktualisiert 26.5.2026
Kompetenzzentrum Datenschutz

Kategorie: Fachartikel Swiss Infosec AG

Cybersecurity? Ja, aber bitte ganzheitlich