Schulung: Datenschutz und Datensicherheit ist Chefsache

Das grösste Risiko sitzt im Unternehmen selbst

Unternehmen investieren viel in technische Sicherheitsmassnahmen wie Netzwerküberwachung, MDR, Backups oder Verschlüsselung. Die häufigste Ursache für Datenschutzverletzungen ist jedoch nicht die mangelhafte Technik, sondern der Mensch: ein falsch adressiertes E-Mail, ein unbedachter Cloud-Upload, ein schwaches Passwort oder die Eingabe vertraulicher Angaben in ein öffentliches KI-Tool. Mit immer überzeugenderen Phishing- und Social-Engineering-Angriffen, immer einfacher zugänglichen und häufiger genutzten KI-Tools wächst die Bedeutung sicheren Verhaltens im Arbeitsalltag. Mitarbeiterschulungen haben in der Praxis oftmals einen grösseren ROSI (Return on Security Investment) als manche umfangreiche technische Sicherheitsmassnahme. Auch das Bundesamt für Cybersicherheit (BACS) empfiehlt deshalb regelmässige Sensibilisierung der Mitarbeitenden. Schulungen ersetzen jedoch weder technische Schutzmassnahmen noch klare Prozesse. Sie sorgen jedoch dafür, dass diese im Arbeitsalltag greifen, reduzieren Fehlhandlungen und beschleunigen die interne Meldung von Vorfällen.

Typische Datenschutzrisiken im Geschäftsalltag

Die praxisrelevanten Risiken sind selten spektakulär: Phishing und Social Engineering, Fehlversand von E-Mails, schwache Passwörter und fehlende Multifaktor-Authentisierung, unverschlüsselte Datenträger, mobile Geräte, das Arbeiten ausserhalb des Büros sowie die unbedachte Nutzung privater Cloud-Dienste. Zunehmend brisant ist die unkontrollierte Eingabe von Personen- oder Geschäftsdaten in generative KI-Tools, ohne zu wissen, wohin diese Daten fliessen und ob sie zu Trainingszwecken weiterverwendet werden. Allen diesen Risiken gemeinsam ist: Sie lassen sich mit klaren Regeln und geschulten Mitarbeitenden erheblich reduzieren.

Was das Datenschutzgesetz verlangt

Art. 8 des DSG verpflichtet Verantwortliche und Auftragsbearbeiter, durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit zu gewährleisten. Mitarbeiterschulungen sind zwar nicht explizit als Einzelmassnahme vorgeschrieben, sind aber meistens als organisatorische Massnahme erforderlich, sobald Mitarbeitende Personendaten bearbeiten oder Sicherheitsrisiken beeinflussen. Untersteht ein Schweizer Unternehmen zusätzlich der DSGVO, verlangt Art. 32 DSGVO ebenfalls ein risikogerechtes Schutzniveau, und Art. 39 DSGVO nennt die Sensibilisierung und Schulung der Mitarbeitenden ausdrücklich als Aufgabe des Datenschutzbeauftragten. Beim Einsatz von KI kommt eine weitere Ebene hinzu: Art. 4 des EU AI Act verpflichtet erfasste Anbieter und Betreiber seit dem 2. Februar 2025, für eine ausreichende KI-Kompetenz ihrer Mitarbeitenden zu sorgen - auch Schweizer Unternehmen, soweit sie in den Anwendungsbereich fallen (siehe dazu den WEKA Artikel vom 17.6.2026: Anwendungsbereich – wann ist der AI Act anwendbar).