Bei einer Datenpanne entscheidet sich in den ersten Stunden, ob ein Unternehmen geordnet handelt oder improvisiert. Die Fristen sind kurz, die Informationen unvollständig, und mehrere Stellen wollen gleichzeitig Antworten: Kunden, Behörden, Geschäftsleitung, Versicherung. Ein Playbook ist die Vorbereitung, die diese Stunden entlastet. Die Schritte im Vorfall selbst beschreibt unsere Checkliste für die ersten 72 Stunden; dieser Beitrag behandelt, was davor stehen muss.
Rollen, bevor sie gebraucht werden
Ein Playbook beginnt mit Namen, nicht mit Prozessen: Wer leitet den Vorfall, wer entscheidet über Meldungen, wer beurteilt die Technik, wer formuliert die Kommunikation, wer spricht mit Kunden, wer ist externe Unterstützung für Forensik und Recht? Für jede Rolle braucht es eine Vertretung und aktuelle Kontaktdaten, die auch dann erreichbar sind, wenn E-Mail und interne Systeme betroffen sind. In kleinen Unternehmen übernimmt eine Person mehrere Rollen; dann muss klar sein, welche externe Stelle einspringt.
Die Entscheidungsmatrix
Die schwierigste Frage im Vorfall ist die nach der Meldepflicht. Eine vorbereitete Matrix hilft: Welche Datenarten verarbeiten wir in welchen Systemen, welche davon sind besonders schützenswert, welche Rechtsordnungen gelten? Nach dem Schweizer DSG ist der EDÖB so rasch als möglich zu informieren, wenn voraussichtlich ein hohes Risiko besteht; unter der DSGVO die zuständige Aufsichtsbehörde möglichst binnen 72 Stunden, ausser ein Risiko ist unwahrscheinlich. Unternehmen ohne Niederlassung in der EU profitieren nicht vom Prinzip der federführenden Behörde und müssen klären, welche Behörden zuständig sind. Wer diese Fragen vorab pro System beantwortet, entscheidet im Ernstfall in Minuten statt Stunden.
Vorlagen
Unter Zeitdruck schreibt niemand gute Texte. Vorbereitete Vorlagen sparen Zeit und Fehler: eine Meldung an den EDÖB und an EU-Aufsichtsbehörden mit den Pflichtangaben, eine Information an betroffene Personen in klarer Sprache, eine Information an Geschäftskunden, ein internes Lagebild mit festen Abschnitten und eine Antwort für Anfragen von Medien. Vorlagen sind Gerüste, keine fertigen Texte: Sie stellen sicher, dass nichts fehlt, nicht, dass alles gleich klingt.
Kommunikation als Auftragsbearbeiter
Für SaaS-Anbieter ist eine Besonderheit zentral: Für die Daten ihrer Kunden sind sie meist Auftragsbearbeiter. Sie müssen ihre Kunden als Verantwortliche so rasch als möglich informieren, und diese haben eigene Meldepflichten mit eigenen Fristen. Die Information an Kunden muss deshalb schnell, sachlich und so konkret sein, dass jeder Kunde seine eigene Beurteilung vornehmen kann: Welche Daten, welcher Zeitraum, welcher Mandant, welche Massnahmen. Verträge sollten die Kommunikationswege und Fristen vorab regeln.
Weitere Meldepflichten
Datenschutz ist nicht der einzige Meldeweg. Betreiber kritischer Infrastrukturen in der Schweiz müssen Cyberangriffe seit April 2025 innert 24 Stunden dem Bundesamt für Cybersicherheit melden. Beaufsichtigte Finanzinstitute haben Meldepflichten gegenüber der FINMA, in der EU kommen die Vorfallmeldungen nach DORA hinzu. Versicherungen verlangen oft eine rasche Anzeige. Das Playbook listet alle Meldewege, die für das Unternehmen gelten, mit Fristen und Zuständigen.
Dokumentation
Nach der DSGVO sind alle Verletzungen zu dokumentieren, auch die nicht meldepflichtigen, mit Sachverhalt, Auswirkungen und Massnahmen. Die Schweizer Datenschutzverordnung verlangt eine Dokumentation, die mindestens zwei Jahre aufbewahrt wird. Ein einfaches Vorfallregister mit festen Feldern erfüllt beides und ist zugleich die Grundlage, um aus Vorfällen zu lernen. Wichtig ist auch die Begründung, warum ein Vorfall nicht gemeldet wurde.
Üben
Ein Playbook, das nie geübt wurde, scheitert an Kleinigkeiten: veraltete Telefonnummern, unklare Zugriffe, Vorlagen, die niemand findet. Eine jährliche Übung an einem realistischen Szenario, etwa einem kompromittierten Administratorkonto oder einer falsch versendeten Kundenliste, deckt diese Lücken auf. Sie dauert wenige Stunden und ist die günstigste Massnahme, die es gibt.
Aufbau in vier Schritten
1. Rollen, Vertretungen und Notfallkontakte festlegen und ausserhalb der eigenen Systeme ablegen.
2. Pro System die Datenarten, Rechtsordnungen und Meldewege in einer Matrix erfassen, auf Basis des Bearbeitungsverzeichnisses.
3. Vorlagen für Behörden, Betroffene, Kunden und Medien vorbereiten.
4. Ein Vorfallregister einrichten und jährlich üben.
Die Pflichten im Einzelnen erklärt der Glossareintrag zur Meldung einer Datenschutzverletzung. Den Aufbau eines solchen Playbooks begleiten wir im Rahmen der revDSG-Umsetzung für KMU.