Cybersicherheit wird oft als Technikfrage behandelt. Im Ernstfall entscheidet aber zuerst die Organisation: Wer bemerkt den Angriff, wer entscheidet über Abschaltungen, wer meldet innert 24 Stunden, und gibt es eine Sicherung, die sich tatsächlich wiederherstellen lässt? Diese Fragen beantworten wir, bevor sie dringend werden.
Meldepflichten klären
Seit dem 1. April 2025 gilt in der Schweiz die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen nach dem Informationssicherheitsgesetz. Parallel laufen die Datenschutzmeldung nach Art. 24 DSG, Branchenmeldungen etwa an die FINMA und für Unternehmen mit EU-Bezug NIS2 sowie für Hersteller digitaler Produkte der Cyber Resilience Act. Wir stellen fest, welche Pflichten gelten, und bilden alle Meldewege mit Fristen in einem Plan ab.
Angriffsfläche kennen
Was man nicht kennt, erkennt man auch nicht als angegriffen. Mit einem Inventar der aus dem Internet erreichbaren Domains, Dienste und Zugänge (Attack Surface Management) werden vergessene Testsysteme, veraltete Software und offene Administrationszugänge sichtbar. Dazu kommt die Frage nach Schatten-KI: welche KI-Werkzeuge Mitarbeitende mit welchen Daten nutzen.
Grundkonfiguration und Wiederherstellung
Viele erfolgreiche Angriffe nutzen Lücken in der Grundkonfiguration: fehlende Mehrfaktor-Anmeldung, zu viele Administratoren, alte Protokolle. Wir sehen die zentralen Einstellungen in Microsoft 365 und Cloud durch und prüfen, ob Backups nachweislich wiederhergestellt werden können. Die Ziele dafür beschreiben RPO und RTO.
Plan und Übung
Ein Incident-Response-Plan regelt Rollen, Erreichbarkeiten, Entscheidungsbefugnisse und Meldewege. Er wirkt erst, wenn er geübt ist. Eine Übung am Tisch mit realistischem Szenario zeigt zuverlässig, welche Telefonnummer veraltet ist und welche Entscheidung niemand treffen will.
Was wir nicht tun
Wir betreiben kein Security Operations Center und verkaufen keine Sicherheitsprodukte. Penetrationstests führen wir mit spezialisierten Partnern durch, wenn der Check zeigt, wo sie sinnvoll sind. Die rechtliche Beurteilung von Meldepflichten im Einzelfall bleibt bei Ihnen oder Ihrer Kanzlei. Den Einstieg beschreibt der Cyber-Readiness-Check; die Einordnung der Meldepflicht unser Beitrag zur Cyber-Meldepflicht nach ISG.