Cyberangriff: Entscheidung in 24 Stunden

Um 8:17 Uhr entdeckte ein Team ungewöhnliche Verbindungen. Um 9 Uhr morgens weiss sie immer noch nicht, ob Daten das System verlassen haben. Dennoch könnte die regulatorische Uhr bereits begonnen haben. Seit dem 1. April 2025 müssen bestimmte Betreiber kritischer Infrastrukturen gezielte Angriffe innerhalb von 24 Stunden nach deren Entdeckung dem Bundesamt für Cybersicherheit melden. Die erste Falle wäre, auf eine perfekte Diagnose zu warten; die zweite Möglichkeit, bekannt zu geben, ohne den richtigen Umfang oder die für die Entscheidung verantwortliche Person identifiziert zu haben. Diese Marktanalyse folgt den ersten Stunden eines Vorfalls: Was muss die Organisation qualifizieren, wer entscheidet, wie mit fehlenden Informationen umgegangen wird und warum Kommunikation auch eine Frage des geschäftlichen Vertrauens wird. Anschliessend zeigt sie, wie ein Cyber-Spezialist diese Spannung in eine beauftragbare Krisenübung und dann in eine dauerhafte Beziehung umwandeln könnte – ohne ein Szenario als bereits durchgeführte Kampagne darzustellen oder offizielle Statistiken in Marktgrösse umzuwandeln. Stand: 6. August 2026. Allgemeine Information, keine individuelle Rechts-, Steuer- oder Fachberatung.

Die Schweizer Pflicht zur Meldung eines Cyberangriffs ergänzt die technische Behandlung bestimmter Vorfälle um einen regulatorischen Entscheid. Seit dem 1. April 2025 müssen die betroffenen Betreiber innerhalb von 24 Stunden Erkennung, Perimeter, beobachtete Auswirkungen, Verantwortung und Übermittlung an das BACS verknüpfen.

Das Parlament hat die Änderung des Informationssicherheitsgesetzes am 29. September 2023 angenommen. Der Bundesrat hat daraufhin das Inkrafttreten des revidierten Gesetzes und der Cybersicherheitsverordnung auf den 1. April 2025 festgelegt. Die Regel gilt nicht unterschiedslos für alle Unternehmen: Sie betrifft Behörden und Organisationen, die als Betreiber kritischer Infrastrukturen definiert sind, vorbehaltlich der vorgesehenen Ausnahmen.

So ist das Diagramm zu lesen. Die Frist erfordert eine hinreichend begründete Entscheidung, keine absolute Sicherheit. Die erste Übermittlung kann innerhalb von vierzehn Tagen erfolgen.

Textalternative. Das Team versieht das Signal mit einem Zeitstempel, qualifiziert den Umfang und die Auswirkungen und sendet es dann vor 24 Stunden, wenn der Schwellenwert überschritten wird oder wenn die Unsicherheit nicht rechtzeitig behoben werden kann. Die fehlenden Informationen folgen in der endgültigen Dossier.

Quellen des Diagramms. BACS, Informationen zur Meldepflicht und Häufig gestellte Fragen.

Das BACS nennt insbesondere die Energie- und Trinkwasserversorgung, den Verkehr sowie kantonale und kommunale Verwaltungen. Ihr Jahresbericht 2025 verweist auf die Artikel 73 ff. des Informationssicherheitsgesetzes, Artikel 74b für verpflichtete Organisationen und der Cybersicherheitsverordnung für Ausnahmen. Wenn eine Organisation Zweifel an der Einhaltung der Vorschriften hat, kann das BACS auf Anfrage eine Entscheidung erlassen. Dieser Punkt ist entscheidend: Ein Branchentitel reicht nicht aus, um abzuschliessen.

Die 24 Stunden beginnen mit der Entdeckung des Cyberangriffs, nicht mit dem Ende der technischen Untersuchung. Eine relevante Organisation muss daher den Zeitpunkt des ersten zuverlässigen Signals einhalten, die Qualifikation sofort zuweisen und einen Bericht erstellen, auch wenn einige Informationen unbekannt bleiben.

Das Wort "Erkennung" erfordert die Unterscheidung von drei Momenten: dem Rohsignal, seiner Erkennung als Sicherheitsereignis und der Entdeckung von Elementen, die die Verpflichtung auslösen können. Ein nützliches Verfahren benennt die Person, die diese Verbindung durchtrennt, und zeichnet auf, was sie bei jedem Schritt wusste. Ohne ein zeitgestempeltes Protokoll wird die Diskussion im Nachhinein rekonstruiert und das Management weiss nicht mehr, auf welcher Grundlage es entschieden hat.

Vorfälle überschreiten die Meldeschwelle, wenn sie eine betreffende Organisation betreffen und eine der erwarteten Auswirkungen haben: Gefährdung des Betriebs, Manipulation oder Weitergabe von Informationen, verspätete Entdeckung, Erpressung, Drohung oder Nötigung. Ein folgenloser Angriff auf die kritische Funktion führt nicht automatisch zur Verpflichtung.

Diese Qualifikation – Organisation und dann Veranstaltung – vermeidet die Zuordnung einer Warnung zu einer obligatorischen Dossier. Als Beispiel nennt das BACS einen Denial-of-Service-Angriff auf eine unkritische Anwendung: Wenn wesentliche Dienste nicht betroffen sind und keine Ausbreitungsgefahr besteht, reicht es nicht automatisch aus, diese Anwendung einfach zu stoppen.

Die ursprüngliche Dossier muss einfach antworten: Welche kritische Funktion hängt vom betroffenen System ab? Welcher Effekt wurde bereits beobachtet? Welche Daten oder Informationen könnten manipuliert oder offengelegt worden sein? Geht mit dem Angriff Erpressung einher? Wie lange war das Ereignis schon da, bevor es entdeckt wurde? Die Antworten können sich ändern. Ihr Ursprung und ihre Zeit müssen sichtbar bleiben.

Die Entscheidung liegt bei der betroffenen Organisation, auch wenn ein Dienstleister ihnen bei der Analyse des Angriffs oder der Übermittlung des Berichts hilft. Die technischen Teams ermitteln den Sachverhalt, die Geschäftsbereiche beschreiben die Konsequenzen, das Management weist ein Schlichtungsverfahren zu und der Partner bereitet die Nachweise vor, ohne automatisch dafür verantwortlich zu werden.

Das BACS legt fest, dass ein IT-Dienstleister oder Managed Service Provider in bestimmten Fällen im Namen eines Kunden eine Ankündigung machen kann, diese Delegation jedoch dokumentiert werden muss. Die Verantwortung der betreffenden Organisation wird dadurch nicht entzogen. Eine Gruppenadresse oder der generische Name einer Dienstleistung ersetzt daher weder einen Eigentümer noch seinen erreichbaren Stellvertreter.

Die Unsicherheit aus der Warnung muss als zuzuordnende Information und nicht als Grund zum Warten betrachtet werden. Jede Tatsache wird als bestätigt, wahrscheinlich oder unbekannt klassifiziert; Jeder Unbekannte erhält einen Verantwortlichen, eine nächste Prüfung und eine explizite Auswirkung auf die Entscheidung.

Das BACS weist darauf hin, dass eine erste Mitteilung innerhalb von 24 Stunden gesendet werden muss, auch wenn die Organisation noch nicht über alle Informationen verfügt. Der endgültige Bericht kann innerhalb von vierzehn Tagen erfolgen. Diese Möglichkeit schützt die Geschwindigkeit, sofern Sie eine Hypothese nicht als Tatsache darstellen.

Drei Szenarien machen die Entscheidung lesbarer. Im ersten Fall ist die entscheidende Funktion eindeutig beeinträchtigt: Eskalation und Übermittlung dürfen nicht auf den Untersuchungsbericht warten. Im zweiten Fall bleibt die Auswirkung ungewiss, aber die Hinweise sind konsistent: Die Organisation übermittelt ihr Wissen und dokumentiert die laufenden Überprüfungen. Im dritten Fall weist die eingereichte Anwendung keinen nachgewiesenen Zusammenhang mit der kritischen Funktion auf: Das Team behält die Begründung bei, überwacht die Verbreitung und bewertet neu, wenn neue Fakten auftauchen.

Diese Disziplin verbessert auch die Kommunikation mit Kunden, Partnern und Behörden. Eine Organisation kann sagen, was bestätigt ist, was sie bereits schützt und wann sie das nächste Update veröffentlichen wird. Dadurch werden zwei Vertrauensbrüche vermieden: fristloses Schweigen und voreilige Zusicherungen, die dann korrigiert werden müssen.

Die beim BACS eingegangenen Meldungen zeigen, dass das System tatsächlich genutzt wurde: Nach sechs Monaten gingen 164 Pflichtmitteilungen ein, Ende 2025 waren es 222. Diese Zahlen beschreiben eine deklarative Tätigkeit; sie messen nicht alle Angriffe oder die Anzahl der zugänglichen Cybermandate.

Im Halbjahresbericht wurden die häufigsten Angriffe aufgeführt: Distributed Denials of Service, Hacking, Ransomware, Diebstahl von Anmeldedaten, Datenlecks und Malware. Der Ende Dezember fertiggestellte Jahresbericht stufte Piraterie vor Denial-of-Service-Angriffen ein und listete hauptsächlich Ankündigungen aus den Bereichen öffentliche Verwaltung, Informationskommunikation, Finanzen und Versicherungen auf.

Diese Verteilungen helfen dabei, glaubwürdige Szenarien zu entwerfen; sie sagen nicht voraus, wie viele Interessenten eine Übung kaufen werden. Um eine vertretbare kommerzielle Basis zu erhalten, ist es immer noch notwendig, die zugänglichen Organisationen, ihren Vorbereitungsgrad, die Person, die das Budget trägt, und die Fähigkeit des Partners zu identifizieren, ohne einen Engpass zu schaffen.

Eine gut vorbereitete Ankündigung schützt das Vertrauen des Unternehmens, indem sie den Stakeholdern einen zuverlässigen Zeitplan, benannte Verantwortlichkeiten und eine nächste Aktualisierung bietet. Es beweist nicht, dass der Vorfall gelöst ist; es beweist, dass die Organisation weiss, wie sie unter Zwängen entscheidet und kommuniziert.

Ein Auftraggeber, ein Versicherer oder ein Partner fragt nicht nur, ob ein Formular verschickt wurde. Er möchte verstehen, was betroffen ist, welche Notfallmassnahmen ergriffen wurden, wer die Reaktion leitet und wann die Unbekannten behoben werden. Das Entscheidungsprotokoll wird dann zu einem Vertrauensobjekt: Es verknüpft technische Fakten mit kommerziellen Verpflichtungen, ohne unnötig sensible Informationen preiszugeben.

Andere Verpflichtungen können parallel laufen. Das EDÖB erinnert daran, dass der Datenverantwortliche so schnell wie möglich eine Verletzung der Datensicherheit melden muss, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringt. Das BACS legt fest, dass sein Formular auf ausdrücklichen Wunsch eine Mitteilung an bestimmte Drittbehörden, insbesondere die EDÖB oder die FINMA, übermitteln kann. Bei dieser Möglichkeit werden keine Schwellenwerte, Fristen oder Verantwortlichkeiten zusammengeführt: Jede Verpflichtung muss für den konkreten Fall überprüft werden.

Vertrauen wird also nicht durch das Versprechen absoluter Sicherheit aufrechterhalten. Es wird durch ein genaues Wort aufrechterhalten: bekannte Zeit, bekannter Umfang, bekannte Grenzen, zugewiesene Entscheidung und angekündigter Folgetermin.

Der erste Auftrag kann eine eng gefasste Krisenübung sein, bei der die Entscheidungskette vor einem tatsächlichen Vorfall getestet wird. Er muss ein Szenario, einen Timer, ein Entscheidungsprotokoll, eine Liste der Abweichungen und einen Verbesserungsplan erstellen; es wird keine garantierte Konformität oder unbegrenzter Support verkauft.

Dieses Angebot verringert die Einstiegshürde, da kein sofortiger Austausch der Sicherheitstools erforderlich ist. Der Fachmann beobachtet, wie das Signal vom Betrieb zum Beruf, von der Qualifikation zum Management, dann von der Entscheidung zum simulierten Signal gelangt. Der Wert liegt in den sichtbar gemachten Unstimmigkeiten: nicht erreichbare Nummer, unklare Kriterien, unvollständiges Protokoll, fehlender Stellvertreter oder nicht zugeordnete Kundenkommunikation.

Für getfishnet wird dieses Angebot erst nach vier Validierungen zu einer Chance: eine ausreichende Anzahl neuer Konten, die tatsächlich zugänglich sind, ein legitimer und verfügbarer Partner, ein mit der Expertenzeit kompatibler Preis und die Möglichkeit des Inkassos ohne grossen Aufwand. Die Anzahl der Konten, der Preis, die Marge und die Inkassozeit bleiben noch vor dem Auftrag festzulegen. Für diese Lesung werden keine Kampagnen oder Einnahmen beansprucht.

Ein Akquisitionssystem kann die richtigen Konten finden, indem es regulatorische Signale, die Rolle der Organisation, die betriebliche Kritikalität und den Entscheidungsreifegrad kombiniert. Es schliesst Unternehmen ausserhalb des Geltungsbereichs aus und testet dann mehrere Kanäle, ohne redaktionelles Interesse, qualifizierte Termine und erzielte Einnahmen zu verwechseln.

Die Suche beginnt mit einer Liste von Konten, deren Aktivität möglicherweise mit den offiziellen Kategorien übereinstimmt. Es wird mit den kritischen Abhängigkeiten, öffentlichen Bekanntmachungen, Sicherheitsrekrutierungen, den Anforderungen der Auftraggeber und den zur Durchführung einer Übung fähigen Gesprächspartnern geklärt. Die Kanäle können dann Suchmaschinen, Inhalte, Branchenpartner, Veranstaltungen, berufliche Netzwerke, E-Mails, Telefon, Sprachnachrichten und strategische Kundenakquise kombinieren.

So ist das Diagramm zu lesen. Jeder Schritt hat eine Ausgabe. Eine Organisation ausserhalb des Geltungsbereichs, ohne Entscheidungsträger oder ohne erkennbaren Bedarf sollte nicht künstlich zu einem Vorschlag gedrängt werden.

Textalternative. Konten werden durch vertretbare Signale identifiziert, entsprechend ihrem Umfang und ihren Bedürfnissen qualifiziert und dann aus einem präzisen Blickwinkel angegangen. Erst ein Gespräch, das die Nützlichkeit und Wirtschaftlichkeit bestätigt, führt zu einem Angebot.

Die Entscheidungsmatrix bleibt bewusst einfach:

Die Beziehung kann fortgesetzt werden, wenn neue Systeme, Lieferanten, Szenarien oder Kundenanforderungen eine neue Entscheidung erforderlich machen. Die Wartung basiert nicht auf einem automatischen Abonnement: Jeder wiederkehrende Eingriff muss einen Auslöser, einen Eigentümer und eine Leistung haben.

Nach der ersten Übung kann der Partner bei der Korrektur von Unstimmigkeiten unterstützen, das Szenario nachspielen, einen neuen kritischen Dienstleister integrieren oder eine Kundenanforderung vorbereiten. Ein Bereitschafts- oder Incident-Response-Dienst macht nur dann Sinn, wenn seine Zuständigkeiten, Fristen und tatsächlichen Kapazitäten vertraglich festgelegt sind. Die Geschäftskontinuität hängt sowohl von der Qualität dieser Lieferung als auch vom Akquisition des ersten Kunden ab.

Die Geschäftsführung verfolgt daher vier verschiedene Nachweise: qualifiziertes Gespräch, angenommener Vorschlag, erhaltenes Umsatz und Unterhalt im Zusammenhang mit einem neuen Bedarf. Der monatliche Wert, die Bruttomarge, die Akquisitionskosten und die Beziehungsdauer bleiben vor dem Auftrag festzulegen. Es sind diese Nachweise, die einen Übergang zur Grössenordnung rechtfertigen würden; Weder die Höchststrafe von 100'000 Franken noch die 222 amtlichen Meldungen können sie ersetzen.

Nützliche Lektüre und Quellen trennen die OFCS-Pflicht, den Datenschutz und das Lieferantenvertrauen. Das BACS dokumentiert den Umfang, die Fristen, die Kanäle und die Ergebnisse für 2025; Das EDÖB legt die Behandlung von Datenschutzverstössen mit hohem Risiko fest.

Die Hauptquellen sind das BACS, Informationen zur Meldepflicht, Häufig gestellte Fragen, Sechs Monate Meldepflicht und Jahresbericht 2025; das Informationssicherheitsgesetz und die Cybersicherheitsverordnung, veröffentlicht in Fedlex; der EDÖB, Leitfaden zur Meldung von Datenschutzverstössen und zur Information der betroffenen Personen gemäss Artikel 24 DSG.

Lesen auf der neues DSG erläutert die mit den betroffenen Personen verbundene Schwelle. Die IT- und Cybersicherheitsmarkt bündelt die verfügbaren Analysen. Diese Links erscheinen hier nach der Hauptentwicklung, um die Entscheidung zu erweitern, ohne von der ersten Hälfte der Lektüre abzulenken.

Die Analyse kommt zu dem Schluss, dass eine 24-Stunden-Anleihe ein Krisenübungsangebot unterstützen kann, sich jedoch noch nicht als profitabler Markt erweist. Um Massnahmen zu ergreifen, sind ein glaubwürdiger Partner, zugängliche Konten, ein zahlungsfähiger Erstauftrag und ausreichende Kapazitäten erforderlich, um das Versprechen nach dem Verkauf einzuhalten.

Das Signal wird dokumentiert. Der kommerzielle Wert muss noch nachgewiesen werden. Dies ist genau die Aufgabe des Eignungstests: Ihre Akquisitionsschwierigkeiten, Ihr Fachwissen, Ihre Kapazität und Ihre Wirtschaftlichkeit mit dem Markt zu vergleichen, bevor eine massgeschneiderte Strategie entwickelt wird. Liegen die Voraussetzungen nicht vor, muss das Urteil negativ bleiben; Wenn sich Synergien ergeben, ist der nächste Schritt ein begrenztes, messbares System, das von den richtigen Verantwortlichen durchgeführt wird.