E-Mail an falschen Empfänger: Datenpanne?

E-Mail an falschen Empfänger: ist das eine Datenpanne?

Eine E-Mail an den falschen Empfänger ist unter dem DSG eine Datenpanne, wenn Personendaten Ihrer Kontrolle entgleiten und jemand sie sieht, der sie nicht sehen sollte. Das ist bereits ein Sicherheitsvorfall. Melden müssen Sie beim EDÖB nur, wenn ein hohes Risiko für die betroffenen Personen wahrscheinlich ist. In der Schweiz gilt «so rasch als möglich», nicht eine feste 72-Stunden-Frist wie bei der DSGVO. Dokumentieren müssen Sie den Fall auch, wenn keine Meldung erfolgt.

Der Text richtet sich an Inhaberinnen und Inhaber, HR und die Person, die IT «nebenbei» macht, in einem Schweizer Betrieb mit etwa 20 bis 250 Mitarbeitenden. Vielleicht haben Sie gerade gehört: «Ich habe die Lohnabrechnung an die falsche Person geschickt» oder «im Anhang war die Kundenliste». Das ist praktische Einordnung, keine Rechtsauskunft.

• Falscher EmpfängerOft ja

  Personendaten an jemanden ohne Kenntnisbedarf sind eine Bekanntgabe.

• EDÖB-MeldungHohes Risiko

  Nur wenn ein hohes Risiko für Betroffene wahrscheinlich ist (Art. 24 DSG).

• FristSo rasch als möglich

  Schweizer Recht, keine EU-72-Stunden-Regel.

• BACS-MeldepflichtMeist nein

  Meldepflicht kritische Infrastrukturen ist vom DSG getrennt.

Wann eine falsche E-Mail eine Panne ist und wann nicht

Eine Datensicherheitsverletzung liegt vor, wenn durch eine Verletzung der Sicherheit Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, offengelegt oder zugänglich werden. Falscher Name in Outlook, falsche Konversation, «Allen antworten» statt nur dem Absender, falscher Anhang: alles kann reichen. Enthielt die Nachricht nur interne Mittagspläne ohne Personendaten, greift das Datenschutzrecht oft nicht. Enthielt sie Namen, Löhne, Gesundheitsnotizen, Kundendossiers oder Bewerbungen, gehen Sie von einer Panne aus, bis jemand Fachliches das Gegenteil begründet.

Verschlüsselte Anhänge oder Passwort-geschützte PDFs verändern das Risiko, heben den Vorfall aber nicht auf. Konnte nur Ihr Betrieb lesen und der falsche Empfänger das Passwort nicht erraten, kann das Risiko tief bleiben. War die Mail auf einem fremden Telefon lesbar oder lag das Passwort im gleichen Thread, einstufen Sie ernster.

Typische Verwechslungen im Büroalltag

Autocomplete in Outlook und in Webmail schlägt oft den letzten Kontakt mit ähnlichem Namen vor. Private und geschäftliche Adressen stehen nebeneinander. Ein Kollege mit Nachnamen «Müller» und ein Kunde «Müller AG» sehen im Dropdown gleich aus, bis jemand die Domain prüft.

Weiterleitungsregeln sind ein zweites Risiko. Die Mail landet beim falschen Empfänger, weil ein Postfach alles an eine Assistenz schickt, die nicht im Projekt ist. Auch geteilte Postfächer («info@», «hr@») machen später unklar, wer die Daten gesehen hat.

Wenn Sie EU-Kunden oder Mitarbeitende in der EU betreffen, kann zusätzlich die DSGVO gelten. Die Schweizer Schwelle «hohes Risiko» und die EU-Fristen sind nicht identisch. Für einen rein internen Fehler in Zürich folgen Sie zuerst dem DSG. Für Daten von Personen in der EU lohnt sich oft eine zweite Einordnung mit Beratung, ohne die Eindämmung zu verzögern.

Muss jeder Fehler an den EDÖB gemeldet werden?

Nein. Der EDÖB-Leitfaden zur Meldung sagt: melden, wenn ein hohes Risiko für Persönlichkeit oder Grundrechte der Betroffenen wahrscheinlich ist. Typische Faktoren Richtung Meldung: Gesundheitsdaten, grosse Listen von Kunden oder Mitarbeitenden, Finanzdaten mit Namen, oder ein Empfänger, den Sie nicht erreichen und nicht zum Löschen vertrauen.

Eine Zeile mit dem Vornamen eines Kunden an einen Kollegen kann unter der Schwelle bleiben. Eine Excel-Liste mit 200 Debitoren an eine Konkurrenz-Domain meist nicht. Grenzfälle verdienen eine kurze schriftliche Risikonotiz und oft Beratung.

Müssen betroffene Personen informiert werden?

Nicht immer. Art. 24 DSG verlangt die Information der betroffenen Personen, wenn dies nötig ist, um den Schaden zu verhindern oder wenn der EDÖB es anordnet. Praktisch heisst das: informieren, wenn die Person etwas tun soll (Passwort ändern, Konto sperren, Betrug beobachten) oder wenn sie ohne Hinweis den Schaden nicht einschränken kann. Wenn der Empfänger kooperiert, die Daten gelöscht sind und kein Missbrauch plausibel ist, kann die Information trotzdem sinnvoll sein, ist aber nicht in jedem kleinen Fall Pflicht. Im Zweifel dokumentieren Sie die Begründung.

Was in der ersten Stunde zu tun ist

1. Weitergabe stoppen

   Rückruf nutzen, wenn Ihr System das kann. Den falschen Empfänger anrufen, wenn Sie ihn kennen. Löschen ohne Weiterleiten verlangen und kurz schriftlich bestätigen lassen.

2. Postfach prüfen

   Auto-Weiterleitung, lokale Kopien, Sync auf privates Gerät, Archiv-Regeln.

3. Daten beschreiben

   Kategorien, Anzahl Personen, besonders schützenswerte Daten, Passwörter oder Zugangsdaten.

4. Fakten protokollieren

   Zeit, Absender, Soll- und Ist-Empfänger, Systeme. Nötig auch ohne Meldung.

5. EDÖB-Entscheid

   Bei wahrscheinlich hohem Risiko Meldung über databreach.edoeb.admin.ch so rasch als möglich. Betroffene informieren, wenn sie handeln müssen.

Warten Sie nicht auf die perfekte Analyse, bevor Sie weitere Bekanntgabe verhindern. Das Protokoll können Sie ergänzen.

Was das nicht ist

Das ist nicht dieselbe Meldung wie Phishing beim BACS. Betrug und Schadsoftware haben eigene Wege. Es ist nicht die Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen seit April 2025, die die meisten KMU nicht haben. Es ist auch kein Grund, die Mitarbeitende öffentlich zu sanktionieren, bevor klar ist, ob Schulung oder Prozess fehlte.

Deutsche Artikel mit DSGVO-Bussen in Euro und strikter 72-Stunden-Frist beschreiben EU-Recht. Schweizer Betriebe folgen zuerst dem DSG und zusätzlich der DSGVO, wenn sie Personen in der EU ansprechen.

Wer kein grosses Playbook braucht

Ein Betrieb mit fünf Personen, der intern eine Terminzeit an die falsche Adresse schickt und das in Minuten korrigiert, reicht oft mit einer Zeile im Log. Eine Praxis oder Kanzlei mit Gesundheits- oder Mandatsdaten sollte jeden falschen Anhang ernst nehmen.

Ein erfundenes Beispiel: Lohn im falschen Thread

Ein erfundenes Beispiel: ein Dienstleistungsbetrieb mit 45 Mitarbeitenden in der Region Bern. Am Donnerstagmorgen schickt HR Lohn-PDFs. Autocomplete wählt einen externen Berater mit gleichem Nachnamen wie eine Mitarbeitende. Der Berater öffnet die Mail auf dem Telefon, bevor HR es merkt. HR ruft innert zwanzig Minuten an, der Berater löscht und bestätigt per E-Mail. Die PDFs enthalten AHV-Nummern und Bruttolöhne. Die Geschäftsleitung schreibt eine halbe Seite Risiko: keine besonders schützenswerten Kategorien, aber Finanzidentität für zwölf Personen, kooperativer Empfänger, keine Weiterleitung bekannt. Intern dokumentieren, die zwölf Personen am selben Tag informieren, am nächsten Morgen EDÖB melden, weil Missbrauch bei kompromittiertem Telefon noch plausibel ist. HR bekommt eine Datenschutz-Session zu sicherem Versand.

Die Geschichte ist erfunden. Die Reihenfolge entspricht dem, was Prüfer fragen: eindämmen, bewerten, dokumentieren, melden wenn nötig, Prozess anpassen.

Interne Dokumentation in jedem Fall

Art. 15 Abs. 4 DSV verlangt Aufzeichnung auch nicht gemeldeter Verletzungen mit Tatsachen, Auswirkungen und Massnahmen, mindestens zwei Jahre ab Meldung oder ab Entscheid gegen Meldung. Eine einfache Tabelle genügt: Datum, Datentypen, Anzahl, Ursache, EDÖB-Entscheid, Massnahmen.

Wiederholungen vermeiden ohne Schuldzuweisung

Schulen Sie zu Autocomplete, Bcc und Anhängen. Beschränken Sie Lohn-Exporte auf wenige Rollen. Grosse Dateien per Link mit Zugriffskontrolle statt statischem Anhang. Das passt in eine live Datenschutz-Schulung für Mitarbeitende; unter Datenschutz Awareness sehen Sie, was Aurum nach einem kurzen Bedarfsgespräch in ein bis zwei Stunden abdeckt.

Wenn Sie parallel Security-Anbieter vergleichen, steht im Beitrag Security Awareness Anbieter Schweiz, wie Live-Sessions und Tests sich unterscheiden.

Den vollständigen Meldeweg zum EDÖB behandelt der Beitrag Datenpanne an den EDÖB melden. Für Schulung im Alltag mit Personendaten: Datenschutz Awareness zu DSG und DSGVO, Pannen und sicherem Teilen.