Sicherheitsvorfall melden: interner Meldeweg für Mitarbeitende

Sicherheitsvorfall melden Mitarbeitende: warum ein klarer Meldeweg zählt

Einen Sicherheitsvorfall melden Mitarbeitende dann sinnvoll, wenn klar ist, wen sie bei verdächtiger E-Mail, Zahlungen, Geräten oder Zugängen erreichen und was in der ersten Stunde ohne Schuldzuweisung passiert. In einem Schweizer Betrieb mit 20 bis 250 Personen gibt es selten ein rund-um-die-Uhr-Security-Operations-Center; der Weg führt meist über IT, einen externen IT-Partner, HR oder eine benannte Stellvertretung. Ziel sind Tempo und Einheitlichkeit, nicht am ersten Tag ein perfektes Ticketsystem. Das ist getrennt von der Cyberangriff-Meldung ans BACS nach der Meldepflicht für kritische Infrastrukturen, die die meisten KMU nicht haben, und getrennt von der EDÖB-Meldung bei Datenpannen.

Hat jemand fast eine betrügerische Rechnung bezahlt, kennt die Finanzabteilung das Muster vielleicht aus Rechnungsbetrug mit geänderter IBAN. Interne Meldungen fangen Fälle ab, die die Buchhaltung nie sehen, etwa einen geklickten Phishing-Link oder ein verlorenes Gerät.

1. Einen Eingang festlegen

   Ein Postfach, eine Durchwahl oder ein Chat-Kanal für Security- und IT-Vorfälle. Im Intranet und Onboarding sichtbar machen.

2. Stellvertretung benennen

   Ist der IT-Kontakt abwesend, muss eine zweite Person oder das MSP-Ticket die Meldung annehmen.

3. Inhalt beschreiben

   Screenshot, Zeitpunkt, was geklickt oder bezahlt wurde, ob Passwörter eingegeben wurden. Kein Roman nötig.

4. Schnell bestätigen

   Auto-Antwort oder menschliche Rückmeldung am selben Tag, damit Meldende wissen, dass die Nachricht angekommen ist.

5. Protokollieren und abschliessen

   Kurzer Eintrag für Muster, Versicherung und Schulungsplanung.

Was intern als Sicherheitsvorfall gilt

Eine praktische Liste, die das Team behalten kann: verdächtige E-Mail oder SMS, unerwartete MFA-Abfragen, Malware-Hinweis, verlorenes oder gestohlenes Firmengerät, auffällige Nutzung geteilter Zugänge, Zahlungsanweisung mit mulmigem Gefühl, oder Tailgating am Eingang. Datenschutzvorfälle wie E-Mail an den falschen Empfänger können denselben Eingang nutzen, brauchen aber eine Datenschutz-Ansprechperson für spätere EDÖB-Fragen.

Was nicht an die Security-Adresse gehört

Langsame Drucker, fehlende Software-Lizenzen oder «mein Passwort habe ich vergessen» gehören in den normalen IT-Support, nicht in den Vorfall-Kanal. Mischen Sie die Kanäle nicht: wer bei jedem Ticket dieselbe Adresse sieht, übersieht den echten Alarm. Schreiben Sie auf der Wiki-Seite zwei Zeilen: «Security und Betrug hier» und «Alltag IT dort». HR-Themen wie Mobbing bleiben bei HR, auch wenn die Mail verdächtig aussah.

Rollen, wenn niemand Vollzeit-CISO ist

Die erste Stunde nach einer Meldung

1. Bestätigen

   Auto-Antwort oder kurzer Rückruf: Meldung ist angekommen.

2. Eindämmen

   Link sperren, Konto trennen, Gerät vom Netz, Zahlung stoppen wenn noch möglich.

3. Scope klären

   Wer hat geklickt, welches Postfach, welche Weiterleitungsregeln, welche Zahlungen.

4. Kommunizieren

   Betroffene informieren, was sie jetzt tun sollen, ohne Panik-Mail an alle.

5. Protokoll

   Datum, Kanal, Massnahmen, offene Punkte für Versicherung oder Nachbesprechung.

Ein externer MSP braucht einen Ansprechpartner im Betrieb, der Zahlungen stoppen oder Passwort-Rücksetzungen freigeben darf. Ohne diese Person wartet die Meldung im Ticket, bis jemand aus der Geschäftsleitung online ist.

Ein erfundenes Beispiel: Freitagvormittag

Ein erfundenes Beispiel: ein Dienstleistungsbetrieb mit 60 Personen, keine echten Namen. Am Freitag leitet eine Assistenz eine verdächtige «Passwort läuft ab»-Mail an die veröffentlichte Security-Adresse weiter. Der MSP bestätigt innert zwei Stunden, sperrt die Link-Domain, sucht Mail-Logs nach weiteren Klicks und bittet drei Personen, Passwörter zu ändern. Keine Zahlung war im Spiel. Der Protokolleintrag fliesst in einen 30-Minuten-Slot der nächsten quartalsweisen Awareness-Auffrischung. Die Assistenz erhält Dank, keinen Verwarnungsbrief.

Wann Polizei, Bank oder Versicherung dazukommen

Geld ist bereits weg: zuerst Bank und Polizei nach den Abläufen Ihrer Bank, parallel die interne Meldung damit IT das Postfach sichert. Nur Verdacht ohne Zahlung: intern reicht meist, Polizei optional. Cyberversicherung: viele Policen verlangen zeitnahe Meldung bei einem Vorfall; welche Frist Ihr Vertrag nennt, steht im Antrag und wurde hier nicht verifiziert. BACS: freiwillige Hinweise zu Betrug sind für Einzelpersonen und Betriebe möglich (BACS Halbjahresbericht 2025/2 beschreibt freiwillige Meldungen); der interne Weg bleibt trotzdem der erste Schritt, damit IT handeln kann.

Was ein guter Prozess bewusst nicht tut

Er nutzt Phishing-Simulationsergebnisse nicht für Einzel-Rankings in Leistungsgesprächen; in der Schweiz gelten vorgängige Information und Verhältnismässigkeit im Arbeitsrecht als Orientierung, keine Rechtsauskunft. Er verspricht nicht «keine Folgen» bei jedem Fehler, aber dass Melden sicherer ist als verstecken. Er ersetzt nicht Polizei oder Bank, wenn Geld geflossen ist.

Meldungen mit Namen oder anonym

Viele Betriebe wollen den Namen, um Logs zuzuordnen. Trotzdem lohnt ein Satz im Intranet: «Lieber anonym melden als gar nicht.» Ein Webformular ohne Pflichtfeld «Name» oder ein Hinweis «Sie können uns auch telefonisch melden» senkt die Hemmschwelle. HR und Vorgesetzte sollen Meldende nicht vorverhören; IT oder MSP triagieren.

Den Meldeweg einmal pro Jahr testen

Interne Testnachricht oder Tabletop: «Lieferanten-IBAN geändert, was tun?» Prüfen, ob alle die Adresse kennen und die Stellvertretung funktioniert. Die Deloitte-Studie 2026 nennt regelmässige Schulung bei 65 Prozent der kleinen und 82 Prozent der mittleren Firmen unter 250 Mitarbeitenden (Deloitte Cyber Studie 2026, fremde Messung); Meldekultur ist der Punkt, an dem Schulung auf den Alltag trifft.

Eskalation, wenn Kundendaten betroffen sein könnten

Kann die Meldung Personendaten betreffen, holen Sie noch am selben Tag die Datenschutz-Ansprechperson dazu. Die EDÖB-Meldung setzt ein voraussichtlich hohes Risiko für Betroffene voraus, mit Timing «so rasch als möglich», nicht eine feste 72-Stunden-DSGVO-Frist. Intern läuft Security parallel: Postfach eindämmen, Passwörter zurücksetzen, Header für IT sichern. Die Datenschutz-Ansprechperson entscheidet über databreach.edoeb.admin.ch.

Kommunikationsbausteine gegen Panik

Bereiten Sie drei kurze interne Sätze vor: «Meldung erhalten», «Heute keine weitere Aktion von Ihnen», «Bitte Passwort über diesen offiziellen Link ändern». Im Intranet ablegen, damit Vorgesetzte keine alarmierende Rundmail improvisieren. Externe Kundenkommunikation wartet auf Fakten.

Wann ein formales Prozessbuch zu viel ist

Ein Büro mit fünf Personen, Inhaber neben IT, startet mit «sag mir oder dem MSP» auf einer Wiki-Seite. Formalisieren, wenn Sie etwa zwanzig Mitarbeitende, einen zweiten Standort oder Remote-Eintritte haben, wo die Geschäftsleitung nicht sichtbar ist.

Schulung, die den Meldeweg verankert

Live Security Awareness erklärt, was zu melden ist, was nicht weitergeleitet wird und wie Vorfälle danach behandelt werden. Sessions dauern ein bis zwei Stunden mit Follow-up, remote oder vor Ort in der Schweiz, beschrieben auf Security Awareness. In der Session reicht oft ein Aushang mit der Meldeadresse und einem Beispiel-Screenshot, den Teilnehmende erkennen. Ermutigen Sie ausdrücklich zu Meldungen auch dann, wenn sich der Verdacht nicht bestätigt.