Field Notes / Compliance
nDSG-Compliance testen: Warum ein Red Team mehr findet als jeder Auditor
Ein Audit bestätigt, dass Ihre Schutzmassnahmen dokumentiert sind. Ein Red Team beweist, ob sie einen echten Angriff überstehen. Der Unterschied entscheidet, wer nach einem Datenschutzvorfall persönlich haftet.
01 Was das nDSG technisch verlangt
eit September 2023 gilt das neue Schweizer Datenschutzgesetz. Viele Unternehmen haben reagiert: Datenschutzerklärungen aktualisiert, Verarbeitungsverzeichnisse erstellt, Cookie-Banner installiert. Auf dem Papier sieht die Compliance sauber aus. Aber Papier hält keinen Angreifer auf.
Die Frage, die sich kaum ein Unternehmen stellt: Funktionieren die technischen Schutzmassnahmen tatsächlich unter Druck? Oder zerbrechen sie beim ersten gezielten Angriff? Das nDSG spricht in drei Artikeln direkt über Sicherheitsanforderungen, die sich nur durch praktische Tests sinnvoll überprüfen lassen DSG, SR 235.1 .
Art. 7 nDSG — Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen
Der Verantwortliche muss die Datenbearbeitung technisch so gestalten, dass die Vorschriften eingehalten werden («Privacy by Design»). Voreinstellungen müssen die Bearbeitung auf das nötige Mindestmass beschränken («Privacy by Default»).
Was wir testen: Sind Standardkonfigurationen tatsächlich restriktiv? Oder liefern Systeme bei der erstbesten API-Anfrage mehr Daten als vorgesehen? Sie erfahren, ob Ihre Voreinstellungen im Ernstfall halten.
Art. 8 nDSG — Datensicherheit
Verantwortlicher und Auftragsbearbeiter müssen durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten.
«Angemessen» ist relativ. Ein Auditor prüft, ob Massnahmen dokumentiert sind. Wir prüfen, ob sie funktionieren. In 89 Prozent unserer Engagements finden wir einen Weg, die dokumentierten Massnahmen zu umgehen.
Art. 24 nDSG — Meldung von Verletzungen der Datensicherheit
Bei einer Verletzung, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte führt, muss der Verantwortliche dem EDÖB so rasch wie möglich Meldung erstatten.
Wir simulieren den Ernstfall und testen den Incident-Response-Prozess. Erkennt Ihr Unternehmen den Angriff? Wie schnell wird eskaliert? Wer informiert den EDÖB? Bei 60 Prozent der getesteten KMU existiert kein dokumentierter Meldeprozess EDÖB 2023 .
02 Audit gegen Red Teaming
Ein Compliance-Audit und ein Red-Teaming-Engagement verfolgen unterschiedliche Ziele und liefern unterschiedliche Ergebnisse. Beides hat seine Berechtigung. Aber nur eines zeigt, was bei einem echten Angriff passiert. Der Auditor sagt: «Die Policy existiert.» Das Red Team sagt: «Die Policy hält.» Oder eben nicht.
| Dimension | Compliance-Audit | Red Teaming |
|---|---|---|
| Methodik | Interviews, Dokumentenprüfung, Checklisten | Simulierter Angriff mit realen Techniken |
| Perspektive | Interne Sicht («Was haben wir implementiert?») | Angreifer-Sicht («Was kann ich trotzdem?») |
| Ergebnis | Konformitätsbericht | Nachgewiesene Angriffspfade zu Personendaten |
| Dauer | 2 – 5 Tage | 2 – 4 Wochen |
| Blindspots | Shadow IT, Fehlkonfigurationen, Social Engineering | Regulatorische Detailanalyse, Vertragswerk |
| Kosten (typisches KMU) | CHF 5'000 – 15'000 | CHF 20'000 – 60'000 |
Die Frage ist nicht «Audit oder Red Team?». Die Frage ist: Reicht Ihnen die Theorie, oder wollen Sie wissen, was in der Praxis passiert? Ein Auditor beantwortet die erste Frage. Wir beantworten die zweite.
03 Drei reale Angriffspfade
Diese Beispiele stammen aus Red-Teaming-Engagements für Schweizer Unternehmen. Details sind anonymisiert, die Angriffspfade sind real. Jeder hätte im Ernstfall eine Meldung an den EDÖB ausgelöst.
Szenario 1: Der Export-Button
Ein Dienstleistungsunternehmen im Raum Bern hatte sein CRM korrekt abgesichert: rollenbasierte Zugriffssteuerung, verschlüsselte Verbindungen, regelmässige Patches. Der letzte Audit hatte keine Beanstandungen. Wir fanden einen CSV-Export-Endpunkt ohne Autorisierungsprüfung. Ein authentifizierter Benutzer mit Basis-Rechten konnte den gesamten Kundenstamm exportieren: 23'000 Datensätze mit Name, Adresse, Geburtsdatum und Vertragsdaten. Kein Audit hatte diesen Endpunkt geprüft, weil er nicht in der Dokumentation stand.
nDSG-Relevanz: Verstoss gegen Art. 7 (Privacy by Default) und Art. 8 (Datensicherheit). Eine Meldung nach Art. 24 wäre im Ernstfall nötig gewesen.
Szenario 2: Die vergessene Testumgebung
Ein Gesundheitsdienstleister in der Deutschschweiz hatte eine vorbildliche Produktionsumgebung. Verschlüsselung, Zugriffskontrollen, Logging. Über eine Subdomain-Enumeration entdeckten wir eine Testumgebung, die mit einer Kopie der Produktionsdatenbank lief. Patientendaten aus dem Jahr 2024, unverschlüsselt, erreichbar mit Standard-Credentials (admin/admin). Der Datenschutzbeauftragte wusste nichts von dieser Umgebung. Ein Entwickler hatte sie drei Jahre zuvor aufgesetzt und nie abgebaut.
nDSG-Relevanz: Verstoss gegen Art. 8 (Datensicherheit) und Art. 7 Abs. 3 (Verhältnismässigkeit). Betroffen waren besonders schützenswerte Personendaten nach Art. 5 lit. c nDSG.
Szenario 3: Der Drucker als Einfallstor
Ein Finanzberater im Kanton Zug hatte in seine IT-Sicherheit investiert: Endpoint Detection, segmentiertes Netzwerk, starke Passwort-Policy. Wir kompromittierten einen vernetzten Multifunktionsdrucker, der mit Werkseinstellungen lief und LDAP-Credentials im Klartext speicherte. Über diese Zugangsdaten authentifizierten wir uns am Active Directory und griffen von dort auf den File-Server mit Kundendossiers zu. Der Drucker war im letzten Audit als «nicht relevant» eingestuft worden.
nDSG-Relevanz: Die Massnahmen nach Art. 8 waren für die Kern-IT angemessen. Das Gesamtsystem hatte trotzdem eine offene Flanke. Genau diese Lücken findet nur ein Angriffstest.
04 Was ein Red Team konkret prüft
Nicht jeder Auftrag muss ein Full-Scope-Engagement sein. Für nDSG-fokussiertes Red Teaming definieren wir gemeinsam mit Ihnen spezifische Ziele, die sich an den Schutzzielen des Gesetzes orientieren. Sie bekommen am Ende keine Vermutung, sondern einen Beweis für jede geprüfte Anforderung.
| Prüfziel | Frage, die wir beantworten | nDSG-Bezug |
|---|---|---|
| Zugang zu Personendaten | Erreichen wir Systeme mit Personendaten von aussen oder als Low-Privilege-Benutzer? | Art. 8 (Vertraulichkeit) |
| Datenexfiltration | Schleusen wir Personendaten unbemerkt aus? Erkennen DLP und Monitoring den Abfluss? | Art. 8 (Nachvollziehbarkeit) |
| Privacy-by-Default | Liefern APIs in der Standardkonfiguration nur die minimal nötigen Felder? | Art. 7 |
| Incident Response | Wird der Angriff erkannt? Wie lange dauert die Eskalation? Greift der Meldeprozess? | Art. 24 |
| Auftragsbearbeiter | Erreichen wir über Cloud-, SaaS- oder Outsourcing-Schnittstellen Personendaten? | Art. 9 |
Der Bericht am Ende ist mehr als eine Schwachstellenliste. Er ist ein Compliance-Dokument, das die tatsächliche Wirksamkeit Ihrer technischen Massnahmen nachweist. Art. 1 Abs. 5 der Datenschutzverordnung verlangt, dass die Sicherheitsmassnahmen «während der gesamten Bearbeitungsdauer überprüft» werden DSV, SR 235.11 . Ein Red-Teaming-Bericht ist der stärkste Beleg dafür, dass diese Überprüfung stattgefunden hat.
05 Persönliche Haftung und der nächste Schritt
Ein Detail geht in vielen Compliance-Diskussionen unter: Das nDSG bestraft nicht das Unternehmen, sondern die verantwortliche natürliche Person. Art. 60 bis 63 nDSG sehen Bussen von bis zu CHF 250'000 vor, und diese treffen den Geschäftsführer, den IT-Leiter oder den Datenschutzverantwortlichen persönlich DSG, SR 235.1 . Die subsidiäre Unternehmenshaftung nach Art. 64 nDSG greift nur, wenn die fehlbare Person nicht identifizierbar ist, und ist auf CHF 50'000 begrenzt.
Bei FINMA-regulierten Instituten kommt eine weitere Ebene hinzu. Die FINMA erwartet eigene Sicherheitstests und kann bei unzureichender IT-Sicherheit aufsichtsrechtliche Massnahmen ergreifen. Ein Red-Teaming-Engagement erfüllt beide Anforderungen gleichzeitig, die des nDSG und die der FINMA.
Ein nDSG-fokussiertes Engagement kostet für ein typisches Schweizer KMU zwischen CHF 25'000 und CHF 60'000, abhängig von Scope und Dauer, typisch zwei bis vier Wochen aktive Testphase. Die Gegenrechnung ist eindeutig: Die persönliche Busse nach Art. 60 nDSG beträgt bis zu CHF 250'000, der Reputationsschaden nach einem Vorfall mit Personendaten kommt obendrauf. RTP Robin ist das Dashboard, in dem ein Test ein Jahr unbegrenzter Nachtests kauft: Ihre Operatoren wiederholen den Angriff, sobald sich Ihre Angriffsfläche ändert, und ein Mensch prüft jeden Befund, bevor er Sie erreicht.
- Scope festlegen: Systeme mit Personendaten und die kritischen Schutzziele (Art. 7, 8, 24) gemeinsam definieren.
- Angriffspfade testen lassen: Zugang, Exfiltration und Privacy-by-Default unter realen Bedingungen prüfen.
- Incident Response messen: erkennt Ihr Team den Angriff, und greift der Meldeprozess an den EDÖB?
- Bericht als Nachweis ablegen: Compliance-Statement und Findings für den EDÖB und die persönliche Absicherung dokumentieren.
- Nachtesten: gefundene Lücken schliessen und den Angriff wiederholen, bis der Pfad zu ist.
Wer sein nDSG-Compliance-Programm auf ein solides Fundament stellen will, ergänzt den Audit um einen Red-Teaming-Test. Nicht weil der Auditor schlecht arbeitet, sondern weil er eine andere Frage beantwortet. Dann wissen Sie, wo Sie stehen, bevor es der EDÖB oder ein Angreifer für Sie herausfindet. Ein kostenloses Erst-Audit von Red Team Partners zeigt Ihnen den wahrscheinlichsten Weg zu Ihren Personendaten und eine priorisierte Fix-Liste. Enterprise-grade. Nicht enterprise-priced.
References
Sources
- Schweizerische Eidgenossenschaft. Bundesgesetz über den Datenschutz (DSG, SR 235.1). Fedlex, 2023. fedlex.admin.ch
- Schweizerische Eidgenossenschaft. Verordnung über den Datenschutz (DSV, SR 235.11). Fedlex, 2023. fedlex.admin.ch
- EDÖB. Meldung von Verletzungen der Datensicherheit. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, 2023. edoeb.admin.ch