Cybersicherheit in der Schweiz 2026: Bedrohungen, Gesetze & Schutzmassnahmen

Die Cybersicherheitslage in der Schweiz hat sich 2026 grundlegend verändert. Mit der neuen Meldepflicht für kritische Infrastrukturen beim Bundesamt für Cybersicherheit (BACS), verschärften Anforderungen aus dem revidierten Datenschutzgesetz (revDSG) und einer Rekordzahl an Ransomware-Angriffen stehen Schweizer Unternehmen und Privatpersonen vor neuen Herausforderungen. Dieser umfassende Leitfaden zeigt Ihnen die aktuelle Bedrohungslage, die rechtlichen Rahmenbedingungen und konkrete Schutzmassnahmen für 2026.

Die aktuelle Bedrohungslage in der Schweiz 2026

Cybersicherheit in der Schweiz 2026 ist geprägt von einer massiven Zunahme professionalisierter Angriffe, die sich gezielt gegen KMU, Gemeinden und kritische Infrastrukturen richten. Laut Halbjahresbericht des Bundesamts für Cybersicherheit (BACS) wurden allein im ersten Halbjahr 2025 über 34'000 Cybervorfälle gemeldet – ein Anstieg von rund 30 Prozent gegenüber dem Vorjahr.

Die häufigsten Angriffsarten

1. Phishing und Spear-Phishing: Über 40 Prozent aller Meldungen betreffen betrügerische E-Mails, oft mit gefälschter Absenderadresse von Post, SBB oder Bundesbehörden.
2. Ransomware: Verschlüsselungstrojaner treffen zunehmend Schweizer Spitäler, Gemeinden und Industrieunternehmen. Bekannte Fälle wie der Angriff auf Xplain oder Concevis zeigen das Ausmass.
3. CEO-Fraud (Business E-Mail Compromise): Gefälschte Anweisungen der Geschäftsleitung führen zu Millionenschäden bei Schweizer KMU.
4. Betrug mit Kryptowährungen: Fake-Investment-Plattformen und Anlagebetrug haben sich versiebenfacht.
5. Angriffe auf Lieferketten: Kompromittierte Software-Updates und Drittanbieter werden zum Einfallstor.

Besonders betroffene Branchen

Gesundheitswesen, Finanzsektor, öffentliche Verwaltung und Industrie stehen 2026 im Fokus. Der Angriff auf den IT-Dienstleister Xplain, bei dem sensible Bundesdaten im Darknet landeten, hat gezeigt, wie verwundbar auch die öffentliche Hand ist.

Neue rechtliche Rahmenbedingungen ab 2026

Die Schweizer Gesetzgebung reagiert auf die veränderte Bedrohungslage mit mehreren wichtigen Änderungen, die Unternehmen ab 2026 kennen müssen.

Meldepflicht beim BACS (seit 1. April 2025)

Betreiber kritischer Infrastrukturen sind seit dem 1. April 2025 verpflichtet, schwerwiegende Cyberangriffe innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) zu melden. Betroffen sind unter anderem:

• Energieversorger und Wasserwerke
• Banken und Versicherungen
• Spitäler und Gesundheitseinrichtungen
• Telekommunikationsanbieter
• Kantonale und kommunale Verwaltungen
• Transportunternehmen des öffentlichen Verkehrs

Bei Verstössen gegen die Meldepflicht drohen Bussen bis zu 100'000 Franken.

Das revidierte Datenschutzgesetz (revDSG)

Das seit September 2023 in Kraft getretene revDSG entfaltet 2026 seine volle Wirkung. Wichtige Punkte:

• Meldepflicht bei Datenpannen: Verletzungen der Datensicherheit müssen "so rasch als möglich" dem EDÖB gemeldet werden.
• Privacy by Design: Datenschutz muss von Anfang an in Systeme integriert sein.
• Bearbeitungsverzeichnis: Unternehmen ab 250 Mitarbeitenden müssen ein Verzeichnis aller Datenbearbeitungen führen.
• Verschärfte Strafbestimmungen: Bussen bis 250'000 Franken – neu gegen die verantwortliche Person, nicht das Unternehmen.

NIS2 und die Auswirkungen auf die Schweiz

Obwohl die EU-Richtlinie NIS2 nicht direkt für die Schweiz gilt, betrifft sie Schweizer Unternehmen mit Geschäftstätigkeit in der EU. Wer Dienstleistungen in EU-Länder erbringt, muss die verschärften Sicherheitsstandards erfüllen.

Die grössten Cyberrisiken für Schweizer Unternehmen

Nach Auswertung aktueller BACS-Daten und Berichten der Melde- und Analysestelle Informationssicherung (MELANI-Nachfolger) kristallisieren sich fünf Hauptrisiken heraus.

Übersicht der Top-Risiken 2026

Risiko	Häufigkeit	Durchschnittlicher Schaden	Betroffene Zielgruppe
Ransomware	Hoch	CHF 250'000 – 5 Mio.	KMU, Spitäler, Gemeinden
Phishing	Sehr hoch	CHF 5'000 – 100'000	Alle
CEO-Fraud	Mittel	CHF 50'000 – 2 Mio.	KMU, Grossunternehmen
Datenlecks	Hoch	CHF 100'000 – 10 Mio.	Alle mit Kundendaten
Supply-Chain-Angriffe	Steigend	Sehr hoch	Unternehmen mit IT-Lieferanten

Schutzmassnahmen für Unternehmen

Effektive Cybersicherheit in der Schweiz 2026 basiert auf einem mehrschichtigen Ansatz aus technischen, organisatorischen und menschlichen Massnahmen.

Technische Grundlagen

1. Multi-Faktor-Authentifizierung (MFA): Aktivieren Sie MFA für alle geschäftskritischen Systeme, E-Mail-Konten und Cloud-Dienste.
2. Endpoint Detection and Response (EDR): Ersetzen Sie klassische Antivirenlösungen durch moderne EDR-Systeme, die Anomalien erkennen.
3. Regelmässige Backups nach der 3-2-1-Regel: Drei Kopien, zwei verschiedene Medien, eine offline gelagert.
4. Patch-Management: Sicherheitsupdates innerhalb von 72 Stunden nach Veröffentlichung einspielen.
5. Netzwerksegmentierung: Trennen Sie kritische Systeme vom übrigen Netzwerk.
6. Verschlüsseltes DNS und E-Mail-Verschlüsselung: Schützen Sie Kommunikation auf Netzwerkebene.

Organisatorische Massnahmen

• Incident Response Plan: Dokumentierter Ablaufplan für den Ernstfall, inklusive BACS-Meldeprozess.
• Sicherheitsrichtlinien: Schriftliche Regeln zu Passwörtern, Geräte-Nutzung, Home-Office und Datenweitergabe.
• Zugriffsverwaltung: Least-Privilege-Prinzip und regelmässige Rezertifizierung von Berechtigungen.
• Lieferantenmanagement: Sicherheitsanforderungen vertraglich mit IT-Dienstleistern festhalten.
• Cyber-Versicherung: Prüfen Sie eine Police, die auch Lösegeldforderungen, Betriebsunterbruch und rechtliche Folgen abdeckt.

Mitarbeitersensibilisierung

Studien zeigen, dass 80 Prozent aller erfolgreichen Angriffe auf menschliches Fehlverhalten zurückzuführen sind. Regelmässige Schulungen zu Phishing, sicheren Passwörtern und Social Engineering sind daher unverzichtbar. Prüfen Sie zudem mit einem Tool wie Have I Been Pwned, ob Firmen-Passwörter bereits geleakt wurden.

Schutz für Privatpersonen

Auch Privatpersonen sind zunehmend Ziel von Cyberangriffen – von Twint-Betrug über QR-Code-Phishing bis hin zu Erpressungsversuchen über Deepfake-Videos.

Die zehn wichtigsten Massnahmen

1. Verwenden Sie einen Passwort-Manager mit einzigartigen Passwörtern für jeden Dienst.
2. Aktivieren Sie Zwei-Faktor-Authentifizierung überall, wo möglich.
3. Halten Sie Betriebssystem und Apps stets aktuell.
4. Seien Sie skeptisch gegenüber E-Mails mit Links – insbesondere von Post, SBB, ELSTER oder Banken.
5. Klicken Sie nie auf verkürzte oder verdächtige Links ohne Vorschau. Nutzen Sie Dienste wie Lunyb, die Link-Vorschauen und Sicherheitsprüfungen bieten.
6. Sichern Sie wichtige Daten regelmässig auf externen Datenträgern.
7. Nutzen Sie verschlüsseltes DNS (z.B. Quad9, das seinen Sitz in Zürich hat).
8. Prüfen Sie regelmässig Ihre Kontoauszüge und Kreditkartenabrechnungen.
9. Melden Sie Cybervorfälle über das Meldeformular auf report.ncsc.admin.ch.
10. Bei Datenschutzverletzungen können Sie sich beim EDÖB melden – ähnlich wie bei einer BfDI-Beschwerde in Deutschland.

Die Rolle des BACS und weiterer Behörden

Das Bundesamt für Cybersicherheit (BACS) ist seit 2024 die zentrale Kompetenzstelle des Bundes für Cybersicherheit. Es ist im Eidgenössischen Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) angesiedelt und übernimmt Aufgaben, die zuvor beim NCSC lagen.

Wichtige Anlaufstellen in der Schweiz

Behörde	Zuständigkeit	Kontakt
BACS	Cybervorfälle, kritische Infrastrukturen	report.ncsc.admin.ch
EDÖB	Datenschutz, revDSG-Verstösse	edoeb.admin.ch
Kantonspolizei	Strafanzeige bei Cyberdelikten	Kantonale Polizeistellen
fedpol	Grenzüberschreitende Cyberkriminalität	fedpol.admin.ch
Switch-CERT	Hochschul- und Forschungsbereich	switch.ch/security

Trends und Ausblick für Cybersicherheit Schweiz 2026

Mehrere Entwicklungen werden die Schweizer Cybersicherheitslandschaft in den kommenden Monaten prägen.

Künstliche Intelligenz als Angriffswerkzeug und Verteidigung

KI-generierte Phishing-Mails sind kaum noch von echten Nachrichten zu unterscheiden. Deepfakes ermöglichen überzeugende CEO-Fraud-Anrufe. Gleichzeitig setzen Verteidiger KI ein, um Anomalien in Netzwerken schneller zu erkennen.

Zero Trust als neuer Standard

Das Zero-Trust-Modell – "never trust, always verify" – wird 2026 zur Grundlage moderner IT-Sicherheit. Statt eines Perimeterschutzes wird jeder Zugriff einzeln geprüft.

Post-Quanten-Kryptografie

Mit dem Fortschritt in der Quantencomputer-Entwicklung beginnen erste Schweizer Banken und Behörden, ihre Verschlüsselung auf quantensichere Algorithmen umzustellen.

Fachkräftemangel bleibt Herausforderung

In der Schweiz fehlen laut ICT-Berufsbildung über 40'000 IT-Fachkräfte – viele davon im Sicherheitsbereich. Managed Security Services (MSS) und Security Operations Center (SOC) als Dienstleistung gewinnen daher massiv an Bedeutung.

Konkrete Handlungsempfehlungen für 2026

Basierend auf den aktuellen Entwicklungen empfehlen wir folgende Sofortmassnahmen:

Für Geschäftsführer und IT-Verantwortliche

1. Führen Sie eine Cyber-Risikoanalyse gemäss IKT-Minimalstandard des Bundes durch.
2. Prüfen Sie, ob Ihr Unternehmen unter die BACS-Meldepflicht fällt.
3. Etablieren Sie einen Incident Response Plan und üben Sie ihn mindestens jährlich.
4. Investieren Sie in Awareness-Trainings – kalkulieren Sie mindestens CHF 100–200 pro Mitarbeitendem und Jahr.
5. Prüfen Sie eine Cyber-Versicherung als Ergänzung zu technischen Massnahmen.
6. Achten Sie bei der Nutzung von Marketing-Tools und URL-Shortenern auf Anbieter, die DSGVO- und revDSG-konform arbeiten. Für die sichere Verkürzung und das Tracking von Links bietet sich Lunyb als datenschutzfreundliche Alternative an.

Für Marketing- und Kommunikationsverantwortliche

Auch im Marketing spielt Sicherheit eine wachsende Rolle: Gefälschte Absenderadressen, kompromittierte Newsletter-Konten und manipulierte Links sind reale Bedrohungen. Achten Sie beim Versand von Kampagnen auf verifizierte Domains (SPF, DKIM, DMARC) und nutzen Sie gebrandete Kurzlinks, die Empfänger die Herkunft eines Links erkennen lassen.

Fazit: Cybersicherheit als Chefsache

Cybersicherheit in der Schweiz 2026 ist keine reine IT-Aufgabe mehr, sondern ein strategisches Führungsthema. Die Kombination aus verschärfter Gesetzgebung (revDSG, BACS-Meldepflicht), professionalisierten Angreifern und wachsender Digitalisierung erfordert einen ganzheitlichen Ansatz. Unternehmen und Privatpersonen, die jetzt in technische Schutzmassnahmen, klare Prozesse und Mitarbeitersensibilisierung investieren, sind für die Herausforderungen der kommenden Jahre gut gerüstet.

Häufig gestellte Fragen (FAQ)

Was ist das BACS und wie unterscheidet es sich vom NCSC?

Das Bundesamt für Cybersicherheit (BACS) ist seit dem 1. Januar 2024 die zentrale Bundesstelle für Cybersicherheit in der Schweiz. Es hat das Nationale Zentrum für Cybersicherheit (NCSC) abgelöst und dessen Aufgaben übernommen. Das BACS ist im VBS angesiedelt und koordiniert unter anderem die Meldepflicht für kritische Infrastrukturen.

Wer ist in der Schweiz meldepflichtig bei Cyberangriffen?

Seit dem 1. April 2025 sind Betreiber kritischer Infrastrukturen verpflichtet, schwerwiegende Cyberangriffe innerhalb von 24 Stunden dem BACS zu melden. Dazu gehören Energieversorger, Banken, Spitäler, Telekomanbieter, Verkehrsbetriebe und viele Verwaltungen. Zusätzlich gilt das revDSG mit Meldepflicht bei Datenpannen an den EDÖB.

Wie hoch sind die Bussen bei Verstössen gegen das revDSG?

Das revidierte Datenschutzgesetz sieht Bussen bis zu 250'000 Franken vor. Anders als in der EU-DSGVO richten sich diese in der Schweiz jedoch gegen die verantwortliche natürliche Person – also Geschäftsführer oder Datenschutzverantwortliche – und nicht gegen das Unternehmen selbst.

Welche Cybersicherheitsstandards gelten in der Schweiz?

Wichtige Standards sind der IKT-Minimalstandard des Bundes (basierend auf NIST), ISO/IEC 27001 für Informationssicherheits-Managementsysteme sowie branchenspezifische Vorgaben wie das FINMA-Rundschreiben 2023/1 für den Finanzsektor. Für kritische Infrastrukturen gelten zusätzliche Anforderungen des BACS.

Wo kann ich als Privatperson einen Cybervorfall melden?

Privatpersonen können Cybervorfälle über das Online-Formular auf report.ncsc.admin.ch beim BACS melden. Bei finanziellem Schaden empfiehlt sich zusätzlich eine Strafanzeige bei der Kantonspolizei. Bei Datenschutzverletzungen ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die richtige Anlaufstelle.