Was das revidierte Datenschutzgesetz (revDSG) für Einwohnerinnen und Einwohner regelt
Das totalrevidierte Bundesgesetz über den Datenschutz (revDSG) bringt das Schweizer Datenschutzrecht auf Augenhöhe mit der europäischen Datenschutz-Grundverordnung (DSGVO) und sichert damit den für den Wirtschafts- und Forschungsplatz unverzichtbaren Angemessenheitsbeschluss der Europäischen Union. Geschützt sind fortan ausschliesslich die Personendaten natürlicher Personen, wobei der Kreis der besonders schützenswerten Personendaten ausdrücklich um genetische Daten sowie biometrische Daten zur eindeutigen Identifikation (etwa Fingerabdruck, Gesichtserkennung oder Stimmprofil) erweitert wurde.
Unternehmen, Vereine und Bundesorgane unterliegen den verbindlichen Grundsätzen «Privacy by Design» (Datenschutz durch Technikgestaltung bereits bei der Systementwicklung) und «Privacy by Default» (datenschutzfreundliche Voreinstellungen ohne unnötige Datensammlung). Zudem gilt eine umfassende Informationspflicht bei jeder Beschaffung von Personendaten – einschliesslich der transparenten Angabe allfälliger Empfängerstaaten bei Datenbekanntgaben ins Ausland.
Einen markanten Schweizer Eigenweg geht das Gesetz bei den Sanktionen: Während die EU primär hohe Verwaltungsbussen gegen Unternehmen verhängt, sieht das revDSG bei vorsätzlicher Verletzung von Informations-, Auskunfts-, Sorgfalts- oder Schweigepflichten persönliche strafrechtliche Bussen von bis zu 250’000 CHF direkt gegen die verantwortlichen Leitungspersonen vor.
Die Aufsicht durch den EDÖB und Ihre Rechte auf Auskunft und Datenportabilität
Über die Einhaltung der Datenschutzvorschriften wacht der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) mit Sitz in Bern. Die Behörde verfügt über geschärfte Verwaltungsverfügungskompetenzen: Sie nimmt Pflicht-Meldungen über schwerwiegende Verletzungen der Datensicherheit (Data Breaches) entgegen, untersucht systematische Missstände von Amtes wegen und kann rechtsverbindlich anordnen, dass unzulässige Datenbearbeitungen angepasst, unterbrochen oder gelöscht werden.
Für Bürgerinnen und Bürger im Alltag ist das unentgeltliche Auskunftsrecht gemäss Artikel 25 revDSG das wirksamste Instrument. Jede Person kann von Banken, Krankenkassen, Wirtschaftsauskunfteien, Online-Händlern oder Arbeitgebern schriftlich Auskunft darüber verlangen, welche Daten über sie bearbeitet werden, zu welchem Bearbeitungszweck, wie lange diese aufbewahrt werden, woher sie stammen und wem sie offengelegt wurden. Die angefragte Stelle muss die Auskunft in der Regel innert 30 Tagen kostenlos erteilen.
Darüber hinaus gewährt das Gesetz ein Recht auf Berichtigung falscher Angaben, ein Recht auf Datenherausgabe und Datenübertragung (Portabilität) in einem gängigen elektronischen Format beim Anbieterwechsel sowie besondere Schutzrechte bei automatisierten Einzelentscheidungen: Fällt ein Algorithmus ohne menschliches Zutun einen Entscheid mit spürbarer Rechtsfolge (beispielsweise bei einer Kreditablehnung oder Versicherungsprüfung), muss die betroffene Person informiert werden und darf verlangen, dass eine natürliche Person den Entscheid überprüft.
Aktuelle Warnungen des BACS: Falsche Bankmitarbeiter, TWINT-Phishing, QR-Betrug und Spoofing
Das Bundesamt für Cybersicherheit (BACS, hervorgegangen aus dem Nationalen Zentrum für Cybersicherheit NCSC) warnt laufend vor professionell organisierten Betrugswellen, die gezielt auf das Schweizer Zahlungssystem zugeschnitten sind. Besonders verbreitet ist der falsche Bank- oder Techniksupport: Betrüger melden sich telefonisch oder per SMS im Namen bekannter Schweizer Finanzinstitute, behaupten eine angeblich verdächtige Überweisung zu blockieren und drängen das Opfer dazu, Fernwartungssoftware wie AnyDesk oder TeamViewer zu installieren oder betrügerische Push-Freigaben in der Sicherheits-App zu bestätigen.
Ebenso häufig tritt der Kleinanzeigen- und TWINT-Betrug auf Schweizer Verkaufsplattformen auf. Vermeintliche Käufer kontaktieren Verkäuferinnen per Messenger und senden einen Phishing-Link oder gefälschten QR-Code mit dem Vorwand, darüber den Kaufpreis zu empfangen. Tatsächlich greift die gefälschte Webseite E-Banking-Zugangsdaten ab, verknüpft ein neues TWINT-Konto auf dem Gerät der Täter oder löst statt einer Gutschrift eine Geldanforderung zulasten des Opfers aus. Eine dritte Masche betrifft manipulierte QR-Rechnungen (Quishing), bei denen Kriminelle im aufgedruckten Schweizer QR-Code eine fremde IBAN hinterlegen, während die sichtbare Textzeile auf dem Papier unverändert seriös erscheint.
Hochgefährlich bleibt schliesslich das Telefon-Spoofing durch «falsche Polizisten»: Mithilfe technischer Rufnummernmanipulation erscheint auf dem Telefondisplay die echte Nummer einer Kantonspolizei oder eine Variante des Notrufs 117. Unter massivem Zeitdruck erzählen die Täter von angeblichen Einbrüchen in der Nachbarschaft oder korrupten Bankangestellten, um vor allem ältere Menschen zur Abhebung und Übergabe von Bargeld, Gold oder Bankkarten an angebliche Zivilfahnder zu bewegen.
Phishing-resistente Zwei-Faktor-Authentifizierung (2FA), Passkeys und Notfallmassnahmen
Nach Einschätzung des BACS sowie der Sicherheitsfachstelle «eBanking – aber sicher!» lassen sich die meisten Kontoübernahmen durch konsequente, phishing-resistente Mehr-Faktor-Authentifizierung verhindern. Für E-Mail-Postfächer, behördliche Logins wie AGOV und SwissID, Vorsorgeportale und Cloud-Dienste sollten klassische SMS-Codes wann immer möglich durch kryptografische Passkeys, FIDO2-Sicherheitsschlüssel oder dedizierte Authenticator-Apps ersetzt werden – stets kombiniert mit einzigartigen Passwörtern aus einem Passwort-Manager.
Im Schweizer Zahlungsverkehr bieten optische Signaturverfahren wie PhotoTAN oder CrontoSign einen entscheidenden Sicherheitsanker, weil Empfänger-IBAN und Frankenbetrag direkt in die farbige Grafik einkodiert werden. Wer vor jedem Bestätigungsklick auf dem Zweitgerät prüft, ob Betrag und Zahlungsempfänger exakt mit der beabsichtigten Rechnung übereinstimmen, erkennt sowohl E-Banking-Trojaner als auch manipulierte QR-Rechnungen sofort.
Ist dennoch ein Missgeschick passiert – etwa nach Eingabe von Daten auf einer Phishing-Seite –, zählt jede Minute: Kontaktieren Sie umgehend über die offizielle Notfallnummer auf der Kartenrückseite Ihre Bank zur sofortigen Konto- und Kartensperrung, ändern Sie Passwörter von einem sauberen Gerät aus, melden Sie den Vorfall über das nationale Meldeformular des BACS (antiphishing.ch / report.ncsc.ch) und erstatten Sie umgehend Strafanzeige bei Ihrer zuständigen Kantonspolizei.
| Betrugsmasche / Rechtsanspruch | Typisches Warnsignal | Sicherheitsprüfung | Richtiges Vorgehen |
|---|---|---|---|
| TWINT- & Kleinanzeigen-Phishing | Käufer sendet Link oder QR-Code zum «Geldempfang» | Für TWINT-Empfang genügt Ihre Mobilnummer – niemals ein Link | Kontakt sofort abbrechen, keine Logins oder TAN-Codes eingeben |
| Manipulierte QR-Rechnung (Quishing) | Unerwartete E-Mail-Rechnung oder überklebter QR-Teil | IBAN & Empfängername im PhotoTAN-/App-Display abgleichen | Zahlung abbrechen und Rechnungssteller telefonisch rückbestätigen |
| Telefon-Spoofing (Falsche Polizei/Bank) | Aufforderung zu AnyDesk, Geheimhaltung oder Geldübergabe | Behörden und Banken fordern nie Fernzugriff, Codes oder Bargeld | Sofort auflegen und selbst aktiv 117 oder offizielle Banknummer wählen |
| Auskunftsrecht revDSG (Art. 25) | Unklare Datensammlung, Bonitäts- oder Profilbildung | Schriftliches Auskunfts- oder Herausgabebegehren stellen | Kostenlose Antwort innert 30 Tagen; bei Verstoss Meldung an EDÖB |
Digitale Souveränität in der Schweiz ruht auf zwei Säulen: Das revDSG gibt Ihnen kostenlose rechtliche Werkzeuge zur Kontrolle Ihrer Personendaten in die Hand, während Passkeys, der konsequente IBAN-Abgleich auf dem PhotoTAN-Bildschirm und gesundes Misstrauen bei unaufgeforderten Anrufen den wirksamsten Schutz gegen modernen Cyberbetrug bilden.