Leitfaden Sicherheit
Cyber-Notfallplan: Vorgehen bei einem Angriff auf das Family Office
Stand: · Leutrim Miftaraj, FLIORE · Redaktionsgrundsätze
Kurzantwort
Ein Cyber-Notfallplan legt vorab fest, wer bei einem Angriff entscheidet, welche Schritte in der ersten Stunde folgen, wie Banken, Familie und Behörden informiert werden und wie Systeme sicher wiederhergestellt werden. Er folgt den Phasen Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. Meldepflichten bei Datenschutzverletzungen bestehen nach dem Schweizer DSG und nach der DSGVO innert 72 Stunden.
Warum Family Offices ein Ziel sind
Family Offices verbinden grosse Vermögen, vertrauliche Informationen und kleine IT-Teams. Angreifer wissen das: Sie versuchen, Zahlungen umzuleiten, E-Mail-Konten zu übernehmen, Daten zu verschlüsseln oder vertrauliche Unterlagen zu erbeuten. Ein Angriff ist nicht vollständig vermeidbar – entscheidend ist, wie schnell und geordnet reagiert wird. Ohne Plan geht in der ersten Stunde wertvolle Zeit verloren, und Spuren werden verwischt.
Die Phasen eines Vorfalls
| Phase | Ziel | Typische Massnahmen |
|---|---|---|
| Vorbereitung | Handlungsfähig sein, bevor etwas passiert | Notfallplan, Kontaktliste, Backups, Übungen, Versicherung |
| Erkennung und Analyse | Vorfall bestätigen und Ausmass einschätzen | Hinweise sammeln, betroffene Systeme und Konten bestimmen |
| Eindämmung | Ausbreitung stoppen | Konten sperren, Geräte isolieren, Zahlungen stoppen |
| Beseitigung und Wiederherstellung | Angreifer entfernen, Betrieb sicher fortsetzen | Passwörter erneuern, Systeme aus sauberen Backups wiederherstellen |
| Nachbereitung | Lernen und verbessern | Ursachenanalyse, Massnahmenplan, Dokumentation |
Die erste Stunde
- Notfallverantwortliche informieren und Entscheidungsgewalt klären.
- Betroffene Konten sperren bzw. Passwörter ändern, betroffene Geräte vom Netz trennen – nicht ausschalten, um Spuren zu erhalten.
- Bei möglichem Zahlungsbetrug sofort alle Banken anrufen und Zahlungen stoppen oder zurückrufen lassen.
- IT-Dienstleister bzw. Spezialisten für Vorfallbehandlung beiziehen.
- Zeitlinie beginnen: was, wann, wer bemerkt, welche Massnahmen.
- Cyberversicherung informieren, falls vorhanden – viele Policen verlangen eine sofortige Meldung.
Meldepflichten
Bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko für die betroffenen Personen verlangt das Schweizer Datenschutzgesetz eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich (Art. 24 DSG). Nach der DSGVO ist eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde möglichst binnen 72 Stunden zu melden, sofern sie voraussichtlich zu einem Risiko führt (Art. 33), bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34). In der Schweiz gilt seit dem 1. April 2025 zudem eine Meldepflicht für Cyberangriffe an das Bundesamt für Cybersicherheit – allerdings nur für Betreiber kritischer Infrastrukturen, zu denen Family Offices in der Regel nicht gehören. Eine Strafanzeige bei der Polizei ist bei Betrug und Erpressung angezeigt.
Praxisbeispiel (vereinfacht)
Eine Mitarbeiterin bemerkt, dass in ihrem Postfach Weiterleitungsregeln eingerichtet wurden, die sie nicht kennt. Nach dem Notfallplan informiert sie sofort die Leitung; das Konto wird gesperrt, der IT-Dienstleister prüft die Anmeldungen und findet einen Zugriff aus dem Ausland. Weil der Angreifer Rechnungen mit Bankverbindungen sehen konnte, werden alle Banken gewarnt und die Zahlungen der letzten Woche überprüft – eine davon an eine geänderte IBAN kann noch gestoppt werden. Da Kundendaten der Familie einsehbar waren, prüft das Family Office die Meldepflicht und meldet den Vorfall an die zuständige Datenschutzbehörde.
Vorbereitung, die sich auszahlt
- Zwei-Faktor-Anmeldung für alle Konten, insbesondere E-Mail und Banking.
- Backups nach der 3-2-1-Regel: drei Kopien, zwei Medien, eine ausser Haus und vom Netz getrennt; Wiederherstellung regelmässig testen.
- Kontaktliste offline verfügbar: Banken, IT, Versicherung, Anwalt, Datenschutzbehörde, Polizei.
- Jährliche Übung am Tisch mit einem realistischen Szenario.
- Klare Regel: Zahlungen und Kontoänderungen nie allein auf Anweisung per E-Mail ausführen.
Kommunikation im Ernstfall
Neben der technischen Bewältigung entscheidet die Kommunikation über den Schaden. Die Familie muss rasch und ehrlich informiert werden, ohne Spekulationen; Banken brauchen klare Anweisungen, welche Zahlungen gestoppt oder besonders geprüft werden sollen; Mitarbeitende brauchen eine Regel, was sie Aussenstehenden sagen dürfen. Für Anfragen von Medien oder Geschäftspartnern ist eine einzige Person zuständig.
Die Kanäle müssen sicher sein: Sind E-Mail-Konten kompromittiert, dürfen Anweisungen nicht über diese Konten laufen – vorab vereinbarte Telefonnummern oder ein separater Kanal sind nötig. Nach dem Vorfall gehört ein kurzer Bericht an Familie und Gremien dazu: was geschah, welche Daten betroffen waren, welche Meldungen erfolgten und welche Massnahmen eine Wiederholung verhindern. Offenheit stärkt das Vertrauen mehr als jede beschwichtigende Formulierung.
Umsetzung in FLIORE
FLIORE unterstützt die Vorbereitung mit organisationsweit erzwingbarer Zwei-Faktor-Anmeldung, rollenbasierten Rechten, verschlüsselter Dokumentenablage, Vier-Augen-Freigaben für Zahlungen und einem Prüfprotokoll, das im Ernstfall zeigt, wer wann auf welche Daten zugegriffen hat.
Auf einen Blick
| Phasen | Vorbereitung, Erkennung, Eindämmung, Beseitigung/Wiederherstellung, Nachbereitung |
|---|---|
| Meldung Schweiz | EDÖB so rasch als möglich bei voraussichtlich hohem Risiko (Art. 24 DSG) |
| Meldung EU | Aufsichtsbehörde möglichst binnen 72 Stunden (Art. 33 DSGVO) |
Häufige Fragen
Muss jeder Cybervorfall gemeldet werden?
Nein. Meldepflichtig sind Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko (Schweiz) bzw. mit Risiko für Betroffene (EU). Die Prüfung und das Ergebnis sollten dokumentiert werden.
Sollen betroffene Geräte ausgeschaltet werden?
Besser vom Netz trennen und eingeschaltet lassen, damit Spuren für die Analyse erhalten bleiben – sofern Fachleute nichts anderes empfehlen.
Lösegeld zahlen?
Behörden raten davon ab, weil es weitere Angriffe fördert und keine Garantie bietet. Entscheidend sind saubere, getrennte Backups.
Wer sollte im Notfallteam sein?
Leitung des Family Office, IT-Verantwortliche oder Dienstleister, Compliance bzw. Datenschutz und eine Person für die Kommunikation mit Familie und Banken.
Wie oft sollte geübt werden?
Mindestens jährlich am Tisch mit einem realistischen Szenario, zusätzlich nach grösseren Änderungen der IT.
Hilft eine Cyberversicherung?
Sie kann Kosten für Spezialisten, Wiederherstellung und Haftung abdecken. Wichtig sind die Bedingungen, etwa Meldefristen und Mindestanforderungen an die Sicherheit.
Wie informiert man die Familie?
Rasch, sachlich und über einen sicheren Kanal: was bekannt ist, was unternommen wird und wann die nächste Information folgt. Spekulationen über Ursachen oder Täter sollten vermieden werden, bis die Analyse vorliegt.
Welche Unterlagen sollten offline verfügbar sein?
Die Kontaktliste für den Notfall, der Notfallplan selbst, Zugangsdaten für die Wiederherstellung in einem gesicherten Tresor und die wichtigsten Vertragsnummern, etwa der Cyberversicherung.
Welche Rolle spielt der IT-Dienstleister?
Er ist meist die erste technische Anlaufstelle. Vertraglich sollte geregelt sein, wie schnell er im Notfall reagiert, wer Zugriff auf Protokolle hat und ob er Spezialisten für die Vorfallbehandlung beizieht. Diese Fragen gehören vor den Ernstfall.
Quellen
- NIST SP 800-61 – Computer Security Incident Handling Guide
- Bundesamt für Cybersicherheit (BACS)
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
- Bundesgesetz über den Datenschutz (DSG, SR 235.1) – Fedlex
- Datenschutz-Grundverordnung (EU) 2016/679 – EUR-Lex
Diese Seite bietet Orientierung und ersetzt keine Rechts- oder Steuerberatung. Massgebend sind die zitierten Rechtsquellen in ihrer jeweils geltenden Fassung.
Weiterlesen
Mehr zu Betrieb, Sicherheit & Technologie
FLIORE in Ihrem Family Office
Sehen Sie Strukturen, Compliance und konsolidiertes Vermögen mit Ihren eigenen Fragestellungen – in einer persönlichen Demo.