Eine Cybersecurity-Firma in der Schweiz gründen: Penetrationstests, Meldepflicht für Cyberangriffe, Datenschutz und Exportkontrolle

Cybersecurity-Firma gründen: keine Bewilligung, freiwillige Abschlüsse

Kein Bundesgesetz unterstellt den Verkauf von Cybersicherheitsleistungen einer Bewilligung, einer Zulassung oder einem Registereintrag. Das Informationssicherheitsgesetz (ISG) regelt die Meldung von Cyberangriffen und die Unterstützung durch das Bundesamt für Cybersicherheit (BACS), nicht den Zugang zum Beruf.

Abschlüsse helfen beim Verkauf, nicht bei der Gründung. Den eidgenössischen Fachausweis als Cyber Security Specialist erwerben laut orientation.ch Inhaber eines EFZ in Informatik oder Kommunikation mit mindestens zwei Jahren Praxis in Informationssicherheit oder Cybersicherheit. Eine ISO/IEC-27001-Zertifizierung Ihrer Firma ist ebenso freiwillig.

Bewachung, Personenschutz und Werttransporte sind ein anderes Geschäft. Das Genfer Konkordat über die Sicherheitsunternehmen (CES) erfasst diese physischen Tätigkeiten, auch mit Alarmzentralen, und erwähnt die Informatik nicht. Gehören Objektschutz oder eine Alarmzentrale zu Ihrem Angebot, lesen Sie unseren Beitrag Sicherheitsfirma gründen in der Schweiz. Ob eine kantonale Regel einen reinen IT-SOC erfasst, sagt der Genfer Text nicht; fragen Sie beim Kanton Ihres Sitzes nach.

Penetrationstests und Strafgesetzbuch: das Wort «unbefugterweise»

Das Strafgesetzbuch kennt keinen Pentest, wohl aber das unbefugte Eindringen: «Wer auf dem Wege von Datenübertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt, wird, auf Antrag, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft» (Art. 143bis Abs. 1 StGB). Den Test vom Delikt trennt die Befugnis des Systeminhabers.

Art. 14 StGB zieht daraus die Folge: «Wer handelt, wie es das Gesetz gebietet oder erlaubt, verhält sich rechtmässig, auch wenn die Tat nach diesem oder einem andern Gesetz mit Strafe bedroht ist.» Eine gesetzliche Vorlage für die Testfreigabe gibt es nicht. Den Umfang der Erlaubnis schreiben Sie und Ihr Kunde selbst fest: Systeme, Adressen, Zeitfenster, zugelassene Techniken, Notfallkontakte.

Art. 143bis StGB schützt ein «fremdes» System. Läuft die Anwendung Ihres Kunden bei einem Hoster oder in einer Cloud, deckt seine Zustimmung die Infrastruktur dieses Dritten nicht unbedingt ab. Trennen Sie in der Freigabe, was dem Kunden gehört und was er nur mietet, und holen Sie für den zweiten Teil die Zustimmung des Anbieters ein.

Werkzeuge und Passwörter: Verfolgung von Amtes wegen

Die zweite Strafnorm betrifft Ihre Werkzeuge. Nach Art. 143bis Abs. 2 StGB wird bestraft, wer «Passwörter, Programme oder andere Daten, von denen er weiss oder annehmen muss, dass sie zur Begehung einer strafbaren Handlung gemäss Absatz 1 verwendet werden sollen, in Verkehr bringt oder zugänglich macht». Der Absatz enthält kein «auf Antrag»: Die Staatsanwaltschaft verfolgt von Amtes wegen, auch wenn sich niemand beschwert.

Der Besitz offensiver Werkzeuge für erlaubte Tests ist damit nicht als solcher erfasst, ihre Weitergabe an beliebige Personen kann es sein. Art. 144bis Ziff. 2 StGB folgt derselben Logik für Programme zur Datenbeschädigung und sieht bei gewerbsmässigem Handeln sechs Monate bis zehn Jahre vor. Regeln Sie schriftlich, wer auf interne Werkzeuge zugreift und wie erbeutete Zugangsdaten nach dem Auftrag vernichtet werden.

SOC und Meldepflicht für Cyberangriffe an das BACS

Seit dem 1. April 2025 müssen kritische Infrastrukturen Cyberangriffe dem BACS melden, und seit dem 1. Oktober 2025 sind die Sanktionen in Kraft. «Die Meldung muss innert 24 Stunden nach der Entdeckung des Cyberangriffs erfolgen» (Art. 74e Abs. 1 ISG). Laut Medienmitteilung des Bundes vom 29. September 2025 gingen in sechs Monaten 164 Meldungen ein.

Ihre SOC-Kunden stehen häufig auf der Liste von Art. 74b ISG: Hochschulen, Behörden, Energieversorger, Spitäler der kantonalen Spitalliste, Bahnen, Fernmeldedienste und, für Zürich und Zug besonders wichtig, «Unternehmen, die dem Bankengesetz vom 8. November 1934, dem Versicherungsaufsichtsgesetz vom 17. Dezember 2004 oder dem Finanzmarktinfrastrukturgesetz vom 19. Juni 2015 unterstehen» (Bst. e). Die Pflicht gilt auch für Angriffe, «die sich in der Schweiz auswirken», wenn die Systeme im Ausland stehen (Abs. 3).

Gemeldet wird nicht jeder Vorfall. Art. 74d ISG nennt vier Fälle: Der Angriff gefährdet die Funktionsfähigkeit der Infrastruktur, führt zu Manipulation oder Abfluss von Informationen, ist mit Erpressung, Drohung oder Nötigung verbunden oder blieb längere Zeit unentdeckt. Diese Dauer beziffert die Cybersicherheitsverordnung (CSV): mehr als 90 Tage (Art. 14 Abs. 3 CSV). Fehlen nach 24 Stunden Angaben, gewährt das BACS 14 Tage zur Ergänzung (Art. 16 Abs. 1 CSV).

Für einen SOC steckt in Art. 17 Abs. 2 CSV ein Geschäftsfeld: «Eine oder mehrere meldepflichtige Behörden oder Organisationen können beschliessen, den Meldeprozess einzeln oder gemeinsam an eine Drittorganisation auszulagern.» Übernehmen Sie diese Aufgabe, muss der Vertrag sagen, wer erkennt, wer den Angriff nach Art. 74d ISG einordnet und wer innert der Frist meldet.

Auch Ihre eigene Firma kann meldepflichtig sein. Art. 74b Abs. 1 Bst. t ISG erfasst «Anbieterinnen und Betreiberinnen von Cloudcomputing, Suchmaschinen, digitalen Sicherheits- und Vertrauensdiensten sowie Rechenzentren, sofern sie einen Sitz in der Schweiz haben». Ausgenommen sind nach Art. 12 Abs. 1 Bst. e CSV nur jene, die ihre Leistungen weder teilweise noch vollumfänglich gegen Entgelt für Dritte erbringen. Ob Sie unterstellt sind, beantwortet das BACS und erlässt auf Antrag eine Verfügung (Art. 74a Abs. 2 ISG).

Ihre Firma als Auftragsbearbeiterin nach DSG

Ein SOC, der Logdateien auswertet, oder ein Incident-Response-Team, das kompromittierte Postfächer untersucht, bearbeitet Personendaten für den Kunden. Das Datenschutzgesetz nennt eine solche Firma Auftragsbearbeiterin: «private Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet» (Art. 5 Bst. k DSG).

Daraus folgen vier Pflichten, die in Ihren Vertrag gehören:

• Vertragliche Grundlage: Die Bearbeitung kann «vertraglich oder durch die Gesetzgebung» übertragen werden (Art. 9 Abs. 1 DSG).
• Datensicherheit: Verantwortlicher und Auftragsbearbeiter gewährleisten «durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit» (Art. 8 Abs. 1 DSG).
• Keine Unterauftragnehmer ohne Zustimmung: Sie dürfen die Bearbeitung «nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen» (Art. 9 Abs. 3 DSG), also auch keinem freien Analysten im Ausland.
• Meldung von Verletzungen: «Der Auftragsbearbeiter meldet dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit» (Art. 24 Abs. 3 DSG).

Eine Stundenzahl nennt das DSG nicht; die 72 Stunden, die viele Gründer aus Deutschland im Kopf haben, stammen aus der europäischen Datenschutz-Grundverordnung. Ihre Kunden bestehen aus eigenem Interesse auf dem Vertrag: Art. 61 Bst. b DSG droht eine Busse bis zu 250 000 Franken an, wenn jemand vorsätzlich die Bearbeitung einem Auftragsbearbeiter übergibt, ohne dass die Voraussetzungen von Art. 9 Abs. 1 und 2 erfüllt sind.

Exportkontrolle: Güter, nicht Dienstleistungen

Das Güterkontrollgesetz (GKG) erfasst «Güter: Waren, Technologien und Software» (Art. 3 Bst. a GKG). Ein Penetrationstest für einen Kunden in Deutschland ist keine dieser Kategorien, und keine Position der Kontrollliste nennt ihn. Für die Dienstleistung selbst brauchen Sie keine Bewilligung des SECO.

Anders bei der Entwicklung eigener Werkzeuge. Anhang 2 der Güterkontrollverordnung (GKV) erfasst Systeme und Software, die speziell für die Erzeugung, die Steuerung oder die Auslieferung von Intrusionssoftware entwickelt oder geändert wurden (Positionen 4A005 und 4D004), sowie die Technologie für deren Entwicklung (4E001.c). Wer solche Güter ausführen will, «braucht eine Bewilligung des Staatssekretariats für Wirtschaft (SECO)» (Art. 3 Abs. 1 GKV), und eine juristische Person erbringt den «Nachweis einer zuverlässigen firmeninternen Kontrolle der Einhaltung der Exportkontrollvorschriften» (Art. 5 Abs. 2 GKV). Die Verordnung über Güter zur Internet- und Mobilfunküberwachung (SR 946.202.3) verlangt für diese Positionen zusätzlich eine Einzelbewilligung.

Zwei Ausnahmen schützen das Tagesgeschäft: Die Offenlegung von Schwachstellen und die Reaktion auf Cybersicherheitsvorfälle sind von 4E001.a und c ausgenommen, und öffentlich frei verfügbare Software fällt nicht unter die Kontrolle. Vorsicht beim internen Austausch: Wer eine eigene Plattform an einen Mitarbeiter im Ausland schickt, gibt Software weiter. Strafbar ist, wer «ohne entsprechende Bewilligung Technologie oder Software an Empfänger im Ausland weitergibt» (Art. 14 Abs. 1 Bst. b GKG).

Aufträge des Bundes: das Betriebssicherheitsverfahren

Soll Ihre Firma für eine Bundesstelle Systeme der Sicherheitsstufe «hoher Schutz» oder «sehr hoher Schutz» betreiben oder überprüfen, übt sie eine sicherheitsempfindliche Tätigkeit aus (Art. 5 Bst. b Ziff. 2 ISG). Für solche Aufträge sieht das ISG das Betriebssicherheitsverfahren vor, das «zur Gewährleistung der Informationssicherheit bei der Erfüllung von öffentlichen Aufträgen durch Unternehmen» dient (Art. 49 ISG).

«Das Verfahren darf nur mit Einwilligung des Betriebs durchgeführt werden» (Art. 50 Abs. 2 ISG). Die Fachstelle legt die Sicherheitsanforderungen mit der Auftraggeberin fest (Art. 54 ISG). Wer selbst Software herstellt, sollte zudem Art. 44 Abs. 1 Bst. fbis BöB kennen: Ausgeschlossen werden kann, wer eine Schwachstelle in seiner Hard- oder Software nicht innert der Frist behebt, die das Bundesamt für Cybersicherheit gesetzt hat.

GmbH oder AG, Vertretung und Mehrwertsteuer

Als Bürger der EU oder der EFTA, der sich zur selbstständigen Erwerbstätigkeit niederlässt, «erhält» der Gründer «eine Aufenthaltserlaubnis mit einer Gültigkeitsdauer von mindestens fünf Jahren, gerechnet ab dem Zeitpunkt der Erteilung, sofern er den zuständigen nationalen Behörden nachweist, dass er zu diesem Zweck niedergelassen ist oder sich niederlassen will» (Anhang I Art. 12 Abs. 1 FZA). Für Drittstaatsangehörige verlangt Art. 19 AIG unter anderem, dass die Zulassung «dem gesamtwirtschaftlichen Interesse entspricht» und «eine ausreichende, eigenständige Existenzgrundlage vorhanden ist».

Unabhängig vom Pass muss Ihre Gesellschaft durch eine Person mit Wohnsitz in der Schweiz vertreten werden können. Bei der GmbH «muss» diese Person «Geschäftsführer oder Direktor sein» (Art. 814 Abs. 3 OR), bei der AG «Mitglied des Verwaltungsrates oder Direktor» (Art. 718 Abs. 4 OR). Wohnen Sie anfangs noch in München oder Wien, brauchen Sie dafür eine weitere Person.

Ein Team aus zwei oder drei Auditoren startet meist als GmbH mit 20 000 Franken Stammkapital, das bei der Gründung vollständig einbezahlt wird (Art. 773 Abs. 1 und 777c Abs. 1 OR). Die AG mit 100 000 Franken Aktienkapital, wovon mindestens 50 000 Franken einbezahlt (Art. 621 Abs. 1 und 632 OR), passt, wenn Investoren einsteigen sollen. Den Weg bis zum Handelsregister beschreibt unsere Seite Firmengründung.

Ihre Verträge sind in der Regel Aufträge: Der Beauftragte «haftet dem Auftraggeber für getreue und sorgfältige Ausführung des ihm übertragenen Geschäftes» (Art. 398 Abs. 2 OR). Eine Haftungsbeschränkung wirkt nur für leichtes Verschulden; eine Abrede, «wonach die Haftung für rechtswidrige Absicht oder grobe Fahrlässigkeit ausgeschlossen sein würde, ist nichtig» (Art. 100 Abs. 1 OR). Mehrwertsteuerpflichtig werden Sie ab 100 000 Franken Umsatz im In- und Ausland (Art. 10 Abs. 2 Bst. a MWSTG), zum Normalsatz von 8,1 Prozent. Ein Audit für ein Unternehmen im Ausland gilt dort als erbracht, wo der Empfänger den Sitz seiner wirtschaftlichen Tätigkeit hat (Art. 8 Abs. 1 MWSTG).

Ein Fall: zwei Münchner Gründer in Zürich

Zwei Sicherheitsberater aus München gründen in Zürich eine GmbH mit 20 000 Franken Stammkapital für Penetrationstests und einen SOC. Einer zieht nach Zürich und wird Geschäftsführer mit Wohnsitz in der Schweiz; als deutscher Staatsangehöriger erhält er die Aufenthaltserlaubnis nach dem FZA. Der zweite bleibt vorerst in München.

Jeder Test beginnt mit einer unterschriebenen Freigabe; liegt die Webanwendung eines Kunden bei einem Hoster, unterschreibt auch dieser. Der erste SOC-Vertrag kommt von einer Zürcher Privatbank, die als Bank meldepflichtig ist: Der Auftragsbearbeitungsvertrag schliesst Unterauftragnehmer ohne Zustimmung aus, und ein Anhang überträgt der GmbH die Meldung an das BACS, innert 24 Stunden und danach 14 Tage für die Ergänzung. Bevor der Münchner Partner die selbst entwickelte Plattform zur Auslieferung von Testpayloads erhält, lässt die GmbH ihre Einreihung nach 4A005 und 4D004 prüfen und beantragt die Bewilligung beim SECO, weil die Plattform darunter fällt.

Fehler, die Ihre Firma angreifbar machen

• Auf mündliche Zusage testen und später beweisen müssen, dass der Zugriff nicht «unbefugterweise» erfolgte.
• Server eines Hosters in die Freigabe aufnehmen, ohne dessen Zustimmung.
• Werkzeuge oder erbeutete Zugangsdaten ausserhalb des berechtigten Teams kursieren lassen.
• Die Meldung eines Kunden übernehmen, ohne im Vertrag Einordnung und Übermittlung zu regeln.
• Die eigene Plattform ins Ausland schicken, bevor ihre Einreihung geklärt ist.

FAQ: Cybersecurity-Firma gründen in der Schweiz

Braucht man eine Bewilligung, um eine Cybersecurity-Firma in der Schweiz zu gründen?

Nein. Kein Bundesgesetz macht den Verkauf von Cybersicherheitsleistungen bewilligungspflichtig, und das Handelsregister verlangt kein Diplom. Der eidgenössische Fachausweis als Cyber Security Specialist und die Zertifizierung nach ISO/IEC 27001 sind freiwillig. Bewachung und Alarmzentralen folgen eigenen Regeln.

Ist ein Penetrationstest in der Schweiz legal?

Ja, wenn der Inhaber des Systems ihn erlaubt. Art. 143bis Abs. 1 StGB bestraft nur das unbefugte Eindringen, und nach Art. 14 StGB handelt rechtmässig, wer tut, was das Gesetz erlaubt. Die Zustimmung des Kunden deckt die Systeme eines Hosters oder Cloud-Anbieters nicht automatisch ab.

Innert welcher Frist muss ein Cyberangriff gemeldet werden?

Innert 24 Stunden nach der Entdeckung, für die kritischen Infrastrukturen nach Art. 74b ISG und seit dem 1. April 2025. Fehlen Angaben, gewährt das BACS 14 Tage zur Ergänzung. Die meldepflichtige Organisation kann den Meldeprozess an eine Drittorganisation auslagern, etwa an ihren SOC.

Muss eine Cybersecurity-Firma eigene Angriffe melden?

Möglicherweise. Das ISG erfasst Anbieterinnen digitaler Sicherheitsdienste mit Sitz in der Schweiz, und die CSV nimmt nur jene aus, die ihre Leistungen nicht gegen Entgelt für Dritte erbringen. Das BACS gibt Auskunft und erlässt auf Antrag eine Verfügung über die Unterstellung.

Ist ein SOC Auftragsbearbeiter im Sinne des DSG?

Ja, sobald er Personendaten für seinen Kunden bearbeitet. Er braucht einen Vertrag, gewährleistet eine dem Risiko angemessene Datensicherheit, zieht Dritte nur mit vorgängiger Genehmigung bei und meldet Verletzungen der Datensicherheit so rasch als möglich. Eine Frist von 72 Stunden kennt das DSG nicht.

Braucht man eine SECO-Bewilligung für Pentests im Ausland?

Nicht für die Dienstleistung selbst. Bewilligungspflichtig ist die Ausfuhr oder Weitergabe von Systemen, Software und Technologie zur Erzeugung oder Auslieferung von Intrusionssoftware (Positionen 4A005, 4D004 und 4E001.c, Anhang 2 GKV). Offenlegung von Schwachstellen und Reaktion auf Vorfälle sind von 4E001.a und c ausgenommen.

Quellen

• Schweizerisches Strafgesetzbuch (StGB), SR 311.0, Art. 14, 143bis, 144bis und 179novies
• Informationssicherheitsgesetz (ISG), SR 128, Art. 5, 49 bis 56 und 74a bis 74h
• Cybersicherheitsverordnung (CSV), SR 128.51, Art. 12, 14, 16 und 17
• Bundesamt für Cybersicherheit (BACS)
• Datenschutzgesetz (DSG), SR 235.1, Art. 5, 8, 9, 24 und 61
• Güterkontrollgesetz (GKG), SR 946.202, Art. 3 und 14
• Güterkontrollverordnung (GKV), SR 946.202.1, Art. 3 und 5, Anhang 2
• Verordnung über Güter zur Internet- und Mobilfunküberwachung, SR 946.202.3
• Bundesgesetz über das öffentliche Beschaffungswesen (BöB), SR 172.056.1, Art. 44
• Obligationenrecht (OR), SR 220
• Mehrwertsteuergesetz (MWSTG), SR 641.20, Art. 8 und 10
• Freizügigkeitsabkommen (FZA), SR 0.142.112.681, Anhang I
• Ausländer- und Integrationsgesetz (AIG), SR 142.20, Art. 19
• orientation.ch, Cyber Security Specialist BF (französisch)