{"id":237621,"date":"2026-11-04T09:00:00","date_gmt":"2026-11-04T08:00:00","guid":{"rendered":"https:\/\/www.rister.ch\/?p=237621"},"modified":"2026-11-04T09:01:13","modified_gmt":"2026-11-04T08:01:13","slug":"cybersecurity-firma-gruenden-schweiz","status":"publish","type":"post","link":"https:\/\/www.rister.ch\/de\/post\/cybersecurity-firma-gruenden-schweiz\/","title":{"rendered":"Eine Cybersecurity-Firma in der Schweiz gr\u00fcnden: Penetrationstests, Meldepflicht f\u00fcr Cyberangriffe, Datenschutz und Exportkontrolle"},"content":{"rendered":"
\n

Wer in der Schweiz eine Cybersecurity-Firma gr\u00fcnden will, braucht daf\u00fcr keine Bewilligung: Weder das Strafgesetzbuch noch das Informationssicherheitsgesetz oder das Datenschutzgesetz machen Penetrationstests, einen SOC oder die Bew\u00e4ltigung von Vorf\u00e4llen von einer Zulassung abh\u00e4ngig. Eine GmbH oder AG im Handelsregister gen\u00fcgt. Was Ihre Firma sch\u00fctzt, ist die schriftliche Erlaubnis jedes Kunden vor dem ersten Test. Was sie einholt, ist das Informationssicherheitsgesetz, das kritische Infrastrukturen seit dem 1. April 2025 verpflichtet, Cyberangriffe innert 24 Stunden zu melden, und diese Infrastrukturen sind Ihre Kunden.<\/p>\n<\/div>\n

\n

Inhalt<\/h3>\n
    \n
  1. Keine Bewilligung, freiwillige Abschl\u00fcsse<\/a><\/li>\n
  2. Penetrationstests und Strafgesetzbuch<\/a><\/li>\n
  3. Werkzeuge und Passw\u00f6rter: Verfolgung von Amtes wegen<\/a><\/li>\n
  4. SOC und Meldepflicht f\u00fcr Cyberangriffe<\/a><\/li>\n
  5. Ihre Firma als Auftragsbearbeiterin nach DSG<\/a><\/li>\n
  6. Exportkontrolle: G\u00fcter, nicht Dienstleistungen<\/a><\/li>\n
  7. Auftr\u00e4ge des Bundes: das Betriebssicherheitsverfahren<\/a><\/li>\n
  8. GmbH oder AG, Vertretung und Mehrwertsteuer<\/a><\/li>\n
  9. Fehler, die Ihre Firma angreifbar machen<\/a><\/li>\n
  10. FAQ<\/a><\/li>\n<\/ol>\n<\/div>\n

    Cybersecurity-Firma gr\u00fcnden: keine Bewilligung, freiwillige Abschl\u00fcsse<\/h2>\n

    Kein Bundesgesetz unterstellt den Verkauf von Cybersicherheitsleistungen einer Bewilligung, einer Zulassung oder einem Registereintrag. Das Informationssicherheitsgesetz (ISG) regelt die Meldung von Cyberangriffen und die Unterst\u00fctzung durch das Bundesamt f\u00fcr Cybersicherheit (BACS), nicht den Zugang zum Beruf.<\/p>\n

    Abschl\u00fcsse helfen beim Verkauf, nicht bei der Gr\u00fcndung. Den eidgen\u00f6ssischen Fachausweis als Cyber Security Specialist erwerben laut orientation.ch Inhaber eines EFZ in Informatik oder Kommunikation mit mindestens zwei Jahren Praxis in Informationssicherheit oder Cybersicherheit. Eine ISO\/IEC-27001-Zertifizierung Ihrer Firma ist ebenso freiwillig.<\/p>\n

    Bewachung, Personenschutz und Werttransporte sind ein anderes Gesch\u00e4ft. Das Genfer Konkordat \u00fcber die Sicherheitsunternehmen (CES) erfasst diese physischen T\u00e4tigkeiten, auch mit Alarmzentralen, und erw\u00e4hnt die Informatik nicht. Geh\u00f6ren Objektschutz oder eine Alarmzentrale zu Ihrem Angebot, lesen Sie unseren Beitrag Sicherheitsfirma gr\u00fcnden in der Schweiz<\/a>. Ob eine kantonale Regel einen reinen IT-SOC erfasst, sagt der Genfer Text nicht; fragen Sie beim Kanton Ihres Sitzes nach.<\/p>\n

    Penetrationstests und Strafgesetzbuch: das Wort \u00abunbefugterweise\u00bb<\/h2>\n

    Das Strafgesetzbuch kennt keinen Pentest, wohl aber das unbefugte Eindringen: \u00abWer auf dem Wege von Daten\u00fcbertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt, wird, auf Antrag, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft\u00bb (Art. 143bis Abs. 1 StGB). Den Test vom Delikt trennt die Befugnis des Systeminhabers.<\/p>\n

    Art. 14 StGB zieht daraus die Folge: \u00abWer handelt, wie es das Gesetz gebietet oder erlaubt, verh\u00e4lt sich rechtm\u00e4ssig, auch wenn die Tat nach diesem oder einem andern Gesetz mit Strafe bedroht ist.\u00bb Eine gesetzliche Vorlage f\u00fcr die Testfreigabe gibt es nicht. Den Umfang der Erlaubnis schreiben Sie und Ihr Kunde selbst fest: Systeme, Adressen, Zeitfenster, zugelassene Techniken, Notfallkontakte.<\/p>\n

    \n\n\n\n\n\n\n\n
    Tatbestand im StGB<\/th>\nErfasste Handlung<\/th>\nTypisches Risiko im Auftrag<\/th>\n<\/tr>\n<\/thead>\n
    Unbefugtes Eindringen, Art. 143bis Abs. 1 (auf Antrag)<\/td>\nEindringen in ein fremdes, besonders gesichertes System ohne Befugnis<\/td>\nEin Server, der nicht in der Freigabe steht<\/td>\n<\/tr>\n
    Datenbesch\u00e4digung, Art. 144bis Ziff. 1 (auf Antrag; bei grossem Schaden von Amtes wegen)<\/td>\nDaten unbefugt ver\u00e4ndern, l\u00f6schen oder unbrauchbar machen<\/td>\nEin zerst\u00f6render Test, den der Vertrag nicht vorsieht<\/td>\n<\/tr>\n
    Unbefugtes Beschaffen besonders sch\u00fctzenswerter Personendaten, Art. 179novies (auf Antrag)<\/td>\nBeschaffen solcher Daten, die nicht f\u00fcr jedermann zug\u00e4nglich sind<\/td>\nPatientendaten, die als Beweis in den Bericht kopiert werden<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Quelle: Schweizerisches Strafgesetzbuch (StGB), SR 311.0, Fassung vom 1. Oktober 2026.<\/p>\n<\/div>\n

    Art. 143bis StGB sch\u00fctzt ein \u00abfremdes\u00bb System. L\u00e4uft die Anwendung Ihres Kunden bei einem Hoster oder in einer Cloud, deckt seine Zustimmung die Infrastruktur dieses Dritten nicht unbedingt ab. Trennen Sie in der Freigabe, was dem Kunden geh\u00f6rt und was er nur mietet, und holen Sie f\u00fcr den zweiten Teil die Zustimmung des Anbieters ein.<\/p>\n

    Werkzeuge und Passw\u00f6rter: Verfolgung von Amtes wegen<\/h2>\n

    Die zweite Strafnorm betrifft Ihre Werkzeuge. Nach Art. 143bis Abs. 2 StGB wird bestraft, wer \u00abPassw\u00f6rter, Programme oder andere Daten, von denen er weiss oder annehmen muss, dass sie zur Begehung einer strafbaren Handlung gem\u00e4ss Absatz 1 verwendet werden sollen, in Verkehr bringt oder zug\u00e4nglich macht\u00bb. Der Absatz enth\u00e4lt kein \u00abauf Antrag\u00bb: Die Staatsanwaltschaft verfolgt von Amtes wegen, auch wenn sich niemand beschwert.<\/p>\n

    Der Besitz offensiver Werkzeuge f\u00fcr erlaubte Tests ist damit nicht als solcher erfasst, ihre Weitergabe an beliebige Personen kann es sein. Art. 144bis Ziff. 2 StGB folgt derselben Logik f\u00fcr Programme zur Datenbesch\u00e4digung und sieht bei gewerbsm\u00e4ssigem Handeln sechs Monate bis zehn Jahre vor. Regeln Sie schriftlich, wer auf interne Werkzeuge zugreift und wie erbeutete Zugangsdaten nach dem Auftrag vernichtet werden.<\/p>\n

    SOC und Meldepflicht f\u00fcr Cyberangriffe an das BACS<\/h2>\n

    Seit dem 1. April 2025 m\u00fcssen kritische Infrastrukturen Cyberangriffe dem BACS melden, und seit dem 1. Oktober 2025 sind die Sanktionen in Kraft. \u00abDie Meldung muss innert 24 Stunden nach der Entdeckung des Cyberangriffs erfolgen\u00bb (Art. 74e Abs. 1 ISG). Laut Medienmitteilung des Bundes vom 29. September 2025 gingen in sechs Monaten 164 Meldungen ein.<\/p>\n

    Ihre SOC-Kunden stehen h\u00e4ufig auf der Liste von Art. 74b ISG: Hochschulen, Beh\u00f6rden, Energieversorger, Spit\u00e4ler der kantonalen Spitalliste, Bahnen, Fernmeldedienste und, f\u00fcr Z\u00fcrich und Zug besonders wichtig, \u00abUnternehmen, die dem Bankengesetz vom 8. November 1934, dem Versicherungsaufsichtsgesetz vom 17. Dezember 2004 oder dem Finanzmarktinfrastrukturgesetz vom 19. Juni 2015 unterstehen\u00bb (Bst. e). Die Pflicht gilt auch f\u00fcr Angriffe, \u00abdie sich in der Schweiz auswirken\u00bb, wenn die Systeme im Ausland stehen (Abs. 3).<\/p>\n

    Gemeldet wird nicht jeder Vorfall. Art. 74d ISG nennt vier F\u00e4lle: Der Angriff gef\u00e4hrdet die Funktionsf\u00e4higkeit der Infrastruktur, f\u00fchrt zu Manipulation oder Abfluss von Informationen, ist mit Erpressung, Drohung oder N\u00f6tigung verbunden oder blieb l\u00e4ngere Zeit unentdeckt. Diese Dauer beziffert die Cybersicherheitsverordnung (CSV): mehr als 90 Tage (Art. 14 Abs. 3 CSV). Fehlen nach 24 Stunden Angaben, gew\u00e4hrt das BACS 14 Tage zur Erg\u00e4nzung (Art. 16 Abs. 1 CSV).<\/p>\n

    F\u00fcr einen SOC steckt in Art. 17 Abs. 2 CSV ein Gesch\u00e4ftsfeld: \u00abEine oder mehrere meldepflichtige Beh\u00f6rden oder Organisationen k\u00f6nnen beschliessen, den Meldeprozess einzeln oder gemeinsam an eine Drittorganisation auszulagern.\u00bb \u00dcbernehmen Sie diese Aufgabe, muss der Vertrag sagen, wer erkennt, wer den Angriff nach Art. 74d ISG einordnet und wer innert der Frist meldet.<\/p>\n

    \n

    Wichtig<\/h4>\n

    Die Busse bis zu 100 000 Franken nach Art. 74h ISG trifft nicht direkt die versp\u00e4tete Meldung. Bestraft wird, wer einer rechtskr\u00e4ftigen Verf\u00fcgung, die das BACS unter Hinweis auf diese Strafdrohung erlassen hat, vors\u00e4tzlich nicht Folge leistet.<\/p>\n<\/div>\n

    Auch Ihre eigene Firma kann meldepflichtig sein. Art. 74b Abs. 1 Bst. t ISG erfasst \u00abAnbieterinnen und Betreiberinnen von Cloudcomputing, Suchmaschinen, digitalen Sicherheits- und Vertrauensdiensten sowie Rechenzentren, sofern sie einen Sitz in der Schweiz haben\u00bb. Ausgenommen sind nach Art. 12 Abs. 1 Bst. e CSV nur jene, die ihre Leistungen weder teilweise noch vollumf\u00e4nglich gegen Entgelt f\u00fcr Dritte erbringen. Ob Sie unterstellt sind, beantwortet das BACS und erl\u00e4sst auf Antrag eine Verf\u00fcgung (Art. 74a Abs. 2 ISG).<\/p>\n

    \n

    Ihre Cybersecurity-Firma in der Schweiz<\/p>\n

    Eine geordnete Gesellschaft vor dem ersten Test<\/p>\n

    Wahl von Kanton und Rechtsform, Zweckumschreibung, Gr\u00fcndung der GmbH oder AG und Eintrag ins Handelsregister, Vertretung mit Wohnsitz in der Schweiz, solange Sie noch im Ausland leben, Domizil, Buchhaltung Ihrer Mandate, Mehrwertsteuer auf Leistungen ins Ausland und L\u00f6hne Ihrer Analysten: RISTER\u00ae richtet Ihre Firma ein und f\u00fchrt die Administration, damit Sie sich um Ihre Kunden k\u00fcmmern k\u00f6nnen.<\/p>\n

    Gespr\u00e4ch vereinbaren<\/a>
    \n RISTER \u2013 Treuhand in Genf, Antwort innert eines Arbeitstages.<\/span>\n<\/div>\n

    Ihre Firma als Auftragsbearbeiterin nach DSG<\/h2>\n

    Ein SOC, der Logdateien auswertet, oder ein Incident-Response-Team, das kompromittierte Postf\u00e4cher untersucht, bearbeitet Personendaten f\u00fcr den Kunden. Das Datenschutzgesetz nennt eine solche Firma Auftragsbearbeiterin: \u00abprivate Person oder Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet\u00bb (Art. 5 Bst. k DSG).<\/p>\n

    Daraus folgen vier Pflichten, die in Ihren Vertrag geh\u00f6ren:<\/p>\n