Veröffentlicht am 20. Juli 2026
Security Awareness Training Schweiz: Pflicht oder Kür?
Was das Gesetz tatsächlich verlangt
Das revidierte Datenschutzgesetz (revDSG) schreibt kein Phishing-Training explizit vor. Art. 8 DSG verlangt jedoch von jedem Verantwortlichen «angemessene technische und organisatorische Massnahmen», um Personendaten vor unbefugtem Zugriff zu schützen. Da Phishing der mit Abstand häufigste Einstiegspunkt für einen Datenabfluss ist, zählt die Sensibilisierung der Mitarbeitenden für viele Datenschutz- und Rechtsberatende faktisch zu diesen Massnahmen – auch ohne dass das Gesetz das Wort «Training» verwendet.
Wo es faktisch zur Pflicht wird: Zertifizierungen und Audits
Wer eine ISO-27001-Zertifizierung anstrebt oder hält, kommt an Security-Awareness-Massnahmen nicht vorbei: Anhang A der Norm (Control A.6.3, vormals A.7.2.2) verlangt explizit ein Sensibilisierungsprogramm für Mitarbeitende, inklusive Nachweis, dass es tatsächlich durchgeführt wurde. Auch bei Kundenaudits im B2B-Bereich – etwa wenn ein grösserer Auftraggeber Ihre Lieferkette prüft – gehört die Frage nach dokumentierten Phishing-Tests inzwischen zum Standardkatalog.
Cyberversicherungen fragen längst danach
Ein wachsender Teil der Cyberversicherer verlangt bei Vertragsabschluss oder spätestens im Schadensfall einen Nachweis über durchgeführte Sensibilisierungsmassnahmen. Fehlt dieser Nachweis, kann das im Ernstfall die Leistungspflicht der Versicherung einschränken oder die Prämie erhöhen – ein Punkt, der in Vertragsverhandlungen zunehmend explizit abgefragt wird.
Was als Nachweis zählt – und was nicht
Eine einmalige Präsentation vor drei Jahren oder ein ungelesenes Rundmail-PDF gilt in der Praxis kaum als belastbarer Nachweis. Aussagekräftig sind wiederkehrende, dokumentierte Übungen mit messbarem Fortschritt – im Idealfall mit einem Zeitstempel und einer nachvollziehbaren Auswertung pro Team oder Abteilung, ohne dabei einzelne Mitarbeitende blosszustellen.
Der Unterschied zwischen Pflichterfüllung und echter Wirkung
Selbst wenn die eigene Branche oder Versicherung (noch) keinen expliziten Nachweis verlangt, bleibt das eigentliche Risiko bestehen: Phishing ist laut wiederkehrenden NCSC-Meldungen einer der häufigsten Wege, über den Unternehmen in der Schweiz kompromittiert werden. Ein Nachweis, der nur auf dem Papier existiert, schützt niemanden – entscheidend ist, dass das Training tatsächlich Verhalten verändert.
Der einfachste Einstieg
PhishingRadar liefert genau diesen doppelten Nutzen: realistische, wiederkehrende Simulationen für echten Lernfortschritt, und einen zeitlich befristeten, öffentlich überprüfbaren Nachweis pro Mitarbeitendem für Audits, Versicherungen und Kundenanfragen. Ein kostenloser Testdurchlauf zeigt in wenigen Minuten, wie das in der Praxis aussieht.
Testen Sie Ihr Team noch heute
Probieren Sie den kostenlosen Testzugang selbst aus oder registrieren Sie direkt Ihr Unternehmen.