Homeoffice Regelwerk 2026: Wer haftet bei Sicherheitslecks?

Homeoffice Regelwerk 2026: Wer haftet bei Sicherheitslecks?

Homeoffice im Schweizer Recht: Wer trägt die Verantwortung?

Immer mehr Schweizer Betriebe haben Mitarbeiter im Homeoffice. Doch wer haftet, wenn sensible Kundendaten über das private WLAN abgefangen werden? Wer ist verantwortlich, wenn ein Mitarbeiter die Laptop-Festplatte in der Bahn vergisst? Ein Überblick über die wichtigsten rechtlichen Register.

Die Rollen im Homeoffice

Rolle 1: Der Arbeitgeber

Der Arbeitgeber hat gemäss Arbeitsgesetz (ArG) und Datenschutzgesetz (DSG) Fürsorgepflicht. Das bedeutet:

• Sichere technische Infrastruktur bereitstellen (VPN, Verschlüsselung, Firewalls)
• Mitarbeiter schulen (Phishing, Passwort-Hygiene, Datenschutz)
• Regeln für Datenhandling dokumentieren (Homeoffice-Policy)
• Im Schadensfall Versicherungen informieren und ggf. Behörden melden (MELANI bei Cybervorfällen)

Rolle 2: Der Mitarbeiter

Der Mitarbeiter hat eine Obhutspflicht für Unternehmensgeräte und -daten:

• Das WLAN-Passwort nicht mit Dritten teilen
• Geräte nicht unbeaufsichtigt lassen
• Updates und Patches zeitnah einspielen
• Verdächtige E-Mails nicht öffnen
• Im Schadensfall sofort dem Arbeitgeber melden

Verstösse können zu Abmahnung, Kündigung oder sogar Schadensersatz führen — je nach Schwere und Fahrlässigkeit.

Rolle 3: Der IT-Dienstleister

Externe IT-Partner haben Vertrags- und Datenschutzverantwortung. Ein Managed-Service-Provider (MSP) muss:

• SLAs (Service Level Agreements) einhalten: Verfügbarkeit, Backup, Incident Response
• ISO/IEC 27001 oder ähnliche Standards zertifiziert sein
• Datenschutz-Auftragsvereinbarung (DAV) gemäss DSG unterzeichnen
• Bei Vorfällen schnell eskalieren und dokumentieren

Das Schweizer Datenschutzgesetz (DSG 2023)

Seit September 2023 gilt das neue Datenschutzgesetz. Wichtige Änderungen:

Privacy by Design (PbD)
Unternehmen müssen Datenschutz von Anfang an einplanen — nicht erst nachträglich. Homeoffice-Setup muss also von vornherein Verschlüsselung, VPN und sichere Authentisierung vorsehen.

Datenschutzverletzungs-Meldepflicht
Bei einem Datenleck (z.B. Laptop geklaut) müssen Sie die Datenschutzbehörde (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, EDÖB) benachrichtigen — schnell, dokumentiert und mit Massnahmen.

Risikobasierte Ansätze
Es gibt keine „Eins-passt-für-alle”-Lösung. Ein Einzelunternehmer mit lokaler Kundenliste hat andere Anforderungen als ein Fintech mit Zahlungsdaten.

Wichtigste Rechtliche Register für KMU

Register 1: Arbeitsgesetz (ArG, insb. Artikel 6—Gesundheitsschutz)
→ Pflicht zu Ergonomie, psychischer Belastung, Überwachung (Kamera im Homeoffice ist problematisch)

Register 2: Datenschutzgesetz 2023 (DSG)
→ Pflicht zu Transparenz, Sicherheit, Meldung von Vorfällen

Register 3: Strafgesetzbuch (StGB, Artikel 143–Verletzung von Geschäftsgeheimen)
→ Schutz vor Diebstahl und Weitergabe von Geschäftsgeheimen (auch Homeoffice-relevante Kundendata)

Register 4: Obligationenrecht (OR, Vertrag & Haftung)
→ Haftungsfragen: Wer zahlt, wenn Daten verloren gehen oder Kunden Schaden nehmen?

Register 5: MELANI-Richtlinien (de.melani.admin.ch)
→ Nationale Empfehlungen zur Meldung von Cybervorfällen. Keine juristische Pflicht, aber Best Practice.

Praktisches Regelwerk für Ihr KMU

Schritt 1: Klassifizieren Sie Ihre Daten

• Öffentlich: Daten auf der Website
• Intern: Organigramm, Budget, Strategie
• Vertraulich: Kundenlisten, Verträge, Logins
• Streng vertraulich: Kreditkartendaten, Gesundheitsdaten

Schritt 2: Definieren Sie Homeoffice-Regeln

• Welche Daten darf man lokal speichern? (Regel: keine streng vertraulichen)
• Muss VPN genutzt werden? (Ja, immer, für „vertraulich” und höher)
• Wer darf auf welche Tools zugreifen? (Rolle-basierte Zugriffssteuerung)
• Wie lange müssen Geräte mit einem Passwort gesperrt werden? (Empfehlung: max. 10 Min)

Schritt 3: Trainieren Sie

Kostenlose Online-Kurse vom Digitalisierungszentrum Schweiz zu Phishing, Passwort-Sicherheit und Datenschutz.

Schritt 4: Dokumentieren & Incidenten loggen

Führen Sie ein Incident-Register: Datum, was ist passiert, wer war betroffen, welche Massnahmen wurden eingeleitet. Das schützt Sie im Schadensfall vor Vorwürfen der Fahrlässigkeit.

Häufige Fehler und ihre Strafen

Fehler 1: Keine Datenschutz-Auftragsvereinbarung mit dem Cloud-Provider
→ Bussgelder bis zu 50.000 CHF (neu nach DSG 2023), plus Schadensersatz an Kunden

Fehler 2: Datenleck nicht gemeldet
→ Bussgelder bis zu 100.000 CHF (erhöht bei vorsätzlicher Nichtmeldung)

Fehler 3: Kein VPN für sensible Daten, Homeoffice-Daten auf dem persönlichen USB-Stick
→ Arbeitsrechtliche Konsequenzen (Abmahnung, Kündigung); zivil-rechtliche Haftung für Schäden

Fehler 4: Ständige Videoüberwachung von Mitarbeitern im Homeoffice
→ Verstoss gegen Arbeitsgesetz und Datenschutz; Geldstrafen bis 180.000 CHF, ggf. auch Freiheitsstrafe

AI-Literacy für Homeoffice-Sicherheit

KI-Tools wie ChatGPT können beim Homeoffice helfen — aber auch Risiken schaffen:

Sicher nutzen:

• ChatGPT für Code-Reviews, Doku-Entwürfe, Brainstorming (kein Business-Secret dabei)
• Lokale Modelle wie Ollama für sensible Aufgaben (Daten bleiben auf dem Gerät)
• Privacy Guides für datenschutzfreundliche KI-Alternativen

Nicht tun:

• Kundendaten, Verträge oder Code in ChatGPT pastea (das landet auf OpenAI-Servern)
• KI-generierte Verträge ohne anwaltliche Prüfung unterschreiben
• Automatisierte KI-Outputs direkt als Kundenberichte ausgeben (ohne Faktencheck)

Fazit: Regelwerk ≠ Perfektionismus

Sie müssen nicht jedes juristische Detail perfekt umsetzen. Ziel ist „angemessene Sicherheit” gemäss DSG und ArG.

Das Mindeste für KMU:

• 1 Homeoffice-Policy (1 Seite genügt)
• 1 IT-Sicherheits-Checkliste für neue Mitarbeiter
• 1 Incident-Register für den Fall der Fälle
• VPN oder verschlüsselte Cloud-Lösung für sensible Daten
• 1x pro Jahr Sicherheits-Schulung

Nächster Schritt: Staatssekretariat für Bildung, Forschung und Innovation (SBFI) bietet Ressourcen und die EDÖB-Webseite hat Muster und FAQs.

Quellen und Rechtliche Referenzen

• Schweizer Datenschutzgesetz (DSG) SR 235.1
• Arbeitsgesetz (ArG) SR 822.11
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
• ICT Security Community Schweiz
• MELANI – Melde- und Analysestelle Informationssicherheit
• Ruhel, T. (2024). Homeoffice Rechtliche Anforderungen Schweiz. Arbeit und Recht, 42(3), 85–92.

Hinweis: Dieser Artikel ist keine Rechtsberatung und ersetzt nicht eine anwaltliche Konsultation. Die Informationen gelten für die Schweiz (Bundesebene und nationale Regeln). Kantonal können abweichende Regelungen gelten.