Cybersicherheit im Treuhandbüro: Mandantendaten schützen, Haftung kennen, den Ernstfall im Lohnlauf überstehen

Ein Treuhandbüro mit zwölf Mitarbeitenden ist für Angreifer wertvoller als ein gleich grosser Handwerksbetrieb. An seinen Postfächern und seiner Branchensoftware hängen Lohn-, Steuer- und Bankdaten Dutzender Firmen, dazu Zahlungsabläufe und das Vertrauen der Mandanten. Wer das schützen will, muss drei Dinge kennen: die eigenen Schwachstellen, die Rechtslage und den Ablauf, wenn es mitten im Lohnlauf passiert.

Dieser Beitrag richtet sich an Inhaberinnen, Inhaber und Partner von Treuhandbüros, nicht an die IT. Er ordnet die Rechtslage ein, zeigt korrekt, wem Sie einen Vorfall wann melden, und endet mit einer Ernstfall-Karte für die ersten 24 Stunden.

Warum Treuhandbüros ein lohnendes Ziel sind

Konzentrierte Daten

Ein gewöhnliches KMU verwaltet die eigenen Daten. Ein Treuhandbüro verwaltet die Daten seiner Mandanten: Lohnabrechnungen mit AHV-Nummern und Saläre, Steuererklärungen, Bilanzen, Bankverbindungen. Ein einziges kompromittiertes Postfach öffnet damit nicht ein Unternehmen, sondern Dutzende Mandate auf einmal. Der Schaden trifft auch Mandanten, die selbst gut geschützt sind.

Zahlungen und Vertrauen

Angreifer wollen nicht nur Daten, sie wollen Geld. Ein Treuhandbüro ist dafür ideal positioniert. Es löst Zahlungen aus, oft mit Zugriff auf das E-Banking von Mandanten, und es erhält täglich E-Mails mit Rechnungen, Lohnänderungen und neuen Kontoangaben. Wer ein Postfach übernimmt, liest mit, lernt den Ton und schickt im richtigen Moment eine glaubwürdige Nachricht: «Bitte ab sofort auf die neue IBAN überweisen.» Auch umgekehrt funktioniert es: Mandanten erhalten eine gefälschte Zahlungsaufforderung, die scheinbar vom Treuhänder kommt.

Sean Horvath beobachtet einen Weg, mit dem viele nicht rechnen: Nicht das Treuhandbüro wird gehackt, sondern ein Mandant oder Geschäftspartner. Die Angreifer verschicken dann aus dessen echtem Postfach gefälschte E-Mails, oft als Antwort in einem laufenden Verlauf und mit der gewohnten Signatur. Für Filter und Mitarbeitende sieht so eine Nachricht aus wie jede andere vom selben Absender. Deshalb hilft nur eine feste Regel: Kontoänderungen und ungewöhnliche Zahlungsaufträge werden immer über eine bekannte Telefonnummer bestätigt, nie über die Angaben in der E-Mail.

Schleppnetz statt Harpune

Viele Inhaber halten ihr Büro für zu klein, um jemanden zu interessieren. Das stimmt nicht mehr. Früher zielten Angreifer wie Walfänger mit der Harpune auf einzelne grosse Unternehmen. Heute laufen Angriffe automatisiert und in Serie, und wer im Netz hängt, wird getroffen. Sean Horvath beschreibt diesen Wandel im Fachbeitrag «Vom Walfang zum Schleppnetz» in «TREX Der Treuhandexperte», Ausgabe 5/2026.

Die Zahlen bestätigen das. Laut der Studie «KMU Cybersicherheit 2026» erlebten 6 Prozent der Schweizer KMU in den letzten drei Jahren einen Cyberangriff mit schwerwiegenden Folgen, hochgerechnet über 35'000 Unternehmen. Bei KMU ab zehn Mitarbeitenden sind es bis zu 16 Prozent. Am häufigsten genannt werden Phishing, Passwort-Hacking, Schadsoftware sowie Angriffe auf Netzwerk und Server. Mehr zum Thema im Beitrag Zu klein für einen Cyberangriff?

Was ein Angriff im Treuhandbüro auslöst

Die Folgen treffen ein Treuhandbüro an zwei Stellen: Die Arbeit steht still, und das Vertrauen der Mandanten leidet. Die wichtigsten Risiken im Überblick:

Was rechtlich gilt (ohne Juristendeutsch)

Dieser Abschnitt ordnet ein, er ersetzt keine Rechtsberatung. Wie die Pflichten im Einzelfall aussehen, hängt von Ihren Mandatsverträgen und Ihrer Tätigkeit ab.

Datensicherheit nach DSG

Das Datenschutzgesetz verpflichtet jedes Unternehmen, das Personendaten bearbeitet, zu einer dem Risiko angemessenen Datensicherheit, mit technischen und organisatorischen Massnahmen (Art. 8 DSG). Die Datenschutzverordnung konkretisiert das. Ein Beispiel, das für Treuhandbüros besonders passt: Berechtigte Personen sollen nur auf die Personendaten zugreifen können, die sie für ihre Aufgaben brauchen (Art. 3 DSV).

Wer die Mindestanforderungen an die Datensicherheit vorsätzlich nicht einhält, kann auf Antrag mit einer Busse bis zu CHF 250'000 bestraft werden (Art. 61 DSG). Wichtig für die Geschäftsleitung: Bestraft wird in erster Linie die verantwortliche Person, nicht das Unternehmen. Nur ausnahmsweise, bei Bussen bis CHF 50'000, kann statt der Person der Betrieb gebüsst werden (Art. 64 DSG). Fahrlässigkeit ist nach dem DSG nicht strafbar. Zuständig sind die kantonalen Strafverfolgungsbehörden.

Berufliche Schweigepflicht

Art. 62 DSG bestraft das vorsätzliche Offenbaren geheimer Personendaten, die man bei der Berufsausübung erfahren hat, ebenfalls mit Busse bis zu CHF 250'000, auf Antrag. Der Kreis der erfassten Personen ist laut EDÖB viel weiter als beim klassischen Berufsgeheimnis. Treuhandbüros können deshalb darunter fallen, auch wenn sie nicht dem Berufsgeheimnis des Strafgesetzbuchs unterstehen.

Das Berufsgeheimnis nach Art. 321 StGB gilt dagegen nur für die dort genannten Berufe, etwa Anwälte, Notare, Ärzte und nach Obligationenrecht zur Verschwiegenheit verpflichtete Revisoren. Wer Revisionsmandate führt, kann für diese Tätigkeit darunter fallen. Für die übrige Treuhandarbeit lässt sich Art. 321 StGB nicht pauschal anwenden.

Verträge mit Mandanten

Neben dem Strafrecht zählt im Alltag das Vertragsrecht. Wer einen Auftrag übernimmt, haftet für dessen getreue und sorgfältige Ausführung (Art. 398 OR). Wenn Mandantendaten abfliessen oder ein Mandant wegen einer gefälschten Zahlungsanweisung Geld verliert, stellt sich die Frage, ob das Büro die nötige Sorgfalt eingehalten hat. Schadenersatzforderungen sind dann möglich. Ob sie berechtigt sind, hängt vom Einzelfall ab. Wer belegen kann, welche Massnahmen bestanden, steht besser da.

Bearbeiten Sie Personendaten im Auftrag eines Mandanten, etwa bei der Lohnbuchhaltung, sind Sie in der Regel Auftragsbearbeiter. Der Mandant muss sich nach Art. 9 DSG vergewissern, dass Sie die Datensicherheit gewährleisten können. Das ist der Grund, weshalb Mandanten zunehmend danach fragen.

Melden: wem, wann, was

Die Tabelle zeigt, was nach Schweizer Recht gilt, und wer im Treuhandbüro an wen melden muss.

Die 72 Stunden, die oft genannt werden, stammen aus der EU-Datenschutz-Grundverordnung (Art. 33 DSGVO). Sie können relevant werden, wenn für einzelne Mandate die DSGVO gilt, etwa bei Mandanten mit Sitz in der EU. Klären Sie das im Voraus, nicht im Ernstfall.

Die fünf Massnahmen, die im Treuhandbüro zuerst zählen

1. Mehrfaktor-Anmeldung auf E-Mail, Cloud und Branchensoftware

Ein gestohlenes Passwort allein darf nicht reichen, um ins Postfach, in Microsoft 365 oder in Abacus, Bexio oder Sage zu kommen. Auch Fernzugriffe und E-Banking gehören dazu.

Was die Geschäftsleitung dafür tun muss: verlangen, dass es keine Ausnahmen gibt, auch nicht für Partner und langjährige Mitarbeitende.

2. Zugriffsrechte nach dem Need-to-know-Prinzip

Nicht jede Mitarbeiterin muss jedes Mandat sehen. Wer nur die Mandate öffnen kann, die er bearbeitet, begrenzt den Schaden, wenn ein Konto übernommen wird.

Was die Geschäftsleitung dafür tun muss: einmal pro Jahr die Berechtigungen durchsehen und Austritte am letzten Arbeitstag sperren lassen.

3. Backups nach 3-2-1 mit getestetem Zurückspielen

Drei Kopien, zwei verschiedene Speicherorte, eine davon getrennt vom Netzwerk. Entscheidend ist der Test: Nur ein Backup, das sich nachweislich zurückspielen lässt, rettet den Lohnlauf.

Was die Geschäftsleitung dafür tun muss: das Protokoll des letzten Wiederherstellungstests einfordern.

4. E-Mail-Schutz und Rückruf bei Zahlungsänderungen

Technische Einträge wie SPF, DKIM und DMARC erschweren es, E-Mails in Ihrem Namen zu fälschen. Gegen eine übernommene echte Adresse hilft nur eine Regel: Jede Änderung von Zahlungsangaben wird telefonisch bestätigt, über eine bekannte Nummer, nie über die Nummer aus der E-Mail.

Was die Geschäftsleitung dafür tun muss: die Rückrufregel schriftlich festlegen und selbst einhalten.

5. Schulung und Phishing-Simulation

Die meisten Angriffe beginnen mit einer E-Mail. Mitarbeitende, die eine gefälschte Nachricht erkennen und melden, statt sie zu öffnen, sind die wirksamste Schutzschicht.

Was die Geschäftsleitung dafür tun muss: Schulungen als Arbeitszeit einplanen und Meldungen loben, auch Fehlalarme.

Welche Nachweise Versicherer zu diesen Punkten verlangen, zeigt der Beitrag zu den Voraussetzungen für eine Cyberversicherung.

Ernstfall im Lohnlauf: die ersten 24 Stunden

Stellen Sie sich den 23. des Monats vor: Die Bildschirme sind schwarz, auf den Servern liegt eine Lösegeldforderung, und die Löhne Ihrer Mandanten müssen in zwei Tagen raus. Die folgende Karte zeigt, was in welcher Reihenfolge zählt. Entscheide trifft die Geschäftsleitung, nicht der IT-Partner.

Stunde 0: eindämmen und alarmieren

• Betroffene Geräte vom Netzwerk trennen: Kabel ziehen, WLAN aus. Nicht ausschalten und nicht neu starten, damit Spuren erhalten bleiben.
• IT-Partner anrufen, danach den vorab bestimmten Spezialisten für die Bewältigung von Cyberangriffen (Incident Response) und die Notfall-Hotline der Cyberversicherung.
• Eine Person aus der Geschäftsleitung übernimmt die Leitung. Alle anderen arbeiten nicht weiter an betroffenen Geräten.
• Ein Logbuch beginnen: Uhrzeit, Beobachtung, Entscheid, wer informiert wurde.
• Keine Lösegeldverhandlung auf eigene Faust.

Stunde 1 bis 4: Geld und Zugänge sichern

• Krisensitzung, auch per Telefon: Geschäftsleitung, IT-Partner und Spezialisten legen Vorgehen und Zuständigkeiten fest und vereinbaren, wann sie sich wieder absprechen.
• Bei der Bank anrufen und die E-Banking-Zugänge sperren lassen, die eigenen und jene von Mandanten, auf die das Büro Zugriff hat.
• Offene Zahlungsaufträge prüfen, Freigaben stoppen, verdächtige Zahlungen sofort der Bank melden.
• Passwörter für E-Mail und Branchensoftware von einem sauberen Gerät aus ändern lassen.
• Den Lohnlauf über einen sauberen Weg vorbereiten: mit der Bank klären, wie Zahlungen ohne die betroffenen Systeme ausgelöst werden können, und als Grundlage die letzten geprüften Lohndaten verwenden.
• Die betroffenen Mandanten vorwarnen, dass sich die Lohnzahlung verzögern kann.

Stunde 4 bis 24: Daten prüfen und melden

• Mit dem IT-Partner klären, ob Personendaten betroffen sind: welche Mandate, welche Daten, abgeflossen oder nur verschlüsselt.
• Entscheiden, ob eine Meldung an den EDÖB nötig ist. Wo Sie Auftragsbearbeiter sind, die betroffenen Mandanten informieren, damit sie selbst entscheiden können.
• Mandanten mit einer einheitlichen Sprachregelung informieren: was passiert ist, was es für sie bedeutet, was sie tun sollen.
• Strafanzeige erstatten, auf Wunsch freiwillig ans BACS melden.
• Mitarbeitende intern informieren, bevor sie es von aussen erfahren.

Danach: aufklären und wiederherstellen

• Forensik: Wie kamen die Angreifer herein, was haben sie mitgenommen?
• Systeme aus intakten Backups wiederherstellen, erst nachdem die Einfallstür geschlossen ist.
• Nachmeldungen an EDÖB und Versicherung, Fristerstreckungen bei Behörden beantragen, wo Abgaben nicht eingehalten werden können.
• Nachbesprechung: Was hat funktioniert, was fehlte im Notfallplan?

Diese Karte funktioniert nur, wenn sie vorher geübt wurde und Telefonnummern von Bank, IT-Partner und Versicherung auf Papier vorliegen. Ein Notfallplan mit Übung gehört zum Security-Management. Was ein solcher Vorfall kostet, zeigt der Beitrag Was ein Cyberangriff ein KMU wirklich kostet.

Reicht der IT-Partner?

Der IT-Partner betreibt Ihre Systeme, und das soll so bleiben. Die Verantwortung übernimmt er damit nicht. Das Bundesamt für Cybersicherheit formuliert es in seinen Empfehlungen für die Zusammenarbeit mit IT-Providern deutlich: Die Verantwortung könne nicht ausgelagert oder delegiert werden, bei einem Vorfall könne Ihr Unternehmen am Ende der Haftungskette stehen.

Das BACS empfiehlt, dem IT-Partner konkrete Fragen zu stellen: Wann wurde die Wiederherstellung zuletzt erfolgreich getestet? Ist die Mehrfaktor-Anmeldung überall eingerichtet? Wie ist er nachts und am Wochenende erreichbar? Halten Sie die Antworten schriftlich fest. Wie sich die Rollen sauber trennen lassen, erklärt der Beitrag zur Verantwortung von IT-Dienstleister und Geschäftsleitung.

Aus der Praxis: Meng & Partner

Christoph Meng, Partner bei Meng & Partner (Wirtschaftsprüfung, Steuern und Treuhand), beschreibt die Zusammenarbeit mit SafeRoute so:

«SafeRoute nimmt uns als Geschäftsleitung die Cybersicherheit ab, ohne uns aus der Verantwortung zu nehmen. Sie übersetzen ein komplexes Thema in klare, machbare Schritte und kümmern sich um die Umsetzung, pragmatisch, verständlich und auf unsere Realität als KMU zugeschnitten.»

Häufige Fragen

Muss ein Treuhandbüro einen Cyberangriff melden?

Wenn Personendaten betroffen sind und daraus voraussichtlich ein hohes Risiko für die Betroffenen entsteht, ja: dem EDÖB, und zwar so rasch als möglich. Eine feste Frist kennt das Schweizer Datenschutzgesetz nicht, die 72 Stunden stammen aus der EU-DSGVO. Wo das Büro im Auftrag eines Mandanten Daten bearbeitet, muss es zuerst den Mandanten informieren. Die 24-Stunden-Meldepflicht ans BACS gilt nur für Betreiber kritischer Infrastrukturen, Treuhandbüros können freiwillig melden.

Haftet ein Treuhandbüro bei einem Cyberangriff?

Möglich ist es. Gegenüber Mandanten kann das Büro aus dem Auftrag haften, wenn es die nötige Sorgfalt beim Schutz ihrer Daten nicht eingehalten hat. Zudem sieht das Datenschutzgesetz Bussen bis CHF 250'000 vor, etwa wenn Mindestanforderungen an die Datensicherheit vorsätzlich missachtet werden. Gebüsst wird dabei in erster Linie die verantwortliche Person, nicht das Unternehmen.

Welche Massnahmen sind für ein Treuhandbüro das Minimum?

Mehrfaktor-Anmeldung für E-Mail, Cloud und Branchensoftware, Zugriffsrechte nur auf die Mandate, die jemand bearbeitet, und Backups, deren Zurückspielen regelmässig getestet wird. Dazu kommen Schutz vor gefälschten E-Mails, ein Rückruf bei jeder Änderung von Zahlungsangaben und regelmässige Schulungen. Ein Notfallplan legt fest, wer im Ernstfall entscheidet, auch mitten im Lohnlauf.

Der nächste Schritt

Wo Ihr Büro steht, zeigt der Cyber-Selbstcheck für Treuhandunternehmen: fünf Fragen, rund 90 Sekunden, die Auswertung entsteht direkt im Browser und ohne Anmeldung. Wer danach wissen will, welche Risiken zuerst anzugehen sind, bespricht das Ergebnis im Erstgespräch mit SafeRoute. Nach 30 Minuten haben Sie ein klares Bild Ihrer Risikolage und wissen, ob eine Standortbestimmung der richtige nächste Schritt ist. Die Cyber-Risiko Standortbestimmung kostet CHF 2'950 pauschal (exkl. MWST).

Quellen

• Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 8, 9, 24, 61, 62, 64 und 65, Fedlex.
• Datenschutzverordnung (DSV), SR 235.11, Art. 3 und 15, Fedlex.
• Schweizerisches Strafgesetzbuch, Art. 321 StGB, Fedlex, Stand 1. November 2026.
• Obligationenrecht, Art. 398 OR, Fedlex.
• EDÖB: Leitfaden betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG, Version 1.2 vom 23. April 2025.
• EDÖB: Strafbestimmungen des DSG.
• Bundesamt für Cybersicherheit BACS: Meldepflicht für Cyberangriffe auf kritische Infrastrukturen und Wer muss melden?
• Bundesamt für Cybersicherheit BACS: Freiwillige Meldung eines Cybervorfalls.
• Bundesamt für Cybersicherheit BACS: Empfehlungen für die Zusammenarbeit mit IT-Providern.
• Die Mobiliar mit BACS, digitalswitzerland, HES-SO, HWZ und SATW: KMU Cybersicherheit 2026, Oktober 2026.
• Verordnung (EU) 2016/679, Art. 33 DSGVO, EUR-Lex.
• Sean Horvath: Vom Walfang zum Schleppnetz, TREX Der Treuhandexperte 5/2026, 1. Oktober 2026.
• Treuhand Suisse: Cybersecurity-Leitfäden für Treuhandunternehmen.