Der Oktober steht in der Schweiz im Zeichen des Cyber Security Month. Das Bundesamt für Cybersicherheit BACS stellt die diesjährige Kampagne unter das Motto «Oversharing – Bewusst teilen» und richtet mit dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB einen besonderen Blick auf KI im Berufsalltag. Für Klein- und Mittelunternehmen KMU ist das Thema mehr als eine private Verhaltensfrage. Unbedacht geteilte Informationen können zum Ausgangspunkt gezielter Angriffe auf das Unternehmen werden.

Aus kleinen Informationen wird ein grosses Bild

Wie das BACS zum Start der Kampagne mitteilt, mag ein einzelnes Foto, eine Telefonnummer oder ein Name zunächst harmlos erscheinen. Kombiniert ergeben solche Informationen jedoch ein detailliertes Bild einer Person. Kriminelle nutzen dieses Wissen laut BACS für personalisiertes Phishing, Identitätsdiebstahl, Betrug oder gezielte Manipulation. Vier Wochen lang zeigt das Bundesamt, wo «Oversharing» beginnt und wie man bewusster mit den eigenen Informationen umgeht.

Ferienfoto, Bordkarte, internes Dokument

In einem weiteren Beitrag der Kampagne werden anschauliche Beispiele genannt: ein Ferienfoto mit sichtbarer Bordkarte, zahlreiche Familienbilder auf dem Social-Media-Profil oder ein unbedacht in ein KI-Tool eingegebenes internes Dokument. Für sich allein wirkt so etwas unauffällig. In der Summe kann daraus ein Persönlichkeitsprofil werden. Für Unternehmen ist gerade das letzte Beispiel relevant, weil es den Schritt vom Privaten in den Berufsalltag markiert.

Neuer Schwerpunkt: KI am Arbeitsplatz

Neben einem Generationendialog in Workshops, die in Zusammenarbeit mit Netpathie entstanden sind, legt das BACS dieses Jahr einen Schwerpunkt auf KI. Sie hilft beim Verfassen von E-Mails, Übersetzen von Texten oder Analysieren von Daten. Gleichzeitig entstehen neue Risiken, wenn persönliche, vertrauliche oder geschäftliche Informationen unbedacht in KI-Tools eingegeben werden. Gemeinsam mit dem EDÖB beleuchtet das BACS deshalb, welche Informationen man einem KI-Tool anvertrauen darf und welche besser nicht.

Kein reines Technikproblem

Viele Datenabflüsse beginnen nicht mit einem raffinierten Hackerangriff, sondern mit menschlichem Verhalten. Technische Schutzmassnahmen wie Filter oder Zugriffsrechte bleiben wichtig. Verhindern können sie aber nicht, dass Mitarbeitende Informationen freiwillig preisgeben. Umgekehrt ist ein generelles Verbot von KI-Tools wenig realistisch: Wer keine geprüften Werkzeuge anbietet, riskiert, dass Mitarbeitende auf private Dienste ausweichen, über deren Datenverwendung das Unternehmen keine Kontrolle hat.

Was das für Schweizer KMU bedeutet

Für KMU, die mit Kundendaten, Personaldaten oder vertraulichen Geschäftsunterlagen arbeiten, wird bewusstes Teilen zur Grundlage des Vertrauens. Social-Engineering-Angriffe werden umso glaubwürdiger, je mehr die Angreifer über Organisation, Abläufe und Personen wissen. Öffentliche Profile von Mitarbeitenden, Organigramme auf der Website oder Beiträge über laufende Projekte liefern dabei oft unbeabsichtigt die passenden Bausteine.

Klare Regeln statt Einzelentscheide

Der Cyber Security Month bietet einen guten Anlass, im Team einige Grundregeln festzulegen: Welche Informationen dürfen in soziale Medien, welche in externe Dienste und welche in KI-Werkzeuge? Hilfreich sind eine einfache Einteilung in öffentliche, interne und vertrauliche Daten sowie eine Liste freigegebener KI-Anwendungen. Die Materialien des BACS eignen sich zudem als kostenloser Einstieg für eine kurze interne Sensibilisierung der Mitarbeitenden.

Entlastung schafft dabei die richtige Umgebung. Eine Datenhaltung in isolierten Schweizer Umgebungen stellt sicher, dass vertrauliche Daten nie die Schweizer AI-Datacenter verlassen und nicht für Training oder Werbung verwendet werden. DSGVO und EU AI Act sind dabei garantiert. So bleibt bewusstes Teilen eine Frage guter Absprachen, nicht ein Risiko, das jede Mitarbeiterin und jeder Mitarbeiter allein tragen muss.