Herr Lobsiger, ein Datenklau jagt den nächsten. Nutzen Sie noch Whatsapp?
Adrian Lobsiger: Ja, privat nutze ich Whatsapp. Und als Datenschützer muss ich alle legalen Apps nutzen, um mitreden zu können, auch Tiktok. Sonst wäre ich nur auf einer abstrakten Ebene unterwegs.
Vor ein paar Jahren hat Whatsapp selbstlöschende Nachrichten eingeführt. Bringt das etwas – oder ist das eine Illusion von Datenschutz?
Es ist sicher nützlich. Aber es gibt keine Garantie, dass Daten sicher sind. Eine Meldung, die nach 24 Stunden gelöscht wird, kann vorher kopiert worden sein.
Adrian Lobsiger (66) ist seit 2016 der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Edöb). Der Jurist war zuvor beim Bundesamt für Justiz und als stellvertretender Direktor des Bundesamts für Polizei (Fedpol) tätig. Seine Amtsperiode endet im Dezember 2027.
Adrian Lobsiger (66) ist seit 2016 der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Edöb). Der Jurist war zuvor beim Bundesamt für Justiz und als stellvertretender Direktor des Bundesamts für Polizei (Fedpol) tätig. Seine Amtsperiode endet im Dezember 2027.
Es gab diese Woche eine weltweite IT-Sicherheitslücke. Schweizer Spitäler mussten teilweise zurück zu Stift und Papier. Was braut sich da zusammen?
Wenn die IT aus Monopolbetrieben besteht, gibt es globale Angriffsflächen. Das ist wie in der Tierwelt: Wenn es nur eine Rasse gibt und die bekommt ein Virus, dann können alle sterben. Es ist wichtig, dass Organisationen ihre IT vorsorglich vom Netz nehmen, wenn sie Sicherheitslücken feststellen.
Früher mussten Menschen hacken, um in IT-Systeme einzudringen. Heute übernimmt das die künstliche Intelligenz. Was bedeutet das?
Die Bedrohung durch die KI ist real. Aber wenn wir die Ursachen der uns gemeldeten Angriffe anschauen, sehen wir: In der überwiegenden Zahl der Fälle ist nicht die Technologie die Schwachstelle, sondern menschliches Versagen.
Menschliches Versagen wird es immer geben.
Es wäre falsch, in einen Fatalismus zu verfallen und zu sagen: Es wird alles gehackt, wir sind verloren, wir müssen zurück zum Papier. Wobei ich Letzteres nicht ausschliesse – es kann sein, dass das Analoge wieder an Bedeutung gewinnen wird. Aber so weit sind wir nicht. Wir müssen unsere Lehren ziehen und konsequent die höchsten Sicherheitsstandards anwenden.
Wird 2026 ein Negativ-Jahr für den Datenschutz?
Seit dem neuen Datenschutzgesetz haben wir eine Meldepflicht für Datenpannen. Es zeichnet sich in der Tat eine deutliche Steigerung ab. Obwohl das Jahr 2026 noch nicht zu Ende ist, haben wir bereits deutlich mehr Meldungen über Datensicherheitsverletzungen als letztes Jahr. 2025 waren es 343, heute haben wir bereits 455. Und die Dunkelziffer ist hoch – tatsächlich gibt es viel mehr Datensicherheitsverletzungen.
Die Schweiz ist weltweit für Diskretion bekannt. Wie kann es sein, dass Daten von zig Pensionskassen geklaut werden – vom Bund über die Post bis zur Migros?
Es handelt sich um ein laufendes Verfahren, sowohl der Bundesanwalt als auch ich ermitteln. Unabhängig von diesem Fall lässt sich sagen: Je mehr Daten wir miteinander verknüpfen und je mehr Silos wir abschaffen, desto höher ist das Risiko.
Namen von Geheimdienstmitarbeitern hätten niemals bei einer externen Firma landen dürfen.
Ob das tatsächlich der Fall ist, darf ich aus Gründen des Untersuchungsgeheimnisses nicht bestätigen. Aber ich kann sagen: Das Datenschutzgesetz verlangt Datenminimierung und Verhältnismässigkeit. Es muss sichergestellt sein, dass nicht mehr als nötig übertragen wird und dass mit anonymisierten Testdaten gearbeitet werden sollte statt mit produktiven, scharfen Daten.
Sie bleiben diplomatisch. Warum hauen Sie nicht empört auf den Tisch?
Ich bin nicht der Konsumentenschutz und auch keine Gewerkschaft. Ich habe einen gesetzlichen Auftrag und muss aus Sicht des Datenschutzes prüfen, was vorgefallen ist. Untersuchungen müssen unvoreingenommen geführt werden unter Gewährung des rechtlichen Gehörs.
Sie haben am Donnerstag eine Untersuchung gegen den externen IT-Dienstleister der Pensionskassen eingeleitet, gegen die PK Softech AG. Können Sie eine Hausdurchsuchung vornehmen, um Beweismittel sicherzustellen?
Parteien sind zur Mitwirkung verpflichtet. Wenn jemand nicht mitwirkt, kann ich als letzte Konsequenz Hausdurchsuchungen durch die Polizei anordnen und mir mit Polizeigewalt Zugang zu Akten oder Räumlichkeiten verschaffen.
Warum richtet sich Ihre Untersuchung nur gegen den externen IT-Anbieter – und nicht auch gegen die Pensionskassen und die Behörden, die zu lax mit den Daten umgegangen sind?
Es macht keinen Sinn, sofort gegen alle vorzugehen. Ich schliesse aber nicht aus, das Verfahren später auf Bundesorgane, sprich Pensionskassen, auszuweiten.
Welche Sanktionsmöglichkeiten haben Sie, wenn eine Organisation schlampig mit Daten umgeht?
Ich kann keine Geldbussen verhängen; das wollte das Parlament nicht. Und das Parlament hat auch nicht gewollt, dass ein fahrlässiger Umgang sanktioniert werden kann. Nur bei Verdacht auf vorsätzliche Versäumnisse können wir Strafanzeige erstatten. Nicht zu unterschätzen ist aber die Wirkung der Transparenz: Ich informiere die Öffentlichkeit, wenn ein allgemeines Interesse da ist. Das motiviert Betriebe, mehr für den Datenschutz zu machen.
Sie haben über die Organe des Bundes eine Aufsichtsfunktion. Trotzdem kam es zu einem massiven Datendiebstahl. Haben auch Sie versagt?
Ich hinterfrage meine Arbeit ständig. Es gibt bei grossen IT-Anwendungen zig Baustellen – da muss ich priorisieren. Unsere Ressourcen sind begrenzt, wir können flächendeckend nicht alles beaufsichtigen, sondern oft nur Stichproben machen.
Dafür hatten Sie diese Woche einen Teilerfolg: Sie haben einen Rechtsstreit gegen die Postfinance gewonnen. Worum ging es da?
Die Postfinance wollte bei Schweizer Kunden Sprachprofile für Erkennungen im Kundendienst anlegen – ausser man wehrte sich aktiv dagegen. EU-Kunden hingegen wurden nach einer ausdrücklichen Einwilligung gefragt. Dabei ist auch nach Schweizer Recht eine explizite Einwilligung erforderlich, schliesslich ist die menschliche Stimme etwas sehr Persönliches – und sie kann für Identitätsdiebstahl missbraucht werden. Ich begrüsse das Urteil des Bundesverwaltungsgerichts, das aber noch nicht rechtskräftig ist.
Wenn nicht einmal ein Staatsbetrieb beim Datenschutz mit gutem Beispiel vorangeht – warum sollte das die Privatwirtschaft tun?
Ich erwarte von allen, dass sie sich an den Datenschutz halten. Dort, wo der Staat privatrechtlich handelt, etwa bei der Post, den SBB oder der Swisscom, liegt ein Schwerpunkt unserer Aufsicht.
Ihr Appell an Bundesrat Albert Rösti, der für Post, SBB und Swisscom zuständig ist?
Das Datenschutzgesetz muss eingehalten werden. Und ich frage mich, warum sich die Postfinance dagegen gewehrt hat, dass meine Verfügung publiziert wird. Ein entspannteres Verhältnis zur Transparenz wäre wohltuender.