Warum Betriebskontinuität nicht Grossunternehmen vorbehalten ist
Ein Schweizer KMU mit zehn Mitarbeitenden verfügt nicht über eine eigene Crisis-Management-Abteilung, konzentriert aber oft in wenigen Personen unersetzliche Kompetenzen: Kundenbetreuung, Bankfreigaben, Zugang zum Buchhaltungssystem, Beziehungen zur ESTV und zur Pensionskasse. Wenn der Unternehmensserver nicht mehr reagiert, der Inhaber drei Wochen lang arbeitsunfähig ist oder der Cloud-Anbieter den Service unterbricht, kann der Betrieb innerhalb weniger Stunden zum Stillstand kommen.
Der Betriebskontinuitätsplan (Business Continuity Plan, BCP) ist kein Regaldokument für Multinationals: Er ist ein Set aus Verfahren, Verantwortlichkeiten und Ressourcen, mit dem sich die wesentlichen Prozesse aufrechterhalten — oder rasch wiederhergestellt — lassen. Für eine GmbH oder Einzelfirma im Tessin, in Zürich oder im Wallis bedeutet das vor allem, Rechnungsstellung, Zahlungseingänge, Lieferantenzahlungen, steuerliche Pflichten und den Zugriff auf Buchhaltungsdaten sicherzustellen.
Dieser Leitfaden zeigt, wie Sie einen realistischen BCP für ein KMU aufbauen — mit Fokus auf IT-Krisen, Ausfälle von Schlüsselpersonen und Notfallverfahren, die mit dem geltenden Schweizer Rechtsrahmen im Jahr 2026 im Einklang stehen.
Häufigste Krisenszenarien in Schweizer KMU
Bevor Sie detaillierte Verfahren ausarbeiten, sollten Sie die Ereignisse erfassen, die in der Praxis kleine und mittlere Schweizer Unternehmen am häufigsten treffen:
IT- und Cyberkrisen
Ransomware, Hardwaredefekt, versehentliche Datenlöschung, Ausfall des Cloud-Anbieters oder des Buchhaltungssystems. Die Auswirkungen sind unmittelbar auf Rechnungen, Kontoauszüge, MWST-Abrechnungen und Lohnabrechnungen spürbar.
In der Schweiz meldet das National Cyber Security Centre (NCSC) einen stetigen Anstieg der Angriffe auch auf KMU. Das Bundesgesetz über den Datenschutz (DSG, in Kraft seit 1. September 2023) schreibt dem Risiko angemessene technische und organisatorische Massnahmen vor (Art. 8 DSG).
Abwesenheit des Inhabers oder Schlüsselpersonen
Krankheit, Unfall, Tod oder längere Abwesenheit des Geschäftsführers, der Administration oder des einzigen Mitarbeitenden, der die Prozesse kennt. Ohne Vollmachten und Dokumentation kann niemand Verträge unterzeichnen, Zahlungen freigeben oder die Monatsabschlüsse erstellen.
Das Obligationenrecht (OR) schreibt KMU keinen formellen BCP vor, verpflichtet den Geschäftsführer einer GmbH aber zur sorgfältigen Geschäftsführung (Art. 812 OR). Fehlende Kontinuität kann Fahrlässigkeit begründen und zu zivilrechtlicher Haftung gegenüber der Gesellschaft, den Gesellschaftern und den Gläubigern führen (Art. 754 OR).
Ausfall kritischer Lieferanten
Bank, Treuhänder, Hosting-Anbieter, Rechnungssoftware oder Zahlungsplattform nicht verfügbar. Schon eine Unterbrechung von 48 Stunden zum Ende der MWST-Quartalsfrist kann Verzögerungen, Säumniszuschläge und Spannungen mit Kunden nach sich ziehen.
Die Abhängigkeit von einem einzigen Anbieter für E-Mail, DNS, Backups und Buchhaltung zu bewerten, ist der erste Schritt zur Definition von Alternativen.
Physische und lokale Ereignisse
Brand, Überschwemmung, längerer Stromausfall oder fehlender Zugang zu den Büros. KMU mit nicht digitalisierten Papierarchiven sind besonders verwundbar.
Die Schweizer Rechnungslegungsvorschriften (OR, Art. 958f) verlangen die Aufbewahrung der Geschäftsbücher und Buchhaltungsunterlagen zehn Jahre ab Geschäftsjahresende: Der BCP muss sicherstellen, dass diese Dokumente erhalten bleiben und einsehbar sind.
Matrix der kritischen Funktionen
Ein wirksamer BCP für KMU beginnt mit der Identifikation der Prozesse, die über eine definierte Schwelle hinaus nicht stillstehen dürfen (Recovery Time Objective, RTO). Hier eine Referenzmatrix:
| Funktion | Indikatives RTO | Hauptrisiken | Mindestmassnahme |
|---|---|---|---|
| Rechnungsstellung und Zahlungseingänge | 0–24 Stunden | Buchhaltungssystem offline, E-Banking-Zugang gesperrt | Cloud-Backup, zweite Bankzeichnungsberechtigung, Offline-Rechnungsvorlage |
| Buchhaltung und Reporting | 24–48 Stunden | Datenverlust, einziger Admin-Benutzer | Periodischer Export, doppelter Admin-Zugang, Treuhand-Review |
| Lieferanten- und Lohnzahlungen | 24–72 Stunden | Abwesenheit des Inhabers, abgelaufene Mandate | Bankvollmacht, dokumentierte Liste wiederkehrender Zahlungen |
| Steuerliche Pflichten (MWST, Steuern) | Innerhalb gesetzlicher Fristen | Unvollständige Daten, verantwortliche Person abwesend | Gemeinsamer Steuerkalender, aktive Treuhand-Vollmacht |
| Kundenkommunikation | 0–4 Stunden | E-Mail und Telefon funktionieren nicht | Alternative Nummer, Vorlage für Unterbrechungsmitteilung |
| Zugriff auf Rechtsdokumente | 48 Stunden | Papierarchiv zerstört | Digitalisierung, sichere externe Ablage |
Das RTO ist branchenspezifisch anzupassen: Eine Werkstatt mit dringenden Wartungsverträgen hat andere Prioritäten als ein Beratungsbüro mit monatlicher Rechnungsstellung. Ziel ist nicht Perfektion, sondern Klarheit darüber, was zuerst wiederhergestellt werden muss.
IT-Kontinuität: Buchhaltungsdaten, Backups und Zugänge
Für die meisten Schweizer KMU ist die IT-Krise das Risiko mit der grössten unmittelbaren betrieblichen Auswirkung. Ein strukturierter Ansatz umfasst drei Ebenen:
1. 3-2-1-Regel für Backups. Drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine extern (Cloud oder externes Rechenzentrum). Backups müssen das Buchhaltungssystem, Steuerunterlagen, Lohnabrechnungen, Verträge und die Unternehmens-E-Mail umfassen. Wiederherstellung mindestens einmal jährlich testen: Ein nie geprüftes Backup ist keine Garantie.
2. Zugangsverwaltung. Vermeiden Sie, dass eine einzelne Person alle Admin-Passwörter hält. Verwenden Sie einen Unternehmens-Passwortmanager mit Notfallzugang für den Inhaber oder Treuhänder. Dokumentieren Sie, welche Benutzer Daten exportieren dürfen, wer E-Banking-Zahlungen freigibt und wer Internetdomain und DNS verwaltet.
3. Cloud-Software und Datenportabilität. Cloud-Buchhaltungslösungen wie Accountex reduzieren das Risiko lokaler Datenverluste dank automatischer Backups und Zugriff von jedem Gerät. Vertragsbedingungen prüfen: Wer hält die Daten, wie lassen sie sich exportieren (CSV, PDF, Standardformat) und welches SLA garantiert der Anbieter im Störungsfall.
Ransomware: Was in den ersten Stunden zu tun ist
- •Kompromittierte Geräte sofort vom Netz isolieren (WLAN, Kabel).
- •Lösegeld nicht ohne Bewertung durch IT-Experten zahlen und gegebenenfalls Meldung ans NCSC.
- •Saubere Backups und Cloud-Buchhaltung aktivieren, um Rechnungsstellung und Buchungen fortzusetzen.
- •Meldepflicht gegenüber dem EDÖB prüfen, wenn die Verletzung voraussichtlich ein hohes Risiko für die Persönlichkeit oder Grundrechte der Betroffenen birgt (Art. 24 Abs. 1 DSG).
- •Vorfall dokumentieren für allfällige Anfragen der Cyberversicherung und des Revisors.
Kritische Abwesenheiten: Inhaber, Administration und Schlüsselpersonen
Wenn der Geschäftsführer einer GmbH oder der Einzelunternehmer plötzlich abwesend ist, betrifft die Lücke nicht nur die Führung: Oft blockiert sie Unterschriften, Bankzugänge und tägliche Entscheidungen. So bereiten Sie sich vor:
Formelle Vollmachten und Prokura
Bankvollmacht für eine zweite zeichnungsberechtigte Person (Gesellschafter, Ehepartner, Treuhänder) mit klaren Grenzen einrichten. In Gesellschaftsvertrag oder Statuten prüfen, wer die Gesellschaft bei Verhinderung des Geschäftsführers vertreten darf.
Bei Einzelfirmen eine Generalvollmacht bei der Bank hinterlegen und ein internes Dokument erstellen, das festlegt, wer den Betrieb in Abwesenheit des Inhabers führt.
Internes Betriebshandbuch
Ein Dokument von 5–10 Seiten mit: Schweizer Steuerkalender (viertel- oder halbjährliche MWST, Quellensteuer, AHV), Liste kritischer Lieferanten mit Kontakten, monatlichem Buchhaltungsabschlussverfahren, Zugangsdaten im Passwortmanager und Monatsend-Checkliste.
Vierteljährlich aktualisieren. Ein Revisor oder Treuhänder kann bei der Erstellung helfen — auch ohne strukturierte HR-Abteilung.
Beim Tod des Inhabers kommen Unternehmensnachfolge, Erben und allfällige Liquidation ins Spiel. Bei einer GmbH zeigt der Handelsregistereintrag Gesellschafter und Vertretungsberechtigte: Stellen Sie sicher, dass mindestens eine weitere Person weiss, wie die Generalversammlung einberufen und ein interimistischer Geschäftsführer bestellt wird. Ertragsausfall- oder Key-Person-Versicherung (falls abgeschlossen) kann temporäre Ersatzkosten decken, ersetzt aber keine operative Dokumentation.
Notfallverfahren: Befehlskette und Kommunikation
Ein schlanker BCP für KMU muss vier Fragen schriftlich und zugänglich beantworten (Papier im Büro + Cloud-Kopie):
| Element | Inhalt | Verantwortlich |
|---|---|---|
| BCP-Aktivierung | Objektive Kriterien: Server down > 4 h, Inhaber abwesend > 5 Tage, Cyber-Vorfall bestätigt | Inhaber oder designierter Stellvertreter |
| Krisenteam | Namen, Telefon, E-Mail, Eskalationsreihenfolge (intern → Treuhänder → externer IT-Dienstleister) | Sekretariat / Admin oder Geschäftsführer |
| Externe Kommunikation | E-Mail-/SMS-Vorlagen für Kunden und Lieferanten; Mitteilung auf der Website | Vertriebsverantwortlicher |
| Operative Prioritäten | Geordnete Liste: Zahlungseingänge, Löhne, Steuerfristen, Kundenaufträge | Verantwortliche Administration |
| IT-Wiederherstellung | MSP-Kontakt, Backup-Restore-Verfahren, Wechsel auf Cloud-Buchhaltung | IT-Verantwortlicher (intern oder extern) |
| Vorfallabschluss | Prüfung der Buchhaltungsintegrität, interne Notiz, BCP-Aktualisierung | Inhaber + Treuhänder |
Simulieren Sie mindestens einmal jährlich ein einfaches Szenario — etwa «Inhaber 48 Stunden nicht erreichbar» — und prüfen Sie, ob jemand anderes eine Rechnung stellen, den Kontostand abfragen und eine MWST-Frist einhalten kann. Ein Test von dreißig Minuten ist mehr wert als zwanzig Seiten Theorie.
Rechtliche und buchhalterische Aspekte in der Schweiz
Der BCP berührt verschiedene Pflichten des Schweizer Rechts, auch wenn kein Gesetz einen Betriebskontinuitätsplan für KMU ausdrücklich vorschreibt:
Aufbewahrung von Unterlagen (OR Art. 958f). Geschäftsbücher, Buchhaltungsunterlagen, Geschäftsbericht und Revisionsbericht sind zehn Jahre ab Geschäftsjahresende lesbar und überprüfbar aufzubewahren. Der Plan muss sicherstellen, dass Backups und digitales Archiv diese Anforderung erfüllen — einschliesslich der Möglichkeit, nach einem Vorfall Unterlagen der ESTV oder dem Revisor vorzulegen.
Datenschutz (DSG). Dem Risiko angemessene Sicherheitsmassnahmen (Art. 8 DSG), Verzeichnis der Bearbeitungstätigkeiten wo vorgesehen (Art. 12 DSG), Meldung an den EDÖB bei Verletzungen mit voraussichtlich hohem Risiko (Art. 24 DSG). Ein Cyber-Vorfall, der Kundendaten offenlegt, kann reputations- und sanktionsrechtliche Folgen haben.
Pflichten des Geschäftsführers (OR Art. 812 und 754). Der Geschäftsführer einer GmbH muss sorgfältig handeln (Art. 812 OR). Bekannte IT-Risiken zu ignorieren oder keine Nachfolge für die administrative Führung zu haben, kann im Rahmen der zivilrechtlichen Haftung gegenüber Gesellschaft, Gesellschaftern und Gläubigern angefochten werden (Art. 754 OR).
Steuerfristen. Fristen für MWST-Abrechnung, Quellensteuer und AHV-Beiträge werden durch einen internen Notfall nicht ausgesetzt. Eine vorgängige Vollmacht an den Treuhänder oder Buchhaltungssoftware mit gemeinsamem Zugang reduziert das Risiko von Verzögerungen und Säumniszuschlägen.
Umsetzung in fünf Schritten für KMU
Kritische Prozesse identifizieren
Alles auflisten, was bei 24-stündiger Unterbrechung wirtschaftlichen oder rechtlichen Schaden verursacht: Rechnungsstellung, Zahlungen, Produktion, Kundendienst. Buchhaltung, IT und Vertragskenner einbeziehen.
RTO und Stellvertreter definieren
Für jeden Prozess festlegen, innerhalb welcher Zeit er wieder anlaufen muss und wer handelt, wenn die verantwortliche Person abwesend ist. Mindestens eine Bankvollmacht und einen zweiten Admin im Buchhaltungssystem formalisieren.
Daten und Zugänge absichern
Automatische Backups aktivieren, Zwei-Faktor-Authentifizierung für E-Banking und E-Mail, gemeinsamer Passwortmanager. Salden und Buchungen regelmässig aus der Buchhaltungssoftware exportieren.
BCP-Dokument erstellen (max. 10 Seiten)
Notfallkontakte, Verfahren für IT und Abwesenheiten, Steuerkalender, Versicherungsliste (Cyber, Ertragsausfall). Papierkopie extern und geschützte digitale Kopie aufbewahren.
Jährlich testen und aktualisieren
Backup-Wiederherstellung prüfen, Abwesenheit des Inhabers simulieren, Lieferantenkontakte überprüfen. Nach jedem Software-, Bank- oder Personalwechsel aktualisieren. BCP in die Einführung neuer Admin-Mitarbeitender einbinden.
Kurze operative Checkliste
Nutzen Sie diese Liste, um den Vorbereitungsstand Ihres KMU zu prüfen:
- ☐Automatische Backups aktiv und Wiederherstellungstest in den letzten 12 Monaten durchgeführt
- ☐Mindestens zwei Personen mit Admin-Zugang zum Buchhaltungssystem
- ☐Bankvollmacht oder zweite E-Banking-Zeichnungsberechtigung eingerichtet und getestet
- ☐Unternehmens-Passwortmanager mit dokumentiertem Notfallzugang
- ☐Gemeinsamer Kalender Schweizer Steuerfristen (MWST, Steuern, AHV, BVG)
- ☐Aktualisiertes internes Betriebshandbuch (Lieferanten, Monatsverfahren, Kontakte)
- ☐Krisenkommunikationsvorlagen für Kunden und Lieferanten bereit
- ☐MSP- oder externer IT-Support-Kontakt mit definiertem SLA
- ☐Bewertung Cyber- oder Ertragsausfallversicherung abgeschlossen
- ☐Notfallsimulation mit dokumentiertem Ergebnis durchgeführt
Ein Betriebskontinuitätsplan beseitigt Krisen nicht, verkürzt aber die Zeit der Unentschlossenheit, wenn jede Stunde zählt. Für Unternehmer und Treuhandbüros, die digitale Tools wie Accountex nutzen, bilden dokumentierte Prozesse, gemeinsame Zugänge und jederzeit verfügbare Buchhaltungsdaten in der Cloud die konkrete Grundlage für Resilienz — ohne die Komplexität eines Corporate-BCP, aber mit derselben Logik: im Voraus wissen, wer was mit welchen Mitteln und in welcher Frist erledigt.