Warum Schweizer KMU Uptime-Monitoring für Datenschutz und Revisionssicherheit brauchen

Wenn ein Schweizer KMU an Compliance denkt, fallen einem meist zuerst das Obligationenrecht (OR), die MWST-Abrechnung und der korrekte Kontenrahmen KMU für die Buchhaltung ein. Kaum jemand denkt dabei an die Verfügbarkeit der eigenen Server. Seit dem Inkrafttreten des revidierten Datenschutzgesetzes (revDSG) — und parallel dazu den DSGVO-Pflichten für alle, die Kundschaft in der EU bedienen — ist die Verfügbarkeit von Systemen und der Umgang mit Vorfällen jedoch still und leise zu einem eigenständigen Compliance-Thema geworden.

Was das Gesetz tatsächlich verlangt

Das revidierte DSG verpflichtet Unternehmen, angemessene technische und organisatorische Massnahmen zum Schutz von Personendaten zu treffen — und diese im Bedarfsfall auch nachweisen zu können. Fällt ein Kundenportal, ein Fakturierungssystem oder ein Buchungstool aus und werden dabei Personendaten unzugänglich, nicht verfügbar oder während des Ausfalls exponiert, kann dies als Datensicherheitsverletzung nach Art. 24 DSG gelten. Dieselbe Logik gilt gemäss Art. 33 DSGVO für Unternehmen mit Kundschaft in der EU: Verletzungen, die ein Risiko für betroffene Personen darstellen, müssen dokumentiert und vielfach innert enger Fristen gemeldet werden.

Der gemeinsame Nenner ist dabei nicht "Ausfälle dürfen nie vorkommen" — das wäre für kein Unternehmen realistisch. Entscheidend ist vielmehr, dass Sie nachweisen können, dass Sie die Lage im Griff hatten, prompt reagiert haben und über eine dokumentierte Spur verfügen, was wann passiert ist. Für die meisten kleinen und mittleren Schweizer Unternehmen, die mit Excel-Listen, privaten Telefonbenachrichtigungen oder gar keinem Monitoring arbeiten, existiert diese Dokumentation schlicht nicht.

Wo manuelle Prozesse zum Risiko werden

Ohne strukturiertes Monitoring erfährt ein typisches KMU auf eine von drei Arten von einem Ausfall: Ein Kunde beschwert sich, ein Mitarbeiter stolpert zufällig darüber, oder es fällt lange niemandem auf — bis irgendwann jemand merkt, dass seit Tagen keine Rechnungen mehr synchronisiert wurden. Keiner dieser Wege liefert einen Zeitstempel der Entdeckung, eine Aufzeichnung, wer informiert wurde, oder einen Vermerk, wann das Problem behoben war. Fragt später ein Treuhänder oder Revisor "Wann haben Sie vom Ausfall erfahren, und wie haben Sie reagiert?", lautet die ehrliche Antwort oft: "Das wissen wir nicht genau."

Besonders heikel ist diese Lücke für Unternehmen mit nächtlichen Batch-Jobs — Backups, MWST-Datenexporte, Lohnsynchronisationen, CRM-Abgleiche. Schlägt ein Cron-Job unbemerkt fehl, gibt es meist keinen Mechanismus, der dies erkennt, bevor der Schaden sichtbar wird — und dann sind Daten für eine ganze Berichtsperiode womöglich bereits inkonsistent oder fehlen ganz.

Wie Uptime-Monitoring diese Lücke schliesst

Das Uptime-Monitoring und die öffentlichen Status-Seiten von Flitz wurden genau für dieses Problem entwickelt: Schweizer KMU erhalten dieselbe Infrastruktur-Disziplin, die grosse Unternehmen längst selbstverständlich einsetzen — ganz ohne eigene IT-Abteilung.

• Kontinuierliche Erkennung. Jeder HTTP/HTTPS-Endpunkt wird alle 30 Sekunden von EU-Infrastruktur aus geprüft, sodass Ausfälle nahezu in Echtzeit erkannt werden — und nicht erst durch eine Kundenbeschwerde.
• Heartbeats für Cron-Jobs. Geplante Jobs — nächtliche Backups, MWST-Exporte, Lohnläufe — melden sich nach Abschluss über eine private URL zurück. Bleibt diese Rückmeldung aus, wird automatisch ein Incident eröffnet. Genau diese Kontrolle fehlt bei manuellen Prozessen fast immer: der Nachweis, dass ein Backup tatsächlich gelaufen ist — nicht nur, dass es geplant war.
• Eine dokumentierte Incident-Timeline. Jeder Vorfall hält Bestätigungs- und Behebungsschritte, verknüpfte Kommentare und Post-Mortem-Notizen fest. Genau diese Dokumentation wird ein Treuhänder, Revisor oder Datenschutzberater nach einem Vorfall mit Personendaten-Bezug sehen wollen.
• Alarmierung mit klarer Verantwortlichkeit. Bei jedem Statuswechsel gehen E-Mail- und Team-Chat-Benachrichtigungen raus, ergänzt durch Pikettpläne und Eskalationsregeln — so bleibt ein Vorfall nie unbemerkt, nur weil die zuständige Person gerade nicht erreichbar war.
• Transparenz gegenüber Kunden. Eine gebrandete, öffentliche Status-Seite auf Ihrer eigenen Subdomain ermöglicht proaktive Kommunikation während eines Vorfalls — Sie zeigen dabei nur die Komponenten, die Sie auswählen. Das kommt bei Kunden und Partnern deutlich besser an als Stillschweigen gefolgt von einer Entschuldigungsmail.
• Überwachung von SSL-Zertifikaten. Ein abgelaufenes Zertifikat ist eine häufige, vollständig vermeidbare Ausfallursache und zugleich eine Sicherheitslücke — das Monitoring erkennt dies, bevor daraus ein Vorfall wird.
• Mandantentrennung. Jeder Monitor, jeder Heartbeat und jeder Incident ist strikt auf Ihr Unternehmen beschränkt. Es findet kein mandantenübergreifender Datenabfluss statt — wichtig, da das Monitoring-System selbst Informationen zu Ihrer Infrastruktur und Ihren kundenseitigen Diensten verarbeitet.

Von reaktivem Feuerwehr-Einsatz zur revisionssicheren Dokumentation

Der praktische Nutzen für ein Schweizer KMU liegt nicht nur in weniger Überraschungen — sondern in einer strukturierten, zeitgestempelten Historie, die aus "wir glauben, wir haben schnell reagiert" ein belastbares "hier sehen Sie genau, wann wir es entdeckt, wer es bestätigt und wann wir es behoben haben" macht. Diese Historie ist weit über eine DSG-Anfrage hinaus nützlich: Sie unterstützt Gespräche mit Ihrem Treuhänder zur Datenzuverlässigkeit, gibt Ihrer IT- oder Betriebsleitung eine zentrale Übersicht über den Systemzustand und schafft Vertrauen bei Kunden, die zunehmend Transparenz von ihren Lieferanten erwarten.

Die Bündelung in einer einzigen Plattform erspart zudem den Wildwuchs separater Tools wie Better Uptime, UptimeRobot, Pingdom oder Atlassian Statuspage neben der eigentlichen Geschäftssoftware. Für ein KMU, das Buchhaltung, Fakturierung, Banking, CRM und HR bereits an einem Ort verwaltet, bedeutet die Integration von Infrastruktur-Monitoring und Status-Kommunikation in dasselbe System: eine Lieferantenbeziehung weniger, ein Login weniger und eine Lücke weniger in der Compliance-Geschichte.

Verfügbarkeit ist längst kein reines IT-Thema mehr — für Schweizer Unternehmen, die Personendaten verarbeiten, gehört sie zur verantwortungsvollen Unternehmensführung dazu.

Monitore und Heartbeats einzurichten dauert nur wenige Minuten — doch die daraus entstehende, revisionssichere Dokumentation gewinnt jeden Tag, an dem sie unbemerkt im Hintergrund läuft, zusätzlich an Wert.