Drei Schweizer Pflichten, ein konsistenter Ansatz.
Sicherheit und Datenschutz auf einer KMU-Webseite haben sich seit 2024 deutlich verĂ€ndert. Drei Regelwerke greifen heute parallel und mĂŒssen sauber zusammen gedacht werden:
- revDSG: das revidierte Schweizer Datenschutzgesetz, in Kraft seit 1. September 2023. Rechtsgrundlage fĂŒr jede Schweizer Webseite.
- DSGVO: die EU-Datenschutz-Grundverordnung. Gilt fĂŒr jede Schweizer Site, die Menschen in der EU erreicht, also praktisch jede.
- BFSG: das deutsche BarrierefreiheitsstÀrkungsgesetz (Umsetzung der EU-Richtlinie 2019/882), anwendbar seit 28. Juni 2025. Erfasst Schweizer Anbieter mit EU-Kunden, vor allem im E-Commerce.
Sicherheit, Datenschutz und Barrierefreiheit sind 2026 ein zusammenhĂ€ngender Block, und einer, der bei Audits und Lieferanten-Bewertungen ernsthaft geprĂŒft wird. Wer das ignoriert, verliert Mandate noch vor dem ErstgesprĂ€ch.
Was sich fĂŒr KMU-Webseiten konkret Ă€ndert hat.
Das revidierte DSG bringt fĂŒr KMU-Webseiten vier praktische Pflichten, die wir standardmĂ€ssig einrichten:
1 · Aktive Information statt versteckte Klauseln
DatenschutzerklÀrung muss aktiv und verstÀndlich sein, nicht nur zugÀnglich.
Was wir bauen: separate Seite /datenschutz/, klar gegliedert,
mit konkreten Aussagen: welche Tools, welche Daten, welche Aufbewahrung,
welche Drittanbieter, welche Rechte.
2 · Profiling-Hinweise
Wenn Profile gebildet werden (auch automatisch durch Tracking), muss das transparent sein. Unser Grundsatz auf rundum.dog und in unseren Mandaten: keine Profilbildung (anonymisierte Analytics, kein Personalisierungs-Tracking). Was wir empfehlen, leben wir selbst.
3 · Datenweitergabe ins Ausland
Cloud-Anbieter mit Sitz in den USA (Google Analytics, Stripe, Cloudflare) erfordern eine Information darĂŒber, wohin die Daten gehen. Wir dokumentieren das in der DatenschutzerklĂ€rung mit Standardvertragsklauseln, wo nötig.
4 · Auskunfts- und Berichtigungspflichten
Nutzende können verlangen, welche Daten gespeichert sind und Korrekturen
einfordern. Wir richten dafĂŒr einen klaren Pfad ein, typischerweise eine
E-Mail-Adresse datenschutz@ mit interner Verarbeitungs-Logik.
Webseiten und Apps mĂŒssen fĂŒr alle bedienbar sein.
Das BFSG verpflichtet Anbieter, ihre digitalen Produkte barrierefrei zu gestalten, vor allem im E-Commerce. FĂŒr Schweizer KMU mit EU-Kunden ist das relevant. Was wir standardmĂ€ssig in jedem Mandat berĂŒcksichtigen:
| Kontrast | Mindestens 4,5:1 fĂŒr normalen Text, 3:1 fĂŒr grossen Text. Wir prĂŒfen das visuell und mit Tools wie axe DevTools. |
|---|---|
| Tastatur-Navigation | Alle interaktiven Elemente mĂŒssen ohne Maus erreichbar sein. Tab-Reihenfolge sinnvoll. |
| Semantik | HTML-Tags richtig einsetzen: <button> fĂŒr Buttons, <a> fĂŒr Links, <nav> fĂŒr Navigation. Keine Div-Soup. |
| Alt-Texte | Pflicht auf Bildern mit Inhaltsfunktion. Dekorative Bilder mit leerem alt="". |
| Formular-Labels | Jedes Input-Feld hat ein sichtbares Label. Fehlermeldungen klar formuliert und visuell+textlich erkennbar. |
| Skip-Links | «Zum Inhalt springen» fĂŒr Screenreader-Nutzende. |
| Standard | WCAG 2.2 Level AA als Mindeststandard. AAA-Anspruch in Spezial-Mandaten. |
Barrierefreiheit gehört 2026 zum seriösen Webauftritt, auch unabhÀngig vom BFSG-Geltungsbereich.
Pflichtangaben fĂŒr jeden Online-Verkauf in die EU.
Die EU-Allgemeine Produktsicherheitsverordnung (GPSR) gilt seit 13. Dezember 2024. Sie betrifft jede Schweizer Webseite, die Produkte nach EU verkauft, und das ist im WooCommerce-Bereich praktisch jede.
Was Pflicht ist
- Verantwortliche Person in der EU: Hersteller-Adresse oder bevollmÀchtigter Vertreter mit EU-Sitz
- CH-Importeur-Adresse fĂŒr Schweizer Anbieter, die nach EU exportieren
- Sicherheitswarnungen + Bedienungsanleitung auf der Produkt-Detail-Seite, in den Sprachen des Ziellandes
- Identifikations-Daten: Hersteller-Name, Modell, Chargennummer wenn vorhanden
- Meldekanal fĂŒr Verbrauchende bei Sicherheitsbedenken
Wir haben einen GPSR-konformen Produktdaten-Block fĂŒr WooCommerce, der diese Felder strukturiert verwaltet. Mehr dazu im Werkstatt-Eintrag WooCommerce.
Was wir in jedem WordPress-Setup standardmÀssig einrichten.
| HTTPS ĂŒberall | Let’s Encrypt oder Hoster-Zertifikat. Strict-Transport-Security (HSTS) als HTTP-Header. |
|---|---|
| Content-Security-Policy | CSP-Header definiert, welche Ressourcen die Site laden darf. Das schĂŒtzt gegen XSS-Angriffe. |
| Login-HĂ€rtung | Captcha auf wp-login.php, Limit-Login-Attempts, 2FA fĂŒr Admin-Accounts (TOTP via Authenticator-App), keine Auto-Login-Cookies lĂ€nger als nötig. |
| WordPress-Updates | Automatische Minor-Updates aktiv. Major-Updates manuell nach Pre-Live-Test auf Staging. |
| Plugin-Hygiene | Wenig Plugins, regelmÀssig auditiert. Verwaiste Plugins werden gelöscht (nicht nur deaktiviert). |
| Backups | UpdraftPlus oder vergleichbar, mit tÀglichem Backup, Retention 30 Tage, externer Speicher (Infomaniak, AWS S3, Backblaze). |
| iThemes Security / Wordfence | Eines der etablierten Security-Plugins, konfiguriert mit Datei-IntegritĂ€tsprĂŒfung, Login-Schutz, Brute-Force-Detection. |
| WAF (Web Application Firewall) | Cloudflare oder Hoster-WAF blockt typische Angriffsmuster auf Server-Ebene, bevor sie WordPress erreichen. |
Was wir nicht empfehlen: Plugin-Stack-Bloat. Manche Sites haben 30+ Security-, SEO-, Cache-, Backup-Plugins, die sich gegenseitig in die Quere kommen. Lieber weniger Plugins, sauber konfiguriert.
Keine Profilbildung. Anonymisierte Analytics. Bewusste Entscheidung.
Auf rundum.dog und in den meisten unserer Mandate gilt ein klares Prinzip: wir bilden keine Profile von Besuchenden. Das ist kein datenschutzrechtliches Minimum, sondern eine bewusste Wertentscheidung.
Was das im Bau bedeutet
- Google Analytics 4 mit anonymisierter IP, ohne Google-Signals, ohne erweiterte Personalisierung
- Cookies-Consent-Banner ehrlich: keine Dark-Pattern-Buttons, klare Opt-Out-Pfade
- Keine Tracking-Pixel ohne expliziten Anlass (Meta-Pixel, TikTok-Pixel, LinkedIn Insight nur bei aktiven Kampagnen)
- Server-side-Tracking wo möglich, statt Browser-side mit Drittanbieter-Cookies
- Plausible Analytics oder Matomo als Alternativen, wenn Google-freier Stack gewĂŒnscht ist
Funktioniert das ohne Profile? Ja. Wir betreiben rundum.dog mit ~1 Mio. Sessions/Monat sauber ohne Profilbildung, mit klaren Konversions-Daten, die fĂŒrs GeschĂ€ft reichen. Was wir empfehlen, hat sich bei uns selbst bewĂ€hrt.
Datenschutz-bewusster Stack.
| DatenschutzerklĂ€rung | activeMind oder Datenschutzpartner als generierter Basis-Text, wir passen fĂŒr jeden Mandanten an. |
|---|---|
| Cookie-Consent | Borlabs Cookie, Real Cookie Banner, oder Complianz: alle DSGVO/revDSG-konform, ohne Dark-Pattern. |
| Analytics | Google Analytics 4 mit Anonymisierung, oder Matomo selbst-gehostet, oder Plausible Schweizer Server. |
| Security-Plugin | iThemes Security Pro (was wir auf rundum.dog einsetzen) oder Wordfence. |
| Backup | UpdraftPlus mit externem Speicher, oder hoster-eigene Backup-Lösungen (Infomaniak hat ein eigenes Backup-System). |
| Accessibility-Audit | axe DevTools, Lighthouse, manuelle Tastatur-/Screenreader-Tests mit VoiceOver oder NVDA. |
Was wir oft gefragt werden und ehrlich beantworten.
Brauchen wir wirklich einen Cookie-Banner?
Wenn du Cookies setzt, die nicht technisch zwingend sind: ja. Tracking-Cookies, Marketing-Cookies, Analytics. Wer ausschliesslich Session-Cookies fĂŒr den Login nutzt, kann auf den Banner verzichten.
Reicht eine Standard-DatenschutzerklÀrung aus dem Generator?
Nein. Generator-Texte sind ein guter Ausgangspunkt, mĂŒssen aber an die tatsĂ€chlich eingesetzten Tools angepasst werden. Sonst stimmt die ErklĂ€rung mit der RealitĂ€t nicht ĂŒberein, und das ist ein revDSG-Problem.
Was passiert bei einem Datenschutz-Vorfall?
Meldepflicht innert 72 Stunden an den EDĂB (revDSG) bzw. die zustĂ€ndige Aufsichtsbehörde (DSGVO). Wir empfehlen einen vorbereiteten Krisen-Workflow. Das halten wir auch selbst so: nicht erst panisch nachschauen, was zu tun ist.
MĂŒssen wir BFSG einhalten, wenn wir nur Schweizer Kunden haben?
Das BFSG ist deutsches Recht und setzt die EU-Richtlinie 2019/882 um. Eine direkte Pflicht haben Schweizer Anbieter erst, wenn sie EU-Kunden bedienen (im E-Commerce ab gewissen Schwellenwerten). Wir empfehlen trotzdem WCAG 2.2 AA, weil Barrierefreiheit handwerklich zur sauberen Webseite gehört.
Brauchen wir eine 2FA fĂŒr alle Mitarbeitenden?
FĂŒr Admin-Accounts: ja. FĂŒr Editor- und Autor-Konten: empfohlen. FĂŒr Subscriber: nein. Wir richten 2FA standardmĂ€ssig fĂŒr Admin ein, optional fĂŒr alle anderen Rollen.
Wie hoch sind die Kosten fĂŒr Wartung + Sicherheit pro Monat?
Das hÀngt vom Umfang deiner Website ab. Zur Wartung gehören regelmÀssige Updates, Security-Monitoring, ein monatlicher Backup-Check, ein Plugin-Audit und kleinere Inhaltsanpassungen. Wir machen ein Angebot, sobald wir dein Projekt verstanden haben.
Querverweis: /werkstatt/woocommerce/ · /werkstatt/auffindbarkeit/
Sicherheit und Datenschutz haben keine eigene Werkstatt-Seite. Sie sind in jedem Mandat Pflicht-Bestandteil, kein eigenstÀndiges Service-Angebot. Konkrete Implementations-Patterns siehst du in den passenden Werkstatt-EintrÀgen:
- WooCommerce: GPSR + BFSG fĂŒr Online-Shops
- Auffindbarkeit: anonymisierte Analytics + unser Grundsatz
- Kirchen-Plattformen: Datenschutz bei sensiblen Anliegen