Ratgeber · Compliance & Governance

E-Mail-Compliance in der Schweiz: Nachweise statt Absichten

Immer mehr Regelwerke und Lieferanten-Audits fragen E-Mail-Authentifizierung explizit ab. Dieser Leitfaden ordnet die relevanten Rahmenwerke für Schweizer Unternehmen ein — revDSG, DSGVO, NIS2, DORA, ISO 27001, PCI DSS — und zeigt, wie sich ihre Anforderungen mit DMARC belegbar erfüllen lassen.

📖 10 Min. Lesezeit 🔄 Aktualisiert: September 2026 ✓ Fachlich geprüft von Sentrust Engineering

Compliance rund um E-Mail hat einen stillen Wandel durchlaufen: Was früher IT-Kür war, ist heute in mehreren Regelwerken und praktisch jedem Lieferanten-Audit eine erwartete Basis-Massnahme. Der gemeinsame Nenner: Wer Personendaten bearbeitet oder in regulierten Lieferketten steht, muss «angemessene» Kommunikationssicherheit nachweisen können — und der Stand der Technik dafür ist bei E-Mail-Identität klar definiert.

revDSG & DSGVO

Das revidierte Schweizer Datenschutzgesetz (in Kraft seit 2023) und die EU-DSGVO verpflichten zu angemessener Datensicherheit — E-Mail-Verkehr eingeschlossen. Erfolgreiches Spoofing Ihrer Domain kann Personendaten Dritter kompromittieren (Phishing-Opfer geben Daten «an Sie»). Fehlende Basis-Absicherung wird dann schnell zur Frage der Sorgfaltspflicht, inklusive Melde- und Bussgeldrisiken.

«Angemessene Massnahmen» bemessen sich am Stand der Technik: DMARC-Enforcement und Transportverschlüsselung (MTA-STS) gelten als Basis. Details: revDSG im E-Mail-Kontext.

NIS2 & DORA

Zwei EU-Rahmenwerke mit Schweizer Reichweite:

  • NIS2-Richtlinie: verlangt «Stand der Technik» für Kommunikationssicherheit. ENISA-Guidance nennt SPF, DKIM und DMARC ausdrücklich. Geschäftsleitungen haften bei Pflichtverletzung persönlich. Betroffen sind auch Schweizer Firmen in EU-Lieferketten — mehr auf unserer Seite NIS2 für Schweizer Unternehmen.
  • DORA: die Verordnung für digitale Betriebsstabilität im Finanzsektor (anwendbar seit Januar 2025). Sie verlangt dokumentierte Schutzmassnahmen und deren Wirksamkeitsnachweis — DMARC-Reports liefern genau diese Evidenz.

ISO 27001 & PCI DSS

ISO/IEC 27001: Bei Zertifizierung und Re-Audits fragen Prüfer konkret, wie Sie Missbrauch Ihrer Domain für Phishing verhindern. Die Kontrollen 5.14 (Informationsübertragung), 8.7 (Schutz gegen Malware) und 5.7 (Threat Intelligence) werden durch DMARC-Enforcement plus Monitoring mit einem Mechanismus bedient.

PCI DSS 4.0: Requirement 5.4.1 fordert seit 31. März 2025 verbindlich automatisierte Anti-Phishing-Mechanismen. DMARC wird in der Guidance als geeignet genannt; Awareness allein genügt ausdrücklich nicht.

Cyber-Versicherung

Versicherer prüfen vor Abschluss zunehmend technische Mindeststandards — E-Mail-Authentifizierung erscheint regelmässig in den Risikofragebögen. Fehlendes DMARC kann Prämien erhöhen, Deckungsausschlüsse begründen (besonders für BEC/Zahlungsbetrug) oder im Schadenfall zur Leistungskürzung wegen Obliegenheitsverletzung führen. Mehr: Cyber-Versicherung & DMARC.

Vom Vorsatz zum Nachweis

Der rote Faden durch alle Rahmenwerke: Es reicht nicht, geschützt zu sein — man muss es belegen können. Genau dafür ist das Management-Reporting gedacht: Ein Quartalsreport übersetzt technische Telemetrie in Entscheider-Kennzahlen — Schutzstatus je Domain, abgewehrte Missbrauchsversuche, Zustellbarkeits-Trend, offene Risiken. Direkt ablagefähig im ISMS, IKT-Risikodossier oder Versicherungsfragebogen.

Sentrust liefert diese Dokumentation audit-tauglich als Nebenprodukt des laufenden Betriebs. So beantworten Sie Lieferantenfragebögen und Prüferfragen mit «ja, seit Datum X, hier der Nachweis» statt mit einer Absichtserklärung. Hintergrund zur Methodik: Über uns.

Vertiefen & weiterlesen

Dieser Leitfaden bündelt die wichtigsten Bausteine des Themas. Vertiefen Sie einzelne Begriffe im Fachglossar oder sehen Sie sich den passenden Managed Service an:

revDSG & DSGVODatenschutz im E-Mail-Kontext NIS2-RichtlinieEU-Cybersicherheit DORAFinanzsektor-Resilienz ISO/IEC 27001ISMS-Kontrollen PCI DSS 4.0Anti-Phishing-Pflicht Cyber-VersicherungDMARC im Fragebogen Management-ReportingSecurity als Kennzahl CLMZertifikats-Governance

Häufige Fragen

Schreibt das revDSG DMARC konkret vor?
Nicht wörtlich. Das revidierte Schweizer Datenschutzgesetz verlangt «angemessene» technische und organisatorische Massnahmen nach dem Stand der Technik. Für E-Mail-Identität gilt Absender-Authentifizierung (DMARC-Enforcement) und Transportverschlüsselung heute als Basis-Hygiene — nicht als Kür. Details im Glossar unter revDSG.
Betrifft NIS2 auch Schweizer Unternehmen?
Ja, indirekt. Schweizer Unternehmen sind betroffen, wenn sie in der EU tätig sind oder in Lieferketten regulierter EU-Kunden stehen. Lieferantenfragebögen fragen E-Mail-Authentifizierung zunehmend explizit ab. Mehr unter NIS2.
Wie weise ich gegenüber einem Auditor nach, dass wir geschützt sind?
Über kontinuierliche, maschinenlesbare Evidenz: DMARC-Reports dokumentieren Missbrauchsversuche und Abwehrquote laufend. Ein Quartalsreport mit Enforcement-Status je Domain, abgewehrten Fälschungen und Massnahmen-Log ist direkt ablagefähig im ISMS oder IKT-Risikodossier.
Reicht Awareness-Training für PCI DSS 4.0?
Nein. Requirement 5.4.1 verlangt ausdrücklich automatisierte Mechanismen zum Schutz vor Phishing — Awareness allein genügt nicht. DMARC wird in der offiziellen Guidance als geeigneter Mechanismus genannt. Details unter PCI DSS 4.0.

Sollen wir das für Sie übernehmen?

Kostenloses Audit Ihrer Domain — Befund und Fixpreis-Offerte innert 48 Stunden, ohne internen Aufwand.

Kostenloses Audit →