Swiss Room · Lernkarten
Lernkarten Digitalrecht
eIDAS · Data Act · revDSG · ISG · BACS
Lernpaar Schweizer Lagen + EU-Sektoren
Diese 50 Lernkarten und der Quiz Teil 2 sind Eins-zu-Eins gepaart: Karte 6.1 vertieft den Begriff, den Frage 6.1 testet — und so weiter durch alle fünf Kategorien (eIDAS, Data Act, revDSG, ISG, BACS).
Empfohlener Workflow: Erst Lernkarten — Begriffe verstehen mit Definition und Praxis-Anker. Dann Quiz Teil 2 — Wissen unter Multiple-Choice-Druck testen. Beide Modi decken denselben Stoff ab, aus zwei Perspektiven.
So funktionieren die Karten
Jede Karte zeigt zuerst eine kurze Beschreibung. Überlegen Sie, welcher Begriff gemeint ist, und klicken Sie zum Aufdecken. Auf der Rückseite: der Begriff, eine kurze Definition mit Praxis-Anker, plus direkter Verweis auf die zugehörige Quiz-Frage. 50 Karten in 5 Kategorien — jede Karte hat einen Quiz-Zwilling.
Kategorie 6: eIDAS 2.0 / EUDI
Einheitliches digitales Identitätsinstrument für EU-Bürger.
Klicken zum Aufdecken →
Die EUDI Wallet
EU-weit interoperable Wallet-App; Mitgliedstaaten müssen sie ab 2026 anbieten, Bürger müssen sie nicht nutzen.
Identität und Attribute digital nachweisen.
Klicken zum Aufdecken →
Identitäts- & Attributnachweise
Zwei Nachweisarten: Identitätsnachweis („wer Sie sind“) und Attributnachweis (Alter, Diplom, Führerschein, Berufsqualifikation).
Alle Mitgliedstaaten müssen interoperable Wallets anbieten.
Klicken zum Aufdecken →
Interoperabilität & Sicherheit
Technische Kompatibilität EU-weit plus Sicherheitsniveau „hoch“ nach eIDAS — keine Insellösungen einzelner Mitgliedstaaten.
Verifizierbare Nachweise mit höchster Rechtsgültigkeit.
Klicken zum Aufdecken →
Digital signiertes Attribut
Qualified Electronic Attestation of Attributes (QEAA): hat dieselbe Rechtswirkung wie eine papierbasiert ausgestellte Attestierung (Art. 45 eIDAS 2.0) und ist in allen Mitgliedstaaten anerkannt — keine „höchste Beweisstufe", sondern rechtliche Gleichstellung.
QES wird über die Wallet kostenlos zugänglich.
Klicken zum Aufdecken →
Wird modernisiert und zugänglicher
Qualifizierte elektronische Signatur wird über die Wallet für natürliche Personen zu nicht-beruflichen Zwecken kostenlos nutzbar; Mitgliedstaaten dürfen die Gratis-Nutzung hierauf beschränken.
Prioritäre Bereiche sind Gesundheit, Reisen, Behördengänge.
Klicken zum Aufdecken →
Gesundheit, Reisen, eGov
Prioritäre Anwendungsfelder (u. a. Gesundheit, Reisen, Behördengänge, Bildungsnachweise) — aus Erwägungsgründen und EU-Pilotprojekten; die Verordnung (EU) 2024/1183 kodifiziert keinen abschliessenden Vierer-Katalog.
Eigenschaften nachweisen ohne vollständige Datenoffenlegung.
Klicken zum Aufdecken →
Selektive Offenlegung
Bürger zeigen nur das Minimum, das nötig ist: bei der selektiven Offenlegung einzelne Attribute, beim weitergehenden Zero-Knowledge-Proof sogar nur die Aussage „über 18“ ohne das Geburtsdatum selbst. Datenminimierung praktisch umgesetzt.
Hohes Sicherheitsniveau mit starker Authentisierung.
Klicken zum Aufdecken →
Starke Authentisierung
Mehr-Faktor-Authentisierung; Wallet-App entspricht eIDAS-Sicherheitsniveau „hoch“ (vergleichbar mit Reisepass-Niveau).
Signaturen, Siegel, Zeitstempel und Zustelldienste.
Klicken zum Aufdecken →
Signatur- & Identitätsdienste
Zu den Vertrauensdiensten gehören u. a. elektronische Signaturen, Siegel, Zeitstempel, elektronische Zustelldienste, Website-Zertifikate und elektronische Attributsbescheinigungen — nicht nur vier Klassen.
Mitgliedstaaten müssen Wallets anerkennen, keine Nutzungspflicht.
Klicken zum Aufdecken →
Staatliche Anerkennung der Wallet
Behörden und große Plattformen (VLOPs nach DSA) müssen die Wallet akzeptieren — Bürger werden nicht zur Nutzung gezwungen.
Kategorie 7: Data Act / DGA
Neue Regeln für Zugang zu Daten vernetzter Produkte.
Klicken zum Aufdecken →
Zugang zu Daten vernetzter Produkte
Data Act regelt den Zugang zu Daten vernetzter Produkte und verbundener Dienste — personenbezogene UND nicht personenbezogene Daten. Bei Personendaten bleibt die DSGVO vorrangig zu beachten.
Hersteller müssen Nutzern Zugang zu Gerätedaten geben.
Klicken zum Aufdecken →
Nutzerzugang zu Gerätedaten
Hersteller müssen Endnutzer kostenlos Zugriff auf gerätegenerierte Daten gewähren — und an Dritte weitergeben, wenn der Nutzer es verlangt.
Rahmen für europäische Datenräume.
Klicken zum Aufdecken →
Vertrauenswürdige Datenräume
Data Governance Act = horizontaler Rahmen für Datenvermittlungsdienste, Datenaltruismus und die Weiterverwendung von Daten öffentlicher Stellen. Sektorale Datenräume (z. B. Gesundheit/EHDS) beruhen auf eigener Gesetzgebung; die Neutralitätspflicht betrifft die Datenvermittlungsdienste.
Neutrale Vermittler ohne eigene Datennutzung.
Klicken zum Aufdecken →
Neutral vermitteln
Datenvermittlungsdienste (Data Intermediation Services) dürfen Daten nicht selbst monetarisieren — strikte Trennung von Plattform und Datennutzung.
Schutz von KMU vor unfairen Klauseln.
Klicken zum Aufdecken →
Fairnesspflichten
Schutz vor missbräuchlichen Vertragsklauseln in B2B-Datennutzungsverträgen, insbesondere zugunsten von KMU.
Recht auf Wechsel, Gebühren begrenzt.
Klicken zum Aufdecken →
Portabilität und Wechselfreiheit
Cloud-Switching-Recht: max. 30 Tage Wechseldauer; Switching-Gebühren ab Januar 2027 vollständig verboten.
Schutzmechanismen für Dateninhaber.
Klicken zum Aufdecken →
Schutz bei hohem Risiko
Geschäftsgeheimnisse werden nur mit vereinbarten Schutzmassnahmen offengelegt; die Weitergabe darf im Ausnahmefall ausgesetzt werden, wenn dem Dateninhaber mit hoher Wahrscheinlichkeit schwerer wirtschaftlicher Schaden droht — keine Generalausnahme.
Wann dürfen Behörden private Daten verlangen?
Klicken zum Aufdecken →
Bei außergewöhnlicher Notwendigkeit
Öffentliche Stellen dürfen Daten nur bei gesetzlich definierter außergewöhnlicher Notwendigkeit verlangen — insbesondere bei öffentlichen Notständen; in eng begrenzten weiteren Fällen auch, wenn eine gesetzliche Aufgabe die Daten erfordert und sie nicht rechtzeitig anders beschafft werden können.
Praktiken die Wechsel unverhältnismässig erschweren.
Klicken zum Aufdecken →
Unfaire Lock-in-Praktiken
Designentscheidungen, die einen Anbieterwechsel unverhältnismässig erschweren — z.B. proprietäre Schnittstellen ohne Migrations-Tools.
Offene Standards für Daten und Cloud.
Klicken zum Aufdecken →
Offene Interoperabilitätsstandards
Cloud-Anbieter und Datenraum-Betreiber müssen offene, dokumentierte Schnittstellen unterstützen — Voraussetzung für funktionierende Datenmobilität.
Kategorie 8: revDSG
Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen.
Klicken zum Aufdecken →
Besonders schützenswerte Personendaten
Beispiel besonders schützenswerter Personendaten nach Art. 5 lit. c revDSG; umfasst auch genetische und biometrische Daten.
Art. 19 verlangt Information über Datenbearbeitung.
Klicken zum Aufdecken →
Betroffene informieren
Aktive Informationspflicht (Art. 19 revDSG): Zweck, Verantwortlicher, Empfänger müssen vor der Bearbeitung transparent gemacht werden.
Ausdrückliche Einwilligung erforderlich.
Klicken zum Aufdecken →
Falls Einwilligung nötig: ausdrücklich
Art. 6 Abs. 7 revDSG: Ist eine Einwilligung erforderlich, muss sie bei Profiling mit hohem Risiko durch private Verantwortliche ausdrücklich erfolgen. Das revDSG verlangt aber nicht generell für jede Bearbeitung eine Einwilligung.
Bussen bis CHF 250’000 gegen natürliche Personen.
Klicken zum Aufdecken →
Natürliche Personen
Im Gegensatz zur DSGVO sanktioniert revDSG primär die verantwortliche natürliche Person (bis CHF 250’000), nicht das Unternehmen.
Art. 16-17 erlauben Transfer nur mit angemessenem Schutz.
Klicken zum Aufdecken →
Angemessenes Niveau nötig
Datenexport (Art. 16-17 revDSG) nur in Länder mit angemessenem Schutzniveau (EDÖB-Liste) oder mit Ersatzmechanismen wie Standardvertragsklauseln.
Handelt weisungsgebunden für den Verantwortlichen.
Klicken zum Aufdecken →
Externer Dienstleister
Auftragsbearbeiter handelt weisungsgebunden für den Verantwortlichen — Cloud-Provider, IT-Dienstleister, Lohnbuchhalterin.
Umfassende Information über Bearbeitung und Rechte.
Klicken zum Aufdecken →
Zweck, Empfänger, Verantwortlicher
Mindestinhalt der Information nach Art. 19 revDSG — in geeigneter, leicht zugänglicher Form (keine Schriftform vorgeschrieben) und vorgängig zur Bearbeitung.
Art. 24 verpflichtet zur Meldung an den EDÖB.
Klicken zum Aufdecken →
EDÖB melden bei hohem Risiko
Art. 24 revDSG: Datenschutzverletzungen mit hohem Risiko unverzüglich an den EDÖB melden, Betroffene wenn nötig direkt.
Automatisierte Bewertung von Leistung, Gesundheit, Verhalten.
Klicken zum Aufdecken →
Automatisierte Bewertung persönlicher Merkmale
Profiling (Art. 5 lit. f revDSG): automatisierte Bearbeitung zur Bewertung persönlicher Aspekte (Leistung, Gesundheit, Verhalten). Nicht zwingend „ohne menschliches Eingreifen" — das gehört zur automatisierten Einzelentscheidung. Eine ausdrückliche Einwilligung ist nur nötig, wenn eine Einwilligung überhaupt erforderlich ist.
Bussen gegen verantwortliche natürliche Personen.
Klicken zum Aufdecken →
Natürliche Personen mit Entscheidungsverantwortung
Strafbar sind bestimmte vorsätzliche Verstöße; verantwortlich ist die natürliche Person, die den Verstoß begeht oder kraft ihrer Funktion dafür einzustehen hat. Keine automatische Haftung der gesamten Geschäftsleitung; unter Voraussetzungen kann eine Unternehmensbusse treten.
Kategorie 9: ISG
Schutz von Bundesinformationen und -infrastruktur.
Klicken zum Aufdecken →
Schutz staatlicher Informationen
Informationssicherheitsgesetz (in Kraft seit 1.1.2024) schützt Bundesinformationen und Bundesinfrastruktur — nicht private Unternehmensdaten.
Klassifizierungsstufen des Bundes?
Klicken zum Aufdecken →
INTERN, VERTRAULICH, GEHEIM
Drei Klassifizierungsstufen für schutzbedürftige Bundesinformationen: INTERN, VERTRAULICH, GEHEIM. Nicht schutzbedürftige Informationen bleiben unklassifiziert bzw. öffentlich zugänglich — das ist keine eigene Geheimhaltungsstufe.
Primär Bundesverwaltung und bundesnahe Organisationen.
Klicken zum Aufdecken →
Die Bundesverwaltung
Primärer Geltungsbereich: Bundesverwaltung und bundesnahe Organisationen (z.B. SBB, Post) bei Erfüllung von Bundesaufgaben.
Methodische Analyse und darauf aufbauende Massnahmen.
Klicken zum Aufdecken →
Systematische Bewertung
Risikomanagement nach ISG: methodische Bedrohungs- und Schwachstellenanalyse, darauf aufbauende Schutzmassnahmen — kein Bauchgefühl.
Das BACS koordiniert auf Bundesebene.
Klicken zum Aufdecken →
BACS (vormals NCSC)
Bundesamt für Cybersicherheit (BACS, vormals NCSC); koordiniert Cybersicherheit auf Bundesebene und veröffentlicht die Mindeststandards.
Strenge Zugangskontrollen und Protokollierung.
Klicken zum Aufdecken →
Zugangskontrolle & Protokollierung
Zugriffe auf schützenswerte Informationen sind nachvollziehbar zu protokollieren. Umfang und Granularität richten sich aber nach Schutzbedarf, System und Sicherheitskonzept — nicht jeder Zugriff auf jede Information muss identisch und lückenlos protokolliert werden.
Gesamter Lebenszyklus von Prävention bis Recovery.
Klicken zum Aufdecken →
Prävention bis Wiederherstellung
Vier Phasen des klassischen Incident-Lifecycle: Prävention, Erkennung, Reaktion, Wiederherstellung. (Das NIST Cybersecurity Framework hat davon abweichend fünf Kernfunktionen — seit CSF 2.0 sechs, inkl. Govern.)
Schutzmassnahmen und Verantwortlichkeiten festhalten.
Klicken zum Aufdecken →
Sicherheitskonzept
Sicherheitskonzept mit Schutzmassnahmen, Verantwortlichkeiten und Eskalationswegen. Als Pflichtdokument im Anwendungsbereich des ISG (das gilt nicht pauschal für jedes Schweizer Privatunternehmen — persönlicher/sachlicher Geltungsbereich ist zu prüfen).
Leitung der Verwaltungseinheit.
Klicken zum Aufdecken →
Die Behördenleitung
Letztverantwortung trägt die Leitung der Verwaltungseinheit (Direktor/in eines Bundesamts), nicht IT-Abteilung oder CISO.
Vertraulichkeit, Integrität, Verfügbarkeit.
Klicken zum Aufdecken →
Nach CIA-Niveau
Drei Schutzziele: Vertraulichkeit (Confidentiality), Integrität (Integrity), Verfügbarkeit (Availability) — internationaler Standard.
Kategorie 10: BACS-Minimalstandards (vormals NCSC)
Basisniveau primär für Betreiber kritischer Infrastrukturen.
Klicken zum Aufdecken →
Mindestanforderungen Cybersicherheit (Fokus kritische Infrastrukturen)
Basisniveau für Cybersicherheit; primär für Betreiber kritischer Infrastrukturen — keine direkte Branchenpflicht, aber faktischer Standard.
Sensibilisierung und Grundschutz als Fundament.
Klicken zum Aufdecken →
Awareness & Basisschutz
Sensibilisierung der Mitarbeitenden plus technischer Grundschutz als Fundament jedes Sicherheitskonzepts — Mensch und Technik gemeinsam.
Bekannte Schwachstellen schnell schliessen.
Klicken zum Aufdecken →
Zeitnahe Installation
Patch-Management: bekannte Sicherheitslücken in akzeptabler Frist schliessen — kritische Patches innert Tagen, sonst innert Wochen.
3 Kopien, 2 Medien, 1 offsite.
Klicken zum Aufdecken →
3-2-1-Regel
Backup-Standard: 3 Kopien auf 2 verschiedenen Medien, 1 davon offline/offsite — Standard-Schutz vor Ransomware.
MFA und Monitoring als technische Basis.
Klicken zum Aufdecken →
Passwortmanager, MFA, Monitoring
Passwortmanager und MFA zur Identitätssicherung, Monitoring zur Erkennung (Detection) — technische Basismassnahmen, empfohlene Mindestkonfiguration für jedes Unternehmen, nicht nur kritische Infrastrukturen.
Phishing und Angriffe erkennen.
Klicken zum Aufdecken →
Social Engineering erkennen
Mitarbeitende müssen Phishing, Pretexting und CEO-Fraud erkennen — Social Engineering bleibt ein häufiger Einstiegspunkt für Cyberangriffe.
Frühzeitige Erkennung und Forensik.
Klicken zum Aufdecken →
Vorfälle erkennen
Detection durch SIEM, Logs, Alerts; ohne Erkennung gibt es keine Reaktion — wichtigster Schritt nach Prävention.
Jede Organisation ist selbst verantwortlich.
Klicken zum Aufdecken →
Die Organisation selbst
Letztverantwortung für Cybersicherheit liegt immer bei der Organisation, nicht bei externen Dienstleistern oder dem BACS.
Minimale Rechte für jede Aufgabe.
Klicken zum Aufdecken →
Least Privilege
Prinzip der minimalen Rechte: jeder Account erhält nur die Berechtigungen, die für die konkrete Aufgabe nötig sind — kein Domain-Admin im Alltag.
Betrieb bei Cybervorfall aufrechterhalten.
Klicken zum Aufdecken →
Betriebsfähigkeit sichern
Business Continuity: auch bei Cybervorfall müssen kritische Prozesse weiterlaufen — minimum viable operations definiert.
Alle Karten aufgedeckt!
Sie haben alle 50 Lernkarten durchgearbeitet.