Datenleck bei MyLovely.ai: Was bedeutet das für Schweizer KMU?

106'000 Zugänge von Nutzern sind im Darknet aufgetaucht. Die Rede ist nicht von einer obskuren Finanzplattform, sondern von MyLovely.ai, einer KI-Plattform, die «KI-Freundinnen» anbietet. Was auf den ersten Blick wie ein Nischenproblem für eine spezifische Nutzergruppe aussieht, entpuppt sich bei genauerer Betrachtung als ein alarmierendes Signal für jedes Schweizer KMU, das heute oder morgen mit Künstlicher Intelligenz arbeitet.

Dieser Vorfall, der im April 2026 bei Heise publik wurde, führt uns die potenziellen Fallstricke der KI-Nutzung drastisch vor Augen. Es geht nicht nur um persönliche Daten der Nutzer, sondern um das fundamentale Vertrauen in die Sicherheit von digitalen Plattformen. Gerade in der Schweiz, wo Datenschutz dank des revidierten DSG einen hohen Stellenwert einnimmt, müssen wir uns fragen: Wie sicher sind die sensiblen Informationen unserer Unternehmen, wenn sie in KI-Systeme eingespeist werden, die nicht immer den höchsten Sicherheitsstandards genügen?

Die Euphorie um KI ist greifbar. Fast die Hälfte (45%) der Schweizer KMU betrachtet KI inzwischen als klaren Vorteil für ihr Geschäft. Doch diese Begeisterung darf uns nicht blind machen für die Risiken. Denn während immer mehr Unternehmen KI zur Automatisierung nutzen, hinkt die Absicherung der Daten oft hinterher. Es ist eine gefährliche Schieflage, die wir als Schweizer Wirtschaft nicht ignorieren können.

Welche konkreten Risiken birgt die Nutzung von KI-Plattformen für die Daten meiner KMU?

Die Risiken sind vielfältig und reichen weit über einen reinen Datenabfluss hinaus. Es ist ein Trugschluss zu glauben, nur weil man keine «KI-Freundin» nutzt, sei man vor solchen Vorfällen gefeit. Jede KI-Plattform, in die Sie Unternehmensdaten einspeisen – sei es für die Übersetzung von Dokumenten, die Optimierung von Korrespondenz oder komplexere Analysen – birgt ein potenzielles Leck.

Das primäre Risiko ist der direkte Datenabfluss. Wie bei MyLovely.ai können Kriminelle Schwachstellen nutzen, um sensible Informationen abzugreifen. Für ein KMU kann das bedeuten, dass Kundendaten, Geschäftsgeheimnisse, Finanzinformationen oder sogar geistiges Eigentum in falsche Hände geraten. Stellen Sie sich vor, Ihre neuesten Produktpläne, die Sie von der KI zusammenfassen liessen, oder vertrauliche Kundenkommunikation landen auf einer Darknet-Plattform. Der Schaden ist dann nicht nur finanziell, sondern auch reputationsmässig immens. Ein solches Leck kann das Vertrauen von Kunden und Partnern unwiederbringlich zerstören.

Ein weiteres, oft unterschätztes Risiko ist die unbeabsichtigte Datenweitergabe durch das KI-Modell selbst. Viele generische KI-Modelle lernen aus den Daten, die sie verarbeiten. Wenn Ihre vertraulichen Unternehmensinformationen zur Verbesserung eines solchen Modells beitragen, besteht die Gefahr, dass diese Informationen bei zukünftigen Anfragen anderer Nutzer wieder auftauchen. Das Phänomen des «Data Contamination» ist real. Ihre internen Strategiepapiere könnten so ungewollt Teil des Trainingsdatensatzes werden und später in den Antworten der KI an Dritte einfliessen. Dies ist ein massiver Verstoss gegen das Geschäftsgeheimnis und die Vertraulichkeit.

Nicht zu vergessen sind die Compliance-Risiken. Das revidierte Schweizer Datenschutzgesetz (DSG) ist klar: Unternehmen sind für den Schutz von Personendaten verantwortlich, auch wenn sie diese an Dritte, einschliesslich KI-Anbieter, übermitteln. Ein Datenleck bei einer von Ihnen genutzten KI-Plattform ist Ihr Problem. Die Bussen können empfindlich sein, ganz abgesehen vom bürokratischen Aufwand und dem Reputationsschaden. Viele KMU wissen nicht, welche Daten sie eigentlich an welche KI-Dienste senden und wo diese Daten schlussendlich gespeichert oder verarbeitet werden. Diese mangelnde Transparenz ist eine tickende Zeitbombe. Zudem kann es passieren, dass Daten in Länder übermittelt werden, die kein angemessenes Datenschutzniveau bieten, was ohne entsprechende Garantien einen klaren DSG-Verstoss darstellt.

Wie kann ich sicherstellen, dass meine Unternehmensdaten auch bei der Nutzung von KI-Tools geschützt sind?

Datenschutz bei KI-Tools erfordert einen proaktiven und mehrschichtigen Ansatz. Es genügt nicht, einfach nur die Nutzungsbedingungen zu akzeptieren. Sie müssen aktiv werden, um Ihre Daten zu schützen. Der erste Schritt ist eine sorgfältige Auswahl des KI-Anbieters. Prüfen Sie dessen Sicherheitsstandards, Datenschutzrichtlinien und den Standort der Datenspeicherung. Ein Schweizer Hosting-Anbieter, der dem DSG unterliegt, ist hier klar im Vorteil. Fragen Sie explizit nach, ob Ihre Daten zum Training des Modells verwendet werden und ob es die Möglichkeit gibt, dies zu unterbinden.

Zweitens sind klare vertragliche Vereinbarungen unerlässlich. Ein einfacher «End User License Agreement» reicht in der Regel nicht aus, um die Anforderungen des DSG zu erfüllen. Sie benötigen einen Auftragsverarbeitungsvertrag (AVV), der detailliert regelt, wie der Anbieter mit Ihren Daten umgehen darf, welche Sicherheitsmassnahmen er ergreift und welche Rechte Sie als Datenherr haben. Dieser Vertrag muss auch die Einhaltung des Schweizer Datenschutzrechts explizit festhalten und die Haftungsfragen im Falle eines Datenlecks klären. Viele KMU scheuen den Aufwand, aber hier sparen Sie am falschen Ort.

Drittens setzen Sie auf Datenminimierung und Pseudonymisierung. Übermitteln Sie an die KI-Plattform nur die absolut notwendigen Daten. Wenn möglich, anonymisieren oder pseudonymisieren Sie sensible Informationen, bevor Sie sie in die KI einspeisen. Das bedeutet, dass persönliche oder geschäftskritische Identifikatoren entfernt oder durch Platzhalter ersetzt werden. Zum Beispiel können Sie Kundennamen und Adressen durch generische IDs ersetzen, wenn die KI nur statistische Analysen durchführen soll. Dies reduziert das Risiko erheblich, selbst wenn es zu einem Datenabfluss kommt, da die Daten dann weniger oder gar nicht zugeordnet werden können.

Viertens implementieren Sie interne Richtlinien und schulen Sie Ihre Mitarbeitenden. Selbst die beste technische Absicherung nützt nichts, wenn Mitarbeitende unbedacht sensible Daten in öffentliche KI-Tools eingeben. Erstellen Sie klare Anweisungen, welche KI-Tools für welche Art von Daten verwendet werden dürfen und welche nicht. Informieren Sie Ihre Teams über die Risiken und die Bedeutung des Datenschutzes. Eine regelmässige Schulung minimiert menschliche Fehler, die oft die grösste Schwachstelle darstellen.

Welche Massnahmen muss mein KMU ergreifen, um sich vor ähnlichen Datenlecks wie bei MyLovely.ai zu schützen?

Ein umfassendes Schutzkonzept erfordert technische, organisatorische und rechtliche Vorkehrungen, die über das blosse Vertrauen in den Anbieter hinausgehen. Es ist nicht genug, auf das Beste zu hoffen; Sie müssen sich auf das Schlimmste vorbereiten. Der erste Schritt ist die Etablierung einer klaren Daten-Governance-Strategie für KI. Nur ein Drittel der Unternehmen, die KI einsetzen, verfügt über eine solche Regelung. Das ist ein alarmierender Wert, der dringend korrigiert werden muss. Eine Daten-Governance definiert, welche Daten wo und wie in KI-Systeme einfliessen dürfen, wer dafür verantwortlich ist und wie mit potenziellen Vorfällen umgegangen wird. Dies beinhaltet auch eine Klassifizierung Ihrer Daten nach Sensibilität, um entsprechend unterschiedliche Sicherheitsstufen anzuwenden.

Zweitens: Führen Sie eine Risikobewertung für jede KI-Anwendung durch. Bevor Sie eine neue KI-Lösung implementieren, analysieren Sie die potenziellen Datenschutzrisiken. Welche Art von Daten wird verarbeitet? Wie sensibel sind diese Daten? Welche Auswirkungen hätte ein Datenleck? Diese Bewertung hilft Ihnen, fundierte Entscheidungen zu treffen und die notwendigen Schutzmassnahmen zu definieren. Es ist vergleichbar mit der Sorgfalt, die Sie bei der Auswahl eines neuen Geschäftspartners an den Tag legen würden.

Drittens: Implementieren Sie ein robustes Incident-Response-Management. Was passiert, wenn es doch zu einem Datenleck kommt? Ein klar definierter Plan für den Ernstfall ist entscheidend. Dieser Plan sollte festlegen, wer informiert werden muss (Behörden, Betroffene), welche Schritte zur Eindämmung des Lecks unternommen werden und wie die Kommunikation erfolgen soll. Ein schneller und transparenter Umgang mit einem Vorfall kann den Schaden erheblich minimieren und das Vertrauen Ihrer Stakeholder wahren. Viele KMU haben solche Pläne für traditionelle IT-Systeme, vergessen aber oft, sie auf KI-Anwendungen auszuweiten.

Viertens: Suchen Sie den Austausch mit Experten. Wenn Sie intern nicht über das nötige Know-how verfügen, ziehen Sie externe Datenschutzbeauftragte oder spezialisierte Berater hinzu. Diese können Ihnen helfen, Ihre KI-Strategie DSG-konform zu gestalten, Risikobewertungen durchzuführen und die richtigen Verträge auszuhandeln. Es ist eine Investition, die sich im Falle eines Vorfalls vielfach auszahlt. Lukas Huber, als Gründer von schnellstart.ai und erfahrener Praktiker mit IPSO-Fachausweis in AI Business, sieht hier bei vielen Schweizer KMU noch grossen Nachholbedarf.

Fünftens: Kontinuierliche Überwachung und Anpassung. Die KI-Landschaft entwickelt sich rasend schnell weiter. Was heute sicher ist, kann morgen eine Schwachstelle aufweisen. Bleiben Sie auf dem Laufenden über neue Bedrohungen und Technologien. Überprüfen Sie regelmässig Ihre Sicherheitsmassnahmen und passen Sie diese bei Bedarf an. Dies ist ein fortlaufender Prozess, keine einmalige Aufgabe.

Fazit: KI ist eine Chance, aber nur mit Weitblick und Sorgfalt

Der Vorfall bei MyLovely.ai ist eine deutliche Mahnung: Die Nutzung von KI-Plattformen birgt ernsthafte Risiken für die Datensicherheit, die Schweizer KMU nicht ignorieren dürfen. Die Vorteile der KI sind unbestreitbar, aber sie kommen mit der Verantwortung, unsere Unternehmensdaten und die unserer Kunden umfassend zu schützen. Wer heute blindlings Daten in beliebige KI-Tools einspeist, spielt mit dem Feuer und riskiert nicht nur finanzielle Strafen, sondern auch den Verlust von Vertrauen und Reputation.

Es ist an der Zeit, dass Schweizer KMU ihre KI-Strategie nicht nur auf Effizienzgewinne, sondern primär auf Datensicherheit und Compliance ausrichten. Nur so können wir die Chancen der Künstlichen Intelligenz verantwortungsvoll nutzen und unser Unternehmen für die digitale Zukunft rüsten.

✅ Transparenz schaffen: Wissen Sie genau, welche Daten Sie an welche KI-Dienste senden und wo diese verarbeitet werden.

✅ Verträge prüfen: Sichern Sie sich durch DSG-konforme Auftragsverarbeitungsverträge mit Ihren KI-Anbietern ab.

✅ Mitarbeitende sensibilisieren: Schulen Sie Ihre Teams regelmässig im sicheren Umgang mit KI und Daten.

Suchen Sie Unterstützung bei der datenschutzkonformen Implementierung von KI in Ihrem KMU? Kontaktieren Sie uns für ein unverbindliches Erstgespräch.