Cloud-Anbieter in der Schweiz: Sicherheitskriterien und Datenresidenz

Warum die Wahl des Cloud-Anbieters eine Frage der Sicherheit und Souveränität ist

Unter Cloud Computing versteht man die Möglichkeit, Anwendungen und Software, Speicherkapazitäten, Entwicklungstools, Netzwerkressourcen oder Rechenleistung bedarfsgerecht über ein Netzwerk, beispielsweise das Internet, bei einem Cloud-Dienstleister zu beziehen. Zur Definition gehören Office-365-Tools für Mitarbeitende, ein Online-CRM-System, Tools zur Verwaltung von E-Mail-Adressen für Newsletter oder Kundenberatung, Video-Streaming-Plattformen oder schlicht das Hochladen von Daten auf einen entfernten, über das Internet zugänglichen Server. Werden Personendaten übertragen, gilt das Datenschutzrecht (edoeb.admin.ch, «Verarbeitung von Daten in der Cloud»).

Die eidgenössische Aufsichtsbehörde nennt drei kritische Aspekte, die bei der Nutzung eines Cloud-Dienstes zu prüfen sind: Beizug von Auftragsverarbeitern und Unterauftragsverarbeitern, Sicherheit der Datenverarbeitung sowie die Übermittlung von Personendaten in Drittländer (edoeb.admin.ch).

Hinzu kommt die digitale Souveränität. Die wachsende Abhängigkeit von globalen Cloud-Anbietern und immer strengere regulatorische Anforderungen veranlassen Behörden, Organisationen und Unternehmen dazu, sich zu fragen, wo sensible Daten gespeichert werden. Viele entscheiden sich für einen Standort in Europa, doch der alleinige Standort reicht nicht aus, um eine sichere Datenspeicherung zu gewährleisten (swisspost-digital.ch).

Die Wahl des Anbieters muss daher auf mehreren Ebenen getroffen werden: Wo liegen die Daten, welche Rechtsordnung gilt für den Anbieter, wer kontrolliert technisch die Schlüssel, welche Rollen und Protokolle sind verfügbar und was sieht der Vertrag vor? Die folgenden Abschnitte behandeln jede Ebene separat.

Verantwortlicher, Auftragsverarbeiter und Personendaten: Wer haftet wofür in der Cloud

Das Cloud-Dienstleistungsunternehmen handelt in der Regel als Auftragsverarbeiter – oder Unterauftragsverarbeiter – bei der Verarbeitung der Kundendaten (Cloud-Nutzer) gemäss Artikel 9 DSG. Der Kunde kann seinerseits Verantwortlicher für die Verarbeitung oder der datenschutzrechtliche Verantwortliche sein. Als Verantwortlicher trägt der Kunde selbst die Verantwortung dafür, dass die im Auftrag durch Cloud-Dienstleister ausgeführten Verarbeitungen datenschutzkonform sind.

Er muss zudem sicherstellen, dass die Rechte der betroffenen Personen durch die Auslagerung nicht beeinträchtigt werden. Er hat sicherzustellen und vertraglich zu garantieren, dass die Anforderungen an die Datenverarbeitung durch den Auftragsverarbeiter gemäss Artikel 9 DSG eingehalten werden (edoeb.admin.ch).

Ein Cloud-Anbieter kann sich gleichzeitig in beiden Rollen befinden. Ein Schweizer Anbieter beschreibt seine doppelte Verantwortung wie folgt: Wenn er Personendaten im Zusammenhang mit seiner eigenen Geschäftstätigkeit (Rechnungsstellung, Kundensupport) verarbeitet, ist er Verantwortlicher; wenn er die ihm anvertrauten Daten speichert, ist er Auftragsverarbeiter (Infomaniak). Bei der Bewertung lohnt es sich daher, diese beiden Beziehungen zu unterscheiden. Die vom Nutzer für die Rechnungsstellung bereitgestellten Daten unterliegen anderen Regeln als die Endkundendaten, die in der Infrastruktur gespeichert werden.

Datenresidenz und Rechtsordnung: Zwei Kriterien, die nicht verwechselt werden dürfen

Der Speicherort und die Rechtsordnung, der der Anbieter unterliegt, müssen nicht unbedingt übereinstimmen. Auch wenn Daten in der Schweiz oder in einem anderen europäischen Land gespeichert werden, kann ein international tätiger Anbieter einer anderen Rechtsordnung unterstehen. Diese erkennt den Behörden das Recht zu, auf Daten zuzugreifen oder deren Herausgabe zu verlangen (swisspost-digital.ch).

In der Debatte um die Datensouveränität wird häufig der US-amerikanische CLOUD Act genannt. Er ermöglicht den Strafverfolgungsbehörden der USA, die Übermittlung von Daten von Cloud- und Kommunikationsdienstleistern zu verlangen, die der US-Gerichtsbarkeit unterstehen. Die Anforderung erfolgt auf Grundlage gerichtlicher Anordnungen. Dies gilt auch dann, wenn die Daten ausserhalb des Landes gespeichert sind (swisspost-digital.ch).

Ein Schweizer Unternehmen, das einen Cloud-Anbieter mit Sitz in den USA nutzt, riskiert daher, dass seine sensiblen Daten ohne Vorwarnung und ohne Rechtsmittel von den US-Behörden eingesehen werden können (umb.ch).

Zum CLOUD Act gesellt sich der Foreign Intelligence Surveillance Act (FISA). Obwohl er hauptsächlich auf die Sammlung ausländischer Nachrichtendienstdaten ausgerichtet ist, erlaubt er den US-Nachrichtendiensten, aus Gründen der nationalen Sicherheit auf Daten von ausländischen Staatsbürgern zuzugreifen. Es besteht keine Pflicht, die Betroffenen zu informieren oder ihnen einen rechtlichen Rechtsbehelf anzubieten. Abschnitt 702 wurde weithin dafür kritisiert, Massenüberwachungsprogramme zu ermöglichen (deepcloud.swiss).

In den USA fehlt zudem ein einheitliches und umfassendes Bundesgesetz zum Schutz von Personendaten. Es existiert ein Mosaik sektoraler Regelungen: HIPAA für das Gesundheitswesen, GLBA für den Finanzsektor und COPPA für den Datenschutz von Minderjährigen. Hinzu kommen die Eingriffsbefugnisse der Federal Trade Commission (deepcloud.swiss).

Organisatorische und vertragliche Massnahmen können dieses Risiko zwar begrenzen. Sie können eine gesetzliche Herausgabepflicht jedoch nicht ausschliessen (swisspost-digital.ch).

Im Gegensatz dazu hat die Schweiz den Datenschutz in ihrer nationalen Gesetzgebung kodifiziert. Das DSG wurde 2023 vollständig revidiert, um der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union Rechnung zu tragen. Die Schweiz wendet strenge Regeln für grenzüberschreitende Datenübermittlungen an (deepcloud.swiss).

Ein praktisches Beispiel für den Unterschied zwischen Standort und Rechtsordnung betrifft einen Schweizer Anbieter von Rechnungsdienstleistungen. Er speichert die Daten in der Schweiz bei zwei Hostern: Tinext SA mit Sitz in Morbio Inferiore und Google Cloud Platform, Region Zürich (fatturadigitale.ch). Die Speicherregion ist also schweizerisch. Die zugrunde liegende Plattform gehört jedoch zu einem internationalen Konzern.

Auslandsübermittlungen und Garantien: Wann ein ausländischer Anbieter kompatibel ist

Die Übermittlung von Personendaten in Drittländer ist laut der eidgenössischen Aufsichtsbehörde einer der drei Bereiche, denen bei der Nutzung von Cloud-Diensten besondere Aufmerksamkeit geschenkt werden muss. Die anderen beiden sind der Beizug von Auftragsverarbeitern und Unterauftragsverarbeitern sowie die Sicherheit der Verarbeitung (edoeb.admin.ch). Ist der Anbieter ausländisch, ist die Prüfung der Übermittlung ein integraler Bestandteil der Bewertung. Es handelt sich nicht um einen bürokratischen Anhang.

Im US-Kontext werden Anbieter mit DPF-Zertifizierung anders behandelt als andere. Gemäss der Analyse eines Schweizer Cloud-Dienstleisters ist die Übermittlung von Personendaten an US-Anbieter ohne DPF-Zertifizierung oder andere Garantien für Schweizer Unternehmen als rechtswidrig zu betrachten (deepcloud.swiss).

Der Data Privacy Framework (DPF) wurde 2023 eingeführt. Ziel war es, einige der Kritikpunkte am Vorgänger, dem Privacy Shield, der vom Gerichtshof der Europäischen Union für ungültig erklärt wurde, anzugehen. Allerdings steht auch der DPF derzeit unter scrutiny (deepcloud.swiss).

Im Januar 2025 schwächte die Entlassung einiger Mitglieder des Privacy and Civil Liberties Oversight Board Kontrollmechanismen, die als entscheidend für den EU-US-Datenschutzrahmen angesehen wurden. Zweifel an seiner langfristigen Tragfähigkeit bestehen weiterhin (umb.ch).

Dokumentarisch ermöglicht die Angleichung zwischen DSG und DSGVO die Verwendung eines einzigen vertraglichen Rahmens für beide Regime. Eine auf dem DSG basierende Vereinbarung zur Datenverarbeitung hilft den Parteien, die DSGVO einzuhalten, falls die Personendaten Kunden in der EU betreffen (pass-securium.ch).

Ein Schweizer Anbieter kann analog die Konformität mit dem Bundesgesetz für die Daten Schweizer Kunden und mit der DSGVO für die des EU-Raums gewährleisten (fatturadigitale.ch).

Der Fokus bleibt auf dem Restrisiko. Vertragliche Garantien neutralisieren keine allfällige gesetzliche Herausgabepflicht, die einen Anbieter unter einer ausländischen Rechtsordnung belastet. Die Bewertung muss daher mehrere Elemente kombinieren. Dazu gehören: Land der Speicherung, Sitz und Rechtsordnung des Anbieters, anwendbare Übermittlungsinstrumente und die konkrete technische Möglichkeit, dass der Anbieter auf Klartextdaten zugreift.

Was der Vertrag mit dem Cloud-Anbieter enthalten muss

Der Verantwortliche hat sicherzustellen und vertraglich zu garantieren, dass die Anforderungen an die Datenverarbeitung durch den Auftragsverarbeiter gemäss Artikel 9 DSG eingehalten werden (edoeb.admin.ch). Im Fall von Anwaltskanzleien basiert die Auftragsverarbeitung auf einer Vereinbarung, dem Cloud-Vertrag, der zwischen der Anwältin bzw. der Kanzlei und dem Dienstleister geschlossen wird (digital.sav-fsa.ch).

Eine gut strukturierte Vereinbarung zur Datenverarbeitung enthält mindestens den Gegenstand und den Bezug zum Hauptvertrag sowie zu den allgemeinen Geschäftsbedingungen. Sie muss die Verarbeitung mit Art, Zweck, Dauer und Inhalt beschreiben. Sie muss die Modalitäten der Auftragserteilung angeben: Mündliche Aufträge sind unverzüglich schriftlich zu bestätigen oder im Kundenportal zu erfassen.

Der Anbieter verpflichtet sich, sich intern so zu organisieren, dass er die gesetzlichen Vorschriften einhält, und angemessene technische und organisatorische Massnahmen zu treffen, die in einem speziellen Anhang beschrieben sind. Er muss den Verantwortlichen zudem bei der Erfüllung seiner Pflichten gemäss DSG und DSGVO unterstützen (pass-securium.ch). Die Verwaltung der Unterauftragsverarbeiter ist ein explizit zu regelndes Element: Die eidgenössische Aufsichtsbehörde führt dies als einen der zentralen Aspekte des Cloud-Computings auf (edoeb.admin.ch).

Der Lebenszyklus der Daten umfasst Erfassung, Speicherung (einschliesslich der Aufbewahrungsdauer), Nutzung, Übertragung und Löschung. Klauseln zur Rückgabe und Löschung sind daher im Licht all dieser Phasen zu lesen. Sie dürfen nicht erst am Ende der Beziehung berücksichtigt werden (Infomaniak).

Ein oft übersehener Aspekt ist das auf den Vertrag selbst anwendbare Recht und die Referenzsprache. In einer geprüften Vereinbarung ist im Falle von Abweichungen zwischen der deutschen und der englischen Version stets die deutsche Version massgebend. Die Vertragssprache ist Deutsch (pass-securium.ch). Vor der Unterzeichnung sollte geprüft werden, welche Sprachversion im Falle interpretatorischer Konflikte Vorrang hat und welches Gericht zuständig ist.

Technische Sicherheit und Schlüsselkontrolle: Mehr als nur der Standort

Um echte Datensouveränität zu erreichen, reicht der Standort nicht aus. Man muss wissen, ob die Inhalte technisch lesbar sind, wer die Schlüssel kontrolliert und welche Funktionen zur Verwaltung von Rollen, Berechtigungen und Nachverfolgbarkeit verfügbar sind (swisspost-digital.ch). Diese vier Elemente – technische Lesbarkeit, Schlüsselkontrolle, Verwaltung von Rollen und Berechtigungen, Nachverfolgbarkeit – sind einzeln zu prüfen. Ein Anbieter kann eines erfüllen und bei den anderen versagen.

Die Unterscheidung zwischen Servicemodellen ist auch rechtlich entscheidend. Im IaaS-Modell werden die Daten einfach beim Anbieter gespeichert. Wenn die Anwältin oder der Anwalt sie vor der Übertragung an den Provider verschlüsselt und diesem den Zugriff auf Klartextdaten verwehrt, führt der Provider keine Verarbeitung von Personendaten durch. Die Vorschriften des DSG gelten für diese Verarbeitung nicht.

Anders ist die Situation im SaaS-Modell, bei dem der Nutzer die Daten auf der Infrastruktur des Anbieters verarbeitet. In diesem Fall kann der Provider direkt auf die Daten zugreifen. Da in einem SaaS-Kontext nicht ausgeschlossen werden kann, dass der Datenverarbeiter die Daten zur Identifizierung einer bestimmten Person nutzen kann, wird die Nutzung solcher Dienste als dem DSG unterliegende Datenverarbeitung qualifiziert (digital.sav-fsa.ch).

Daraus ergibt sich eine operative Konsequenz. Die entscheidende Frage ist nicht nur «wo sind die Backups», sondern «kann der Anbieter meine Klartextdaten technisch lesen». Wenn die Antwort ja lautet, ist der Anbieter ein Auftragsverarbeiter und alle entsprechenden Pflichten sind zu aktivieren. Wenn die Antwort nein lautet, weil die Verschlüsselung vor der Übertragung mit vom Kunden gehaltenen Schlüsseln erfolgt, reduziert sich der Umfang der Verarbeitung erheblich.

Auf der Seite der vertraglichen Sicherheit muss der Anbieter ein ausreichendes Schutzniveau der verarbeiteten Daten unter Berücksichtigung des Stands der Technik, einschliesslich der Vertraulichkeit, gewährleisten (pass-securium.ch). Die konkreten technischen und organisatorischen Massnahmen – Verschlüsselung, Schlüsselverwaltung, Zugangskontrolle, Protokollierung, Backup und Wiederherstellung – sind schriftlich anzufordern und dem Vertrag beizulegen. So können sie im Laufe der Zeit überprüft und aktualisiert werden.

Praktische Checkliste zur Bewertung eines Cloud-Anbieters in der Schweiz

Wo liegen die Daten und wo sind die Backups. Der Standort ist das erste logische Bewertungskriterium. Im Beispiel einer kantonalen Behörde mit sensiblen Informationen müssen die Daten je nach Schutzbedarf und geltenden Vorschriften für Behörden in der Schweiz oder in einem anderen europäischen Land gespeichert werden (swisspost-digital.ch). Zu klären sind: Standorte der primären und sekundären Rechenzentren, Land der Aufbewahrung von Backups und Logs.

Welche Rechtsordnung gilt für den Anbieter und seine Gruppe. Da Standort und Rechtsordnung divergieren können, ist zu prüfen, ob der Anbieter oder seine Muttergesellschaft Rechtsordnungen unterliegen, die Behörden das Recht einräumen, auf Daten zuzugreifen oder deren Herausgabe zu verlangen (swisspost-digital.ch). Insbesondere ist zu prüfen, ob sie in den Anwendungsbereich des CLOUD Act fallen (swisspost-digital.ch; umb.ch). Ist der Anbieter US-amerikanisch, ist eine allfällige DPF-Zertifizierung oder andere Garantie zu prüfen (deepcloud.swiss).

Wer sind die Unterauftragsverarbeiter. Die eidgenössische Aufsichtsbehörde nennt den Beizug von Auftragsverarbeitern und Unterauftragsverarbeitern als einen der zentralen Aspekte der Cloud-Verarbeitung (edoeb.admin.ch). Liste, Standort, Rechtsordnung und Rolle jedes Sub-Lieferanten sind anzufordern, ebenso das Verfahren zur Benachrichtigung bei Änderungen.

Welche technischen und organisatorischen Massnahmen werden getroffen. Den Anhang zu den technischen und organisatorischen Massnahmen anfordern und das garantierte Sicherheitsniveau unter Berücksichtigung des Stands der Technik und der Vertraulichkeit prüfen (pass-securium.ch). Nützliche Fragen: Wer besitzt die Verschlüsselungsschlüssel, sind die Daten für den Anbieter im Klartext lesbar, wie werden Rollen, Berechtigungen und Nachverfolgbarkeit verwaltet (swisspost-digital.ch).

Das Servicemodell und der Klartextzugriff. Feststellen, ob es sich um IaaS handelt, bei dem Daten einfach gespeichert und vom Kunden vor der Übertragung verschlüsselt werden können. Oder um SaaS, bei dem der Anbieter direkten Zugriff auf die Daten hat und die Verarbeitung somit dem DSG unterliegt (digital.sav-fsa.ch).

Wie der Anbieter Anfragen ausländischer Behörden handhabt. Organisatorische und vertragliche Massnahmen können eine gesetzliche Herausgabepflicht zwar begrenzen, aber nicht ausschliessen (swisspost-digital.ch). Zu erfragen sind bestehende interne Verfahren und welche Verpflichtung zur Benachrichtigung des Kunden der Anbieter einzugehen bereit ist.

Portabilität und Löschung. Der Lebenszyklus der Daten umfasst auch Übertragung und Löschung (Infomaniak). Modalitäten, Formate und Fristen für den Export der Daten bei einem Anbieterwechsel sowie für die Löschung oder Rückgabe am Ende der Beziehung sind zu definieren.

Rollen und Verantwortlichkeiten. Schriftlich prüfen, wer für jeden Datensatz Verantwortlicher und wer Auftragsverarbeiter ist. Der Anbieter ist in der Regel Auftragsverarbeiter oder Unterauftragsverarbeiter für die anvertrauten Daten. Er kann jedoch Verantwortlicher für Verarbeitungen im Zusammenhang mit seiner eigenen Geschäftstätigkeit sein, wie Rechnungsstellung und Kundensupport (edoeb.admin.ch; Infomaniak).

Fazit: Datensouveränität als Kombination aus Standort, Recht und technischer Kontrolle

Die Datenresidenz in der Schweiz oder in Europa ist eine wichtige Grundlage. Sie vermittelt ein Gefühl der Sicherheit und trägt zur Erfüllung regulatorischer Anforderungen und interner Richtlinien bei. Sie reicht jedoch nicht aus, um eine sichere Speicherung zu gewährleisten: Der alleinige Standort garantiert an sich keine Kontrolle (swisspost-digital.ch).

Eine solide Bewertung kombiniert mindestens sechs Prüfungen. Erste: Standort von Daten und Backups. Zweite: Rechtsordnung des Anbieters und seiner Gruppe, einschliesslich CLOUD Act und FISA für US-Subjekte. Dritte: Anwendbare Übermittlungsinstrumente und Zertifizierungen.

Vierte: Technische Schlüsselkontrolle und Lesbarkeit der Inhalte. Fünfte: Rollen, Berechtigungen und Nachverfolgbarkeit. Sechste: Vertragliche Klauseln zu Unterauftragsverarbeitern, technischen und organisatorischen Massnahmen, Unterstützung des Verantwortlichen, Portabilität, Löschung, Sprache und Gerichtsstand.

Der relevante Rechtsrahmen bleibt das DSG, das 2023 in Angleichung an die DSGVO revidiert wurde (deepcloud.swiss). Artikel 9 regelt die Rollen von Auftragsverarbeiter und Unterauftragsverarbeiter. Artikel 10a legt die Grenzen der Auftragsverarbeitung fest, einschliesslich des Verbots, wenn die Verarbeitung die Nichtbeachtung gesetzlicher oder vertraglicher Geheimhaltungspflichten zur Folge hat (edoeb.admin.ch; digital.sav-fsa.ch).

Schlüsselindikatoren für die Cloud-Sicherheit in der Schweiz