Öffentliche, private und hybride Cloud: Ein Vergleich für Schweizer KMU

Öffentliche, private oder hybride Cloud: Warum es für Schweizer KMU keine Einheitslösung gibt

Für ein Schweizer KMU ist die Wahl der Cloud-Infrastruktur nicht nur eine technische Entscheidung. Sie bestimmt, wo die Unternehmensdaten liegen, wer darauf zugreift, welche Schutzpflichten einzuhalten sind und wie viel IT-Know-how benötigt wird.

Die Totalrevision des Bundesgesetzes über den Datenschutz (nDSG), zusammen mit der Datenschutzverordnung (DSV) und der Verordnung über die Zertifizierungen im Bereich des Datenschutzes (ZertDSV), ist seit dem 1. September 2023 in Kraft. Seit diesem Datum mussten sich die Schweizer Unternehmen anpassen.

Die drei Konfigurationen sind keine absoluten Alternativen. Sie erfüllen unterschiedliche Bedürfnisse: Die Public Cloud bietet gemeinsame Ressourcen und nutzungsbasierte Abrechnung; die Private Cloud gewährleistet Kontrolle über Sicherheit, Zugriffe und Backups; die Hybrid-Cloud kombiniert beide Ansätze, indem sie Workloads je nach Sensibilität der Daten trennt.

Auf dem Markt sind die gängigen Namen für die Public Cloud AWS, Microsoft Azure und Google Cloud. Microsoft 365 Business Premium ist ein Beispiel für einen lizenzierten Public-Cloud-Dienst. Infomaniak ist ein unabhängiger Schweizer Cloud-Anbieter mit Rechenzentren ausschliesslich in der Schweiz.

Der Bund verfolgt eine hybride Multi-Cloud-Strategie. Er stellt verschiedene Cloud-Dienste bereit und ermöglicht es den Verwaltungseinheiten im Rahmen des Projekts «Public Cloud des Bundes», öffentliche Cloud-Dienste zu nutzen, wenn Nutzung und Daten mit diesem Modell vereinbar sind.

Das Ausgangskriterium ist nicht «Welche Cloud ist besser?», sondern welche Daten und Prozesse wo platziert werden sollen. Aus dieser Klassifizierung ergeben sich Standort, Kosten, vertragliche Anforderungen und Kompetenzen; die Etiketten «öffentlich», «privat» oder «hybrid» kommen erst danach.

Public Cloud: Sofortige Flexibilität und nutzungsabhängige Kosten, aber Governance ist gefragt

Technisch gesehen trennt oder virtualisiert die Cloud die physische Hardware, wie Server und Speicher, von der Software (Betriebssystem und Anwendungen). Eine Virtualisierungsschicht verwaltet diese Trennung und weist den einzelnen virtuellen Servern Ressourcen zu.

Der praktische Vorteil ist die Skalierbarkeit: Rechenleistung oder Speicher können bei Bedarf hinzugefügt und wieder deaktiviert werden. Swisscom nennt Microsoft 365 Business Premium als Beispiel: Man kauft zusätzliche Lizenzen für neue Mitarbeitende, ohne Speichermedien verwalten zu müssen, ausser den Computern an den Arbeitsplätzen.

Das Public-Modell beinhaltet in der Regel automatische Plattform-Updates und eine nutzungsabhängige Abrechnung. Die Anfangskosten sind im Vergleich zu einer dedizierten Infrastruktur überschaubar.

Die effiziente Nutzung der gemeinsamen Hardware reduziert den Energie- und Ressourcenverbrauch, was sich auf die Betriebskosten auswirkt. Die Verwaltung von Servern in der Cloud kostet weniger als bei dedizierter Hardware. Auch KI, Analytics und IoT sind mit kleineren IT-Teams zugänglich.

Die Kehrseite betrifft Souveränität und Governance. Die Daten befinden sich in gemeinsamen Rechenzentren, oft im Ausland, was Fragen der Compliance mit dem nDSG oder der europäischen DSGVO aufwirft. Die Standardisierung des Dienstes schränkt die Anpassung von Umgebungen und Vertragsbedingungen ein.

Die Marktkonzentration verstärkt die Abhängigkeit. Laut dem Marktforschungsunternehmen Canalys, zitiert von Swisscom, soll der Umsatz der globalen Public Cloud im Jahr 2024 die 300 Milliarden überschreiten. In den nächsten vier Jahren dürfte er sich dank künstlicher Intelligenz fast verdoppeln. Drei Anbieter teilen sich den Grossteil des Kuchens.

Zu den genannten Public-Anbietern gehören AWS, Microsoft Azure und Google Cloud. Der Bund hat über die Ausschreibung OMC-20007 Public-Cloud-Dienste bei Amazon Web Services, Microsoft Azure, Alibaba, IBM und Oracle vergeben.

Bevor ein KMU die Public Cloud einführt, sollte es festlegen, welche Daten in einer gemeinsamen Umgebung liegen dürfen. Es muss auch klären, wer beim Anbieter Zugriff hat, wo die Rechenzentren physisch stehen und wie man aus dem Dienst aussteigt, wenn sich die Bedingungen ändern.

Private Cloud: Autonomie bei Sicherheit, Zugriffen, Backups und IT-Richtlinien

Die Private Cloud ist zu prüfen, wenn Workloads Daten enthalten, die das Unternehmen nicht in gemeinsamen Umgebungen platzieren möchte. Das nDSG hat die Kategorie der sensiblen Daten erweitert und schliesst nun genetische und biometrische Daten ein.

Zu den besonders heiklen Informationen gehören auch Finanzdaten, wie Kreditkartendaten, sowie Informationen über medizinische Diagnosen und die Gesundheit. Für ein KMU bedeutet dies Personaldaten, Patientenakten von Kunden, Zahlungsdaten, Rechtsfälle oder geistiges Eigentum.

Der Hauptvorteil ist die Autonomie bei Sicherheit, Zugriffen, Backups und IT-Richtlinien. Das Unternehmen entscheidet, wer mit welchen Anmeldedaten Zugang erhält, wie oft Backups durchgeführt werden, wo die Kopien gespeichert sind und wie interne Richtlinien angewendet werden.

Ein Schweizer Cloud-Anbieter wie Infomaniak betreibt Rechenzentren ausschliesslich in der Schweiz. Für die ihm anvertrauten Kundendaten tritt er als Auftragsverarbeiter auf. Dies ist ein Punkt, der in den Verträgen hinsichtlich Standort und Rolle zu prüfen ist.

Kontrolle hat ihren Preis: Die Verwaltung der Infrastruktur, Updates, Überwachung und Betriebskontinuität liegen beim Unternehmen oder beim unterstützenden Anbieter. Sie erfordern internes Know-how oder einen Partner mit Wartungsvertrag.

Bei den Kosten sind die Anfangsinvestitionen (Hardware, Virtualisierung, Migration, Schulung) und die laufenden Kosten (Wartung, Lizenzen, Energie, Personal oder Verwaltungsgebühr) zu berücksichtigen.

Die Private Cloud wird vom nDSG nicht vorgeschrieben. Die Prinzipien «Privacy by Design» und «Privacy by Default» gelten für jedes Modell, ob öffentlich, privat oder hybrid. Software, Hardware und Dienste müssen so konfiguriert sein, dass sie die Daten schützen und die Privatsphäre der Nutzer respektieren.

Hybrid-Cloud: Workloads und Datensensibilität ohne Kompromisse kombinieren

Das Hybrid-Modell basiert auf der Idee, nicht pauschal zu wählen. Workloads, die von Elastizität und fortschrittlichen Technologien profitieren, laufen in der Public Cloud. Solche, die sensible Daten oder kritische Prozesse betreffen, bleiben in einer privaten Umgebung oder in den eigenen Rechenzentren.

Der Bund wendet dieses Prinzip mit seiner hybriden Multi-Cloud-Strategie an. Die Verwaltungseinheiten wenden sich an den Cloud Service Broker (CSB), der als Vermittler zwischen Kunden und Hyperscalern fungiert. Wenn die geplante Nutzung und die Daten mit einem Public-Cloud-Dienst kompatibel sind, erfolgt die Auswahl des Anbieters über ein definiertes Anforderungsverfahren.

Die Konfiguration der Public Cloud gewährleistet die Umsetzung der grundlegenden IT-Sicherheitsanforderungen in Übereinstimmung mit der Verordnung über Cyberrisiken (Cyber-RV). Die endgültige Entscheidung darüber, wie Cloud-Dienste genutzt werden, liegt beim Fachdienst, basierend auf einer Analyse des Schutzbedarfs.

Operativ hat der Bund die Public-Cloud-Dienste über die Ausschreibung OMC-20007 vergeben, die Amazon Web Services, Microsoft Azure, Alibaba, IBM und Oracle umfasst.

Im Dezember 2025 wurde nach dem Rückzug eines Rekurses die einmalige Verlängerung der Rahmenverträge um weitere fünf Jahre bestätigt. Dies dient dazu, die Beschaffungslücke bis zur Verfügbarkeit der Swiss Government Cloud (SGC) zu schliessen.

Letztere wird die Dienste etablierter Public-Cloud-Anbieter mit einer Private Cloud verbinden, die von den Rechenzentren des Bundes verwaltet wird. Dies ist das klarste Beispiel für die Trennung zwischen dem, was auf externer Infrastruktur liegen kann, und dem, was eine kontrollierte Umgebung erfordert.

Für ein KMU bedeutet Hybrid eine Landkarte. Webanwendungen, E-Mails, CRM und Analytics laufen in der Public Cloud; Lohnabrechnungen, Gesundheitsdaten, Finanzdaten und kritische Managementsysteme in der Private Cloud oder On-Premise.

Der Fokus liegt nicht auf der Verbindungstechnologie, sondern auf der Governance. Es muss definiert werden, wer entscheidet, welcher Workload wohin geht, wie sich Benutzer in den verschiedenen Umgebungen authentifizieren und wie verhindert wird, dass sensible Daten ohne vorherige Prüfung in öffentliche Dienste wandern.

Vergleichskriterien für KMU: Daten, Souveränität, Kosten und lokaler Support

Das erste Kriterium ist die Datenklassifizierung. Die Unterscheidung zwischen personenbezogenen Daten natürlicher Personen, sensiblen Daten im Sinne des nDSG (einschliesslich genetischer und biometrischer Daten) und Finanz- oder Gesundheitsdaten ist der Ausgangspunkt. So wird jedem Workload ein Schutzniveau und folglich eine Umgebung zugewiesen. Das nDSG deckt nur Daten natürlicher Personen ab, nicht mehr solche juristischer Personen.

Das zweite Kriterium ist der Standort der Rechenzentren und die Übertragung ins Ausland. Es ist zu fragen, in welchen Ländern die Daten und Backup-Kopien liegen, welche vertraglichen Garantien gelten und welches Recht im Konfliktfall vorrangig ist.

Was den Standort betrifft, so liegen die Rechenzentren der Public Cloud oft im Ausland und sind gemeinsam genutzt. Infomaniak, ein unabhängiger Schweizer Cloud-Anbieter, betreibt Rechenzentren ausschliesslich in der Schweiz. Im öffentlichen Sektor sind die zu vergleichenden Namen AWS, Microsoft Azure und Google Cloud.

Das dritte ist die Kompatibilität mit dem nDSG und der DSGVO, relevant für Schweizer KMU, die Daten von Kunden oder Mitarbeitenden in der EU bearbeiten oder den freien Datenverkehr mit der Europäischen Union aufrechterhalten wollen.

Das vierte Kriterium ist die Kostenstruktur. Dazu gehören Anfangskosten (Migration, Anpassung der Anwendungen, Schulung) und laufende Kosten (Abonnements, Verbrauch, Speicher, Datentraffic, Support). Hinzu kommen die oft unterschätzten Ausstiegskosten.

Der Bund hat über die Ausschreibung OMC-20007 Public-Cloud-Dienste bei Amazon Web Services, Microsoft Azure, Alibaba, IBM und Oracle vergeben. Dies ist eine Liste von Anbietern, mit denen Angebote verglichen werden können.

Das fünfte ist die tatsächliche Skalierbarkeit im Verhältnis zu betrieblichen Spitzenlasten. Das sechste ist die Anbieterabhängigkeit (proprietäre Formate, anderswo nicht replizierbare Dienste, Marktkonzentration). Das siebte ist der lokale Support in der Schweiz, auf Italienisch oder mit mit der Geschäftstätigkeit kompatiblen Zeiten.

Datenschutz und Souveränität: Praktische Implikationen für die Cloud-Wahl

Das nDSG ist seit dem 1. September 2023 in Kraft und betrifft alle Schweizer oder ausländischen Organisationen, die Daten von Personen mit Sitz in der Schweiz bearbeiten, egal wo auf der Welt. Dazu gehören Mitarbeitende, Kunden, potenzielle Kunden, deren Subunternehmer und Dritte.

Geldbussen können den tatsächlich für eine Verletzung verantwortlichen Personen auferlegt werden. Für ein KMU, das Daten an einen Cloud-Anbieter auslagert, geht die Verantwortung nicht zusammen mit den Daten über.

Das zentrale vertragliche Kriterium ist die Rollentrennung. Das KMU als Kunde ist in der Regel der Verantwortliche, während der Cloud-Anbieter, der die anvertrauten Daten speichert, als Auftragsverarbeiter tätig ist. Ein Provider, der auch eigene Daten im Zusammenhang mit seiner Tätigkeit verwaltet, nimmt beide Rollen ein.

Schriftlich zu klären, wer Verantwortlicher und wer Auftragsverarbeiter ist, ist unerlässlich. Es ist zu spezifizieren, welche Weisungen der Verantwortliche erteilen kann, wie eventuelle Unterauftragsverarbeiter eingebunden werden und welche technischen und organisatorischen Massnahmen der Anbieter trifft. Dies ist die konkrete Art, Privacy by Design und Privacy by Default in überprüfbare Klauseln zu übersetzen.

Ein konkretes Beispiel ist Infomaniak: Als Cloud-Provider verarbeitet er Daten für seine eigene Tätigkeit als Verantwortlicher und speichert Kundendaten als Auftragsverarbeiter. Diese doppelte Verantwortung ist im Vertrag zu regeln.

Im Bereich des Datenschutzes ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die Referenzbehörde in der Schweiz.

Was die Transparenz gegenüber den Betroffenen angeht, bleiben die Prinzipien allgemein. Informieren über die Datennutzung, nur das Nötigste erfassen, Empfänger und Freigabeeinstellungen kontrollieren und vorsehen, wie auf eine Verletzung der Datensicherheit reagiert wird.

Governance und interne Rollen: Wer entscheidet, wer kontrolliert, wer antwortet

Die erste Aktivität ist ein Dateninventar. Es ist festzulegen, welche Kategorien das Unternehmen bearbeitet, in welchen Anwendungen sie liegen, wer Zugriff hat und zu welchem Zweck. Daraus leiten sich die Entscheidungen über Standort und Schutzniveau ab.

Der nächste Schritt ist vertraglicher Natur: Servicebedingungen, Anhänge zum Datenschutz, Liste der Unterauftragsverarbeiter, Meldefristen im Falle einer Verletzung, Modalitäten der Löschung oder Rückgabe der Daten am Ende der Beziehung.

Organisatorisch muss ein KMU nominale Verantwortlichkeiten zuweisen. Es muss angeben, wer die Einführung eines neuen Cloud-Dienstes genehmigt, wer Zugriffe und Widerrufe verwaltet, wer das Verzeichnis der Bearbeitungstätigkeiten führt und wer der Ansprechpartner beim Anbieter ist. Wo interne Kompetenzen nicht ausreichen, wird auf einen Data Protection Officer (DPO) oder einen externen Berater zurückgegriffen.

Infomaniak, ein Schweizer Cloud-Anbieter, hat einen internen Data Protection Officer (DPO). Für ein KMU ist dies eine Anlaufstelle für Datenschutzfragen.

Schliesslich ist das Incident-Management zu definieren: Wer erkennt die Anomalie, wem meldet er sie, wer entscheidet, ob und wie Betroffene und Behörden informiert werden, und wie wird der Vorfall dokumentiert. Ohne diese Schritte garantiert selbst eine technisch solide Infrastruktur nicht, dass das Unternehmen rechtzeitig reagieren kann.

Checkliste vor der Unterzeichnung: Konkrete Fragen für Ihr KMU

Standort und Backup: In welchen Ländern befinden sich die Rechenzentren, die Ihre Daten und Backup-Kopien hosten? Sind die Backups verschlüsselt und wie häufig werden Wiederherstellungen getestet? Wer beim Anbieter kann auf die Daten zugreifen und mit welcher Nachverfolgung?

Sicherheit und Rollen: Welche technischen und organisatorischen Massnahmen sind im Vertrag dokumentiert? Tritt der Anbieter als Auftragsverarbeiter auf und welche Unterauftragsverarbeiter setzt er ein? Wie sind Fristen und Modalitäten der Meldung im Falle einer Datenverletzung? In welcher Form werden die Daten bei Vertragsbeendigung zurückgegeben oder gelöscht?

Kosten: Welche Positionen setzen den Preis zusammen (Abonnement, Verbrauch, Speicher, Datentraffic, Support) und welche Ausstiegs- oder Migrationskosten zu einem anderen Anbieter fallen an? Gibt es technische oder vertragliche Bindungen, die einen Wechsel erschweren?

Compliance und Support: Ist das Angebot mit dem nDSG und, falls Sie Daten von Personen in der EU bearbeiten, mit der DSGVO kompatibel? Wer ist der Ansprechpartner für Datenschutzfragen? Ist der Support in der Schweiz, auf Italienisch oder zu mit Ihrer Tätigkeit kompatiblen Zeiten verfügbar?

Vergleich: Haben Sie mindestens zwei Anbieter namentlich verglichen, zum Beispiel AWS, Microsoft Azure, Google Cloud oder Infomaniak, hinsichtlich Standort, vertraglicher Rollen und Kostenstruktur? Die Unterschiede zwischen den Antworten sind der Inhalt der Wahl.

Vergleichen Sie vor der Unterzeichnung die Antworten von mindestens zwei Anbietern zu diesen Punkten: Die daraus hervorgehenden Unterschiede sind der eigentliche Inhalt der Entscheidung.

Welche Cloud wählen? Eine Entscheidung für Workloads, nicht für Etiketten

Für ein Schweizer KMU ermöglicht eine gemischte Konfiguration, Workloads, die Elastizität und fortschrittliche Technologien erfordern, in der Public Cloud zu platzieren. Solche mit sensiblen, finanziellen oder Gesundheitsdaten bleiben in einer privaten oder direkt kontrollierten Umgebung.

Dies ist die Logik, die der Bund mit seiner hybriden Multi-Cloud-Strategie anwendet. Die zukünftige Swiss Government Cloud wird Dienste von Public-Cloud-Anbietern mit einer Private Cloud verbinden, die von den Rechenzentren des Bundes verwaltet wird.

Im öffentlichen Sektor sind die gängigen Namen AWS, Microsoft Azure und Google Cloud. Für die Schweizer Cloud betreibt Infomaniak Rechenzentren ausschliesslich in der Schweiz. Microsoft 365 Business Premium ist ein Beispiel für einen lizenzierten Public-Cloud-Dienst.

Die Wahl ist auf drei konkrete Variablen abzustimmen: Sensibilität der Daten und Schutzpflichten, Budget für Anfangs- und laufende Kosten, interne Kompetenzen oder die des Partners.

Ein KMU mit kleinem IT-Team, das Personaldaten und Gesundheitsdaten ohne vorherige Prüfungen in der Public Cloud platziert, geht ein Risiko ein. Anders ist der Fall, wer nur Website und E-Mail in die Public Cloud verlagert.

Da sich Verträge, Technologien und Volumina ändern, ist die Konfiguration regelmässig zu überprüfen. Standort der Daten, Liste der Unterauftragsverarbeiter, tatsächliche Kosten und aufgetretene Incidents sind die Indikatoren, die vor jeder Vertragserneuerung erneut zu prüfen sind. Dies dient dazu, sicherzustellen, dass die gewählte Konfiguration noch den Workloads und den Schutzanforderungen des Unternehmens entspricht.