Unternehmens-Cloud in der Schweiz: Modelle, Sicherheit und Compliance

Unternehmens-Cloud in der Schweiz: Warum der Kontext zählt

Für ein Schweizer Unternehmen ist die Cloud nicht nur eine technische oder kostenseitige Entscheidung. Entscheidend sind operative Flexibilität, Schutz personenbezogener Daten und rechtliche Verantwortung. Wer Kundendaten, Mitarbeiterdaten oder Partnerdaten verarbeitet, muss nachweisen, dass er den Anbieter konform ausgewählt und instruiert sowie die Risiken bewertet hat.

Der Referenzrahmen ist das revidierte Bundesgesetz über den Datenschutz (DSG). Laut Swissmedic ist die Totalrevision am 1. September 2023 in Kraft getreten. Sie dient der Verbesserung des Datenschutzes, der Erhöhung der Transparenz bei der Erhebung und Verarbeitung sowie der Stärkung der informationellen Selbstbestimmung der Bürger. Die UMB stellt fest, dass sich das 2023 aktualisierte Schweizer Gesetz stark an der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union orientiert und strenge Vorschriften bezüglich Transparenz, Sicherheit und Verantwortung vorschreibt.

Im Diskurs spielt die digitale Souveränität eine gewichtige Rolle. Die UMB weist darauf hin, dass angesichts der angespannten und komplexen Beziehungen zwischen der Schweiz und den USA die Zweifel an der Sicherheit ausländischer Cloud-Dienste wachsen. Es wird hinterfragt, ob die US-Regierung Zugriff auf Schweizer Daten verlangen kann. Nicht jede ausländische Lösung ist inakzeptabel, aber der Sitz des Anbieters, staatliche Zugriffe und die Konformität mit dem DSG müssen sorgfältig geprüft werden.

Schlüsselereignisse im Datenschutz in der Schweiz (2023–2025)

Cloud-Modelle für Unternehmen: Public, Private, Hybrid und Multi-Cloud

Gemäss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) ermöglicht Cloud Computing den bedarfsgerechten Bezug von Anwendungen und Software, Speicherkapazitäten, Entwicklungstools, Netzwerkressourcen oder Rechenleistung über ein Netzwerk, beispielsweise das Internet, bei einem Cloud-Dienstleister. Zu den Beispielen des EDÖB gehören Office 365-Tools für Mitarbeitende. Dazu zählen auch Tools zur Verwaltung von E-Mail-Adressen für Newsletter oder Kundenberatung. Weitere Beispiele: Online-CRM-Systeme, das Hochladen von Videos auf Streaming-Plattformen und das Hochladen von Daten auf einen entfernten, über das Internet verfügbaren Server.

Die Public Cloud nutzt gemeinsam genutzte Infrastrukturen, die über das Netzwerk zugänglich sind. In der Schweiz bietet das Projekt «Public Cloud des Bundes» der Bundesverwaltung zentralisierte Public-Cloud-Dienste an. Es sieht eine Cloud-Governance und einen Cloud Service Broker (CSB) als Vermittler vor. Die Bundesstrategie ist eine hybride Multi-Cloud-Strategie: Sie stellt verschiedene Cloud-Dienste bereit und kombiniert sie mit bestehenden Infrastrukturen.

Die Private Cloud ist für dedizierte Ressourcen konzipiert. Swisscom präsentiert die Enterprise Service Cloud als Private-Cloud-Lösung mit Datenspeicherung in der Schweiz. Sie bietet die exklusive Nutzung von Bandbreite und Speicherkapazität, isolierter Betrieb in der Schweiz und Integration mit dem Unternehmensnetzwerk, der Infrastruktur und den Prozessen des Unternehmens. Sie liefert Infrastructure as a Service (IaaS) und Platform as a Service (PaaS) und lässt sich mit On-Premise-Umgebungen und Public-Cloud-Infrastrukturen verbinden.

Die Hybrid-Cloud kombiniert On-Premise-Umgebungen, Private Cloud und Public Cloud. Die Multi-Cloud-Strategie nutzt mehrere Anbieter oder mehrere Cloud-Plattformen, wie im Bundesmodell. Um das passende Modell zu erkennen, sind drei Fragen nötig: Welche Daten werden verarbeitet, wie sensibel sind sie und welche Workloads müssen unter direkter Kontrolle bleiben? Hinzu kommen Geschäftsziele, Integration in bestehende Systeme, erforderliche Skalierbarkeit und die Möglichkeit, den Anbieter im Laufe der Zeit zu wechseln.

Vergleich der Cloud-Modelle für Schweizer Unternehmen

Private Cloud in der Schweiz: Kontrolle, Isolation und Daten im Land

Die Private Cloud wird oft von Unternehmen mit sensiblen Daten oder strengen Anforderungen evaluiert. Die UMB betont, dass sie sowohl für mehrere Kunden als auch für einzelne Unternehmen bereitgestellt werden kann, stets unter Einhaltung der strengen schweizerischen Datenschutzvorschriften. Sie ist nicht automatisch konform. Sie zeigt jedoch eine nützliche Richtung auf, wenn dedizierte Ressourcen und mehr Kontrolle über den Perimeter erforderlich sind.

Zu den genannten Vorteilen gehören dedizierte Ressourcen, Isolation, Datenspeicherung in der Schweiz, Reduktion der Komplexität und Integration in bestehende Infrastrukturen. Swisscom spricht von der exklusiven Nutzung von Bandbreite und Speicherkapazität, maximaler Verfügbarkeit und hohem Datenniveau dank isoliertem Betrieb in der Schweiz. Hinzu kommen die Reduktion der Komplexität der IT-Umgebung und die Integration mit On-Premise-Strukturen und Public-Cloud-Infrastruktur. Für Unternehmen mit komplexen IT-Umgebungen und sensiblen Daten können diese Elemente die Operativität und Compliance vereinfachen.

Die Auswahl sollte auf überprüfbaren Kriterien basieren. Dazu gehören der Standort der Daten und Backups, der Isolationsgrad, die Zugriffsverwaltung, die Trennung zwischen Kunden, die Betriebskontinuität, die Möglichkeit, Daten zu exportieren, und die Integration in bestehende Prozesse. Rollen, Weisungen, Subunternehmer und Sicherheitsmassnahmen müssen vertraglich geklärt werden. Die Private Cloud in der Schweiz ist eine zu evaluierende Option, keine automatische Garantie: Die Konformität hängt davon ab, wie der Dienst konfiguriert, vertraglich geregelt und kontrolliert wird.

Vorteile und Risiken der Private Cloud in der Schweiz

Sicherheit in der Cloud: Schutzziele und konkrete Massnahmen

Swissmedic fasst die Schutzziele in vier Säulen zusammen: Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit. In der Cloud müssen diese in risikoadäquate technische und organisatorische Massnahmen übersetzt werden. Der EDÖB stellt einen Leitfaden zu den technischen und organisatorischen Massnahmen (TOM) im Bereich Datenschutz bereit, der Risiken und Lösungen illustriert und Verschlüsselung, Anonymisierung und Authentifizierung behandelt. Der Leitfaden hilft bei der Implementierung angemessener Massnahmen und gewährleistet einen optimalen Schutz personenbezogener Daten gemäss aktuellen Normen und Standards.

Zur Verschlüsselung und Authentifizierung kommen organisatorische Massnahmen hinzu: Verwaltung von Rollen und Zugriffsrechten, Aufgabentrennung, Backups, Umgebungskontrollen, Instruktion des Personals und Überprüfung der Anbieter. Artikel 4 der Datenschutzverordnung (DSV) sieht die Protokollierung vor. Bei der automatisierten Verarbeitung personenbezogener Daten müssen der private Verantwortliche und sein privater Auftragsverarbeiter Vorgänge wie Erfassung, Änderung, Lesen, Übermittlung, Löschung und Vernichtung der Daten protokollieren. Der EDÖB hat technische Empfehlungen zur Protokollierung gemäss Artikel 4 DSV veröffentlicht.

Eine weitere operative Pflicht betrifft Datenschutzverletzungen: Der EDÖB hat einen Leitfaden zur Meldung von Verletzungen veröffentlicht. Er behandelt die gesetzlichen Anforderungen für die Meldung an den EDÖB und insbesondere das Konzept des «wahrscheinlich hohen Risikos» gemäss Artikel 24 Absatz 1 DSG. Er definiert auch die Anforderungen zur Information der Betroffenen im Falle einer Verletzung gemäss Artikel 24 Absatz 4 DSG. In der Cloud-Umgebung muss klar sein, wer den Vorfall erkennt, wer über die Meldung entscheidet, innerhalb welcher Fristen und mit welchen Informationen.

Schliesslich gibt es den menschlichen Faktor. Swissmedic zitiert Helga Horisberger, Leiterin der Rechtsabteilung und Mitglied der Direktion. Ihrer Ansicht liegt die Hauptbedrohung für den Datenschutz nicht in der Digitalisierung, sondern bei den einzelnen Personen: «Das Verhalten und die individuellen Entscheidungen minimieren die Risiken im Bereich des Datenschutzes – oder erhöhen sie». Daher sind Sensibilisierung und Schulung aller Mitarbeitenden integraler Bestandteil der Cloud-Sicherheit, kein fakultativer Zusatz.

Hauptschutzziele für Daten in der Cloud

Wer macht was: Verantwortlicher, Auftragsverarbeiter und Unterauftragsverarbeiter in der Cloud

Laut EDÖB agiert das Cloud-Dienstleistungsunternehmen in der Regel als Auftragsverarbeiter – oder Unterauftragsverarbeiter – bei der Verarbeitung der Kundendaten gemäss Artikel 9 DSG. Der Kunde kann Auftragsverarbeiter oder Verantwortlicher für die Verarbeitung sein. Die Unterscheidung bestimmt unterschiedliche Pflichten und muss geklärt werden, bevor Daten einem Anbieter anvertraut werden.

Wenn der Kunde Verantwortlicher ist, muss er sicherstellen, dass die im Auftrag von Cloud-Anbietern durchgeführten Verarbeitungen datenschutzkonform sind. Er muss auch verhindern, dass die Rechte der betroffenen Personen durch die Auslagerung beeinträchtigt werden. Wenn der Kunde Auftragsverarbeiter ist, muss er die vom Verantwortlichen für die Datenverarbeitung festgelegten Anforderungen erfüllen.

Der EDÖB erinnert daran, dass der Cloud-Nutzer als Verantwortlicher die Einhaltung der Verarbeitungsanforderungen durch einen Auftragsverarbeiter gemäss Artikel 9 DSG vertraglich sicherstellen und garantieren muss. Es braucht klare vertragliche Vereinbarungen, dokumentierte Weisungen, Definition der Subunternehmer und Kontrolle über die Kette der Unterauftragsverarbeiter. Der Cloud-Anbieter muss nachweisen können, dass er rechtmässige Weisungen erhalten und umgesetzt hat.

Die Kette kann lang sein: Ein Anbieter kann sich Unterauftragsverarbeiter für Hosting, Backup, Support oder Netzwerkdienste bedienen. Es ist ratsam, die aktuelle Liste der Unterauftragsverarbeiter, die Bedingungen für deren Autorisierung, die Verarbeitungsorte und die Kontrollmodalitäten anzufordern. Rollen und Verantwortlichkeiten müssen auch für Nicht-Juristen und IT-Sicherheitsexperten verständlich beschrieben werden.

Daten im Ausland: Transfers, Drittländer und CLOUD Act-Risiko

Der EDÖB nennt unter den bei der Nutzung von Cloud-Diensten zu bewertenden Aspekten den Rückgriff auf Auftragsverarbeiter und Unterauftragsverarbeiter. Er berücksichtigt auch die Sicherheit der Verarbeitung und die Übermittlung personenbezogener Daten in Drittländer. In der Terminologie des DSG spricht man von Bekanntgabe ins Ausland. Wenn personenbezogene Daten im Rahmen der Cloud ins Ausland bekanntgegeben werden, müssen die gesetzlichen Bedingungen und die anwendbaren Garantien geprüft werden.

Der am meisten diskutierte Fall betrifft Anbieter, die dem US-Recht unterliegen. Die UMB erklärt, dass der CLOUD Act die US-Behörden ermächtigt, amerikanische Unternehmen zur Herausgabe von Daten zu zwingen, auch wenn diese im Ausland gespeichert sind. Ein Schweizer Unternehmer, der einen Cloud-Anbieter mit Sitz in den USA nutzt, riskiert daher, dass seine sensiblen Daten ohne Vorwarnung oder Rechtsmittel von den US-Behörden eingesehen werden. Die UMB fügt hinzu, dass dieses rechtliche Risiko auch ohne die aktuellen Spannungen zwischen der Schweiz und den USA nicht unterschätzt werden darf.

Die UMB weist zudem darauf hin, dass die Trump-Administration zusätzliche Unsicherheit in der globalen Datensicherheit schafft. Die jüngsten Massnahmen, wie die Entlassung einiger Mitglieder des Privacy and Civil Liberties Oversight Board im Januar 2025, haben entscheidende Kontrollmechanismen für den EU-USA-Datenschutzrahmen geschwächt und Zweifel an seiner langfristigen Tragfähigkeit geweckt. Die amerikanischen Massnahmen haben die Besorgnis unter Schweizer Unternehmen verstärkt. Diese befürchten, Daten, die bei US-Cloud-Anbietern gespeichert sind, auf Anforderung der amerikanischen Behörden herausgeben zu müssen, was möglicherweise im Widerspruch zu den schweizerischen Datenschutzgesetzen steht.

Für ein Schweizer Unternehmen ist es notwendig, den Sitz des Anbieters, die Möglichkeit staatlicher Zugriffe, die Länder, in denen die Daten verarbeitet werden, und vertragliche Garantien zu bewerten. Es reicht nicht aus, nur zu prüfen, wo die Server physisch stehen. Entscheidend sind auch die Nationalität des Anbieters, die Gesetze, denen er unterliegt, die beteiligten Subunternehmer und die Befugnisse ausländischer Behörden. Die Bewertung muss dokumentiert und bei Wechseln von Anbietern, Konfigurationen oder dem rechtlichen Kontext überprüft werden.

Operative Compliance: Dokumentation, Transparenz und kontinuierliche Kontrolle

Compliance in der Cloud übersetzt sich in praktische Handlungen. Der EDÖB bietet Leitfäden und Anweisungen zu verschiedenen Pflichten: technische und organisatorische Massnahmen, Meldung von Verletzungen, Protokollierung gemäss Artikel 4 DSV und Reglement für automatisierte Verarbeitungen. Letzteres muss vom privaten Verantwortlichen und seinem privaten Auftragsverarbeiter gemäss Artikel 5 DSV erstellt werden, wenn sie in grossem Umfang besonders schützenswerte personenbezogene Daten verarbeiten oder ein Profiling mit hohem Risiko durchführen.

Ein sinnvoller Weg beginnt mit der Analyse des Schutzbedarfs: Welche Daten werden verarbeitet, wie sensibel sind sie, welche Bedrohungen bestehen und welche Folgen hätte eine Verletzung? Es folgen eine Policy und ein Datenschutzplan, die Definition interner und externer Rollen, Protokollierungsverfahren, das Management von Verletzungen und die Schulung des Personals. Wenn die gesetzlichen Bedingungen vorliegen, muss auch das Reglement für automatisierte Verarbeitungen erstellt werden.

Das Beispiel von Swissmedic zeigt einen pragmatischen, aber überprüfbaren Ansatz: Die Behörde hat ihre eigenen Datenschutzpraktiken geprüft und verfeinert, indem sie eine Policy und einen Plan ausgearbeitet hat. Diese Dokumente klären organisatorische und technische Aspekte, beschreiben Verfahren und Prozesse und definieren Rechte und Pflichten aller internen und externen Mitarbeitenden in Bezug auf die Verarbeitung personenbezogener Daten. Swissmedic hat zudem einen internen Ansprechpartner für alle Fragen zum Datenschutz und als Kontaktperson für den EDÖB ernannt. Die Behörde organisiert regelmässig Treffen zwischen den Datenschutzverantwortlichen der verschiedenen Divisionen und Schulungskurse für die Mitarbeitenden.

Swissmedic betont, dass sie als Bundesbehörde strengeren Anforderungen unterliegt als beispielsweise private Unternehmen, was alles komplexer macht. Ein privates Unternehmen kann dennoch ein nützliches Prinzip ableiten: Die technische Umsetzung angemessener Massnahmen ist ebenso wichtig wie die Sensibilisierung aller Mitarbeitenden. So werden nur die wirklich notwendigen Daten erhoben und gespeichert – nicht mehr, nicht weniger. Compliance ist kein einmaliges Projekt, sondern eine kontinuierliche Kontrolle von Anbietern, Zugriffen, Vorfällen und Dokumentation.

Verfahren für operative Compliance in der Cloud

Die richtige Cloud wählen: Kriterien, Integration und Governance

Zur Orientierung bei der Wahl dient eine Entscheidungs-Checkliste. Erstens: Standort und Isolation, also wo Daten verarbeitet und gespeichert werden, ob dedizierte Ressourcen existieren und wie die Umgebungen getrennt sind. Zweitens: Sicherheit und Zertifizierungen, indem erfragt wird, welche technischen und organisatorischen Massnahmen der Anbieter ergreift und welche Attestierungen er besitzt.

Drittens: Management der Unterauftragsverarbeiter, mit Liste, Verarbeitungsorten und vertraglichen Bedingungen. Viertens: Auslandsübertragungen und staatlicher Zugriff, mit besonderem Augenmerk auf Anbieter, die ausländischen Gesetzen wie dem CLOUD Act unterliegen.

Weitere Kriterien betreffen die Integration in die lokale Umgebung, Skalierbarkeit, Support und den Ausstieg aus dem Dienst. Swisscom beschreibt eine Private Cloud, die mit dem Unternehmensnetzwerk, der Infrastruktur, den Prozessen, On-Premise-Rechenzentren und der Public-Cloud-Infrastruktur integriert ist. Sie umfasst Netzwerkdienste, Security und Managed Services. Diese Elemente helfen zu verstehen, ob das gewählte Modell mit der bestehenden Umgebung und den Geschäftszielen kompatibel ist.

Ein oft vernachlässigter Aspekt ist die Governance. Das Projekt «Public Cloud des Bundes» zeigt ein Organisationsmodell, das auf einer Cloud-Governance und einem Cloud Service Broker als Vermittler zwischen Verwaltungseinheiten und Hyperscalern basiert. Der CSB unterstützt die Einheiten bei der Nutzung von öffentlichen und privaten Cloud-Diensten, bietet Beratung und begleitet die Kunden bei der Erfüllung der Anforderungen an Informationssicherheit und Datenschutz sowie der Geheimhaltungspflichten. Die Auswahl des geeignetsten Anbieters erfolgt über ein definiertes Ausschreibungsverfahren; im Bundesfall sind die im Ausschrieb OMC-20007 vergebenen Dienste verfügbar, darunter Amazon Web Services, Microsoft Azure, Alibaba, IBM und Oracle.

Auch ein privates Unternehmen kann eine interne oder externe Vermittlungsrolle einführen: eine Ansprechperson, die Anforderungen, Verträge und Architektur kennt, den Schutzbedarf bewertet und den kontinuierlichen Kontakt zu den Anbietern pflegt. Die endgültige Entscheidung sollte auf Risiko, Verantwortung und Kontrollfähigkeit basieren, nicht nur auf Preis oder Benutzerfreundlichkeit. Die Dokumentation von Kriterien, Bewertungen und Entscheidungen erleichtert den Nachweis, dass das Unternehmen im Falle einer Prüfung oder eines Vorfalls sorgfältig gehandelt hat.

Kriterien für die Wahl eines konformen Cloud-Anbieters in der Schweiz