Zum Inhalt
Verein in Gründung
Pilotbetrieb

Diese Plattform befindet sich im Pilotbetrieb. Trotz sorgfältiger Prüfung können Inhalte und Funktionen Fehler enthalten. Bitte überprüfe wichtige Angaben anhand der verlinkten Originalquellen.

SW-Version alpha 0.41
Darstellung: System
Sprache: DE

Digitale Souveränität der Schweiz

Titelbild: Cloud-Act-Zugriff auf Schweizer Daten

Bild: Schweizer Daten (Geschäftsdaten, vertrauliche Informationen, Personendaten) fliessen in eine Cloud, die von US-Behörden (Department of Justice, Cloud Act) eingesehen werden kann — über dem Schweizer Parlamentsgebäude in Bern.

Das Problem, ganz konkret: Office 365 in der Schweizer Verwaltung

Die Schweizer Bundesverwaltung, ein Grossteil der Kantonsverwaltungen und zahlreiche Gemeinden arbeiten heute mit Microsoft 365 — E-Mail (Exchange Online), Dokumente (Word, Excel, PowerPoint in der Cloud), Chat (Teams), File-Sharing (OneDrive, SharePoint), Identitätsmanagement (Entra ID, vormals Azure AD). Diese Dienste betreibt Microsoft Corporation aus Redmond, Washington, USA. Die Schweizer Datenkopien liegen in Microsoft-Rechenzentrumsregionen «Switzerland North» (Zürich) und «Switzerland West» (Genf).

Auf den ersten Blick wirkt das wie Souveränität: Daten im Schweizer Boden, Verträge mit Schweizer Tochtergesellschaften, Zertifikate (ISO 27001, FedRAMP, BSI C5).

Rechtlich ist diese Souveränität nicht durchsetzbar. Drei Hebel des US-Rechts greifen unabhängig vom Speicherort:

  1. Cloud Act (18 U.S.C. § 2713): US-Behörden können Microsoft Corporation in Redmond zur Herausgabe von Daten verpflichten, die im «Besitz, Gewahrsam oder Kontrolle» des Konzerns stehen — egal ob die Daten in Zürich, Frankfurt oder Texas liegen. Die «Switzerland North»-Region ändert daran nach US-Recht nichts.
  2. FISA Section 702 (50 U.S.C. § 1881a): Die NSA kann Microsoft zur Lieferung von Kommunikationsdaten Nicht-US-amerikanischer Personen verpflichten — ohne Einzelbeschluss, ohne dass Microsoft die Schweizer Behörde informieren darf, ohne dass die Schweizer Behörde es erfährt.
  3. National Security Letters (18 U.S.C. § 2709): Das FBI kann Auskunft über Verbindungsdaten verlangen, regelmässig mit Gag-Order — Microsoft darf den Kunden nicht informieren.

Konkret für ein Schweizer Bundesamt: Eine E-Mail-Korrespondenz mit einer ausländischen Behörde, eine OneDrive-Datei mit Akteneinträgen, ein Teams-Chat zwischen Mitarbeitenden — all das ist nach US-Recht jederzeit greifbar, ohne dass die Schweizer Aufsicht (EDÖB, GPDel, AB-ND) davon erfährt. Die Beteuerung «EU Data Boundary» oder «Microsoft Customer Lockbox» ändert das nicht, weil sie auf operativer Microsoft-Selbstverpflichtung beruht — nicht auf einer Beschränkung des US-Gesetzgebers.

Die Schweizer Bundeskanzlei hat 2021 das Programm «Cloud-Dienste der öffentlichen Verwaltung» auf fünf US-Hyperscaler vergeben (AWS, Microsoft, Google, Oracle, IBM). Risikoanalysen wurden gemacht, ein Ausschluss US-jurisdiktionaler Anbieter erfolgte nicht. Das EDÖB hat in mehreren Tätigkeitsberichten auf die strukturelle Problematik hingewiesen, ohne dass dies zu einem Politik-Wechsel geführt hätte.

Dieses Wiki dokumentiert die Mechanik dieser Abhängigkeit, ihre Schweizer Vollzugsdimension, die rechtlichen Grenzen und einen konkreten Gesetzesvorschlag (BGDS — Bundesgesetz über die digitale Souveränität).

Über dieses Kapitel

Dieses Kapitel ist ein Faktenwerk — eine quellenbasierte Bestandsaufnahme der digitalen Souveränität der Schweiz im Spannungsfeld von transatlantischer Datenerfassung, Schweizer Vollzugspraxis und proprietären Software-Werkzeugen.

Jede Seite folgt einer achtteiligen Gliederung (In drei Sätzen verstanden / Mechanik / Belege / Was das für die Schweiz bedeutet / Logische Schlussfolgerung / Was sich daraus für die Gesetzgebung ergibt / Weiterlesen / Stand und Versionierung) und stützt sich ausschliesslich auf Primärquellen und kuratierte Fach-Dossiers. Keine literarische Fallspur, keine Dramatisierung — Faktenebene.

Sektionen