Souveräner Cloud in der Schweiz: Kriterien für die Wahl eines Hosters

«In der Schweiz gehostet» ist nicht gleichbedeutend mit Souveränität

Die am weitesten verbreitete Illusion ist geografischer Natur. An den Swiss Cyber Security Days 2026 fasste Léopold Jacquot, Principal Engineer bei Infomaniak, dies mit einem Bild zusammen. Ein Tresor steht physisch in Zürich, besteht aus Schweizer Stahl und ist mit einem Schweizer Schloss gesichert. Doch der Schlüssel gehört einem Unternehmen aus San Francisco: Der Tresor ist schweizerisch, sein Inhalt nicht mehr.

Das seit 2018 geltende CLOUD Act verpflichtet US-Technologieunternehmen, Daten an Behörden herauszugeben, selbst wenn diese im Ausland gespeichert sind. Ob sich das Rechenzentrum in Bern, Frankfurt oder Paris befindet, ändert daran nichts. Wenn der Betreiber amerikanisch ist oder zu einer amerikanischen Gruppe gehört, bleiben die Daten rechtlich von den USA aus zugänglich.

Zwei Begriffe sind strikt zu trennen: Regulatorische Compliance und Souveränität sind zwei unterschiedliche Themen. Souveränität beschränkt sich nicht auf den Standort der Daten. Es gibt zudem keine einheitliche Definition für souveräne Cloud, sondern verschiedene Grade der Souveränität.

Ein Label «in der Schweiz gehostet» sagt weder aus, wer den Betreiber kontrolliert, noch wer die Schlüssel besitzt. Es gibt auch keine Auskunft darüber, woher die Softwarelizenzen stammen, welches Recht auf den Vertrag anwendbar ist oder was am Tag des Ausstiegs geschieht. Dieser Artikel legt eine Liste überprüfbarer Kriterien dar, statt sich auf ein Label zu verlassen.

Wer kontrolliert den Betreiber: Das juristische Kriterium vor allem anderen

Der CLOUD Act von 2018 ermöglicht es den US-Behörden, amerikanische Unternehmen zu zwingen, im Ausland gespeicherte Daten offenzulegen. Dies gilt auch für Daten europäischer Bürger, die in Rechenzentren der EU oder der Schweiz gehostet werden. Dieses Szenario ist keineswegs theoretisch.

Die erste Frage an einen Hoster lautet daher nicht: «Wo stehen Ihre Server?». Sie lautet: «Welche Nationalität hat Ihr Unternehmen und wie ist seine Kontrollstruktur aufgebaut?». Präzisieren Sie Muttergesellschaft, Holding, Aktionärsstruktur, Identität nachgelagerter Subunternehmer. Eine Schweizer Tochtergesellschaft einer ausländischen Gruppe bleibt in diesem Punkt im Entscheidungsbereich ihrer Muttergesellschaft.

Der schweizerische Rahmen ist bekannt: revidiertes Datenschutzgesetz (DSG), Artikel 10a DSG zur Auftragsverarbeitung, Anforderungen der Swiss Government Cloud, branchenspezifische Vorschriften. Dazu gehören insbesondere die Rundschreiben der Eidgenössischen Finanzmarktaufsicht (FINMA) und das Bundesgesetz über die Überwachung des Post- und Fernmeldeverkehrs (BÜPF). Für Organisationen, die sensible Personendaten oder regulierte Informationen verarbeiten, ist digitale Souveränität eine strategische Notwendigkeit, kein Komfort-Zusatz.

Artikel 10a DSG regelt die Rolle des Dienstleisters. Dieser darf Personendaten nur so bearbeiten, wie der Auftraggeber selbst dazu berechtigt wäre. Jede Bearbeitung für eigene Zwecke ist unzulässig. Der Auftraggeber – Sie – bleibt für die Einhaltung der Anforderungen des DSG verantwortlich, auch wenn die Verarbeitung einem Cloud-Anbieter anvertraut wird.

Wer besitzt die Verschlüsselungsschlüssel?

Verschlüsselung schützt nur, wenn die Schlüsselverwaltung dem Anbieter entzogen ist. Wie Léopold Jacquot (Infomaniak) zusammenfasst: Ihre Daten können mit AES-256 verschlüsselt und in einem europäischen Rechenzentrum gehostet sein, mit einem soliden SLA. Wenn die Schlüssel jedoch von einem Dienst verwaltet werden, der von AWS, Azure oder Google Cloud betrieben wird, ist es so, als würden Sie Ihre Daten verschlüsseln und den Schlüssel per Post in die USA schicken.

Die Unterscheidung hat auch eine von der Schweizerischen Anwaltskammer dokumentierte rechtliche Konsequenz. Im IaaS-Bereich speichert der Anbieter die Daten nur, ohne sie lesen zu können, wenn der Kunde sie vor der Übertragung verschlüsselt. Im SaaS-Bereich hingegen kann er sie lesen: Es handelt sich dann um eine Verarbeitung von Personendaten durch Dritte. Diese Verarbeitung unterliegt Artikel 10a DSG, mit einem Auftragsverarbeitungsvertrag und einem Anhang, der die Art der Verarbeitung beschreibt.

Praktisch geht es um den gesamten Lebenszyklus des Schlüssels. Wo wird der Schlüssel generiert und gespeichert, und wer kann ihn verwenden? Kann der Anbieter über den Support, Backups oder die Replikation auf den Klartext zugreifen? Ein Hoster, der diese vier Punkte nicht präzise beantworten kann, kann nicht nachweisen, dass Ihre Daten für ihn unlesbar sind.

Softwareabhängigkeiten und Ausstiegskapazität

Souveränität ist ein Problem der Wertschöpfungskette, nicht nur des Serverraums. Eine von einem europäischen Unternehmen entwickelte Anwendung, die als «100 % lokal» verkauft wird, kann auf einem System laufen, dessen Lizenz einem ausländischen Hersteller gehört, mit Lizenzservern in den USA. Alles funktioniert bis zu dem Tag, an dem der Hersteller seine Bedingungen ändert, seine Preise um 300 % erhöht oder den Zugang sperrt. Einige Angebote «souveräner Cloud» basieren somit vollständig auf fremden Technologien: Der lokale Akteur ist nur Fassade, aber die Schicht, die Ihre Daten berührt, wird vom Ausland aus kontrolliert.

Keine Organisation ist völlig unabhängig. Jede kann ihre Abhängigkeiten jedoch steuern, statt sie nur zu erleiden. Es gilt zu bestimmen, welche Systeme die Innovation stützen müssen und wo Kontrolle unerlässlich ist, um Kosten, Compliance und Flexibilität zu gewährleisten. Zudem muss eine aktuelle Datenlandkarte gepflegt werden, die angibt, wo Daten gespeichert, verarbeitet und repliziert werden, und die Ausstiegskapazität sicherstellen, wenn sich externe Anforderungen ändern.

Hinzu kommt ein einfaches vertragliches Prinzip: Kein Vertrag darf im Notfall den Ausstieg verhindern.

Der europäische Rahmen bietet einen Referenzpunkt, stellt jedoch keine schweizerische Verpflichtung dar. Die europäische Datenverordnung («Data Act») ist seit dem 12. September 2025 in Kraft. Ab dem 12. Januar 2027 werden die Kosten im Zusammenhang mit einem Wechsel des Cloud-Anbieters vollständig abgeschafft.

Der Data Act gilt nicht automatisch in der Schweiz, da sie kein Mitglied der Europäischen Union ist. Schweizer Unternehmen können jedoch betroffen sein, wenn sie auf dem europäischen Markt tätig sind oder dort Dienstleistungen oder Produkte anbieten. Für diese Kunden wird die kostenfreie Reversibilität zu einem vertraglichen Referenzelement; für andere bleibt sie ein nützliches Vergleichskriterium.

Das Souveränitätsniveau gemäss Daten und Branche kalibrieren

Es gibt keine einzige Antwort: Das notwendige Souveränitätsniveau hängt von den Risiken, den Daten und der Branche ab. Ein Hyperscaler kann Souveränitätsgarantien bieten, ebenso wie ein europäischer oder schweizerischer Anbieter gewisse Abhängigkeiten aufweisen kann. Die richtige Wahl besteht vor allem darin, genügend Kontrolle über Daten, Technologien und Lieferanten zu behalten.

Die in einer Studie im Auftrag der Lateinischen Konferenz der kantonalen Digitaldirektorinnen und -direktoren verwendete Arbeitsdefinition bestätigt dies. Digitale Souveränität ist «die Fähigkeit einer (rechtlichen) Einheit zur Selbstbestimmung hinsichtlich des gesamten Lebenszyklus eines digitalen Systems, von der Konzeption über die Nutzung bis zur Stilllegung digitaler Systeme und der dabei verarbeiteten und gespeicherten Daten sowie der Prozesse, die sie abbilden». Eine Organisation ist also souverän, wenn sie vom Beginn bis zum Ende der Nutzung ausreichende Kontrolle über ihre Systeme und Daten behält – wobei der Grad fallweise festzulegen ist.

Diese Abstufung lässt sich an drei Achsen ablesen. Die erste ist die Sensibilität der Daten: sensible Personendaten, regulierte Informationen, gewöhnliche Geschäftsdaten. Die zweite ist die geschäftliche Kritikalität, also was eine Unterbrechung oder ein Verlust kostet. Die dritte betrifft die branchenspezifischen Anforderungen.

Für den öffentlichen Sektor – Kantone, Bundesämter, halbstaatliche Unternehmen – ist die Swiss Government Cloud eine Pflicht. Für Organisationen, die sensible Personendaten oder regulierte Informationen verarbeiten, ist digitale Souveränität eine strategische Notwendigkeit. Anderswo bleibt sie eine Wahl, die proportional zu diesen drei Achsen ist, und kein prinzipiell angewandtes Maximum.

Was der Betrieb vor Ort garantieren muss

Auf Infrastrukturebene sind die Elemente überprüfbar und anderer Natur als die rechtlichen Fragen. Der schweizerische Betreiber Protocol SA betreibt Rechenzentren in Bussigny und Genf. Er dokumentiert eine menschliche und videoüberwachte 24/7-Überwachung mit Sensoren, Alarmsonden und automatischer Feuerlöschung. Er erwähnt zudem eine TIER III-Zertifizierung und die Einbruchschutznorm WK3.

Protocol SA gibt eine Verfügbarkeits-SLA von 99,9 % und eine Interventionszeit von weniger als 15 Minuten an. Die Stromversorgung ist doppelt ausgelegt und durch UPS und Hilfsaggregate abgesichert; essentielle Geräte sind redundant vorhanden.

Die Daten werden an zwei verschiedenen Standorten repliziert. Die Backups werden externisiert auf einem zweiten sicheren Standort, auf verschlüsselten NAS gespeichert und täglich durchgeführt. Die Firewalls sind geclustert, ohne gemeinsame Umgebung.

Diese Garantien messen die betriebliche Resilienz, nicht die Souveränität. Ein TIER III-Rechenzentrum in der Schweiz mit elektrischer Redundanz und Offsite-Backups kann von einer Gesellschaft betrieben werden, die dem CLOUD Act unterliegt. Sie bleibt dann rechtlich vom Ausland aus zugänglich. Umgekehrt kann ein souveräner Hoster ausländische Softwareabhängigkeiten behalten. Die beiden Kriteriensätze werden separat überprüft, anhand unterschiedlicher Dokumente: Betriebsberichte und Servicezusagen einerseits, Kontrollstruktur und anwendbares Recht andererseits.

Betriebsindikatoren schweizerischer Rechenzentren

Verträge, Transparenz und einzufordernde Nachweise

Die Auftragsverarbeitung von Daten muss auf einer Vereinbarung zwischen Kunde und Dienstleister basieren, also dem Cloud-Service-Vertrag. Gemäss der Analyse der Schweizerischen Anwaltskammer darf der Anbieter die übermittelten Personendaten nur so bearbeiten, wie der Auftraggeber selbst dazu berechtigt wäre. Eine Bearbeitung für eigene Zwecke ist unzulässig.

Die Art der Verarbeitung muss daher im Vertrag oder in einem Anhang beschrieben werden. Der Auftraggeber bleibt für die Einhaltung der Anforderungen des DSG verantwortlich.

In Bezug auf Transparenz ist eine aktuelle Datenlandkarte das Kernstück: Wo werden Daten gespeichert, verarbeitet und repliziert? Beim Ausstieg kommen die explizite Garantie des Anbieterwechsels und ein Audit- und Kontrollrecht hinzu. Dieses Recht ermöglicht es, Zusagen zu überprüfen, statt sie blind zu glauben. Verträge, die dem Kunden die Möglichkeit nehmen, den Dienst in Notsituationen zu verlassen, sind auszuschliessen.

Regulatorische Compliance und Souveränität werden separat dokumentiert: Eine DSG- oder branchenspezifische Compliance-Dokumentation beweist nichts bezüglich der Jurisdiktion des Betreibers. Eine Zusage des anwendbaren schweizerischen Rechts entbindet nicht vom Auftragsverarbeitungsanhang. Erwarten Sie daher zwei separate Sets von Nachweisen, jedes mit seinen Unterlagen. Prüfen Sie, ob das angekündigte anwendbare Recht im unterzeichneten Vertrag steht und nicht nur auf der Marketingseite.

Prüfpunkte für effektive digitale Souveränität

Entscheidungsmatrix: Fragen an Ihren Hoster

Um mehrere Angebote konkret zu vergleichen, stellen Sie geschlossene Fragen und fordern Sie schriftliche Antworten. Jurisdiktion: Welche Nationalität hat die Muttergesellschaft, wie ist ihre Kontrollstruktur aufgebaut, und ist diese Struktur schwarz auf weiss festgehalten? Schlüssel: Wo werden Schlüssel generiert und gespeichert, wer kann sie verwenden, kann der Anbieter über Support, Backups oder Replikation auf den Klartext zugreifen?

Abhängigkeiten: Welche Softwarekomponenten basieren auf Lizenzen oder Aktivierungsservern Dritter, und wo sind diese gehostet? Ausstieg: Welche Bedingungen gelten für die Reversibilität, welche Daten und Formate werden zurückgegeben, und kann der Kunde im Notfall kündigen? Verträge: Welche Dokumente werden bereitgestellt – Auftragsverarbeitungsvertrag konform mit Artikel 10a DSG, Anhang zur Beschreibung von Art und Zweck der Verarbeitung, Zusage des anwendbaren Rechts, Auditrecht?

Schliesslich der Betrieb: Hosting-Standorte, elektrische Redundanz, an einem zweiten, separaten Standort replizierte Backups, Verfügbarkeits-SLA und vertragliche Interventionsfrist. Sechs Fragenblöcke – Jurisdiktion, Schlüssel, Abhängigkeiten, Ausstieg, Verträge, Betrieb – reichen aus, um Angebote zu unterscheiden, die sich alle als «souverän» bezeichnen. Sie helfen, ein Niveau zu wählen, das proportional zu Ihren Daten und Ihrer Branche ist.

Schlüsselkriterien zur Bewertung der Cloud-Souveränität in der Schweiz