Unternehmensdaten in der Schweiz hosten: Auswahlkriterien

Hosting in der Schweiz: Was der Standort wirklich ändert

Das neue Datenschutzgesetz (nDSG) gilt seit dem 1. September 2023. Es verpflichtet nicht dazu, Ihre Daten in der Schweiz zu speichern: Es regelt deren Übermittlung ins Ausland. Das entscheidende Kriterium wird zur Rechtsordnung des Betreibers und zur Sensibilität der Daten, die Sie ihm anvertrauen.

Der Patriot Act von 2001 und später der Cloud Act von 2018 ermächtigen die US-Behörden, den Zugriff auf Daten zu verlangen, die sich im Besitz US-amerikanischer Unternehmen befinden, selbst wenn diese in Europa oder in der Schweiz gespeichert sind. Ein vertrauliches Dokument, das einem Dienst anvertraut wird, der von einer US-Firma betrieben wird, bleibt daher rechtlich für einen US-Richter zugänglich, unabhängig vom Land, in dem sich das Rechenzentrum befindet.

Ein Schweizer Hoster untersteht dem schweizerischen Recht und ist gegenüber den schweizerischen Behörden rechenschaftspflichtig. Dieser Jurisdiktionseffekt interessiert vor allem Banken, medizinische Einrichtungen und Industrieunternehmen.

Nicht alle Daten haben das gleiche Gewicht. Das DSG schützt bestimmte Personendaten strenger, da deren Verletzung schwerwiegende Folgen haben kann. Daneben stellen Fabrikationsgeheimnisse und strategische Pläne eine eigenständige Herausforderung dar.

Die Frage lautet also nicht «Wo steht der Server?», sondern «Wer kann den Betreiber zwingen, und auf welcher Grundlage?». Der Standort des Rechenzentrums, die Kapitalstruktur und die Plattform werden separat beurteilt.

Vor- und Nachteile des Hostings in einem Schweizer Rechenzentrum

On-Premise, Private Cloud, Shared Cloud, IaaS/PaaS/SaaS: Welche Optionen für welche Bedürfnisse?

Die Hosting-Optionen für Unternehmensdaten in der Schweiz reichen von On-Premise-Lösungen über Private Clouds bis hin zu Shared Clouds. Jede Option impliziert ein unterschiedliches Mass an Verantwortung und Auslagerung.

Der Kauf eigener Server und deren Betrieb in den eigenen Räumlichkeiten hat an Bedeutung verloren: Die Option gilt als teuer, zeitaufwendig und riskant im Falle eines Ausfalls. Die Fehlererkennung, -behebung und die Koordination zwischen IT-Partnern liegen dann beim Unternehmen. Die Auslagerung hat sich mit der Explosion digitaler Daten, dem technologischen Wandel, dem Aufkommen der Cloud und schliesslich der Covid-19-Pandemie beschleunigt.

Die Private Cloud hostet Ihre Infrastruktur in einem isolierten Bereich zur ausschliesslichen Nutzung; die Shared Cloud verteilt die Ressourcen auf mehrere Kunden. In beiden Fällen können Sie Ihre gesamte Infrastruktur oder Teile davon auslagern, einschliesslich der Datensicherung.

Bei IaaS stellt der Anbieter die physischen Server, das Netzwerk und den Speicherplatz in Form virtueller Maschinen bereit, jedoch weder das Betriebssystem noch die Anwendungen. PaaS fügt die Anwendungsinfrastruktur, Datenbanken und Load Balancer hinzu, meist in Containerform. SaaS bietet Zugang zu einer kompletten Software auf Ressourcen, die von mehreren Kunden gemeinsam genutzt werden. Cloud Computing entspricht der Speicherung und dem Zugriff auf IT-Dienste über das Internet.

Der Wechsel zu einem Schweizer Hoster erfordert keine komplette Neugestaltung. ERP, CRM, kollaborative Dateien und Dokumentenmanagementsysteme (DMS) können beim Anbieter integriert werden, mit einer einzigen Anlaufstelle für Wartung, Sicherheit und Support. Die Nähe reduziert auch die Latenz, was für Geschäfts- und Kollaborationsanwendungen wichtig ist.

Fair IT unterscheidet unter den Möglichkeiten für Schweizer Unternehmen zwischen Swiss Cloud, IaaS, PaaS und SaaS. Meanquest bietet insbesondere IaaS, Cohesity as a Service, Managed Engine as a Service und Monitoring as a Service an. groupe.iD hebt die Anwendungsintegration und die Single Point of Contact hervor.

Maijin setzt auf das Self-Hosting eines KI-Assistenten auf einem gemieteten Server. Die genannten Open-Source-Modelle sind Ollama und Apertus, das seit September 2025 verfügbare Schweizer Open-Source-Modell.

Eine souveräne KI läuft auf einer Infrastruktur, deren Standort, Zugriff und Nutzungsbedingungen Sie kontrollieren. Ihre Daten durchlaufen dann ohne Ihre Zustimmung keinen Akteur, der einer ausländischen Rechtsordnung untersteht. Das Self-Hosting eines Open-Source-Modells auf Ihrem Server oder Ihrer Maschine sorgt dafür, dass nichts nach aussen dringt. Dies richtet sich an sehr sensible Daten, technische Teams und den Bedarf an totaler Kontrolle.

Vergleich der Hosting-Modelle: On-Premise, Private Cloud, Shared, IaaS, PaaS, SaaS

DSG und kantonale Gesetze: Verantwortlichkeiten beim Datenhosting

Der Datenschutz soll die Persönlichkeitsrechte und die Privatsphäre schützen. Wer Personendaten bearbeitet, muss dies im Einklang mit dem Recht und dem Grundsatz der Verhältnismässigkeit tun. Der Begriff der Bearbeitung umfasst alle Verwendungen von Daten, insbesondere deren Beschaffung und Aufbewahrung.

Das 2023 revidierte DSG wird als Schweizer Version der DSGVO präsentiert, mit einigen Nuancen. Es regelt auch das Profiling, also die automatisierte Verarbeitung von Daten.

Betroffene Personen verfügen über Rechte: Sie müssen wissen, welche sie betreffenden Daten verarbeitet werden, und können unter bestimmten Bedingungen deren Berichtigung, Sperrung oder Löschung verlangen. Sie können das Auskunftsrecht nutzen und ihre Akte einsehen. Eine unrechtmässige Bearbeitung kann angefochten werden.

Das Regime ist nicht nur bundesweit: Jeder Kanton hat seine eigene Gesetzgebung in diesem Bereich. Die öffentlichen Organe der Kantone und Gemeinden unterliegen dieser, ebenso wie private Organisationen, die mit einer Aufgabe im öffentlichen Interesse betraut sind, beispielsweise Organisationen für Hilfe und Pflege zu Hause oder Altersheime.

Die Organe des Bundes und private Personen unterstehen dem eidgenössischen DSG. In der obligatorischen Kranken- und Unfallversicherung handeln die Versicherer als Vollzugsorgane und fallen ebenfalls unter dieses Gesetz; in der Zusatzversicherung werden sie wie private Personen behandelt. Die kantonalen IV-Stellen gehören zu den öffentlichen kantonalen Organen, die den kantonalen Gesetzen unterstehen.

Die Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Als unabhängige Behörde wacht er darüber, dass Bundesorgane und private Unternehmen keine unrechtmässigen Bearbeitungen von Personendaten vornehmen. Im Falle einer Verletzung kann er alarmiert werden.

Physische und logische Sicherheit: Die in einem Schweizer Rechenzentrum zu prüfenden Kriterien

Zwei Referenzwerte tauchen in den Pflichtenheften immer wieder auf: die Zertifizierung ISO 27001 für das Informationssicherheitsmanagement und die Klassifizierung Tier III oder IV des Rechenzentrums, was einer angekündigten Verfügbarkeit von 99,982 % bis 99,995 % entspricht.

Auf physischer Ebene: biometrische Zugangskontrolle, 24/7-Überwachung durch Kameras und Wachpersonal, Brandschutzsysteme, Präzisionsklimatisierung. Ebenfalls zu prüfen sind die Begrenzung des CO2-Fussabdrucks und die Nutzung erneuerbarer Energien.

Auf logischer Ebene zählen die Next-Generation-Firewall, die Erkennung und Verhinderung von Eindringlingen sowie die Notfallwiederherstellungs- und Geschäftskontinuitätspläne. Die Redundanz des Netzwerks bedingt die Stabilität der Verbindung.

groupe.iD hebt eine Schweizer Hosting-Lösung hervor, insbesondere für Bank-, Gesundheits- und Industriekunden. Meanquest führt in seinen Sicherheitsdienstleistungen Managed Security Services sowie zwei hauseigene Lösungen auf: Meanquest phishing und Meanquest isms.

Schlüsselindikatoren für Sicherheit und Leistung eines Schweizer Rechenzentrums

Übermittlungen ausserhalb der Schweiz und Subunternehmer: Die Punkte, auf die zu achten ist

Das nDSG verbietet den Export von Daten nicht: Es regelt ihn. Ein Land, das ein angemessenes Schutzniveau bietet, wie die Mitglieder der EU und des EWR, kann Personendaten ohne zusätzliche Garantien erhalten.

Die Liste der Staaten, die diese Anforderung erfüllen, findet sich in Anhang 1 der Datenschutzverordnung (DSV), erstellt vom Bundesrat. Dazu gehören beispielsweise Deutschland, Argentinien und das Vereinigte Königreich. Seit dem 14. August 2024 lässt der Bundesrat auch Übermittlungen an US-Unternehmen zu, die im Rahmen des Swiss-U.S. Data Privacy Framework zertifiziert sind.

Ohne Angemessenheitsentscheid können geeignete Garantien ausreichen. Die Standarddatenschutzklauseln (Standard Contractual Clauses, SCC) müssen zuvor vom EDÖB genehmigt werden, der innerhalb von 90 Tagen entscheidet. Spezifische Datenschutzklauseln können auch in einem Vertrag vorgesehen sein, aber der EDÖB muss vor der Übermittlung informiert werden.

Die betroffene Person muss über jede Mitteilung ihrer Daten ins Ausland informiert werden (Art. 19 Abs. 4 DSG). Daten dürfen nur übermittelt werden, wenn das Empfängerland ein angemessenes Schutzniveau gewährleistet (Art. 16 Abs. 1 DSG).

Das Hosting in der Schweiz reicht nicht aus, wenn der Betreiber weiterhin einer ausländischen Rechtsordnung untersteht. Jeder Subunternehmer fügt zudem ein weiteres Glied hinzu: Fordern Sie die Liste der Dienstleister an, die auf Ihre Daten zugreifen, ihren Standort und die Rechtsordnung, der sie unterstehen, einschliesslich für Support, Überwachung und Sicherung.

Das Self-Hosting eines Open-Source-Modells wie Ollama oder Apertus vermeidet jegliche Datenübertragung für bestimmte Verarbeitungen. Die Wahl eines KI-Anbieters ist eine Wahl der rechtlichen Abhängigkeit, nicht nur der technischen.

Hosting-Kosten in der Schweiz: Zu prüfende Positionen und Richtwerte

Die Kosten für das Hosting von Unternehmensdaten in der Schweiz variieren je nach gewähltem Modell (On-Premise, Private Cloud, Shared, IaaS, PaaS oder SaaS), den zugewiesenen Ressourcen (Prozessoren, Speicher, Bandbreite), der Redundanz, den geforderten Zertifizierungen und dem Support. Vergleichen Sie Angebote mit gleichem Umfang statt eines isolierten Preises.

On-Premise-Hosting erfordert Investitionen in die Ausrüstung und Ressourcen, die zum Betrieb der Server notwendig sind. Die Option gilt als teuer, zeitaufwendig und riskant im Falle eines Ausfalls, während die Auslagerung einen Teil dieses Managements auf den Anbieter überträgt.

Eine bescheidene Webanwendung, die bei Infomaniak gehostet wird, kostet etwa 10 Euro pro Monat. Der ausgehende Traffic, der bei AWS mit etwa 83 Dollar pro Monat pro Terabyte berechnet wird, ist bei Infomaniak, Hetzner und OVHcloud kostenlos. Für das Self-Hosting eines KI-Assistenten gibt Maijin einen gemieteten Server für weniger als 20 Franken pro Monat an.

Verlangen Sie im Angebot eine separate Aufschlüsselung: Ressourcen, Speicher, Backups, Sicherheit, Support, Zertifizierungen und Klassifizierung des Rechenzentrums. Geben Sie das Modell, die Redundanz und das erwartete Support-Level an, um vergleichbare Angebote zu erhalten.

Ein isolierter Betrag erlaubt keinen Vergleich von Modellen, bei denen die übernommenen Verantwortlichkeiten unterschiedlich sind. Lassen Sie sich genau erklären, welche Aufgaben der Anbieter übernimmt und welche bei Ihnen bleiben.

Fragen, die vor der Unterzeichnung an einen Anbieter zu stellen sind

Standort: Wo werden die Daten gehostet, in welchen Rechenzentren, und untersteht der Betreiber einer ausländischen Rechtsordnung? Fordern Sie die Liste der Subunternehmer an, die auf die Daten zugreifen, einschliesslich für Support und Überwachung, mit ihrem Land und dem anwendbaren Recht.

Zugangsbedingungen: Wer kann auf die Daten zugreifen, nach welchen Verfahren, und wie werden die Zugriffe protokolliert? Lassen Sie sich das Vorgehen erläutern, falls eine ausländische Behörde eine Anfrage an den Anbieter stellt.

Technische Garantien: Zertifizierungen (ISO 27001), Klassifizierung des Rechenzentrums (Tier III oder IV), physische Sicherheitsmassnahmen, Notfallwiederherstellungs- und Geschäftskontinuitätspläne, Netzwerkredundanz. Prüfen Sie die angekündigte Verfügbarkeit von 99,982 % bis 99,995 % für ein Tier III- oder IV-Rechenzentrum und verlangen Sie eine vertraglich garantierte Verfügbarkeit.

Ausstieg: Wie können Sie Ihre Daten zurückgewinnen, in welchen Formaten, unter welchen Modalitäten und zu welchen Kosten? Fragen Sie auch, wer die Wartung, Sicherheit und den Support sicherstellt und ob eine Single Point of Contact vorgesehen ist. Bei einer Private Cloud lassen Sie bestätigen, dass Ihr Bereich isoliert und zur ausschliesslichen Nutzung bestimmt ist, und sehen Sie einen Reversibilitätsvertrag vor.

Energie: Nutzt der Hoster erneuerbare Energien und zu welcher Begrenzung seines CO2-Fussabdrucks verpflichtet er sich?

Fragen Sie, ob der Anbieter ein ISO 27001-Audit, DSG-Compliance oder einen DPO-as-a-Service anbietet, und lassen Sie diese Dienstleistungen als separate Positionen im Angebot aufführen. groupe.iD hebt eine Single Point of Contact für Wartung, Sicherheit und technischen Support hervor.

Rechtliches: Untersteht der Anbieter dem eidgenössischen DSG oder einem kantonalen Gesetz? Wie geht er mit Auskunfts-, Berichtigungs-, Sperr- und Löschungsanfragen sowie mit Profiling um? Die Aufsichtsbehörde ist der EDÖB.

Übermittlungen: Wenn Daten aus der Schweiz abfliessen, ist das Land in Anhang 1 DSV aufgeführt? Wenn nicht, sind vom EDÖB genehmigte Standardklauseln oder dem EDÖB notifizierte spezifische Klauseln vorgesehen?

Budget: Fordern Sie ein detailliertes Angebot für das geplante Modell (Private Cloud, Shared, IaaS, PaaS oder SaaS) an, unter Angabe von Speicher, Backup und Support. Vergleichen Sie es mit den Gesamtkosten von On-Premise, unter Berücksichtigung der Ausrüstung und der für den Betrieb notwendigen Ressourcen.

Checkliste: Wesentliche Fragen an einen Schweizer Hosting-Anbieter

Sektoren mit verschärften Anforderungen: Finanzen, Gesundheit, Industrie und F&E

Banken und Finanzen: Der Schutz der Kundeninformationen, die FINMA-Compliance und die Absicherung von Transaktionen spielen bei der Wahl eines lokalen Hostings eine Rolle.

Gesundheit und Pflege: Das Hosting von Patientendaten muss das DSG respektieren. Organisationen für Hilfe und Pflege zu Hause und Altersheime unterstehen zudem dem kantonalen Datenschutzrecht, da sie mit einer Aufgabe im öffentlichen Interesse betraut sind.

Industrie und F&E: Hier geht es nicht um Personendaten, sondern um die Wahrung von Fabrikationsgeheimnissen und strategischen Plänen. Die Rechtsordnung des Hosters schützt hier das industrielle Asset ebenso wie die Compliance.

Für diese drei Profile reduziert die Nähe eines Schweizer Rechenzentrums die Latenz und beschleunigt die Verarbeitung von ERP-, CRM- und Kollaborationsanwendungen.

Für sehr sensible Daten sorgt das Self-Hosting eines Open-Source-Modells auf einem Server oder einer lokalen Maschine dafür, dass nichts nach aussen dringt. Dies eignet sich für technische Teams, die totale Kontrolle wünschen.

Top 3 der Sektoren mit verschärften Anforderungen beim Hosting in der Schweiz