Microsofts Wolken ziehen über die Schweiz

Azure und Office 365 kommen in die Schweiz: Erst kürzlich hat Microsoft angekündigt, dass die Cloud-Services ab 2019 auch in Rechenzentren in Zürich und Genf gehostet werden. So mischt Microsoft als weiterer Player im hart umkämpften Schweizer Cloud-Markt mit: «Es wird erwartet, dass viele Unternehmen in der Schweiz sich in den nächsten 18 Monaten für einen Cloud-Provider entscheiden», erklärt Roland Krummenacher, Software-Architekt und Leiter der Cloud-Community der bbv Software Services. «Darum hat Microsoft den Zeitpunkt für diese Ankündigung gut gewählt.» Ausserdem seien europäische Rechenzentren stark ausgelastet: In Dublin und Amsterdam, von wo europäische Unternehmen bislang ihre Microsoft-Cloud-Dienste beziehen konnten, standen während mehrerer Monate fast keine Ressourcen mehr zur Verfügung. «Daher ist es nachvollziehbar, dass Microsoft in Europa weitere Datenzentren baut.»

Mit dem Hosting in der Schweiz stellt Microsoft auch die Datenhaltung in der Schweiz sicher – und adressiert damit vor allem die Finanzindustrie. Aber auch andere Branchen profitieren davon, wenn sich ihre Geschäftsdaten in der Schweiz befinden: «Banken, Anwälte, Ärzte oder Apotheker unterstehen alle einem Berufsgeheimnis, das sie nicht verletzen dürfen», erklärt Rechtsanwältin Nicole Beranek Zanon. «Eine Bekanntgabe von Daten, die dem Berufsgeheimnis unterstehen, an einen Dritten ist eine Verletzung dieses Berufsgeheimisses, ausser die betroffene Person stimmt ausdrücklich zu.» Ausserhalb der Schweiz ist der Schutz dieses Berufsgeheimnisses strafrechtlich nicht gewährleistet – die Datenhaltung in der Schweiz ist daher Pflicht. Somit ist das Hosting in der Schweiz für diese Berufskategorien unumgänglich: «Wenn Microsoft die Strategie hat, möglichst alle Software als SaaS-Lösung anzubieten, muss der Konzern auf solche Befindlichkeiten Rücksicht nehmen», erklärt Nicole Beranek Zanon.

Daten nicht sicher vor US-Fahndern

Zumindest war es ursprünglich der Plan, ein sicheres Hosting anzubieten. Denn die jüngsten politischen Entscheide machen Microsoft einen Strich durch die Rechnung: Inzwischen ist in den USA der «CLOUD Act» in Kraft getreten. Er regelt, dass US-Ermittler Zugriff auf Daten bekommen sollen, die auf Servern ausserhalb der USA liegen. In bilateralen Vereinbarungen kann mit Cloud-Anbietern vereinbart werden, dass diese im Interesse der europäischen Kunden Einsprache gegen einen solchen Zugriff einlegen. Das heisst: Selbst wenn Microsofts Cloud-Services aus Schweizer Rechenzentren bezogen werden, sind die Daten nicht unbedingt sicher vor US-Fahndern. Ein neuer, auf dem CLOUD Act gestützter Durchsuchungsbeschluss wurde Microsoft bereits überbracht.

Ein Hoffnungsschimmer wäre ein Schweizer Datentreuhänder – analog zu Deutschland, wo Azure Germany von T-Systems gehostet wird oder Azure Stack, welches im eigenen Datencenter betrieben werden kann. Mit einem lokalen Datentreuhänder wären die Cloud-Daten von Schweizer Microsoft-Kunden vor Fremdzugriffen rechtlich geschützt. «In der Schweiz wird das Datentreuhänder-Szenario aber nicht eintreffen», ist sich Krummenacher sicher. «Die geplanten Datenzentren werden von Microsoft betrieben, Microsoft hat Zugriff auf die Daten – natürlich im Rahmen der ganzen Compliance-Standards, die erfüllt werden müssen.» Sobald irgendeine technische Möglichkeit besteht, um auf die Daten zuzugreifen – etwa mit einem Admin Access oder im Rahmen von Support & Wartung, gilt man als Processor, als Auftragsverarbeiter im Sinne des Datenschutzgesetzes. Das ist theoretisch unproblematisch: «Zur Herstellung eines gleichwertigen Datenschutzniveaus muss Microsoft lediglich ein US-Swiss Privacy Shield zertifizieren. Dies hat Microsoft auch», erklärt Nicole Beranek Zanon. Bei Ermittlungen durch US-Behörden sind diese datenschutzrechtlichen Garantien aber nicht mehr von Belang: Der amerikanische Staat kann Microsoft dazu zwingen, das Schweizer Datenschutzgesetz zu verletzen.

Trotzdem interessant für einige Unternehmen

Für Schweizer Unternehmen, die auch in den USA tätig sind, spielt das keine grosse Rolle: Sie unterstehen bei Ermittlungen ohnehin sogenannten E-Discovery-Verfahren, für die sämtliche Daten offenzulegen sind. Für Schweizer Unternehmen ohne US-Bezug wäre der Datenzugriff aber verheerend – längst nicht nur wegen der Personendaten: Auch Patente oder wettbewerbsentscheidende Geschäftsgeheimnisse könnten beim Beweisverfahren durchleuchtet werden. «Solche Informationen sind aber ohnehin in einem Safe viel sicherer aufbewahrt als auf einem Computer», hält Nicole Beranek Zanon fest.

Für Unternehmen ohne spezielle Geschäftsgeheimnisse bleibt das Schweizer Cloud-Angebot von Microsoft aber interessant – und kann dazu führen, dass sie den Schritt in die Cloud doch noch wagen: «Oftmals haben Unternehmen einfach ein ungutes Gefühl, ihre Daten ins Ausland zu geben – selbst wenn es unbedenklich ist», meint Nicole Beranek Zanon. Microsoft kann diese Skeptiker mit seinem neuen Angebot abholen – sofern sie sich nicht vor den US-Behörden fürchten.