Bis zu 7 Milliarden Franken: Bund holt sensible Cloud-Daten in die Schweiz

Der Bund will bei der Speicherung seiner Daten die Kontrolle stärken: Am Dienstag, 20. Oktober, hat er die Ausschreibung für die neue Swiss Government Cloud gestartet. Sensible Daten sollen künftig in der Schweiz bleiben, besonders schützenswerte Informationen in bundeseigenen Rechenzentren. Gesucht werden fünf Anbieter für drei Sicherheitsstufen. Der Betriebsstart ist für Herbst 2027 vorgesehen. Über die nächsten 14 Jahre beträgt der finanzielle Rahmen maximal sieben Milliarden Franken.

Damit stellt die Bundesverwaltung neu auf, welche Daten sie wo speichern lässt. Heute nutzt sie unter anderem Clouds von Amazon, Alibaba und IBM, deren Infrastruktur über die Welt verteilt ist. Künftig soll die Schutzbedürftigkeit der Informationen darüber entscheiden, ob eine Speicherung im Ausland weiterhin möglich ist oder ob die Daten zwingend innerhalb der Schweizer Grenzen bleiben müssen.

Die Ausschreibung ist noch kein Zuschlag. Welche Unternehmen die Aufträge erhalten, steht damit noch nicht fest. Klar ist jedoch die Grundrichtung: Für heikle Informationen will der Bund engere geografische und betriebliche Grenzen setzen, ohne für sämtliche Daten auf internationale Cloud-Angebote zu verzichten.

Drei Stufen statt einer einzigen Behördencloud

Die Swiss Government Cloud ist nicht als einheitlicher Speicher für alles angelegt. Ihr Aufbau unterscheidet drei Sicherheitsstufen. Damit trägt der Bund dem Umstand Rechnung, dass öffentlich zugängliche Informationen andere Anforderungen stellen als vertrauliche Finanz- oder Steuerdaten.

In der ersten Stufe liegen die am wenigsten heiklen Daten. Als Beispiel nennt das Bundesamt für Informatik Wetterdaten. Solche Informationen dürfen weiterhin irgendwo auf der Welt gespeichert werden. Für diesen Bereich sollen zwei Anbieter ausgewählt werden. Eine generelle Rückführung aller Bundesdaten in die Schweiz ist also nicht vorgesehen.

Die zweite Stufe umfasst sensiblere Informationen. Für sie gilt eine klare Standortvorgabe: Sie müssen in der Schweiz bleiben. Auch für diesen Bereich sucht der Bund zwei Anbieter. Gegenüber der ersten Stufe wird damit der zulässige Speicherort eingeschränkt; zusätzlich gelten besondere Anforderungen an Datenschutz und Souveränität.

Am strengsten sind die Vorgaben in der dritten Stufe. Besonders schützenswerte Daten, etwa Finanz- oder Steuerdaten, müssen in bundeseigenen Rechenzentren bleiben. Diese bilden den eigentlichen «Datenbunker» des Vorhabens. Für diese Stufe ist nur ein Anbieter vorgesehen. Entscheidend ist hier nicht allein der Standort Schweiz, sondern auch die Unterbringung in der Infrastruktur des Bundes.

Ausländische Anbieter bleiben im Rennen

Hinter dem Projekt steht die wachsende Bedeutung der Datensicherheit. Bei Cloud-Diensten zählt nicht nur, wo ein Server steht. Relevant ist auch, welchem Recht der Betreiber untersteht und unter welchen Voraussetzungen ausländische Behörden Zugriff auf gespeicherte Informationen verlangen können.

Insbesondere amerikanische Vorschriften zu behördlichen Datenzugriffen sowie Sicherheitsbedenken gegenüber chinesischen Anbietern haben Schweizer Behörden und Unternehmen sensibilisiert. Ein Schweizer Speicherort beantwortet deshalb nicht automatisch sämtliche Fragen zur Kontrolle über die Daten. Genau hier setzen die zusätzlichen Vorgaben für die beiden höheren Sicherheitsstufen an.

Trotzdem schliesst der Bund Unternehmen aus den USA oder China nicht grundsätzlich aus. Die Ausschreibung muss die Regeln der Welthandelsorganisation WTO erfüllen. Der Zugang zum Verfahren wird deshalb nicht pauschal nach Herkunft der Unternehmen beschränkt.

Stattdessen sollen Anforderungen an Datenschutz und Souveränität den Kreis der möglichen Anbieter für die Stufen zwei und drei eingrenzen. Für die Unternehmen wird somit ausschlaggebend sein, ob sie die Bedingungen der jeweiligen Stufe erfüllen können. Die Swiss Government Cloud ist eine Schweizer Behördenlösung, aber nicht zwingend eine Lösung ausschliesslich mit Schweizer Firmen.

Sieben Milliarden sind eine Obergrenze

Der finanzielle Rahmen macht die Beschaffung zu einem grossen, langfristigen Vorhaben: Maximal sieben Milliarden Franken sind über 14 Jahre vorgesehen. Diese Summe ist jedoch nicht mit bereits feststehenden Ausgaben gleichzusetzen. Der Bund bezahlt nur Leistungen, die tatsächlich abgerufen werden.

Wird beispielsweise weniger Speicherplatz benötigt, sinken entsprechend die Kosten für diese Leistung. Die Obergrenze beschreibt damit den möglichen Umfang der Beschaffung, nicht eine Rechnung, die in dieser Höhe bereits anfällt. Wie viel der Bund letztlich ausgibt, hängt von der tatsächlichen Nutzung ab.

Das ist für die Beurteilung des Projekts zentral: Mit dem Start der Ausschreibung werden weder sieben Milliarden Franken sofort ausgegeben noch stehen bereits sämtliche späteren Bezüge fest. Zugleich zeigt der Zeitraum von 14 Jahren, dass es um eine längerfristige Grundlage für die Datenhaltung der Verwaltung geht.

Auch Kantone und Gemeinden können mitmachen

Die neue Cloud steht nicht nur der Bundesverwaltung offen. Auch Kantone und Gemeinden sollen ihre Daten dort speichern können. Eine Pflicht dazu gibt es nicht. Die föderalen Ebenen behalten damit die Wahl, ob sie das Angebot nutzen wollen.

Für die Bevölkerung betrifft das Vorhaben eine grundlegende Frage der digitalen Verwaltung: Unter welchen Bedingungen werden sensible Informationen aufbewahrt, die Behörden bearbeiten? Die drei Sicherheitsstufen sollen dafür unterschiedliche Schutzanforderungen abbilden. Besonders heikle Daten sollen dabei nicht bloss im Inland, sondern in bundeseigenen Rechenzentren liegen.

Als Nächstes muss das Ausschreibungsverfahren zeigen, welche Anbieter die geforderten Leistungen und Schutzvorgaben erfüllen. Bis zum vorgesehenen Betriebsstart im Herbst 2027 bleibt die Vergabe ein entscheidender Schritt. Der Bund hat nun festgelegt, wie er seine Cloud-Daten künftig schützen will – wer diese Architektur umsetzt, ist noch offen.