Schweizer Datenschutzbeauftragte schränken Nutzung internationaler Cloud-Dienste ein

Die Schweizer Datenschutzbeauftragten haben mit einer neuen Resolution die Nutzung von internationalen Cloud-Diensten, insbesondere von Hyperscalern wie AWS, Google oder Microsoft, für eidgenössische Behörden deutlich eingeschränkt. Die Entscheidung reiht sich in die wachsende Diskussion über den Umgang mit sensiblen Daten in der Cloud ein und hebt besonders die Verantwortung öffentlicher Stellen hervor, wenn es um den Schutz der Bürgerdaten geht.

Obwohl Cloud-Dienste durch ihre Skaleneffekte und dynamische Ressourcenallokation äußerst attraktiv für Behörden erscheinen, sehen die Datenschutzexperten bei der Auslagerung besonders schützenswerter oder geheimhaltungspflichtiger Daten in internationale Public Clouds erhebliche Risiken.

Die Resolution führt faktisch zu einem Verbot der Nutzung dieser Dienste als umfassende Software-as-a-Service (SaaS)-Lösungen, sobald besonders sensible Daten im Spiel sind. Ämter dürfen Anwendungen wie Microsoft 365 somit hauptsächlich noch als Online-Speicher nutzen.

Im Kern geht es um den Schutz vor unzureichender Verschlüsselung und dem damit verbundenen Kontrollverlust. Die meisten SaaS-Lösungen bieten keine echte Ende-zu-Ende-Verschlüsselung, die Daten auch vor Zugriff durch den Anbieter selbst schützt. Privat fordert daher strengere Sicherheitsgarantien und klare Regelungen für den Zugriff auf Daten, insbesondere wenn Geheimhaltungspflichten greifen.

Ein weiterer Problempunkt ist die mangelnde Transparenz in der Datenverarbeitungskette. Die komplexen Strukturen mit externen Leistungserbringern und Subunternehmern erschweren die Kontrolle und Aufsicht. Zudem können Softwareanbieter Vertragsbedingungen einseitig anpassen, was zusätzliche Unsicherheiten schafft. Besondere Sorgen bereitet den Datenschutzbeauftragten der US-Cloud-Act, der US-amerikanische Anbieter zur Herausgabe von Kundendaten an nationale Behörden verpflichten kann, selbst wenn diese in Schweizer Rechenzentren gespeichert sind. Dieser Act untergräbt die Regeln der internationalen Rechtshilfe und schafft erhebliche Rechtsunsicherheiten, besonders für Daten mit Geheimhaltungspflicht.

Die Resolution stellt die Behörden vor eine Herausforderung: Wie können sie ihre IT-Strategie anpassen und gleichzeitig von den Vorteilen von Cloud-Diensten profitieren, ohne die Schutzanforderungen zu vernachlässigen? Die Umsetzung der neuen Vorgaben wird entscheidend sein, um das Vertrauen in den Schutz sensibler Daten im digitalen Zeitalter zu wahren.

Schlagwörter: Microsoft + AWS + Google

Wie bewerten Sie den Schreibstil des Artikels?