Standortnachweise für Cloud-Daten in der Schweiz einordnen

Standortnachweis: Speicherort, Bearbeitungsort und Zugriff trennen

Ein Standortnachweis für Cloud-Daten klärt drei Fragen: Speicherort, Bearbeitungsort und Zugriffsort. Diese drei Orte müssen nicht übereinstimmen. Ein Schweizer Rechenzentrum als Speicherort sagt nichts darüber, wo Support geleistet oder eine Datenbank verarbeitet wird.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) nennt drei Punkte, die bei Cloud-Diensten besondere Aufmerksamkeit verlangen: Einsatz von Auftrags- und Unterauftragsbearbeitern, Sicherheit der Datenbearbeitung und Übermittlung von Personendaten in Drittländer. Diese drei Punkte bilden den Rahmen für die Prüfung eines Standortnachweises.

Die Cloud-Anbieterin handelt in der Regel als Auftragsdatenbearbeiterin des Kunden im Sinne von Art. 9 DSG. Der Kunde bleibt Verantwortlicher und muss vertraglich absichern, dass die ausgelagerten Bearbeitungen datenschutzkonform erfolgen und die Rechte der betroffenen Personen nicht geschmälert werden.

Welche Belege Schweizer Rechenzentren glaubwürdig machen

Anbieter nennen als Belege meist eine Kombination aus Zertifikaten und Standortangaben: ISO 27001 und ISO 20000, zertifizierte Schweizer Rechenzentren sowie Planung, Migration und Betrieb aus einer Hand. Prüfenswert sind nicht die Schlagworte, sondern Geltungsbereich und Gültigkeitsdatum des jeweiligen Zertifikats.

Konkrete Standortangaben lassen sich nachprüfen. Ein Anbieter nennt eine eigene Infrastruktur in zwei Schweizer Rechenzentren in den Kantonen Basel-Landschaft und Zürich mit ISO-27001- und FINMA-RS-08/7-Konformität. Die FINMA-Konformität ist besonders für regulierte Finanzdienstleister relevant, die auslagern.

Georedundanz ist ein eigener Prüfpunkt: Bleibt der Ausweichstandort bei einer Störung in der Schweiz, oder springt ein Rechenzentrum im Ausland ein? Wer zwei Schweizer Standorte betreibt, kann diese Frage anhand der Standortangaben belegen. Redundante Aufbewahrung und georedundante Datenhaltung in der Schweiz werden als eigene Leistungsmerkmale ausgewiesen.

Zur Betriebsdokumentation gehören Angaben zu Wiederherstellungsprozessen und zur Absicherung von Backup- und Wiederherstellungsabläufen. Solche Dokumente zeigen, ob ein Anbieter den Betrieb und nicht nur die Datenablage im Griff hat.

Ausländische Zugriffsrechte als Standortrisiko

Der CLOUD Act verpflichtet US-Clouddienstanbieter, den zuständigen US-Strafverfolgungsbehörden Zugang zu den Daten ihrer Kundinnen und Kunden zu geben, auch wenn diese Daten ausserhalb der USA gespeichert sind. Damit wird der Zugriff nicht durch den Speicherort begrenzt.

Nach Einschätzung des Datenschutzbeauftragten des Kantons Zürich werden dadurch die Bestimmungen der internationalen Rechtshilfe umgangen, die Teil des Völkerrechts sind. Der Rechtshilfeweg gilt dort als wesentlicher Eckpfeiler des Schweizer Rechtsstaats.

Der EDÖB empfiehlt bei US-Cloud-Diensten eine sorgfältige Risikoanalyse. Die Rechtslage in der Schweiz wird als noch nicht abschliessend geklärt bezeichnet.

Zusätzlich kann die DSGVO gelten: Rund 20 Prozent der in der Schweiz verarbeiteten Personendaten stammen von EU-Bürgern. Der Europäische Gerichtshof hat mit dem Schrems-II-Urteil entschieden, dass die USA kein angemessenes Datenschutzniveau bieten.

Verschlüsselung und Datenhoheit realistisch einordnen

Verschlüsselung nach dem Standard FIPS 140-2 gehört zu den Angaben, mit denen Anbieter den Schutz von Daten und Backup-Prozessen belegen. Sie deckt die Speicherung ab, also Daten im Ruhezustand und auf Sicherungskopien.

Während der Verarbeitung in der Cloud liegen die Daten entschlüsselt vor und sind einsehbar. Eine Ende-zu-Ende-Verschlüsselung wirkt daher nur bei reiner Speicherung (Daten im Ruhezustand); für viele Anwendungsfälle ist sie unpraktikabel. Das räumen Anbieter selbst ein.

Für den Nachweis folgt daraus: Verschlüsselung ist ein Baustein, kein Ersatz für Standortangaben. Zu klären ist, wer die Schlüssel hält, wer sie im Betrieb einsetzen kann und wie der Zugriff auf entschlüsselte Daten protokolliert wird.

Cloud-Modell und Standortgarantie abgleichen

Eine Private Cloud stellt jedem Kunden eine eigene, dedizierte IT-Umgebung bereit, die vollständig isoliert ist. Anbieter verbinden damit die Zusage vollständiger Datenhoheit, weil Speicherung und Verarbeitung in der Schweiz oder der EU erfolgen und keine extraterritorialen Zugriffsrechte greifen sollen.

Public-Cloud-Angebote sind dagegen standardisierte Lösungen. Swisscom beschreibt Public Cloud, Private Cloud und hybride Modelle als Kombination und hält fest, dass es kein Patentrezept gibt: Zuerst sei zu analysieren, welche Teile der IT-Infrastruktur sich in welches Cloud-Modell verlagern lassen.

Hybride Modelle verlagern nur Teile: Ein Anbieter nennt den Betrieb einer Datenbank im eigenen Datacenter und den Zugriff auf die übrige Applikation über ein gesichertes WAN. Beim Abgleich mit der Standortgarantie ist deshalb zu prüfen, ob sie auch Backup, Support, Verwaltungszugänge und alle Unterauftragsbearbeiter abdeckt.

Vergleich von Cloud-Modellen: Standortgarantie und Datenhoheit

Prüfschritte für die Beschaffung

Standorte und Unterauftragsbearbeiter offenlegen lassen: Liste der Rechenzentren, der Ausweichstandorte, der eingesetzten Unterauftragsbearbeiter und des Verfahrens bei deren Wechsel. Der EDÖB nennt Unterauftragsbearbeiter ausdrücklich als Prüfpunkt.

Zugriffe regeln: Wer erhält administrativen Zugang, von welchem Ort aus, und unter welchen Bedingungen greift der Support zu? Protokollierung der Zugriffe und Einsichtsrechte in die Protokolle vertraglich festhalten.

Verschlüsselung und Schlüsselhoheit klären: Welche Daten werden bei der Speicherung verschlüsselt, nach welchem Standard, und wer verwaltet die Schlüssel? Zusätzlich festhalten, wie mit entschlüsselten Daten während der Verarbeitung umgegangen wird.

Zertifikate und Auditrechte prüfen: Gültige Zertifikate mit Geltungsbereich anfordern. Bei regulierten Tätigkeiten die FINMA-Konformität belegen lassen und vertragliche Prüfungsrechte vereinbaren.

Löschung und Rückgabe festhalten: Format und Fristen der Datenrückgabe bei Vertragsende. Ebenso die Löschung einschliesslich der Sicherungskopien.

Vor jeder Bekanntgabe von Personendaten ins Ausland ist zu prüfen, ob sie den gesetzlichen Anforderungen genügt. Das Ergebnis dieser Prüfung und die Risikoanalyse gehören dokumentiert, da der Kunde als Verantwortlicher die datenschutzkonforme Bearbeitung belegen muss.

Prüfschritte für die Beschaffung von Cloud-Diensten mit Schweizer Standortnachweis

Fazit: Standortnachweis ist eine Risikoabwägung

Ein Nachweis für Cloud-Daten in der Schweiz verbindet technische, organisatorische und rechtliche Elemente. Dazu gehören Speicherort, Bearbeitungsort, Zugriffswege, Verschlüsselung und Schlüsselverwaltung, Zertifikate, Vertrag und Dokumentation.

Ein Schweizer Rechenzentrum ist ein starkes Indiz, aber kein Freipass. Der CLOUD Act setzt bei der Anbieterin an, nicht beim Standort; während der Verarbeitung liegen Daten entschlüsselt vor.

Entscheidend sind deshalb drei Dinge: die Klassifizierung der Daten vor der Auslagerung, die Kontrolle der Zugriffe und eine dokumentierte Risikoanalyse. Wer Daten von EU-Bürgern bearbeitet, muss zusätzlich die DSGVO berücksichtigen.

Fakten zu Cloud-Daten in der Schweiz