Hosting und Cloud für Schweizer Organisationen: Standorte, Leistungen und Verträge

Warum Standort, Leistungsumfang und Vertragspartner zusammengehören

Wer Hosting- oder Cloud-Dienste für eine Schweizer Organisation einkauft, muss drei Fragen gleichzeitig beantworten: Wo liegen die Daten, welche Leistung ist wirklich nötig und welche Gesellschaft wird Vertragspartnerin? Die Punkte greifen ineinander, lassen sich aber getrennt prüfen.

ePost hält fest: Entscheidend ist nicht nur, in welchem Land die Server stehen, sondern auch, welches Recht gilt und wer den Vertrag abschliesst. Wer nur den Standort prüft, lässt zwei wesentliche Teile offen.

Benannt werden im Folgenden konkrete Grössen: die Schweizer Region Zürich der Google Cloud Platform, die Azure-Regionen Schweiz Nord und Schweiz West, die AWS Infrastructure Region Schweiz seit November 2022, das Azure-Angebot von Swisscom sowie die Schweizer Anbieter METANET, Nine und Speicherbox.ch. Jede dieser Grössen ist bei Standort, Leistungsumfang und Vertragspartnerin einzeln zu prüfen.

«In der Schweiz» heisst nicht automatisch dasselbe

Die grossen Plattformanbieter betreiben inzwischen Schweizer Regionen. ePost betreibt seine produktiven Systeme in Schweizer Rechenzentren und nutzt dafür die Google Cloud Platform in der Schweizer Region Zürich.

Die Inhaltsdaten bleiben ausschliesslich in der Schweiz; die Backups liegen in einem zweiten, physisch getrennten Rechenzentrum – ebenfalls in der Schweiz.

Damit ist auch das anwendbare Recht benannt. Die Inhaltsdaten werden ausschliesslich in der Schweiz und nach Schweizer Recht gespeichert und verarbeitet; sie unterstehen dem Schweizer Datenschutzgesetz (DSG) und, sofern anwendbar, der DSGVO.

Amazon hat im November 2022 eine eigene Infrastructure Region in der Schweiz gestartet. Microsoft führt in seiner Regionenliste für die Schweiz die Azure-Regionen Schweiz Nord und Schweiz West (switzerlandwest). Schweizer Anbieter wie Swisscom ergänzen ihre eigenen Cloud-Angebote mit den globalen Plattformen von AWS und Microsoft Azure.

Daneben gibt es Anbieter mit eigenen Hochsicherheitsrechenzentren. Sie sichern zu, dass Daten ausschliesslich auf Servern in der Schweiz gespeichert werden und keine Speicherung im Ausland stattfindet. Speicherbox.ch bezeichnet das als Datenschutz und Gerichtsstand nach Schweizer Vorgaben.

Auch klassische Schweizer Hoster stellen den Standort in den Vordergrund: METANET wirbt mit Schweizer Rechenzentren und bietet einen virtuellen Cloud Server mit Standort Schweiz an. Nine bietet Colocation und Server Housing in seinen Zürcher Rechenzentren an, also die Unterbringung eigener Hardware.

Der Standort allein sagt jedoch nichts über den Zugriff aus. ePost weist darauf hin, dass der US CLOUD Act Anbieter mit US-Bezug verpflichten kann, Daten auf gerichtliche Anordnung in einem Strafverfahren herauszugeben – auch wenn die Daten physisch ausserhalb der USA liegen. Viele Länder kennen nach dieser Darstellung vergleichbare Zugriffsrechte.

Zur Standortfrage gehört deshalb immer die Schlüsselverwaltung: Bei ePost liegt das Schlüsselmanagement beim Anbieter selbst und wird unabhängig vom Cloud-Anbieter betrieben. Der Cloud-Anbieter besitzt die zur Entschlüsselung nötigen Schlüssel nicht.

Zahlen zur Schweizer Cloud-Landschaft

Vom Speicherplatz bis zur Managed Plattform

Das Leistungsspektrum reicht von einfacher Dateiablage bis zu vollständig betreuten Plattformen. Bei Ablage und Zusammenarbeit zählt, dass Dokumente gemeinsam bearbeitet werden können: Speicherbox.ch erlaubt das gleichzeitige Bearbeiten und Teilen von Word-, Excel- und PowerPoint-Dokumenten über einen integrierten Office-Editor, ohne zusätzliche Software.

Dazu kommen individuelle Berechtigungen – etwa für Mitarbeitende, Teams und Projektverantwortliche – sowie abgestufte Angebote für Unternehmen, Vereine und NPO, Schulen und IT-Dienstleister.

Ein zweiter Block umfasst Dokumentenversand und Zustellung. Bei ePost sind die Daten bei Übertragung und Speicherung verschlüsselt; beim Versand wird das Dokument senderseitig geschützt und für die Zustellung für den Empfänger neu verschlüsselt. Danach hat der Versender keinen automatischen Zugriff auf die Empfängerversion.

Der dritte Block betrifft Cloud-Plattformdienste und die dazugehörigen Dienstleistungen. Swisscom beschreibt sein Azure-Angebot als Begleitung von der Planung über Umsetzungsprojekte bis zum Betrieb der Plattform – einschliesslich Architektur, Sicherheit, Governance, Compliance und Kostenmanagement sowie der Entwicklung von Lösungen in Bereichen wie Big Data oder IoT.

Für öffentliche Verwaltungen kommt der standardisierte IKT-Dienstkatalog als Beschaffungsgrundlage hinzu: Der Servicekatalog des Bundes führt IKT-Standarddienste mit definiertem Leistungsumfang auf – etwa Datenkommunikation an und zwischen den Standorten und Vollzugsstellen der Bundesverwaltung.

Der Bund beschafft solche Dienste über seinen Servicekatalog. Die Ausgabe Servicekatalog 2027 IKT-Standarddienste listet Standarddienste mit definiertem Leistungsumfang auf; genannt wird als Beispiel die Datenkommunikation (DAKO) an und zwischen den Standorten und Vollzugsstellen der Bundesverwaltung.

Plattformwahl: Hyperscaler, Schweizer Anbieter oder hybrid

Statt einer Rangliste helfen Auswahlkriterien, die zur eigenen Ausgangslage passen. Ein Vergleich von procloud.ch nennt als Stärke von Microsoft Azure in der Schweiz die tiefere Integration mit Microsoft-Technologien wie Windows Server, SQL Server und Active Directory.

Neben Microsoft und Amazon gehört Google zu den drei Anbietern, die bei Cloud-Produkten und -Dienstleistungen direkt in den Fokus rücken. Microsoft Azure Schweiz und Google Cloud Schweiz werden dabei direkt gegenübergestellt.

Wer diese bereits nutzt, findet eine nahtlosere Anbindung als bei AWS. Ebenso hervorgehoben wird die Eignung für hybride Umgebungen, in denen lokale und Cloud-Ressourcen zusammenwirken – etwa über Azure Stack als lokale Variante von Azure.

Dazu kommen das Angebot an KI- und Machine-Learning-Diensten sowie die Windows-Cloud-Desktop-Technologien Azure Virtual Desktop und Windows 365.

Als Gegenpol nennt derselbe Vergleich den Preis und die Erfahrung von AWS, das seine Cloud-Dienste früher als die Mitbewerber gestartet hat. Auch der Umfang der Compliance-Programme ist ein Kriterium: Nach dieser Darstellung erfüllt das AWS-Compliance-Programm 75 Standards, das Azure-Compliance-Programm 91.

Für viele Organisationen lautet die Frage daher nicht «Hyperscaler oder Schweizer Anbieter», sondern «welche Kombination». Swisscom positioniert sich als Partner für einen globalen Hyperscaler und verbindet lokale Expertise mit den Plattformen von Azure und AWS.

Bereits 2017 ergänzte das Unternehmen seine eigene Cloud um Angebote von AWS und Microsoft Azure. Kunden unterstützt es mit Einführungsworkshops und Beratungsleistungen.

Hyperscaler vs. Schweizer Anbieter: Vor- und Nachteile im Überblick

Verträge, Zugriff und Verschlüsselung

Vor dem Vertragsabschluss sind einige Punkte direkt zu klären: Wer ist Vertragspartnerin – sitzt sie in der Schweiz, oder gehört sie zu einer ausländischen Muttergesellschaft? Kann der Anbieter selbst auf verschlüsselte Daten zugreifen? Wo liegt das Schlüsselmanagement, und wie werden Zugriffe kontrolliert?

Rechtlich ist Hosting meist eine Auftragsbearbeitung. Der EDÖB hält fest: Auch wenn Sie die Bearbeitung von Personendaten einem Auftragsbearbeiter übertragen, bleiben Sie für den Datenschutz verantwortlich. Der Vertrag mit dem Anbieter sollte deshalb festhalten, wie dieser die Daten bearbeitet, schützt und auf Anweisung herausgibt oder löscht.

ePost hält fest, dass Zugriffe auf Inhalte nur kontrolliert erfolgen, und beschreibt die Verschlüsselung als mandanten- und dokumentbezogen, bei der Übertragung und bei der Speicherung. Speicherbox.ch sichert zu, dass auch der Anbieter selbst bei verschlüsselten Bibliotheken keine Zugriffsmöglichkeiten hat.

ePost beziffert den Schutz: TLS 1.2+ bei der Übertragung, AES-256 bei der Speicherung. Die Verschlüsselung erfolgt mandanten- und dokumentbezogen, die Zugriffe auf Inhalte nur kontrolliert.

Öffentliche Stellen brauchen für Systeme zur automatisierten Bearbeitung von Personendaten eine Rechtsgrundlage. Ein Gesetzgebungsleitfaden Datenschutz, wie ihn die Stadt Biel publiziert, regelt die Erarbeitung solcher Rechtsgrundlagen.

Massgebend ist das vollständig revidierte Datenschutzgesetz (DSG); das alte Datenschutzgesetz war bis 31.08.2023 gültig. Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB): Er ist gemäss Art. 51 Abs. 1 DSG befugt, Verfügungen zu erlassen, wenn sich aus einer Untersuchung Verletzungen der Datenschutzvorschriften ergeben.

In den Vertrag gehört auch der Betriebsfall. ePost verweist auf eine redundant ausgelegte Infrastruktur sowie auf definierte Notfall- und Wiederherstellungsprozesse.

Bei Cloud-Plattformprojekten kommen laut Swisscom weitere Fragen hinzu: Wer kümmert sich um Compliance, Migration, Lizenzen und Störungsbeseitigung? Support und Störungsbehebung sollten mit denselben Verbindlichkeiten geregelt werden wie Speicherort und Verschlüsselung.

Kostenmodelle und der Weg in den Betrieb

Bei den Abrechnungslogiken stehen sich zwei Modelle gegenüber. Auf der einen Seite stehen feste Monatspreise mit kostenlosen Einstiegsvarianten und Testphasen: Speicherbox.ch nennt einen Preis ab CHF 9.90 pro Monat, einen kostenlosen Speicher von 10 GB und eine 30-tägige kostenlose Testphase.

Kostenlose Einstiegsvarianten sind auch bei den grossen Speicherdiensten verbreitet. Auf der anderen Seite steht die nutzungsabhängige Bezahlung in der Cloud: Swisscom beschreibt das Ziel, die Azure-Infrastruktur so zu konzipieren, dass nur bezahlt wird, was effektiv gebraucht wird.

Bei den grossen Speicherdiensten werden kostenlose Einstiegsvarianten mit Namen und Volumen geführt: Apple iCloud mit 5 GB, Dropbox Basic mit 2 GB und Google mit 15 GB. Bei Microsoft 365 ist eine kostenlose Variante aufgeführt.

Der Weg in den Betrieb ist kein einmaliger Akt. Planung, Migration, Betrieb und Optimierung von Cloud-Services sind nach Einschätzung von Swisscom anspruchsvoll und sollten als zusammenhängender Prozess aufgesetzt werden – mit Kostenmanagement als festem Bestandteil.

Wer Kosten optimieren will, muss deshalb bereits bei Planung und Migration ansetzen und die Wirtschaftlichkeit im laufenden Betrieb regelmässig überprüfen.

Preisvergleich: Cloud-Speicher für Organisationen in der Schweiz

Weg in den Betrieb: Planung, Migration und Optimierung

Entscheidungshilfe für Schweizer Organisationen

Wo laufen die produktiven Systeme, wo liegen die Backups? Produktion und Sicherung sollten nicht nur im gleichen Land, sondern möglichst in physisch getrennten Rechenzentren liegen.

Welches Recht gilt für die Daten, und wer ist Vertragspartnerin? Prüfen Sie, ob die Vertragspartnerin ihren Sitz in der Schweiz hat oder zu einer ausländischen Gruppe gehört.

Nach welchem Recht werden die Inhaltsdaten verarbeitet? Klären Sie, ob das Schweizer Datenschutzgesetz (DSG) gilt und ob zusätzlich die DSGVO anwendbar ist.

Wer hält die Schlüssel? Klären Sie, ob das Schlüsselmanagement beim Anbieter oder beim Cloud-Betreiber liegt und ob der Cloud-Anbieter die Entschlüsselung selbst vornehmen könnte.

Wie werden Zugriffe kontrolliert, und wie sind Notfall- und Wiederherstellungsprozesse geregelt? Fragen Sie zusätzlich nach Redundanz, Support und Störungsbeseitigung.

Welche Leistungen sind wirklich nötig – von der Dateiablage und gemeinsamen Dokumentbearbeitung über Dokumentenversand und Berechtigungskonzepte bis zu Plattformdiensten, Migration und Betrieb? Öffentliche Verwaltungen prüfen zusätzlich, ob standardisierte IKT-Dienstkataloge wie der Servicekatalog 2027 als Beschaffungsgrundlage dienen können.

Wie wird abgerechnet – feste Monatspreise mit kostenlosen Einstiegsvarianten und Testphasen oder nutzungsabhängig? Und wie werden Planung, Migration, Kostenoptimierung und laufender Betrieb als zusammenhängender Prozess verankert?

Entscheidungshilfe: Wichtige Fragen vor dem Cloud-Engagement