Digitale Souveränität in der Schweiz

Digitale Souveränität ist mehr als Datenstandort

Digitale Souveränität beschreibt die Fähigkeit einer Organisation, über ihre digitalen Abhängigkeiten informiert zu entscheiden und auch unter veränderten Bedingungen handlungsfähig zu bleiben. Ein Rechenzentrum in der Schweiz kann für bestimmte Risiken relevant sein, beantwortet aber nicht alle Fragen zu Zugriff, Kontrolle, Lieferkette, Recht, Portabilität und Betrieb.

Absolute Unabhängigkeit ist für die meisten Organisationen weder realistisch noch wirtschaftlich. Das sinnvolle Ziel ist bewusste Abhängigkeit: kritische Leistungen kennen, Risiken transparent bewerten und für wesentliche Störungen oder strategische Veränderungen angemessene Optionen erhalten.

Fünf Dimensionen der Handlungsfähigkeit

• Datenkontrolle: Wissen, welche Daten wo verarbeitet werden und welche Schutzmassnahmen gelten
• Technische Wechselbarkeit: Daten, Konfigurationen und Schnittstellen in nutzbaren Formaten übertragen können
• Betriebliche Fähigkeit: kritische Dienste verstehen, überwachen und bei Störungen wirksam steuern können
• Vertragliche Position: Änderungen, Unterauftragnehmer, Auditinformationen, Datenrückgabe und Beendigung regeln
• Kompetenz: Architekturentscheide und Risiken intern beurteilen können, statt vollständig vom Anbieter abhängig zu sein

Datenresidenz präzise einordnen

Datenresidenz beschreibt, in welcher Geografie bestimmte Kundendaten gespeichert werden. Je nach Dienst können Diagnosedaten, Supportdaten, Verzeichnisinformationen, Backups oder Daten aus optionalen Funktionen anderen Regeln folgen. Eine pauschale Aussage wie alle Daten bleiben in der Schweiz ist deshalb ohne genaue Produkt- und Datenabgrenzung nicht belastbar.

Für Microsoft 365 dokumentiert Microsoft Datenresidenz und Produktzusagen je Dienst. Diese Dokumentation sollte für die konkret genutzten Angebote, Mandantenkonfigurationen und Verträge geprüft werden. Datenstandort ersetzt weder Zugriffskontrolle noch Verschlüsselung, Klassifikation, Löschkonzept oder die Bewertung rechtlicher Zugriffsrisiken.

Extraterritoriale Risiken ohne Schlagworte bewerten

Internationale Cloud Dienste unterliegen mehreren Rechtsordnungen. Daraus können Konflikte und Zugriffsrisiken entstehen. Eine seriöse Beurteilung betrachtet Rechtsgrundlage, Wahrscheinlichkeit, mögliche Datenkategorien, technische Schutzmassnahmen, Transparenzberichte, vertragliche Zusagen und verfügbare Rechtsmittel gemeinsam.

Der EDÖB betont bei Cloud Nutzung die Verantwortung des datenbearbeitenden Unternehmens und die sorgfältige Auswahl, Instruktion und Kontrolle von Auftragsbearbeitern. Für konkrete grenzüberschreitende Konstellationen ist eine rechtliche Beurteilung erforderlich. Technische Architektur und Vertrag liefern dafür Tatsachen, ersetzen sie aber nicht.

Lock in messbar machen

• Welche Daten lassen sich in dokumentierten, weiterverwendbaren Formaten exportieren?
• Welche Identitäten, Automatisierungen und Sicherheitsprozesse hängen proprietär am Anbieter?
• Welche Fristen, Kosten und Mitwirkungspflichten gelten bei einer Migration?
• Welche Schlüssel, Protokolle und Sicherungen kontrolliert die Organisation selbst?
• Welche kritischen Fähigkeiten sind intern vorhanden und welche liegen ausschliesslich bei Partnern?
• Welche Minimalleistung muss bei einem längeren Ausfall oder einer Vertragsänderung erhalten bleiben?

Souveränität risikobasiert gestalten

Nicht jeder Dienst benötigt dieselbe Vorsorge. Eine öffentliche Website, interne Zusammenarbeit und ein hochsensibler Fachprozess haben unterschiedliche Schutz- und Verfügbarkeitsanforderungen. Organisationen sollten Prozesse und Daten klassifizieren, kritische Abhängigkeiten identifizieren und Massnahmen nach Wirkung priorisieren.

Mögliche Massnahmen reichen von vertraglichen Exit Regeln und regelmässigen Datenexporten bis zu Multi Region Konzepten, alternativen Kommunikationswegen oder bewusst getrennten Fachsystemen. Eine Mehranbieterstrategie erhöht nicht automatisch Souveränität. Ohne beherrschbare Architektur und Betrieb kann sie Komplexität und neue Abhängigkeiten schaffen.

Einordnung durch techtask

techtask verbindet Cloud Strategie, Beschaffung, Governance und Security. Wir übersetzen den abstrakten Begriff digitale Souveränität in konkrete Entscheidungen zu Daten, Architektur, Vertrag und Betriebsfähigkeit. Für Schweizer Verwaltungen und regulierte Organisationen entsteht so ein überprüfbares Zielbild statt einer pauschalen Entscheidung für oder gegen Cloud.