Fast alle Schweizer Klein-und Mittelunternehmen KMU setzen im Dienste von Effizienz, Flexibilität und Wettbewerbsfähigkeit bei der Informationstechnologie IT auf die Cloud. Weil die US-Hyperscaler mit Amazon Web Services (AWS), Microsoft Azure oder Google Cloud Platform GCP umfassende Cloudlösungen anbieten, sind diese auch in der Schweiz stark verbreitet. Gerade im Zeitalter des kaum voraussehbaren Donald Trump geht dabei aber allzu oft vergessen: Die Nutzung von Cloudangeboten der US-Hyperscaler ist insbesondere im Bereich des Datenschutzes und der Compliance mit erheblichen Risiken verbunden.

Datenschutz als zentrales Entscheidungskriterium

In der Schweiz ist der Datenschutz durch das revidierte Datenschutzgesetz (revDSG) nochmals verschärft worden. Für alle Unternehmen ist es ein absolutes Muss, personenbezogene und geschäftskritische Daten vor jeglichem unbefugten Zugriff zu schützen und alle strengen gesetzlichen Vorgaben im Bereich des Datenschutzes einzuhalten. Bei den globalen US-Hyperscalern ist die Einhaltung aller Datenschutzanforderungen zuweilen nur schwer zu überprüfen und zu garantieren.

Ein Datenabfluss ins Ausland kann nicht nur rechtliche Konsequenzen nach sich ziehen, sondern auch das Vertrauen der Kunden nachhaltig schädigen. Schweizer Unternehmen sind daher gut beraten, den gesetzlich geforderten Datenschutz als ein zentrales Auswahlkriterium für Clouddienstleister zu betrachten.

Datenschutzrisiken bei US-Hyperscalern

Alle Schweizer KMU, die personenbezogene Daten verarbeiten und speichern, müssen im Hinblick auf den Einsatz einer Cloudlösung besonders auf den gesetzlich vorgeschriebenen Datenschutz achten. Bei US-Hyperscaler-Clouds kann es folgende Datenschutzrisiken geben:

• Datenstandort und Datenzugriff: US-Hyperscaler speichern und verarbeiten Daten oft in global verteilten Rechenzentren. Dabei kann trotz vorhandenen Schweizer Rechenzentren zuweilen nicht vollständig garantiert werden, dass die Daten ausschliesslich in der Schweiz bleiben. Dies birgt das Risiko, dass Daten in Länder mit einem niedrigeren Datenschutzniveau übertragen werden.

• Zugriff durch US-Behörden: US-Hyperscaler unterliegen dem «US CLOUD Act» und dem «Patriot Act». Diese Gesetze können es den US-Behörden erlauben, auf Daten zuzugreifen, selbst wenn diese in Schweizer Rechenzentren gespeichert sind. Dies kann zu Konflikten mit dem Schweizer Datenschutzrecht führen.

• Compliance-Herausforderungen: Das revidierte Datenschutzgesetz (revDSG) verlangt, dass Personendaten von den Unternehmen angemessen geschützt werden. Der Nachweis, dass dies bei einem US-Hyperscaler hundertprozentig gewährleistet ist, ist oft komplex und mit etlichem Aufwand verbunden.

• Transparenz und Kontrolle: Die technische und organisatorische Komplexität der US-Hyperscaler führt dazu, dass Schweizer KMU oft nur eingeschränkte Kontrolle und zu wenig Transparenz darüber haben, wie und wo genau ihre Daten verarbeitet werden.

Weitere Risiken bei US-Hyperscalern

• «Vendor Lock-in»: Der «Vendor Lock-in» bezeichnet die Abhängigkeit eines Kunden oder Unternehmens von einem bestimmten Anbieter, bei der ein Wechsel zu einem anderen Anbieter mit erheblichen technischen, organisatorischen oder finanziellen Hürden verbunden ist. Bei US-Hyperscalern ist der «Vendor Lock-in» oft überdurchschnittlich gross.

• Abhängigkeit von globalen Infrastrukturen: Bei Störungen oder politischen Spannungen können Schweizer KMU, die eine US-Hyperscaler-Cloud nutzen, von unbeeinflussbaren globalen Ausfällen betroffen sein.

• Komplexe Vertragsbedingungen: US-Hyperscaler haben zumeist standardisierte, sehr komplexe und wenig flexible Vertragsbedingungen.

Bei lokalen Schweizer Cloudanbietern sind die Risiken zumeist tiefer

Setzen Schweizer Klein- und Mittelunternehmen KMU auf lokale Schweizer Cloudanbieter, sind die damit verbundenen Risiken zumeist tiefer als bei den US-Hyperscalern:

• Datenstandort Schweiz: Lokale Anbieter garantieren in der Regel, dass sämtliche Daten ausschliesslich in Schweizer Rechenzentren gespeichert und verarbeitet werden. Dies erleichtert die Einhaltung des Schweizer Datenschutzgesetzes.

• Schweizer Recht und Gerichtsbarkeit: Die Daten unterliegen ausschliesslich dem Schweizer Recht. Der Zugriff durch ausländische Behörden ist weitgehend ausgeschlossen, was die Rechtssicherheit erhöht.

• Höhere Transparenz und Kontrolle: Lokale Cloudanbieter bieten oft mehr Transparenz über ihre Prozesse und ermöglichen es den Schweizer KMU, individuelle Anforderungen bezüglich Datenschutz und Sicherheit besser umzusetzen.

• Direkte Kommunikation und Support: Die Nähe zu lokalen Anbietern erleichtert die Kommunikation, die Vertragsverhandlungen und den Support.

• Geringerer «Vendor Lock-in»: Lokale Anbieter setzen häufig auf offene Standards und sind generell flexibler bei individuellen Kundenwünschen.