Die Swiss-Cloud-Realität: Schweizer Server, US-Recht — und der eine Hebel

Warum die Swiss Cloud trotzdem richtig ist

Microsoft hat in den letzten Jahren enorm investiert und lokale Schweizer Rechenzentren aufgebaut, etwa in Zürich und Genf. Das bringt echte Vorteile: tiefe Latenzzeiten, modernste Cybersicherheit, Echtzeit-Zusammenarbeit über Teams und Zugriff auf KI-Funktionen wie den Microsoft 365 Copilot.

Für den Grossteil deiner alltäglichen Unternehmensdaten bietet diese Infrastruktur ein hervorragendes Sicherheitsniveau. Wichtig für die richtige Haltung: Es geht hier nicht darum, Microsoft zu verteufeln. Wer aus Prinzip alles selbst hostet, verschenkt Innovationskraft, Komfort und oft sogar Sicherheit.

Es geht um ein einziges juristisches Detail, das die wenigsten kennen — und das genau dann wichtig wird, wenn es um die ultimative Rechtshoheit über deine sensibelsten Daten geht.

Der CLOUD Act: Beton schützt nicht vor einem Gesetz

Ein Serverstandort auf Schweizer Boden bedeutet nicht automatisch, dass ausschliesslich Schweizer Recht gilt. Der Grund liegt in den USA: Durch den 2018 verabschiedeten US CLOUD Act sind US-Technologieunternehmen gesetzlich verpflichtet, US-Behörden auf richterliche Anordnung Zugriff auf gespeicherte Daten zu gewähren.

Diese Regelung greift weltweit — unabhängig davon, ob die Server in den USA, in der EU oder in einem hochsicheren Schweizer Rechenzentrum stehen. Nicht der Standort entscheidet über die Rechtshoheit, sondern der Hauptsitz des Konzerns. Eine dickere Rechenzentrums-Mauer ändert daran nichts.

Das schafft einen Zielkonflikt mit dem revidierten Schweizer Datenschutzgesetz (revDSG) und mit Berufsgeheimnissen wie dem Arzt- oder Bankkundengeheimnis nach Art. 321 StGB, die einen absoluten Schutz vor dem Zugriff ausländischer Regierungen fordern.

Kein Grund zur Panik: was die Zahlen sagen

Jetzt ist es wichtig, durchzuatmen. Es gibt keinen Grund zur Panik oder zur Sorge vor willkürlicher Massenüberwachung im Mittelstand. Microsoft lässt seine Kunden hier keineswegs im Stich — im Gegenteil.

Mit der Initiative «Defending Your Data» hat sich der Konzern verpflichtet, jede Behörden-Anfrage nach Enterprise- oder Public-Sector-Daten, die der Souveränität eines Staates widerspricht, gerichtlich anzufechten. Und die Statistik zeigt, wie gering das tatsächliche Risiko ist:

• Behördliche Anfragen nach Unternehmensdaten machen laut Microsoft deutlich unter 1% aller Anfragen aus.
• Im zweiten Halbjahr 2025 gab es weltweit nur 190 Anfragen nach solchen Unternehmensdaten.
• In 51% dieser Fälle (96 von 190) konnte Microsoft die Herausgabe ablehnen, zurückziehen, hatte keine Daten oder verwies an den Kunden.

Für ein durchschnittliches KMU ist die Wahrscheinlichkeit eines Zugriffs also extrem gering. Wer aus Panik die ganze Cloud-Strategie umwirft, zahlt mehr, als das Risiko je kosten würde.

Datenklassifizierung: 80% bleiben, 20% werden sortiert

Wann wird der Konflikt relevant? Vor allem bei Organisationen mit «besonders schützenswerten Personendaten» — Spitälern und Kliniken, dem streng regulierten Finanzsektor oder staatlichen Behörden. Hier reichen geringe statistische Eintrittswahrscheinlichkeiten rechtlich schlichtweg nicht aus: Auditoren fordern, dass der Cloud-Anbieter absolut keinen Zugriff auf Klardaten haben darf.

Der Fehler wäre jetzt, in Panik alle Daten gleich zu behandeln und zu verschlüsseln — denn dann funktionieren smarte Features wie die Echtzeit-Suche oder KI-Dienste nicht mehr. Mach das Gegenteil: klassifiziere.

Rund 80% deiner Daten sind ganz normales Tagesgeschäft. Die bleiben dort, wo sie stark sind: in Microsoft 365. Nur die wenigen wirklich kritischen Daten brauchen einen anderen Ort. Diese simple Sortierung kostet wenig — und sie ist der ganze Hebel, der das Problem löst.

Die souveräne Reserve als Plan B

Für die kritischen Daten baust du eine souveräne Reserve — ein autarkes System, das du selbst betreibst oder bei einem rein schweizerischen Provider hostest. Du baust sie daneben, nicht statt Microsoft.

Die Schweizer Bundesverwaltung macht es vor: Sie baut sich für hochsensible Daten und Krisenszenarien gezielt einen verlässlichen Plan B auf — konkret über das Gesetz EMBAG (Prinzip «Public Money, Public Code») und das Proof-of-Concept «BOSS» der Bundeskanzlei, ausdrücklich als Notfall-Ersatz, falls Microsoft 365 ausfällt, und für die sichere Verarbeitung sensibler Inhalte.

In der Praxis heisst das: Open-Source-Bausteine wie Seafile für die sichere Datenablage, Matrix für verschlüsselte Echtzeitkommunikation und Authentik für die Zugangskontrolle. So verbindest du das Beste aus beiden Welten — Microsofts Innovationskraft fürs Tagesgeschäft, echte Souveränität für die Kronjuwelen.