Blindes Vertrauen: Bund gibt seine Informatik auswärts

Tempi passati: In einem Armee-Rechenzentrum wurden Daten 1995 inhouse abgespeichert. (Foto: Keystone)

Von Eva Hirschi. Recherchen der «Republik» zeigen: Der Bund setzt bei seiner neuen Cloud-Lösung auf chinesische und amerikanische Grosskonzerne. Doch diese verweigern Einsicht in die Rahmenverträge – obwohl die Bundeskanzlei diese publizieren wollte.

Der Bund braucht eine neue Cloud-Lösung für seine Daten, Dokumente und Anwendungen. Doch trotz ihres Namens wird die geplante «Swiss Government Cloud» nicht aus einer Schweizer Cloud bestehen, sondern aus mehreren Cloud-Optionen von privaten und staatlichen Anbietern – darunter auch aus China und den USA.

Alibaba, Amazon, IBM, Microsoft und Oracle haben 2021 vom Schweizer Staat den Zuschlag für entsprechende Angebote erhalten. Das heisst, dass Daten von Bundesämtern auf der Infrastruktur einer ausländischen Firma gespeichert und verarbeitet werden.

Die «Republik» hat tiefgehende Recherchen, unter anderem gestützt auf das Öffentlichkeitsgesetz, betrieben, und zeigt auf, wo das Projekt derzeit steht. Die Redaktorin Adrienne Fichter warnt: Aus technologischer Sicht biete die Zusammenarbeit mit grossen IT-Konzernen zwar Vorteile, es gäbe aber auch gewichtige Nachteile: «enorme Abhängigkeiten, hohe Kosten und die Gefahr geheimdienstlicher Ausspähung durch die USA und China.»

Gemäss der Botschaft des Bundesrats würden künftig die ausländischen Dienste sogar die grosse Mehrheit ausmachen: bis im Jahr 2032 voraussichtlich 68 Prozent der gesamten Swiss-Government-Cloud-Nutzung. «Im Klartext: Die Mehrheit der Fachanwendungen, Applikationen oder KI-Projekte des Schweizer Staats würden in gigantischen Datenzentren auf der ganzen Welt abgelegt – in Ländern mit unterschiedlichen Rechtsordnungen», schreibt Fichter.

Bereits jetzt werden gewisse Dokumente des Bundes in der Microsoft-Cloud gespeichert. Nur klassifizierte Daten und sensible Personen­informationen müssen lokal in den Bundeszentren bearbeitet und gespeichert werden. Die Verantwortung aber liegt bei den Angestellten. Dies stösst auf Kritik. Ebenso wie das fast schon blinde Vertrauen des Bundes in Microsoft: Eine unabhängige Überprüfung der Sicherheitsfunktionen von Microsoft durch bundeseigene IT-Experten hat offenbar nie stattgefunden.

Gleichzeitig hat die Bundes­kanzlei immer wieder betont, mit den ausländischen Anbietern datenschutz­freundliche, einheitliche und für die Schweiz vorteilhafte Rahmen­verträge ausgehandelt zu haben. Die Dokumente wollte sie sogar veröffentlichen. Doch dazu kam es nicht, weshalb Adrienne Fichter diese per Gesuch gemäss Öffentlichkeitsgesetz einsehen wollte. Zwei der fünf Big-Tech-Konzerne wollten die Dokumente herausgeben, doch die anderen drei wehrten sich und erwirkten beim Eidgenössischen Öffentlichkeitsbeauftragten eine Total­blockade. Die Schlichtungsverhandlung steht weiterhin aus.

Nicht nur Medienschaffende, selbst die Bundes­ämter können die Rahmen­verträge teils nur unter strikt geregelten Bedingungen im General­sekretariat des jeweiligen Departements einsehen. Dies wirft Fragen auf, wie diese eine seriöse Risikoanalyse betreiben können. Anwälte und Politiker kritisieren diese Informationsblockade.