Die Schweiz lässt ihre staatlichen Daten in China und den USA speichern

Es ist ein doch etwas umstrittenes Thema, auf welches mich Blog-Leser Adrian die Nacht aufmerksam gemacht hat (danke dafür).Der Schweizer Bundesrat hat gerade den Weg frei gemacht, um staatliche Daten zukünftig unter anderem vom chinesischen Cloud-Anbieter Alibaba speichern und verarbeiten zu lassen. Mit im Boot sind auch US-Anbieter. It's the money, munkelt man hinter vorgehaltener Hand, was den Ausschlag für diese Entscheidung, die jährlich 110 Millionen Franken kosten soll, gegeben hat. Ergänzungen von Inside Channels zur Ausschreibung hinzugefügt.

Die Schweiz unterliegt meines Wissens ja nicht der europäischen Datenschutzgrundverordnung, sondern hat eigene Datenschutzgesetze. Daher tue ich mich aktuell schwer, das Ganze aus dieser Sicht zu bewerten – aber mein Bauchgefühl sagt mir, dass dieser Deal sicherheitstechnisch vermutlich eine weniger kluge Entscheidung darstellt.

Der Sachverhalt

Gemäß dieser Bekanntmachung vom 29. Juni 2021 hat der Bund (über den Bereich Digitale Transformation und IKT-Lenkung (DTI)) einen Beschaffungsauftrag für die "Public Clouds Bund" Im Auftragsvolumen von 550 Millionen Schweizer Franken vergeben. Zuschläge erhielten:

• Alibaba.com (Europe) Limited (London)
• IBM Schweiz AG
• Amazon Web Services EMEA SARL (Luxemburg)
• Microsoft Schweiz GmbH
• Oracle Software (Schweiz) GmbH

Während Oracle, IBM und Microsoft wenigstens noch Büros in der Schweiz halten, sind Alibaba (Großbritannien) und Amazon (Luxemburg) nur mit europäischen Dependenzen vertreten. Im Grunde geht es darum, staatliche Daten in der Cloud zu speichern und von den genannten Anbietern verarbeiten zu lassen. Bei den Kosten werden in Schweizer Medien 110 Millionen Franken jährlich genannt, wobei das Vorhaben über fünf Jahre läuft.  Beschlossen wurde dies vom Schweizer Bundesrat, wenn ich diesen Artikel bei bluewin richtig lese.

Begründet wird die Auftragsvergabe unter Berücksichtigung des chinesischen Konzerns Alibaba durch die Bundeskanzlei "explizit mit ihren sehr attraktiven Preisen". Die Chinesen wollen mit Alibaba bei Cloud-Diensten bis 2023 weltweit Nummer 1, vor dem derzeit aktuellen Marktführer Amazon werden.

Die Seite Watson.ch schreibt, das Microsoft und Amazon den Zuschlag erhielten, weil diese Rechenzentren in der Schweiz betreiben bzw. das vorhaben. Allerdings wurde der Preis bei der Auftragsvergabe mit 30% gewichtet, der Betrieb von Rechenzentren in der Schweiz dagegen wohl nur mit 10%.

Die Begründung von Franz Grüter, Nationalrat der Schweizer Volkspartei (SVP), und gleichzeitig Verwaltungsratspräsident der in der Informatik tätigen Green-Gruppe, zeigt das Dilemma auf. Er argumentiert, dass die Schweiz keine andere Wahl hatte. Es gebe in Europa und in der Schweiz keinen Cloud-Anbieter, «der den amerikanischen und chinesischen Firmen auch nur annähernd das Wasser reichen kann». Die Hoffnung ist, dass das Thema Datensicherheit in Verträgen geregelt werden kann, so der Geschäftsführer eines Rechenzentrums im Kanton Zürich.

Cloud first, Sicherheitsbedenken second?

Ich habe mal einen Wahlspruch der deutschen Partei FDP als Überschrift abgewandelt. Denn die Auftragsvergabe an das oben genannte Konsortium ist politisch höchst umstritten und brisant. Denn für Schweizer Bürger stellt sich die Frage, ob deren staatlich erfasste Daten in der Cloud, bei amerikanischen und chinesischen Firmen sicher sind. In China sichert sich die kommunistische Partei den Zugriff auf Firmen wie Alibaba, wird also auch die Daten auf deren Cloud-Servern einsehen können. Bei den US-Firmen verpflichtet der Cloud Act, ein US-Gesetz von 2018, diese, den US-Behörden Zugriff auf Daten zu gewährleisten, selbst wenn diese außerhalb der USA gespeichert sind. Ein Sachverhalt, der auch in Europa, durch die DSGVO, heftig umstritten ist.

In der Schweiz ist jetzt eine politische Diskussion um das Thema entbrannt. Die Bundeskanzlei beschwichtigt gegenüber der Presse: «Ob und welche Daten in den Public Clouds gehalten und bearbeitet werden, hängt vom jeweiligen Vorhaben ab». Man verspricht vor der Auslagerung an die ausländische Cloud eine Risikoabwägung. Der grüne Nationalrat und IT-Fachmann Gerhard Andrey kritisiert die Vergabe. Er wird hier zitiert, dass es ein großes Problem sei,  wenn der Bund sensible staatliche Daten in die Hände von ausländischen Anbietern lege. Andrey will nun in der Finanzkommission kritische Fragen zum Cloud-Auftrag zu stellen. Es ist aber davon auszugehen, dass die IT-Projekte scheibchenweise in die Cloud abwandern und dann heißt es später "es gab keine Alternative, und wir können nicht mehr zurück". Wird spannend sein, zu verfolgen, wann die ersten Datenskandale diesbezüglich öffentlich werden.

Detail in den Ausschreibungskriterien

Ergänzung: Die Kollegen des Schweizer IT-Magazins Inside Channels haben mir im Nachgang einen Link auf deren Artikel geschickt, welcher wohl die Ursprungsquelle für alle anderen Beiträge in Schweizer Medien war.

Beim Überfliegen des Artikels kam ich aus dem Staunen nicht heraus. Es war von vorneherein klar, dass kein Anbieter aus der Schweiz oder der EU da im Verfahren mitbieten würde. Denn die Initiatoren haben klugerweise die Forderung, dass die Bieter Rechenzentren auf drei Kontinenten betreiben müssen, in die Ausschreibung eingefügt. Da ist es klar, dass nur chinesische und US-Anbieter zum Zuge kommen können.

Izwischen hat sich auch der Schweizerische Datenbeauftragte in der Zeitung "Bund" zum Thema geäussert. Die Kollegen vonInside Channels haben dies hier aufgeriffen. Aussage des Schweizerischen Datenbeauftragten: Zufrieden sei er nicht , denn seine Empfehlungen seien nur teilweise übernommen worden. "Wir empfahlen der Bundesverwaltung, bereits in den Offerten in einem separaten Kapitel spezifische Datenschutz-Zertifizierungen von den Anbietern einzufordern." Mit diesen Zertifizierungen wären einige der jetzigen Anbieter wohl in der Ausschreibung herausgefallen. Das Ganze ist für Interessierte doch ganz lesenswert und ein Lehrstück, wie die Ausschreibungsbedingungen den Ausgang in die gewünschte Richtung beeinflussen.