Bundeshausbesuch mit Microsoft: Rechtshilfe und CLOUD Act

Ein Gespräch ersetzt keine eigene Beurteilung

Bei einem Roundtable im Bundeshaus habe ich mich mit Vertretern von Microsoft über digitale Souveränität ausgetauscht. Der Besuch ist für mich ein Anlass, die Souveränitätsfrage genauer zu stellen: Was können Anbieter zusichern, was verlangt das Recht und was muss eine Verwaltung selbst nachweisen?

Diese Reflexion ist kein Wortprotokoll. Einzelne damals zusammengefasste Zahlen zu Behördenanfragen und Aussagen zur bisherigen Herausgabe Schweizer Organisationsdaten lassen sich aus meinen vorliegenden Unterlagen nicht ausreichend verifizieren. Ich verwende sie deshalb hier nicht als Tatsachenbelege. Ich arbeite bei isolutions im Public-Sector-Umfeld; dieser Beitrag ist meine persönliche Einordnung.

Drei Fragen, die wir auseinanderhalten müssen

Ich unterscheide die bisherige Praxis, die rechtliche Möglichkeit und die Folgen eines Zugriffs. Wie oft ein Anbieter Daten herausgegeben hat, kann für die Risikobeurteilung relevant sein. Es beantwortet nicht abschliessend, unter welchen Bedingungen eine spätere Herausgabe verlangt werden könnte. Ebenso wenig sagt die Häufigkeit allein, was ein solcher Fall für ein vertrauliches Verwaltungsverfahren bedeuten würde.

Für einen begrenzten, wenig sensiblen Einsatz kann eine bestimmte Abhängigkeit tragbar sein. Bei einer kritischen staatlichen Leistung können dieselbe Abhängigkeit und derselbe seltene Ereignistyp anders zu beurteilen sein. Eine belastbare Entscheidung braucht deshalb mehr als eine beruhigende oder beunruhigende Einzelzahl.

Rechtshilfe und CLOUD Act sind verschiedene Verfahren

Der Staatsvertrag Schweiz–USA vom 25. Mai 1973 regelt die gegenseitige Rechtshilfe in Strafsachen. Beim klassischen Weg ersucht eine Behörde den anderen Staat um Unterstützung; die zuständigen Behörden des ersuchten Staates prüfen und vollziehen das Ersuchen nach dem einschlägigen Rechtsrahmen. [1]

Der CLOUD Act von 2018 betrifft dagegen unter anderem die US-rechtlichen Pflichten erfasster Kommunikationsdienstleister. 18 U.S.C. § 2713 stellt klar, dass die Sicherungs- und Herausgabepflichten des betreffenden Gesetzeskapitels auch Daten ausserhalb der USA erfassen, soweit sie sich im Besitz, Gewahrsam oder unter der Kontrolle des Anbieters befinden. Der Speicherort ist daher keine alleinige Schutzgrenze. Welche Anordnung zulässig ist, richtet sich nach den weiteren gesetzlichen Voraussetzungen. [2] [3]

Das bestehende Abkommen ist kein automatischer Schutzschild

Eine US-Anordnung an einen erfassten Dienstleister setzt nicht automatisch ein vorgängiges Schweizer Rechtshilfeverfahren voraus. Der bestehende Vertrag beseitigt die US-rechtliche Herausgabepflicht nicht. Gleichzeitig wird eine nach US-Recht verlangte Bekanntgabe dadurch nicht automatisch nach Schweizer Recht zulässig. Das Bundesamt für Justiz untersucht genau diese Konflikte und die Anforderungen an Datenschutz, Grundrechte und Rechtsschutz. Sein Gutachten stammt vom 17. September 2021; es ist als damalige Rechtsanalyse zu lesen. [4]

Der CLOUD Act eröffnet keinen voraussetzungslosen allgemeinen Zugang zu sämtlichen Kundendaten. Strafverfolgung hat einen legitimen Bedarf an elektronischen Beweismitteln. Die Frage bleibt, nach welchem Verfahren, mit welchen Schutzmechanismen und unter welcher staatlichen Kontrolle Daten beschafft werden. [3] [4]

Ein neues Abkommen müsste Schutz und Zusammenarbeit verbinden

Der CLOUD Act ermöglicht zusätzliche bilaterale Vereinbarungen, sogenannte Executive Agreements. Nach Darstellung des US-Justizministeriums sollen sie unter vereinbarten Voraussetzungen direkte grenzüberschreitende Anordnungen für elektronische Beweismittel erleichtern. Sie sind kein allgemeiner Ausschluss von Zugriffen. Die schweizerischen Schutzanforderungen wären gesondert zu regeln. [5] [4]

Das BJ dokumentiert für die Schweiz Sondierungen zur Zusammenarbeit mit der EU bei elektronischen Beweismitteln sowie die Prüfung gesetzlicher Grundlagen. Ein in Kraft stehendes schweizerisch-amerikanisches CLOUD-Act-Executive-Agreement konnte ich in den für diesen Beitrag geprüften amtlichen Quellen nicht belegen. Diese Feststellung ist kein Nachweis, dass es keinerlei weitere Gespräche gibt. [6]

Ein Abkommen über strafrechtliche Beweiserhebung würde zudem nicht automatisch nachrichtendienstliche Zugriffsinstrumente, Sanktionen oder Dienstunterbrechungen regeln. Für die Souveränitätsprüfung müssen diese Risiken getrennt betrachtet werden; der CLOUD Act erklärt nicht jedes geopolitische Cloudrisiko. [7]

Mein Ansatz: vom konkreten Auftrag zur nachgewiesenen Kontrolle

Ich würde bei der staatlichen Leistung beginnen: Welche Daten braucht sie, wie lange müssen sie vertraulich bleiben und welche Unterbrechung ist tragbar? Danach folgen die Prüfung der rechtlichen Zulässigkeit, der tatsächlichen Zugriffsmöglichkeiten sowie der Verträge und Betriebsabläufe. Ein Schweizer Standort, eine Verschlüsselungsfunktion oder eine Anbieterzusage beantwortet jeweils nur einen Teil dieser Fragen.

Die Varianten müssen zum Schutzbedarf passen. Eine Public Cloud kann geeignet sein, wenn ihre Nutzung rechtlich zulässig ist und die nötigen Kontrollen nachgewiesen werden. Wo diese Voraussetzungen fehlen, braucht es eine andere Verarbeitung oder einen begründeten Verzicht. Zusätzlich würde ich für eine kritische Leistung den Datenexport, einen eingeschränkten Betrieb und die Übernahme durch einen anderen Betreiber praktisch erproben. Rechtliche Anforderungen dürfen dabei nicht durch einen blossen Nutzwertvergleich überstimmt werden.

Lösungsskizze: einen kritischen Anwendungsfall prüfen

Ziel: Eine begründete Entscheidung über einen Cloud-Anwendungsfall treffen und verbleibende Abhängigkeiten nachweisen.

Ausgangslage: Datenstandort, Rechtsraum, Anbieterzugriffe und Betriebsabhängigkeiten müssen gemeinsam beurteilt werden.

Lösung: Zulässigkeit und Schutzbedarf klären, geeignete Varianten vergleichen und die entscheidenden Kontrollen praktisch prüfen. Der folgende Ablauf ist mein Vorschlag, kein beschlossener Massnahmenplan.

Ablauf: Leistung abgrenzen → Daten und Rechtsgrundlagen prüfen → Zugriffe und Abhängigkeiten erfassen → Varianten bewerten → Wechsel oder Mindestbetrieb erproben → Entscheid dokumentieren.

Verantwortung: Vorschlag: Die leistungszuständige Stelle koordiniert mit Recht, Datenschutz, Informationssicherheit, Architektur, Beschaffung und Betrieb. Die zuständige Leitung trägt den Entscheid.

Ressourcen: Fach- und Prüfzeit, eine begrenzte Testumgebung sowie Mittel für Export, Wiederherstellung und Übergabe vorab einplanen; Umfang und Budget sind organisationsspezifisch festzulegen.

Erfolg erkennbar an: dokumentierter Zulässigkeitsprüfung, nachvollziehbaren Zugriffskontrollen und einem bestandenen Betriebs- oder Wechseltest mit vorab festgelegten Kriterien.

Hauptrisiko: Allgemeine Produktzusagen werden als Nachweis für den eigenen Einsatz verstanden. Gegenmassnahme: Jede entscheidende Zusage dem konkreten Dienst, Vertrag und Test zuordnen.

Was ich aus dem Besuch mitnehme

Der Austausch mit Microsoft gehört für mich zu einer sachlichen Beurteilung. Ein Anbieter muss seine Praxis und seine Schutzmechanismen erklären können. Eine Verwaltung muss die eigene Entscheidung dennoch selbst verantworten.

Meine Konsequenz ist deshalb, den Dialog mit einem konkreten Nachweis zu verbinden: Für eine wichtige Verwaltungsleistung sollte klar sein, welche rechtlichen und technischen Abhängigkeiten bestehen, welche davon tragbar sind und welche Alternative im Ereignisfall tatsächlich funktioniert. Daran würde ich die nächste Souveränitätsentscheidung messen.