Öffentliche Stellen verwalten besonders schützenswerte Daten und sind verpflichtet, diese entsprechend zu schützen. Durch die neue privatim-Resolution stellt sich erneut ganz konkret die Frage: Wie sind Cloud-Angebote mit einem wirksamen Schutz sensitiver Daten vereinbar?

Die Konferenz der Schweizerischen Datenschutzbeauftragten (Privatim) hält in ihrer jüngst veröffentlichten Resolution fest, «dass die Nutzung von SaaS-Lösungen internationaler Anbieter für öffentliche Organe nur dann zulässig ist, wenn die besonders schützenswerten oder einer gesetzlichen Geheimhaltungspflicht unterstehenden Personendaten vom entsprechenden Organ selbst verschlüsselt werden. Der Cloud-Anbieter darf dabei keinen Zugang zum Schlüssel haben.» [1]

Diese Einschätzung teilen wir als Spezialisten für Informationsschutz seit Langem und sehen darin eine wichtige Orientierung für öffentliche Verwaltungen.

Die besondere Verantwortung der öffentlichen Hand

In der Privatwirtschaft werden Informationen in der Regel nach Vertraulichkeitsstufen klassifiziert – von «intern» bis «vertraulich» oder «geheim». Als besonders schützenswert gilt typischerweise die Klassifikation «vertraulich» und höher, was in der Regel Kundendaten, Personaldaten, Informationen zu Forschung und Entwicklung, Finanzzahlen oder M&A-Initiativen etc. einschliesst.

Private Unternehmen können – innerhalb des rechtlichen Rahmens – bewusst entscheiden, welches Risiko sie eingehen wollen bzw. ob sie die Vertraulichkeit aufgeben oder nicht. Davon ausgenommen sind selbstverständlich stark regulierte Branchen mit einem besonderen Fokus auf Datenschutz.

Für Behörden sieht das anders aus: Sie verwalten Daten, die Bürgerinnen und Bürger und ganze Institutionen betreffen. Hier reicht eine individuelle Risikoabwägung nicht aus. Die öffentliche Verwaltung ist an klaren Leitplanken auszurichten– genau dafür sind Datenschutzbeauftragte und ihre Gremien da.

Die privatim-Resolution stellt nun unmissverständlich klar, dass bei der Nutzung von Cloud-Diensten der Schutz besonders schützenswerter Daten oberste Priorität haben muss.

Grundsätze für den sicheren Cloud-Einsatz

Aus Sicht des Informationsschutzes lassen sich zwei zentrale Prinzipien ableiten:

• Grundsatz 1: Ohne wirksame Verschlüsselung gibt es keinen echten Schutz von Daten.
• Grundsatz 2: Der Provider darf keinen Zugriff auf die unverschlüsselten Daten haben. (siehe auch privatim-Resolution)

Vom Prinzip zur Praxis

Damit diese Grundsätze im Alltag greifen, braucht es einen strukturierten Ablauf:

1. Informationen klassifizieren

Zuerst muss geklärt sein, mit welcher Art von Daten gearbeitet wird. Eine rein manuelle Klassifikation durch Endnutzer führt erfahrungsgemäss zu vielen Fehlern. Automatische Klassifikation wiederum stösst an Grenzen, sobald Informationen kombiniert werden: Aus mehreren unscheinbaren Bausteinen kann plötzlich ein sehr vertrauliches Gesamtbild entstehen. Hier unterstützen ergänzende Lösungen wie Data Loss Prevention oder Data-Governance-Ansätze. [2]

2. Speicher- und Verarbeitungsort beurteilen

Bei Transfer bzw. Speicherung ist zu prüfen, wohin Daten fliessen und wie der Zielort charakterisiert ist:

1. Sind die Daten NICHT vertraulich bzw. besonders schützenswert, kann eine Verarbeitung bzw. Speicherung in internationalen SaaS-Diensten zulässig sein.
2. Sind die Daten besonders schützenswert bzw. vertraulich, braucht es zusätzliche Schutzmassnahmen – oder der Transfer bzw. die Speicherung muss unterbunden werden.

Daraus leiten sich die notwendigen Schutzmassnahmen ab.

3. Geeignete Sicherheitsmassnahmen umsetzen

Je nach Szenario sind unterschiedliche Ansätze angezeigt:

1. Umleitung der Speicherung auf ein erlaubtes Zielsystem, etwa in die eigene Infrastruktur (on-premises) oder zu einem lokalen Cloud-Anbieter.
2. Verschlüsselung der Daten vor dem Transfer. Das kann auf zwei Arten gemacht werden:
   • Bei Dateien kann eine Digital-Rights-Management-Lösung [3] angewendet werden. Ist Microsoft im Einsatz, braucht es beispielsweise die Double Key Encryption, um den Zugriff des Anbieters auf die Informationen zu verhindern.
   • Bei Daten in Applikationen oder SaaS-Lösungen kommt eine Feldverschlüsselung zum Einsatz, bei der die sensiblen Daten direkt im Datenfeld verschlüsselt werden.

Rechtliche Absicherung reicht nicht

Viele Organisationen stützen sich stark auf rechtliche Expertise und das geltende Recht. Dies ist wichtig, ersetzt aber keine technischen und organisatorischen Schutzmassnahmen. Compliance bedeutet nicht automatisch Sicherheit oder dass das Risiko für Datenabflüsse ausreichend reduziert ist.

Internationale Entwicklungen – etwa extraterritoriale Zugriffsrechte einzelner Staaten – führen dazu, dass sich kleinere Länder nicht mehr vollständig auf eine einheitliche globale Rechtsordnung verlassen können. Die Resolution der schweizerischen Datenschutzbeauftragten trägt dieser Realität Rechnung: Öffentliche Verwaltungen haben sensible Daten so zu schützen, dass sie auch bei der Nutzung von Cloud-Diensten unter eigener Kontrolle bleiben.

Wie eine Lösung in der Praxis aussehen kann

Wie lassen sich sensible Daten in modernen Cloud-Umgebungen schützen, dass öffentliche Stellen die Datenhoheit wahren und gleichzeitig die Vorteile von SaaS-Diensten nutzen können?

Im Informationsschutz lässt sich diese Herausforderung nur durch eigene Verschlüsselungskonzepte abfangen.
Genau hier setzt unsere Verschlüsselungslösung «Centraya» an, durch

• rechtlich unabhängige, selbst generierte und verwaltete Verschlüsselungsschlüssel,
• eine zentrale Festlegung, wo und wie Daten verschlüsselt werden,
• sowie die einheitliche Steuerung der Verschlüsselung über verschiedene Anwendungen und Cloud-Dienste hinweg.

Für die öffentliche Verwaltung bedeutet das: Zero Trust darf nicht an der Netzwerkgrenze enden, sondern muss auf die Datenebene ausgeweitet werden – insbesondere in der Cloud.

Gerne zeigen wir Ihnen, wie eine solche Strategie in Ihrer Organisation konkret aussehen kann.

Fussnoten

[1] privatim. (24. November 2025). privatim.ch. Von https://www.privatim.ch/de/privatim-verabschiedet-resolution-zu-internationalen-cloud-losungen/ abgerufen

[2] Data Loss Prevention (DLP) hilft, unerwünschte Datenabflüsse zu erkennen und zu verhindern – etwa beim Versand von E-Mails, beim Upload in die Cloud oder beim Speichern auf externe Datenträger. Data Governance definiert den organisatorischen Rahmen für den Umgang mit Daten, beispielsweise wer welche Informationen sehen, bearbeiten oder exportieren darf, wie lange sie aufbewahrt und wann sie gelöscht werden müssen.

[3] Eine Digital-Rights-Management-Lösung (DRM) schützt Dateien, indem sie diese verschlüsselt und die Nutzung granular steuert. Sie legt also fest, wer eine Datei öffnen, bearbeiten, weiterleiten oder drucken darf und für welchen Zeitraum sie genutzt werden darf, selbst wenn sie die eigene Infrastruktur bereits verlassen hat.