Datensouveränität in der Schweiz: revDSG, FINMA-Outsourcing, US CLOUD Act und warum Verschlüsselung mit eigenen Schlüsseln entscheidet, wer Daten lesen kann.
Datensouveränität in der Schweiz bedeutet, dass die Daten einer Schweizer Organisation unter Schweizer Recht und unter der Kontrolle dieser Organisation bleiben, sodass kein ausländischer Anbieter und keine ausländische Behörde sie lesen kann, ohne den Weg über die Organisation selbst zu gehen. Daten in einem Schweizer Rechenzentrum zu speichern, genügt dafür nicht: Hält der Cloud-Anbieter die Schlüssel für die Verschlüsselung und untersteht er ausländischem Recht, kann er zur Herausgabe der Daten verpflichtet werden. In der Praxis läuft Datensouveränität auf eine Frage hinaus: Wer hält die Schlüssel?
Konkret wurde die Frage im November 2025. privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, hielt fest, dass der US CLOUD Act US-Anbieter zur Herausgabe von Kundendaten verpflichten kann, auch von Daten in Schweizer Rechenzentren, und dass öffentliche Organe besonders schützenswerte Personendaten in den meisten Fällen nur dann an internationale Cloud-Anbieter auslagern dürfen, wenn sie diese selbst verschlüsseln und der Anbieter keinen Zugriff auf den Schlüssel hat. Zwei Tage später verabschiedete der Bundesrat einen Bericht zur digitalen Souveränität der Schweiz.
Dieser Leitfaden behandelt die Begriffe, den Schweizer Rechtsrahmen (revidiertes Datenschutzgesetz, grenzüberschreitende Bekanntgabe, FINMA-Outsourcing, Bankgeheimnis), was der CLOUD Act tatsächlich sagt und warum kundeneigene Schlüssel die Kontrolle sind, die Datensouveränität wirksam macht, mit einem Architekturvergleich und einer Checkliste. Er ist keine Rechtsberatung: Nutzen Sie ihn, um Ihre Rechtsberatung und Ihre Architekten zu briefen.
Die drei Begriffe werden oft gleichbedeutend verwendet. Das sind sie nicht, und Beschaffungsentscheide gehen schief, wenn man sie vermischt.
| Begriff | Welche Frage er beantwortet | Was er garantiert | Was er nicht garantiert |
|---|---|---|---|
| Datenresidenz | Wo werden die Daten physisch gespeichert und verarbeitet? | Die Daten liegen in einem bestimmten Land oder einer Region (z. B. in Schweizer Rechenzentren) | Dass nur Schweizer Recht auf sie anwendbar ist oder dass der Betreiber sie nicht lesen kann |
| Datensouveränität | Welches Recht gilt für die Daten, und wer kann zu ihrer Herausgabe gezwungen werden? | Die Daten unterstehen der gewählten Rechtsordnung, und der Zugriff folgt deren Verfahren | Gar nichts, wenn ein Anbieter unter einer anderen Rechtsordnung die Daten technisch entschlüsseln kann |
| Schlüsselsouveränität | Wer erzeugt, hält und verwendet die Schlüssel für die Verschlüsselung? | Ohne Ihre Schlüssel sind gespeicherte Daten Chiffretext, wer sie auch hält und welche Anordnung er auch erhält | Schutz der Daten, solange Sie einem Dienst erlaubt haben, sie während der Nutzung zu entschlüsseln |
Residenz ist eine Eigenschaft der Infrastruktur, Datensouveränität ein rechtliches Ziel und Schlüsselsouveränität die technische Kontrolle, die dieses Ziel nachweisbar macht: Hat ein Anbieter Ihre Schlüssel nie, kann eine an ihn gerichtete Anordnung nur verschlüsselte Daten hervorbringen. Eine breitere Einführung bietet unser Beitrag dazu, was Datensouveränität für Enterprise-SaaS bedeutet.
Die Schweiz kennt kein einzelnes «Souveränitätsgesetz». Die Pflichten ergeben sich aus dem Datenschutzrecht, der Branchenaufsicht und den Berufsgeheimnissen.
Das Bundesgesetz über den Datenschutz vom 25. September 2020 (Datenschutzgesetz, DSG, SR 235.1), oft revDSG oder nDSG genannt, ist am 1. September 2023 in Kraft getreten. Für Cloud- und Schlüsselentscheide sind drei Bestimmungen am wichtigsten:
Vorsätzliche Verstösse gegen die Regeln zur Bekanntgabe ins Ausland, zur Auftragsbearbeitung oder gegen die Mindestanforderungen an die Datensicherheit können mit Bussen bis zu CHF 250'000 gegen die verantwortlichen natürlichen Personen geahndet werden (Art. 61).
Nach Art. 16 DSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass der Zielstaat einen angemessenen Schutz gewährleistet. Andernfalls braucht es andere Garantien: einen völkerrechtlichen Vertrag, Datenschutzklauseln in einem Vertrag, die dem EDÖB vorgängig mitgeteilt wurden, vom EDÖB genehmigte Standarddatenschutzklauseln oder genehmigte verbindliche unternehmensinterne Datenschutzvorschriften. Art. 17 sieht eng begrenzte Ausnahmen vor, etwa die ausdrückliche Einwilligung.
Am 14. August 2024 nahm der Bundesrat die USA im Umfang des Swiss-U.S. Data Privacy Framework in die Liste der Staaten mit angemessenem Datenschutz auf, mit Wirkung ab 15. September 2024. Erfasst sind nur Übermittlungen an zertifizierte US-Unternehmen.
Der Angemessenheitsentscheid macht bestimmte Übermittlungen nach Schweizer Datenschutzrecht zulässig. Er ändert nichts daran, was US-Recht von einem US-Anbieter verlangen kann, und sagt nichts darüber, wer Ihre Schlüssel hält.
Für Banken, Versicherungen und andere beaufsichtigte Institute gilt das FINMA-Rundschreiben 2018/3 «Outsourcing» (in Kraft seit 1. April 2018, zuletzt geändert am 4. November 2020), wenn ein Dienstleister eine für die Geschäftstätigkeit wesentliche Funktion erbringt. Drei Anforderungen betreffen die Schlüsselverwahrung:
Schlüssel unter Ihrer Kontrolle dienen beiden Seiten: Der Dienstleister kann die Daten nicht lesen, und Sie können sie auch nach Ende der Geschäftsbeziehung von der Schweiz aus entschlüsseln. Die Quanten-Leitlinien der FINMA von 2026 ergänzen die Outsourcing-Erwartungen um Krypto-Agilität; siehe die Schweizer PQC-Regulierung und FINMA-Aufsichtsmitteilung 05/2026.
Art. 47 des Bankengesetzes (BankG, SR 952.0) stellt unter Strafe, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe, wer vorsätzlich ein Geheimnis offenbart, das ihm in seiner Eigenschaft als Organ, Angestellter, Beauftragter oder Liquidator einer Bank anvertraut worden ist oder das er in dieser Eigenschaft wahrgenommen hat. Ob Kundendaten durch einen ausländischen Cloud-Anbieter bearbeitet werden dürfen, ist eine Frage für Ihre Rechts- und Compliance-Teams. Architektonisch sind kundenidentifizierende Daten, die der Anbieter nicht entschlüsseln kann, weit einfacher zu verteidigen als Daten, die er entschlüsseln kann.
Auch der Bund nutzt Hyperscale-Clouds; er entscheidet Stufe für Stufe, nach der Sensitivität der Daten, wie viel Kontrolle er braucht.
Der Clarifying Lawful Overseas Use of Data (CLOUD) Act wurde im März 2018 erlassen. Sein zweiter Teil fügte dem US Stored Communications Act (18 U.S.C. § 2713) diesen Satz hinzu:
"A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States."
Entscheidend sind die Worte "possession, custody, or control" (Besitz, Gewahrsam oder Kontrolle) und "regardless of whether … located within or outside of the United States" (unabhängig davon, ob sich die Daten innerhalb oder ausserhalb der USA befinden). Für einen Anbieter unter US-Jurisdiktion entscheidet der Standort des Rechenzentrums die Frage nicht. Eine Schweizer Region eines US-Hyperscalers verbessert die Datenresidenz, für sich allein aber nicht die Datensouveränität.
Das White Paper des US-Justizministeriums (DOJ) von 2019 ergänzt:
Genau diese Lücke schliesst Verschlüsselung. Ein US-Anbieter kann gezwungen werden, herauszugeben, was er besitzt oder kontrolliert. Hält er nur Chiffretext und hat keinen Zugriff auf den Schlüssel, kann er nur Chiffretext herausgeben. Ein Ersuchen um lesbare Daten muss dann an die Organisation gehen, die die Schlüssel hält, und zwar über die für sie geltenden Rechtswege, für ein Schweizer Unternehmen also über Schweizer Verfahren.
Die CLOUD-Act-Seite des DOJ führt Executive Agreements mit dem Vereinigten Königreich und Australien auf; ein Abkommen mit der Schweiz ist nicht aufgeführt.
Jede grosse Cloud verschlüsselt ruhende Daten standardmässig. Die Frage ist nicht, ob Daten verschlüsselt sind, sondern wessen Schlüssel verwendet werden und wer sie verwenden kann.
Hält der Anbieter den Schlüssel oder kann er ihn verwenden, schützt die Verschlüsselung vor gestohlenen Festplatten, nicht aber vor dem Anbieter oder einer an ihn gerichteten Anordnung. Vertragsklauseln beschreiben, wie sich der Anbieter verhalten will; seine technische Fähigkeit beseitigen sie nicht.
Halten Sie den Schlüssel ausserhalb der Kontrolle des Anbieters, ändern sich drei Dinge:
Planen Sie den Zielkonflikt ein: Eine strikte Schlüsseltrennung entfernt Funktionen, für die der Anbieter Klartext sehen muss. Laut Microsoft-Dokumentation können mit Double Key Encryption (DKE) geschützte Inhalte nicht von der Suche in SharePoint und OneDrive, von eDiscovery oder der gemeinsamen Dokumentbearbeitung verarbeitet werden und sind für Copilot nicht zugänglich; Microsoft positioniert DKE für den kleinen Anteil der sensibelsten Daten. Datensouveränität ist deshalb ein Klassifizierungsentscheid: die strikteste Schlüsseltrennung, wo nötig, leichtere Modelle anderswo.
Eine vertiefte Betrachtung des Musters bietet unser Leitfaden zu Hold Your Own Key (HYOK).
Die folgende Tabelle vergleicht die gängigen Modelle anhand der Frage, die für die Datensouveränität zählt: Wer kann zur Herausgabe lesbarer Daten gezwungen werden?
| Muster | Wo der Schlüssel liegt | Kann der Anbieter selbst entschlüsseln? | Wer kann zur Herausgabe lesbarer Daten gezwungen werden | Typische Beispiele | Zielkonflikt |
|---|---|---|---|---|---|
| Vom Anbieter verwaltete Schlüssel | KMS des Anbieters | Ja | Der Anbieter, ohne Sie einzubeziehen | Standardverschlüsselung ruhender Daten | Keine Souveränität; am einfachsten |
| BYOK (Bring Your Own Key) | Von Ihnen erzeugt, in das KMS des Anbieters importiert | Ja, solange der Schlüssel in seinem KMS liegt | Technisch der Anbieter | Importierte Schlüssel im Cloud-KMS | Kontrolle über den Lebenszyklus, aber der Anbieter hält den Schlüssel |
| HYOK / externe Schlüsselverwaltung | Ihr externer Schlüsselmanager; der Anbieter ruft ihn für jede Operation auf | Nein, nicht ohne Live-Aufruf Ihres Schlüsseldienstes | Hauptsächlich Sie; der Anbieter kann nur handeln, solange Sie Zugriff gewähren, und Sie sehen jede Anfrage | AWS KMS External Key Store (XKS) | Sie verantworten die Verfügbarkeit des Schlüsseldienstes; Dienste können Datenschlüssel kurzzeitig zwischenspeichern |
| Clientseitige Verschlüsselung | Ihre Umgebung; Daten werden vor dem Hochladen verschlüsselt | Nein | Nur Sie; der Anbieter speichert Chiffretext | Microsoft Purview DKE | Suche, gemeinsame Bearbeitung und KI-Funktionen funktionieren mit diesen Daten nicht mehr |
| MPC-geteilte Schlüssel | Schlüsselanteile auf getrennten Knoten; der vollständige Schlüssel existiert nie an einem Ort | Nein | Keine einzelne Partei allein, auch nicht der Betreiber des Schlüsseldienstes | MPC-Schlüsselverwaltung hinter HYOK oder clientseitiger Verschlüsselung | Erfordert ein Konzept für die Verwahrung der Schlüsselanteile |
MPC ist keine Alternative zu HYOK oder clientseitiger Verschlüsselung; es ist die Art, wie Sie den Schlüssel dahinter halten. Es beantwortet die nächste Frage des Prüfers, «wer kann gezwungen werden, Ihren Schlüssel herauszugeben?»: Mit Multi-Party Computation hält kein einzelner Host, Betreiber oder Administrator einen vollständigen Schlüssel.
Jeder Schritt liefert etwas, das Sie Ihrem Verwaltungsrat, Ihrem Datenschutzberater oder den Prüfern der FINMA vorlegen können.
DuoKey SA ist ein Schweizer Unternehmen mit Sitz in Lausanne. DuoKey KMS teilt Schlüssel mittels Multi-Party Computation (MPC), sodass kein Cloud-Anbieter, kein Betreiber und kein kompromittierter Host einen vollständigen Schlüssel hält. Zu den Integrationen gehören:
Für Ihre eigenen Anwendungen siehe den DuoKey KMS Client. DuoKey ist nach ISO/IEC 27001:2022 zertifiziert. Für das übergeordnete Programm siehe den Anwendungsfall Sovereign Cloud, oder kontaktieren Sie DuoKey zu den Bereitstellungsoptionen.
Q: Was bedeutet Datensouveränität in der Schweiz?
Sie bedeutet, dass die Daten einer Schweizer Organisation Schweizer Recht unterstehen und unter der Kontrolle dieser Organisation bleiben, sodass ausländische Anbieter oder Behörden nicht ohne den Weg über die Organisation darauf zugreifen können. Massgebend sind unter anderem das revidierte DSG, die Outsourcing-Anforderungen der FINMA und Berufsgeheimnisse wie Art. 47 des Bankengesetzes. Technisch hängt sie davon ab, wer die Schlüssel für die Verschlüsselung hält, und nicht nur davon, wo die Daten gespeichert sind.
Q: Gilt der US CLOUD Act für Daten, die in der Schweiz gespeichert sind?
Das ist möglich. Der CLOUD Act verpflichtet Anbieter unter US-Jurisdiktion zur Herausgabe von Daten in ihrem "possession, custody, or control, regardless of whether" sich diese innerhalb oder ausserhalb der USA befinden. Das Schweizer Rechenzentrum eines US-Anbieters ist nicht allein aufgrund seines Standorts unerreichbar. Der Act schafft keine neue Befugnis, eine Entschlüsselung zu erzwingen; Daten, die der Anbieter nicht entschlüsseln kann, kann er deshalb nur als Chiffretext herausgeben.
Q: Was ist Schlüsselsouveränität?
Schlüsselsouveränität bedeutet, dass Ihre Organisation die Schlüssel, die ihre Daten durch Verschlüsselung schützen, selbst erzeugt, hält und kontrolliert, ausserhalb der Kontrolle des Cloud- oder SaaS-Anbieters, der die Daten speichert. Ohne die Schlüssel kann der Anbieter die Daten speichern und verschieben, aber nicht lesen. Sie ist die technische Kontrolle, die Datensouveränität durchsetzbar macht.
Q: Genügt Datenresidenz für die Datensouveränität?
Nein. Residenz legt fest, wo Daten gespeichert sind, aber ein Anbieter unter ausländischem Recht kann zur Herausgabe von Daten verpflichtet werden, die er kontrolliert, wo immer sie liegen. Residenz hilft trotzdem, braucht aber Schlüsselsouveränität, damit die Daten für den Anbieter unlesbar bleiben.
Q: Verlangt das revDSG eine Verschlüsselung?
Nicht ausdrücklich. Art. 8 verlangt eine dem Risiko angemessene Datensicherheit durch geeignete technische und organisatorische Massnahmen, und Art. 7 verlangt Massnahmen, die dem Stand der Technik angemessen sind. Für besonders schützenswerte Daten in einer vom Ausland aus betriebenen Cloud ist Verschlüsselung mit Schlüsseln unter Ihrer Kontrolle die Massnahme, die diesen Massstab am ehesten erfüllt; klären Sie dies mit Ihrem Datenschutzberater.
Q: Löst das Swiss-U.S. Data Privacy Framework das CLOUD-Act-Problem?
Nein. Seit dem 15. September 2024 gelten Übermittlungen an zertifizierte US-Unternehmen im Rahmen des Frameworks nach Schweizer Datenschutzrecht als angemessen. Das ändert weder die US-Herausgabepflichten noch die Frage, wer Ihre Schlüssel hält.
Q: Was ist der Unterschied zwischen BYOK und HYOK?
Bei BYOK importieren Sie Ihren Schlüssel in den Schlüsselverwaltungsdienst des Anbieters, der ihn danach hält und verwendet. Bei HYOK bleibt der Schlüssel in Ihrem eigenen externen Schlüsselmanager, und der Anbieter muss ihn für jede Operation aufrufen, sodass Sie jede Anfrage sehen und ablehnen können.
Q: Was sagen die Outsourcing-Regeln der FINMA zur Cloud?
Das FINMA-Rundschreiben 2018/3 verlangt vereinbarte Sicherheitsanforderungen für ausgelagerte IT, Prüfrechte für das Institut, seine Prüfgesellschaft und die FINMA sowie bei Auslagerungen ins Ausland, dass die für Sanierung oder Abwicklung notwendigen Informationen in der Schweiz jederzeit zugänglich bleiben.
Schweizer Recht, FINMA-Aufsicht und die Cloud-Strategie des Bundes weisen in dieselbe Richtung: Nutzen Sie die Cloud, behalten Sie aber die Kontrolle über sensible Daten. Der Speicherort allein kann diese Kontrolle nicht bieten; die Schlüssel entscheiden, wer die Daten lesen kann.
Geschrieben von
DuoKey Team
Verwandte Ressourcen
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.
