Digitale Souveränität: Alternativen zu Microsoft 365 und Google Workspace für Schweizer KMU

Jonas, weshalb sollten sich Schweizer KMU vermehrt Gedanken darüber machen, wo ihre Geschäftsdaten gespeichert sind?

Dafür gibt es viele gute Gründe: Vendor-Lock-in, mögliche Konflikte mit dem Schweizer Datenschutzrecht, Datentransfers ins Ausland oder der zurzeit fast schon inflationär verwendete Begriff der digitalen Souveränität. Dahinter steht letztlich die Frage, wie sich Klumpenrisiken und strategische Abhängigkeiten reduzieren lassen. Ganz konkret geht es beispielsweise um Preiserhöhungen, Vertragsänderungen oder die plötzliche Sperrung von Konten und Diensten.

Privatpersonen und Unternehmen, die Microsoft 365 oder Google Workspace nutzen, überlassen den US-Konzernen einen beträchtlichen Teil ihrer digitalen Daten. E-Mails, Termine, Kontakte und Dokumente liegen auf deren Servern. Über Teams und Meet laufen vertrauliche Gespräche, während OneDrive, SharePoint und Google Drive mitunter ganze Unternehmensarchive speichern.

Die Trump-Regierung und ihr Umgang mit dem Rechtsstaat zeigen heute deutlich, dass wir uns zu lange darauf verlassen haben, dass wir gedankenlos US-Cloud-Dienste einkaufen können, um unsere Unternehmensdaten dort zu speichern.

Es ist fast schon paradox. Unternehmen speichern viele Informationen und regeln akribisch den internen Zugriff, damit unbefugte Mitarbeitende keine vertraulichen Daten einsehen können. Gegen aussen schützen sie sich mit Cyber-Security-Massnahmen vor unbefugtem Zugriff.

Der Elefant im Raum wird dabei jedoch häufig nicht adressiert: Auf Daten, die bei amerikanischen Unternehmen gespeichert sind, insbesondere bei den grossen Hyperscalern Amazon, Microsoft und Google, können US-Behörden Zugriff erhalten.

Und wenn die Hyperscaler Rechenzentren in der Schweiz betreiben und die Daten dort speichern, unterliegen sie dann nicht dem Schweizer Recht?

Der Datenstandort ist im Hinblick auf den Zugriff durch US-Behörden leider nicht massgebend. Denn die US-Regierung darf von Gesetzes wegen auf alle bei US-Techkonzernen gespeicherten Daten zugreifen, unabhängig davon, wo diese physisch gespeichert sind. Dafür sorgte Donald Trump 2018 mit dem sogenannten «CLOUD Act». Selbst ein Rechenzentrum in Zürich oder Genf schützt also nicht automatisch vor einem US-Zugriff, solange der Anbieter US-amerikanisch oder eine Tochtergesellschaft eines US-Unternehmens ist. Für KMU mit sensiblen Kunden-, Vertrags- oder Finanzdaten ist das ein reales Compliance-Risiko.

Der CLOUD Act steht dabei im Widerspruch zum Recht anderer Länder, unter anderem zu den europäischen Datenschutzbestimmungen der DSGVO und dem Schweizer Bundesgesetz über den Datenschutz (DSG).

Stossend ist für mich persönlich, dass US-Unternehmen gleichzeitig aktives Lobbying betreiben, wenn sich Behörden Gedanken darüber machen, unabhängiger von amerikanischer Software zu werden. Die Republik hat dies kürzlich in einem lesenswerten Artikel aufgearbeitet .

Inwiefern begebe ich mich als KMU in eine Abhängigkeit, wenn ich eine Office-Lösung von Google oder Microsoft verwende?

Es gibt aus meiner Sicht drei verschiedene Arten von Abhängigkeit, die man beachten sollte: die technische, die strategische und die wirtschaftliche.

Auf der technischen Ebene sollte man bedenken: Wer seine E-Mails, Dateien und Arbeitsabläufe vollständig einem Cloudanbieter anvertraut, bindet sich an ihn. Daten lassen sich zwar meist exportieren. Ob sich aber über Jahre gewachsene Postfächer, Kalender, gemeinsam bearbeitete Dokumente, Zugriffsrechte und Arbeitsabläufe ohne Verluste zu einem anderen Dienst übertragen lassen, steht auf einem anderen Blatt. Je mehr Funktionen aus einer Hand kommen, desto grösser wird der Aufwand bei einem späteren Wechsel. Man spricht vom sogenannten «Vendor-Lock-in».

Hinzu kommt eine strategische Abhängigkeit, die durch die geopolitischen Spannungen der vergangenen Jahre stärker ins Bewusstsein gerückt ist. Eine starke Abhängigkeit von wenigen US-Konzernen schafft ein strategisches Klumpenrisiko. Preiserhöhungen, Vertragsänderungen oder plötzliche Sperrungen von Konten und Diensten liegen ausserhalb der Kontrolle eines KMU.

Was passiert beispielsweise, wenn US-Präsident Donald Trump per Dekret beschliesst, dass Microsoft seine Dienste nicht mehr in Europa anbieten darf, er also den «Kill Switch» umlegt? Privatpersonen, Unternehmen und öffentliche Einrichtungen müssen darauf vertrauen, dass ein ausländischer Anbieter seine Dienste dauerhaft und zu akzeptablen Bedingungen zur Verfügung stellt. Besonders problematisch wird das bei der digitalen Infrastruktur, über die eine Behörde, ein Spital oder ein Unternehmen täglich kommuniziert und arbeitet.

Ein Beispiel für die wirtschaftliche Ebene: Manchmal ist für die Wahl des Cloud-Providers auch ausschlaggebend, wer die eigenen Kunden sind. Wir hatten schon Anrufe von Inhabern, die von ihren Kunden aufgefordert wurden, eine souveräne Cloud-Speicherlösung in der Schweiz zu finden. Andernfalls hätten sie diese Kunden möglicherweise verloren. Das betrifft beispielsweise Unternehmen, die als Zulieferer im Militärwesen oder Maschinenbau tätig sind oder für Universitäten und öffentliche Institutionen arbeiten.

Was für Alternativen gibt es denn zu den Office-Lösungen von Microsoft und Google?

US-Konzerne haben einen hohen Marktanteil im Office- und Workspace-Bereich. Doch gerade in diesem Bereich gibt es durchaus gute Alternativen aus Europa.

Eine zentrale Rolle spielt derzeit Nextcloud. Das Open-Source-Projekt begann als Alternative zu Cloudspeichern wie Dropbox und OneDrive, hat sich aber längst zu einer umfangreichen Kollaborationsplattform entwickelt. Den Kern bilden weiterhin Dateispeicherung, Synchronisation und Freigaben. Hinzu kommen Groupware (Kalender, Kontakte, Aufgaben), Mail, Talk und zahlreiche weitere Funktionen.

In der Schweiz gibt es zudem Anbieter mit schlüsselfertigen, eigenständig entwickelten Lösungen. Infomaniak mit der kSuite  oder Proton mit ihrem verschlüsselten Workspace . 

Last but not least: openDesk ist eine spannende Lösung, die vom Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) in Deutschland entwickelt wird und in den letzten Monaten sehr viel Aufwind erfahren durfte. Dabei werden verschiedene bewährte Open-Source-Projekte wie Nextcloud (Dateimanagement), Open-Xchange (E-Mail, Kalender, Kontakte) und  Jitsi Meet (Videokonferenzen) gebündelt und unter einem gemeinsamen Produkt angeboten.

Die eigentliche Entwicklungsarbeit von openDesk besteht zu einem guten Teil darin, all diese Programme miteinander zu verzahnen. Ein gemeinsames Portal dient als Einstiegspunkt, Single Sign-on verbindet die Anwendungen und eine zentrale Benutzer- und Rechteverwaltung hält die Konten zusammen. Auch die Übergänge zwischen den Programmen sollen möglichst wenig auffallen: Dateien aus Nextcloud lassen sich etwa direkt mit Collabora bearbeiten, Termine und Kontakte stehen den Kommunikationsdiensten zur Verfügung.

Das Netzwerk SDS (Souveräne Digitale Schweiz) plant, ein offizielles openDesk-Angebot für die Schweiz aufzubauen.

Die Schweizer Bundeskanzlei scheint das Problem erkannt zu haben. Sie hat openDesk evaluiert und plant  3’000 Mitarbeitende auf die Lösung zu migrieren .