Server in der Schweiz – reicht das? Was ein Fall aus Amsterdam für Ihre Firmendaten bedeutet

Viele Schweizer KMU wählen ihren Cloud-Anbieter mit einer einfachen Regel: Hauptsache, die Server stehen in der Schweiz. Ein Fall aus Amsterdam zeigt, dass diese Regel zu kurz greift. Entscheidend ist nicht nur, wo ein Server steht. Entscheidend ist, wer ihn betreibt, welchem Recht diese Firma untersteht und wer die Schlüssel zu den Daten hält.

Was in Amsterdam passiert ist

Am 13. Oktober 2026 hat die Amsterdamer Polizei in einem Rechenzentrum im Science Park einen Server beschlagnahmt. Grundlage war ein Rechtshilfeersuchen der USA. Eine Kopie der Daten ging an die US-Behörden.

Der Server gehörte dem italienischen Anbieter Autistici/Inventati. Dieser bot während 25 Jahren rund 20'000 Organisationen kostenloses Hosting und E-Mail an. Die US-Regierung hatte den Anbieter Ende August auf eine Sanktionsliste gesetzt. Danach verlor er Bankkonto und Domain und löste sich auf.

Der niederländische Branchenverband Dutch Cloud Community kritisiert vor allem eines: Aus den öffentlichen Aussagen gehe nicht hervor, dass ein niederländisches Gericht oder die Staatsanwaltschaft das Ersuchen vorab geprüft habe. Der Verband hat der Polizei einen Brief mit fünf Fragen geschickt, unter anderem zur Rechtsgrundlage und dazu, welche Behörde das Ersuchen geprüft hat.

Wir bewerten den Fall selbst nicht. Für Unternehmen ist eine andere Erkenntnis wichtig: Der Server stand in einem europäischen Land – und trotzdem gingen die Daten an eine ausländische Behörde.

Der Standort allein entscheidet nicht

Wer an Ihre Daten kommt, hängt von drei Dingen ab – nicht nur vom Standort des Servers:

1. Wer betreibt Ihre Server, und welchem Recht untersteht diese Firma? Behördliche Anfragen landen oft nicht beim Rechenzentrum, sondern beim Anbieter, der den Server verwaltet. Darauf weist auch die Dutch Cloud Community hin.
2. Wer prüft eine Anfrage, bevor Daten herausgehen? Ein unabhängiges Gericht oder niemand?
3. Wer hält die Schlüssel zu Ihren verschlüsselten Daten? Sie selbst, Ihr Dienstleister – oder ein ausländischer Konzern?

Können Sie alle drei Fragen für Ihre heutige Lösung beantworten? Wenn nicht, lohnt sich ein genauer Blick.

Wie es in der Schweiz läuft

In der Schweiz gibt es zwei Wege, wie eine US-Behörde an Firmendaten kommen kann. Welcher gilt, hängt vom Anbieter ab – nicht vom Serverstandort.

Weg 1: Rechtshilfe über Bern. Will eine US-Behörde Daten von einem Schweizer Anbieter, muss sie ein Rechtshilfeersuchen stellen. Grundlage ist der Staatsvertrag zwischen der Schweiz und den USA über gegenseitige Rechtshilfe in Strafsachen. Zentralstelle ist das Bundesamt für Justiz. Laut dessen Bericht kann die Schweiz einem solchen Ersuchen in der Regel erst nach einem Gerichtsverfahren entsprechen. Betroffene können den Entscheid beim Bundesstrafgericht anfechten. Das Schweizer Rechtshilferecht kennt zudem Ablehnungsgründe, etwa bei politischen Delikten.

Weg 2: Direkt beim Anbieter – der CLOUD Act. Seit 2018 können US-Strafverfolgungsbehörden Anbieter mit Sitz in den USA zur Herausgabe von Daten verpflichten. Das gilt auch, wenn die Daten im Ausland gespeichert sind, etwa über Tochtergesellschaften. Betroffen sein können laut Bundesamt für Justiz auch ausländische Anbieter mit einer Tochterfirma oder Niederlassung in den USA. Gegen eine solche Anordnung wehren kann sich nur der Anbieter selbst – weder Sie als Kunde noch die Schweiz.

Auch die Zürcher Datenschutzbeauftragte hält fest: Meint «Souveränität» nur den Speicherort, spielt dieser für den CLOUD Act keine Rolle.

Ehrlich gesagt: Auch ein Schweizer Anbieter muss Daten herausgeben, wenn ein Schweizer Gericht es anordnet. Der Unterschied liegt im Verfahren: Prüfung durch Schweizer Behörden, Schweizer Recht und ein Rechtsweg, den Sie kennen.

Die wichtigste Frage: Wer hält den Schlüssel?

Verschlüsselte Daten ohne Schlüssel sind wertlos – für Angreifer wie für Behörden. Wer den Schlüssel hält, entscheidet deshalb, wer am Ende tatsächlich lesen kann.

Im Amsterdamer Fall sagte ein Beteiligter, auf dem verschlüsselten Server sei nichts, was den Nutzern schaden könne. Auch die Zürcher Datenschutzbeauftragte empfiehlt für besonders schützenswerte Daten Verfahren, bei denen der Schlüssel nicht allein beim Cloud-Anbieter liegt.

Drei Konstellationen sind üblich:

• Sie halten den Schlüssel selbst: Niemand ausser Ihnen kann die Daten lesen. Sie tragen aber die Verantwortung – Schlüssel verloren heisst Daten verloren.
• Ihr Schweizer IT-Dienstleister hält den Schlüssel: Zugriff nur über Schweizer Recht und Schweizer Verfahren. Der Dienstleister hilft im Notfall bei der Wiederherstellung.
• Ein ausländischer Konzern hält den Schlüssel: Zugriff kann über ausländisches Recht erzwungen werden, ohne dass Sie sich wehren können.

Fragen Sie Ihren Anbieter konkret: Wer hat die Schlüssel zu meinen gespeicherten Daten – und steht das im Vertrag?

Warum padcom

Wir können die drei Fragen für unsere Cloud-Server- und Backup-Lösungen klar beantworten:

1. Wer betreibt die Server? Schweizer Firmen: die padcom ag mit Standorten in Wil SG und Holzhäusern ZG sowie unser Schweizer Partnerunternehmen. Die Server stehen in Rechenzentren in der Schweiz. Deren Betreiber stellen Fläche, Strom, Kühlung und Zutrittsschutz bereit – auf Ihre Daten und Schlüssel haben sie keinen Zugriff.
2. Wer prüft eine Anfrage? Für uns gilt Schweizer Recht. Eine Herausgabe von Kundendaten ist nur über ein Schweizer Verfahren möglich.
3. Wer hält die Schlüssel? Entweder Sie selbst – oder wir, Ihr Schweizer Dienstleister. Nie ein ausländischer Konzern.

Dazu kommt, was Sie von uns ohnehin bekommen: einen persönlichen Ansprechpartner in Ihrer Region, eine proaktive Überwachung Ihrer Systeme und planbare monatliche Kosten statt grosser Investitionen.

Und Microsoft 365? Hier liegen die Schlüssel bei Microsoft, einem US-Konzern. Das ist für viele Daten vertretbar, für besonders heikle aber nicht. Wir zeigen Ihnen, welche Daten wohin gehören.

Ihre Checkliste

Prüfen Sie bei Ihrem heutigen Anbieter:

• Ich weiss, in welchem Land die Firma sitzt, die meine Server betreibt.
• Ich weiss, ob diese Firma eine Mutter- oder Tochtergesellschaft in den USA hat.
• Ich weiss, wer die Schlüssel zu meinen gespeicherten Daten hält.
• Das steht schriftlich im Vertrag.

Ein Punkt ist offen? Dann lohnt sich ein Gespräch. Wir prüfen Ihre heutige Lösung gemeinsam mit Ihnen – kostenlos und unverbindlich.

Kostenloses Erstgespräch: Schreiben Sie uns an info@padcom.ch oder buchen Sie direkt einen Termin.

Quellen

Dutch IT Channel, 15. und 16.10.2026 · NL Times, 14.10.2026 · Bundesamt für Justiz, Bericht zum US CLOUD Act, 17.09.2021 · Bundesstrafgericht, Entscheid RR.2020.68 · Netzwoche, «Wie US-Clouds die digitale Souveränität der Schweiz unter Druck setzen», 05.01.2026

Stand: 21. Oktober 2026. Dieser Beitrag ersetzt keine Rechtsberatung. Bild: panumas nikhomkhai / Pexels.