US Cloud Act und Schweizer Unternehmen: Was der Microsoft-Ausstieg der Armee zeigt

Das Kommando Cyber der Schweizer Armee ersetzt Microsoft 365 bis Oktober 2026 durch die Open-Source-Lösung Opendesk. Das berichtet das Online-Magazin Republik, die Bundeskanzlei hat den Vorgang bestätigt. Der Grund ist der US Cloud Act: Dieses US-Gesetz verpflichtet amerikanische Unternehmen, Daten auf Anfrage von US-Behörden herauszugeben – selbst wenn die Server ausserhalb der USA stehen. Für eine Armee, die mit klassifizierten Dokumenten arbeitet, war das offenbar Grund genug für den Wechsel.

Bemerkenswert ist, wie differenziert die Verantwortlichen argumentieren. Simon Müller, Chef des Kommandos Cyber, nennt Microsoft 365 wörtlich «eine sehr gute Lösung» – nur eben nicht geeignet für die besonderen Anforderungen einer Armee. Das ist kein Verdikt gegen Microsoft, sondern eine Einschätzung zur eigenen Risikolage.

Aufschlussreich ist auch das Gegenbeispiel: Die Stadt Zürich hat Opendesk geprüft und sich gegen einen Wechsel entschieden, weil zu viel fehlt – etwa gewohnte Desktop-Anwendungen und die Telefonie-Integration. Ein vollständiger Ausstieg aus grossen Cloud-Ökosystemen ist für die meisten Organisationen schlicht nicht praktikabel.

Warum das Thema trotzdem KMU betrifft

Der Cloud Act ist kein theoretisches Konstrukt. In der Berichterstattung rund um US-Sanktionen wurde bekannt, dass Nutzerkonten beim Internationalen Strafgerichtshof deaktiviert wurden. Das zeigt: Der Zugriff auf ein Cloud-Konto kann von aussen entzogen werden, unabhängig davon, wie sorgfältig ein Unternehmen selbst arbeitet. Das ist kein Hacking-Szenario, sondern eine Frage der Rechtsordnung, der ein Anbieter unterliegt.

Für ein Schweizer KMU heisst das nicht, dass Microsoft 365 ungeeignet wäre. Für die allermeisten Betriebe bleibt es die richtige Wahl – produktiv, vertraut, gut integriert. Die eigentliche Lehre aus dem Armee-Fall ist eine andere: Es lohnt sich, drei Fragen zu stellen, statt sie sich nie gestellt zu haben. Wo liegen meine Daten physisch? Welchem Recht unterstehen sie? Und wer könnte theoretisch darauf zugreifen, wenn er es wollte oder müsste?

Das eigentliche Risiko liegt woanders

Die grössere Gefahr für KMU ist selten der Cloud Act selbst. Sie liegt darin, dass viele Unternehmen ihre gesamten Geschäftsdaten ausschliesslich in einer US-Cloud ablegen – ohne unabhängiges Backup ausserhalb dieser Umgebung. Wird ein Konto gesperrt, ändert ein Anbieter seine Strategie, oder fällt ein Dienst technisch aus, ist der Zugriff weg. Die meisten Cloud-Anbieter garantieren in ihren Nutzungsbedingungen ausdrücklich keine Wiederherstellung gelöschter oder gesperrter Daten. Das ist keine Vermutung, sondern in vielen Vertragswerken so festgehalten.

Die Konsequenz ist nicht, aus der Cloud auszusteigen. Sie ist, Datenhoheit als bewusste Entscheidung zu treffen statt als Zufallsprodukt hinzunehmen.

Was das für Ihre Datenablage bedeutet

Nicht jede Datei braucht dieselbe Behandlung. Für die meisten Arbeitsdokumente, E-Mails und alltäglichen Abläufe ist eine etablierte Cloud-Lösung wie Microsoft 365 sinnvoll und ausreichend. Anders sieht es bei Daten mit besonderem Schutzbedarf aus:

• Personaldaten wie Löhne, Verträge und Gesundheitsangaben
• Finanzdaten und Buchhaltungsunterlagen
• Kundendaten, die vertraglich oder aus Vertrauensgründen besonderen Schutz verdienen

Solche Daten gehören überlegt platziert: auf Infrastruktur, die physisch in der Schweiz steht und Schweizer Recht unterliegt. Und unabhängig davon, wo die tägliche Arbeit stattfindet, braucht jedes Unternehmen mit Microsoft 365 ein Backup ausserhalb der Microsoft-Umgebung. Nicht als Misstrauen gegenüber dem Anbieter, sondern als Absicherung gegen Szenarien, die ausserhalb der eigenen Kontrolle liegen.

Was padcom dabei leistet

Wir betreiben Cloud Server und Backup-Lösungen in drei Schweizer Rechenzentren – bei NTT, Digital Realty und Green. Für Unternehmen, die wissen wollen, welche Daten wo am besten aufgehoben sind, beraten wir konkret: welche Systeme sinnvoll in bestehenden Cloud-Diensten bleiben, welche Daten auf Schweizer Infrastruktur gehören, und wie ein unabhängiges Backup so aufgebaut wird, dass es im Ernstfall tatsächlich greift. Wir sagen Ihnen nicht, dass Sie aus Microsoft 365 aussteigen sollen – das wäre für die wenigsten KMU die richtige Antwort. Wir helfen Ihnen, die Fragen zu beantworten, die der Fall der Armee aufgeworfen hat.

Wenn Sie sich unsicher sind, wo Ihre geschäftskritischen Daten aktuell liegen und wie gut sie abgesichert sind, sprechen Sie mit uns. Vereinbaren Sie ein kostenloses und unverbindliches Erstgespräch mit padcom.