Datenhaltung in der Schweiz: Rechenzentren, Regionen und Zertifikate

Daten brauchen einen physischen Ort

Was auf Smartphones und Laptops geschieht, wirkt immateriell. Tatsächlich beruht jede Nachricht und jedes Video auf physischen Prozessen: elektrische Spannungen, magnetische Zustände und Funkwellen. Diese Prozesse brauchen einen Ort. Handys und Laptops haben zu wenig Platz, Akku oder Rechenleistung und lagern sie deshalb aus.

Wer eine Webseite aufruft, ruft sie von einem Server ab; wer sucht, löst die Suche auf solchen Rechnern aus; wer in der Cloud speichert, lädt Daten auf einen Server in einem Rechenzentrum. Das Rechenzentrum Wankdorf der Swisscom in Bern ermöglicht die Sieben-Tage-Replay-Funktion von Swisscom TV und betreibt das E-Banking Dutzender Banken.

Seit KI-Tools wie ChatGPT verbreitet sind, ist die Nachfrage nach Rechenleistung weiter gestiegen: KI braucht ein Vielfaches, und Unternehmen nutzen sie für Datenanalysen, Trendprognosen, personalisierte Empfehlungen oder Werbung. Firmen können sich in Rechenzentren einmieten und einen Teil der Server nutzen; in der Schweiz tun das zunehmend Google, Amazon und Microsoft. Microsoft hat angekündigt, 400 Mio. US-Dollar in Schweizer Rechenzentren für Cloud und KI zu investieren.

Warum die Schweiz als Datenstandort gilt

Das Betriebskonzept des Technologiezentrums Laufenburg, das das erste KI-Rechenzentrum der Schweiz beinhalten soll, nennt drei Faktoren: Neutralität, politische Stabilität und das Datenschutzgesetz. In dieselbe Richtung weisen der Ruf der Schweiz für strengen Datenschutz, die politische Stabilität, die Verfügbarkeit grüner Energie, ein tiefes Erdbebenrisiko und Zürich als aufstrebender KI-Hub.

Mit über 13 Rechenzentren pro Million Einwohner zählt die Schweiz zu den Ländern mit der höchsten Dichte. Hierzulande gibt es rund 120 Rechenzentren, etwa 20 befinden sich derzeit im Bau. Die Dichte belegt die Attraktivität des Standorts, taugt aber nicht als Rangliste: Sie sagt nichts darüber aus, ob ein einzelner Anbieter die Anforderungen einer konkreten Datenhaltung erfüllt.

Rechenzentren in der Schweiz im Vergleich zu anderen Ländern

Vorteile und Risiken des Serverstandorts in der Schweiz

Top 3 Faktoren für den Standort eines Rechenzentrums in der Schweiz

Regionen: Stromnetz, Fläche und räumliche Grenzen

Die Stromnetze sind insbesondere in städtischen Gebieten gut ausgebaut. In abgelegenen Regionen kann es herausfordernder werden, weil die Netzinfrastruktur dort noch nicht im gleichen Mass entwickelt ist. Adrian Altenburger von der Hochschule Luzern hält fest: «Trotz der regionalen Dichte an energieintensiven Rechenzentren ist die Schweiz noch nicht an einem Punkt, an dem der Bau neuer Rechenzentren eingeschränkt werden müsste.» Eine Netzüberlastung droht derzeit nicht.

Ein Moratorium wie im Grossraum Dublin, wo für neue Rechenzentren bis 2028 eines verhängt wurde, kann Altenburger für die Zukunft nicht ausschliessen. Irland startet allerdings von einem anderen Niveau: Irlands Rechenzentren verbrauchten 2023 fast 21 Prozent des gesamten irischen Stroms. Solche Zahlen beschreiben ein mögliches Zukunftsszenario, nicht eine Prognose für die Schweiz.

Der Stromverbrauch wächst mit der Nachfrage

Laut einer Studie der Hochschule Luzern im Auftrag des Bundesamts für Energie verbrauchten Rechenzentren in der Schweiz im Jahr 2019 rund 2.1 Terawattstunden Strom, etwa 3.6 Prozent des Landesverbrauchs. Studienautor Adrian Altenburger schätzt gegenüber SRF, dass ihr Anteil heute bereits bei sechs bis acht Prozent liegt und bei künftig landesweit konstantem Stromverbrauch bis 2030 auf bis zu 15 Prozent anwachsen könnte. Das wäre mehr, als der gesamte Kanton Zürich im Jahr 2023 verbrauchte.

Damit steht der stark steigende Bedarf neben einem Netz, dessen Kapazität und die Einschätzung zum weiteren Ausbau im Abschnitt zu den Regionen beschrieben sind. Entscheidend ist nicht die landesweite Menge, sondern wo die Last anfällt und ob die Anbindung vor Ort ausreicht.

Stromverbrauch und Datenhaltung in der Schweiz

Was ein Rechenzentrum physisch und technisch schützt

Die Rechenzentren in der DACH-Region gehören laut Fabasoft zu den sichersten der Welt. Als Schutzmassnahmen nennt das Unternehmen Überwachungssysteme, Zugangskontrollen, Zwei-Faktor-Authentifizierung, Firewalls sowie modernste Brandschutztechnologien. Redundante technische Auslegung und geografisch verteilte Standorte sorgen für hohe Ausfallsicherheit und Verfügbarkeit einschliesslich schneller Wiederherstellung im Störungsfall.

Modernste Verschlüsselung schützt die Daten bei der Übertragung und bei der Speicherung. Strenge Zugriffskontrollen lassen nur autorisierte Personen zu und senken das Risiko von Datenverlust und unberechtigter Einsicht.

Wer ausserhalb des Unternehmens auf die Daten zugreifen kann

Im März 2018 haben die Vereinigten Staaten den US CLOUD (Clarifying Lawful Overseas Use of Data) Act verabschiedet. Er erlaubt US-Behörden, auf Daten amerikanischer Unternehmen zuzugreifen – unabhängig davon, wo diese effektiv gespeichert sind. In einer vernetzten Welt erleichtert das die globale Strafverfolgung, steht aber in starkem Widerspruch zu europäischen und schweizerischen Datenschutzregelungen.

Für die Anbieterwahl folgt daraus: Organisationen, die besonders schützenswerte Daten verarbeiten, etwa Personendaten oder vertrauliche Firmeninterna, haben dies laut Fabasoft bei der Auswahl von Softwareanbietern sorgfältig zu berücksichtigen. Ein Serverstandort in der Schweiz allein genügt nicht, wenn der Anbieter amerikanischem Recht untersteht. Vor der Vergabe ist deshalb zu klären, wer Eigentümerin der Infrastruktur ist, welche Gesellschaft den Vertrag abschliesst, über welche Rechtsordnung eine Muttergesellschaft greifbar ist und welche Zusagen der Anbieter zur Herausgabe von Daten macht.

Wichtige Kriterien für die Auswahl eines Cloud-Anbieters in der Schweiz

Zertifikate als Orientierungshilfe

Unternehmen und öffentliche Organisationen legen bei der Verwaltung ihrer vertraulichen Informationen und Dokumente grossen Wert auf Transparenz und Compliance; die in der Schweiz und der Europäischen Union geltenden Datenschutzstandards machen diese Region zu einem idealen Standort für die Speicherung und Verarbeitung sensibler Daten. Zertifizierungen sollen dieses Vertrauen nachprüfbar machen, statt es nur zu behaupten.

Ein etablierter Standard für Informationssicherheits-Managementsysteme ist ISO 27001. Die Zertifizierung belegt, dass ein Anbieter ein dokumentiertes Managementsystem für Sicherheit betreibt und dieses regelmässig überprüfen lässt; sie deckt aber nicht jeden Punkt ab, der für einen konkreten Auftrag zählt: an welchem Ort die Daten liegen, welche Subunternehmer beteiligt sind, welche Aufbewahrungs- und Löschfristen gelten und welche Zugriffsrechte einzelne Mitarbeitende haben. Diese Angaben gehören in den Vertrag und in die Datenschutzerklärung des Anbieters – ein Zertifikat ersetzt diese Prüfung der konkreten Datenhaltung nicht.

Datenhaltung im Auftragsverhältnis: ein praktisches Beispiel

Beim API-Reservationsdienst von funky-web-box verarbeitet der Anbieter Daten im Auftrag seiner Kunden, etwa von Restaurants. Rechtlich verantwortlich für die Daten ihrer Gäste bleiben die Kunden; der Anbieter handelt als Auftragsverarbeiter gemäss Art. 9 des Schweizer Datenschutzgesetzes (DSG). Die Verarbeitung erfolgt ausschliesslich zum Zweck der Vertragserfüllung zwischen dem Gast und dem Restaurant, als Rechtsgrundlage nennt der Anbieter Art. 6 DSG.

Bei einer Reservation fallen drei Datenarten an: Reservationsdaten mit Name und E-Mail-Adresse und/oder Telefonnummer des Gastes, Metadaten wie Zeitpunkt der Reservation und Personenanzahl sowie technische Logdaten. Logdaten werden nur im Fall eines technischen Fehlers temporär erfasst und können für die Dauer der Analyse die vollständige IP-Adresse, den genauen Zeitpunkt und technische Details des Fehlers enthalten; sie werden nach spätestens 7 Tagen automatisch gelöscht. Die Reservationsdaten werden automatisch nach 6 Monaten gelöscht, eine Frist, die der Nachvollziehbarkeit bei Support-Anfragen und der Systemsicherheit dient.

Die Reservationsdaten werden zur Abwicklung an den jeweiligen Restaurantbetreiber übermittelt. Für den technischen Betrieb nutzt der Anbieter den Hosting-Provider Hosttech; die Daten werden ausschliesslich in dessen Rechenzentren in der Schweiz verarbeitet. Eine Weitergabe an andere Dritte wie soziale Medien oder Werbenetzwerke findet nicht statt, und sämtliche Datenübertragungen, insbesondere API-Aufrufe, sind verschlüsselt. Wer ein solches Auftragsverhältnis prüft, kann an diesem Beispiel ablesen, welche Angaben ein Anbieter liefern muss: Rolle und Rechtsgrundlage, Datenkategorien, Aufbewahrungs- und Löschfristen, Subunternehmer und Serverstandort.

Verarbeitung von Reservationsdaten im Auftragsverhältnis