US CLOUD Act: Was er für Schweizer Unternehmen wirklich bedeutet

Die Kernaussage zuerst: Der US CLOUD Act verpflichtet amerikanische Cloud-Anbieter, US-Behörden auf Anordnung Daten herauszugeben – unabhängig davon, wo die Server stehen. Ein Microsoft-, Google- oder Amazon-Rechenzentrum in Zürich oder Genf schützt davor nicht, denn massgeblich ist die Kontrolle des US-Unternehmens über die Daten, nicht der Standort der Festplatte.

Was ist der CLOUD Act genau?

Der «Clarifying Lawful Overseas Use of Data Act» wurde im März 2018 vom US-Kongress verabschiedet. Er stellt klar, dass US-Strafverfolgungsbehörden von Anbietern elektronischer Kommunikations- und Cloud-Dienste die Herausgabe von Daten verlangen können, die sich «im Besitz, Gewahrsam oder unter der Kontrolle» des Anbieters befinden – ausdrücklich auch dann, wenn diese Daten ausserhalb der USA gespeichert sind.

Für die Praxis heisst das:

• Betroffen sind alle US-Anbieter – Microsoft 365, Google Workspace, Dropbox, AWS, Salesforce – sowie deren ausländische Tochtergesellschaften.
• Der Serverstandort «Schweiz» eines US-Hyperscalers ist kein rechtlicher Schutz, sondern primär ein Latenz- und Marketing-Argument.
• Die betroffene Firma erfährt unter Umständen nichts davon, weil Herausgabe-Anordnungen mit einer Geheimhaltungspflicht verbunden sein können.

Verstösst die Nutzung von US-Clouds gegen das nDSG?

Nicht pauschal – aber sie schafft Rechtsunsicherheit, die man sich sparen kann. Das revidierte Schweizer Datenschutzgesetz (in Kraft seit 1. September 2023) verlangt für Datenexporte ins Ausland eine gesetzliche Grundlage. Für zertifizierte US-Unternehmen anerkennt der Bundesrat seit dem 15. September 2024 das Swiss–U.S. Data Privacy Framework als angemessenes Schutzniveau. Nur: Diese Anerkennung ist politisch fragil – das Vorgängerabkommen Privacy Shield wurde vom Europäischen Gerichtshof im Juli 2020 («Schrems II») für ungültig erklärt, und gegen das aktuelle Framework laufen erneut Beschwerden.

Wer Berufsgeheimnisse trägt – Anwältinnen, Ärzte, Treuhänder –, hat ein zusätzliches Problem: Das Berufsgeheimnis (Art. 321 StGB) kennt keine Ausnahme «der Cloud-Anbieter wurde behördlich gezwungen».

Welche Alternativen haben Schweizer Unternehmen?

Die robusteste Antwort ist, den US-Anbieter aus der Gleichung zu nehmen. Open-Source-Software macht das möglich, ohne auf Komfort zu verzichten:

US-Dienst	Open-Source-Alternative	Datenstandort
Dropbox / OneDrive	Nextcloud	Schweiz
Microsoft Office Online	Collabora Online	Schweiz
1Password / LastPass	Vaultwarden	Schweiz
DocuSign	Documenso	Schweiz
Google Analytics	Matomo	Schweiz

In Worten: Für Dateiablage, Office, Passwörter, Signaturen und Web-Analytics existieren ausgereifte Open-Source-Alternativen, die sich vollständig in der Schweiz betreiben lassen – bei einem Anbieter, der weder dem CLOUD Act noch einer ausländischen Konzernmutter untersteht.

Reicht ein Schweizer Rechenzentrum eines US-Anbieters nicht aus?

Nein. Diese Frage hören wir oft, deshalb noch einmal deutlich: Der CLOUD Act knüpft an die Kontrolle über die Daten an, nicht an den Standort. Solange ein US-Unternehmen (oder dessen Tochter) den Dienst betreibt, bleibt der behördliche Zugriffsweg bestehen. Echte digitale Souveränität entsteht erst, wenn Betreiber und Infrastruktur schweizerisch sind – so, wie wir es bei OpenHosting mit Managed Open-Source-Hosting umsetzen: Schweizer Firma, Schweizer Rechenzentren, offener Quellcode und keine Abhängigkeit von US-Konzernen.

Was sollten Sie jetzt konkret tun?

1. Inventar machen: Welche Personendaten und Geschäftsgeheimnisse liegen heute bei US-Diensten?
2. Kritische Daten priorisieren: Kundendossiers, Personaldaten, Patienten- und Mandatsakten zuerst.
3. Alternativen testen: Die meisten Open-Source-Werkzeuge lassen sich in wenigen Tagen produktiv einführen – unser Apps-Katalog zeigt über 1000 Optionen.
4. Migration planen: Schrittweise wechseln, nicht alles auf einmal – wie das bei der Dateiablage aussieht, beschreibt unser Nextcloud-Migrationsbeitrag.