Wegen Trump und Musk weg von Microsoft? Das sagt die Regierung

Die meisten Daten lagern mittlerweile in der Cloud. Nicht nur der Bund, sondern auch die Kantone und Gemeinden nutzen hierfür häufig Microsoft 365. Mit Blick in die USA werden jedoch vermehrt Bedenken zur Abhängigkeit von ausländischen Tech-Unternehmen wie Microsoft, Apple oder Adobe geäussert.

Dies auch, weil Donald Trump den US-Behörden 2018 mit seinem «Cloud Act» den Zugang zu allen bei US-Techkonzernen gespeicherten Daten ermöglicht hat. Diese können die Daten einfach anfordern. Die Forderung nach unabhängigen Lösungen ist längst auch im Kanton St.Gallen angekommen.

Dass eigenständige Lösungen möglich sind, zeigt sich zurzeit auf nationaler Ebene. Der Bund hat im April bekannt gegeben, dass er seine Abhängigkeit von Microsoft schrittweise und langfristig reduzieren möchte, wie die «NZZ am Sonntag» berichtete.

Dies, obwohl er in den vergangenen Jahren hunderte Millionen Franken für Microsoft-Lizenzen gezahlt hat. Eine Machbarkeitsstudie hatte gezeigt, dass ein Umstieg auf unabhängige Open-Source-Software möglich ist.

Links-grün will solide Basis schaffen

Diesen Weg will auch die SP-Grüne-GLP-Fraktion im St.Galler Kantonsrat gehen. In einem Postulat will die Regierung dazu auffordern, in einem Bericht aufzuzeigen, wie Kanton, Gemeinden und Institutionen ihre digitale Souveränität stärken können. Der Vorstoss wird kommende Woche in der Sommersession beraten.

Der Kanton St.Gallen hat den Gang in die Cloud erst vor wenigen Jahren vollzogen. Anfangs seien hochsensible Daten davon ausgenommen gewesen, später jedoch nicht mehr, wie es im Vorstoss heisst. Mit Microsoft 365 gingen nicht nur cloudbasierte Speicher-, sondern auch Softwarelösungen einher. Eine umfassende Verschlüsselung der Daten sei daher nicht möglich.

Mit anderen Worten: Die Daten des Kantons und seiner Bürgerinnen und Bürger liegen dem Tech-Unternehmen mitunter im Klartext vor.

Doch nicht nur Microsoft sei das Problem. Die Behörden seien in vielen Bereichen von ausländischen Unternehmen abhängig. Eine Stärkung der Unabhängigkeit sei aus sicherheitspolitischen Überlegungen «zweifellos ein erstrebenswertes Ziel.» Die Regierung habe die Förderung der digitalen Souveränität auch in ihre Schwerpunktplanung aufgenommen. «Was damit gemeint ist, ist heute noch nicht klar», schrieb die Fraktion.

Reaktion der Regierung löst Unverständnis aus

Die St.Galler Regierung beantragt dem Kantonsrat, das Postulat abzulehnen. Sie anerkenne die wachsende Bedeutung des Themas angesichts geopolitischer Entwicklungen und der zunehmenden Abhängigkeit von digitalen Infrastrukturen zwar. Digitale Souveränität bedeute jedoch nicht vollständige technologische Unabhängigkeit, sondern die Fähigkeit, digitale Mittel sicher und selbstbestimmt einzusetzen.

Die Regierung befürchtet erhebliche Nachteile bei Innovation, Wirtschaftlichkeit und beim Zugang zu neuen Technologien. Die kantonale Exekutive verweist zudem auf die enge Zusammenarbeit von Bund, Kantonen und der Digitalen Verwaltung Schweiz (DVS). Viele Aspekte liessen sich nicht auf kantonaler Ebene lösen.

Der Kanton St.Gallen beteilige sich deshalb an einer Nachfolgestudie der DVS, um neue Entscheidungsgrundlagen zu erarbeiten. Eine eigene kantonale Strategie würde nach Ansicht der Regierung zusätzliche personelle und finanzielle Ressourcen binden, ohne einen Mehrwert zu schaffen.

Diese Reaktion löst in der SP-Grüne-GLP Unverständnis aus. Vize-Fraktionspräsidentin Monika Simmler (SP) sagt: «In der Theorie hat die Regierung gesagt, das Thema sei ihr wichtig.» Jetzt wo es darum gehe, Massnahmen zu ergreifen und eine Auslegeordnung zu machen, sträube sie sich und verweise auf die Bundesebene. Das sei ein Widerspruch zur Schwerpunktplanung.

«Der Kanton trägt die Verantwortung für die Daten seiner Bürgerinnen und Bürger», sagt SP-Kantonsrätin Monika Simmler.

Benjamin Manser

«Der Kanton tätigt IT-Beschaffungen von vielen Millionen Franken und trägt die Verantwortung für die Daten seiner Bürgerinnen und Bürger», sagt Simmler. Man dürfe als Kanton zwar nicht isoliert vorgehen, «doch sogar die St.Galler Datenschutzbeauftragte sagt, dass die heutige Lösung nicht rechtskonform ist».

Mit dem Postulat wolle man eine Basis für die politische Arbeit zu diesem komplizierten Thema schaffen und nicht nur die Risiken, sondern auch die Chancen betrachten, sagt Simmler. Ziel des Kantons sei es ja, Teil einer wichtigen Achse für IT-Start-ups zwischen München und Zürich zu werden. Sie sagt:

In diesem Sinne ist es auch eine Investitionsstrategie. Darauf ist die Regierung nicht eingegangen.

Das Thema sei nicht nur bezüglich der jüngsten Vorfälle wichtig, in denen Trump die Abhängigkeit nutzte, um kritische Richterinnen und Richter des internationalen Strafgerichthofs zu sanktionieren. Es gehe auch darum, ob man beispielsweise KI-Unternehmen in der Schweiz fördern wolle. Deshalb fordere man keinen schnellen Ausstieg, sondern eine Auslegeordnung. «Es ist schon enttäuschend, dass die Regierung das Postulat ablehnt», sagt Simmler. Zumal es auch finanzpolitisch hohe Relevanz aufweise.

Expertin befürwortet eigene Lösungen

Esther Omlin befasst sich seit längerem mit Cybersicherheit. Sie ist Dozentin für Sicherheits- und Wirtschaftsrecht am Institut für Finance und Law an der Ostschweizer Fachhochschule (Ost). Früher habe man noch besonders mit Blick nach China oder Russland sicherheitsrelevante Übergriffe befürchtet. «Jetzt sieht man, dass auch die USA eine eigene Agenda haben und andere Staaten angreifen», sagt Omlin.

Die Expertin steht dem Begriff der Digitalen Souveränität kritisch gegenüber. Sie sagt: «Im Grunde geht es um Völkerrecht im Cyberraum.» Die Daten seien das völkerrechtliche Territorium. Zentral sei die Kontrollfähigkeit über diese Daten und nicht die absolute Souveränität. Die Schweiz sei bezüglich der Cyberspionage-Abwehr schon immer vorbildlich unterwegs gewesen und es gebe auch in Kantonen und Gemeinden klare Richtlinien, was in der Cloud gelagert werden würfe. Deshalb müsse nicht dringend gehandelt werden.

Esther Omlin ist Dozentin für Wirtschaftsrecht am Institut für Finance und Law an der Ost.

Fachhochschule Ost

Dennoch müssten auch die Kantone ihre Systeme genaustens auf Lücken prüfen, so Omlin, die weiter festhält:

Das Problem ist nicht nur die Abhängigkeit von anderen Staaten, sondern dass wir immer mehr von privaten Playern aus dem Ausland abhängig sind.

Würden beispielsweise Schweizer Daten auf einer Cloud mit Servern in einem anderen Land angegriffen, so müsse sich dieses für die Schweiz wehren. Selbiges gelte bei Webseiten, die über private Unternehmen laufen.

Gleichzeitig betont Omlin, dass es durchaus bereits souveräne Lösungen gebe. So müssten gemäss dem Schweizerischen Informationssicherheitsgesetz schon heute Bundesbehörden, Spitäler, aber auch Kantone geeignete Massnahmen treffen und beispielsweise Datensicherheitsbeauftragte einsetzen. Zudem arbeite man beispielsweise auch mit externen Clouds für besonders heikle Daten. Auch das sei auf Kantonsebene empfehlenswert, genauso wie eine eigene Open-Source-Software und ein vertieftes Risikomanagement. Deshalb begrüsse sie, dass sich auch der Kanton St.Gallen vertieft mit diesem Thema auseinandersetze.