Die Bundesverwaltung zieht um. Nicht in eine andere Stadt, sondern in die Cloud. Kolumnist Reto Vogt bezweifelt, dass das die richtige Entscheidung ist. Bei einem vergleichbaren Projekt der Armee ist das schon mal schiefgelaufen.
Aktuell arbeiten rund 4000 Bundesangestellte mit Microsoft 365, bis Ende 2025 sollen es 40’000 sein. Was bislang ein Test war, wird nun ernst: «Da der Pilotbetrieb stabil läuft, startet nun die reguläre Einführung», teilte die zuständige Bundeskanzlei kürzlich mit. Mehr als dass der Pilotbetrieb «stabil läuft» und warum dieser erfolgreich war, ist in der Mitteilung nicht zu erfahren.
Dafür heisst es, dass die Office-Version zwar cloudbasiert ist, aber «E-Mails und sensible Daten werden aber nicht in der Cloud, sondern on-premises beim Bund gespeichert», so die Ankündigung weiter. Man ist sich in der Verwaltung der Sensibilität des Entscheids offenbar bewusst, bleibt in der Kommunikation aber dennoch vage: Was sind «sensible Daten» und wie viel Prozent des gesamten Datensatzes machen sie aus?
Mehr als die Hälfte der Daten in der Public Cloud
Bei einem vergleichbaren Projekt in der Bundesverwaltung, Swiss Government Cloud, sollen bei Projektabschluss im Jahr 2032 knapp 70% der Daten in der Public Cloud landen; nur gerade 22% gelten als besonders schützenswert. Das Verhältnis dürfte sich bei M365 in einem ähnlichen Rahmen bewegen, geht es doch unter dem Strich um vergleichbare Datensätze. Aber während der Aufbau der Swiss Government Cloud noch andauert (das Projekt ist noch nicht mal ausgeschrieben), drückt der Bund bei der Office-Migration – Projektname Ceba – auf die Tube.
Das hat seinen Grund: Ursprünglich hätten die Tests schon 2022 abgeschlossen sein sollen, allerdings wurden sie damals um zwei Jahre verlängert. Der aktuelle Vertrag mit Microsoft läuft Ende Jahr aus und muss noch vor Neujahr verlängert werden. Die Verhandlungen sind kompliziert und dauern oft bis zur letzten Minute. Im Jahr 2021 erfolgte der – natürlich freihändige – Zuschlag an Microsoft am 29. Dezember, also zwei Tage vor der Deadline. Es dürfte auch heuer so kommen.
Microsoft bewegt sich ausserhalb des gesetzlichen Rahmens
Entsprechend heikel sind die Vertragsinhalte. Die entscheidende Frage ist, wie der Bund sicherstellen will, dass M365 so betrieben wird, dass das Schweizer Datenschutzgesetz eingehalten wird. Diese Frage auch gestellt hat SVP-Nationalrat Jean-Luc Addor und eine erstaunliche Antwort erhalten: Es sei «vertraglich sichergestellt, dass die Datenbearbeitung durch private Firmen den hohen Daten- und Informationsschutzstandards der Schweiz entsprechen», antwortete der Bundesrat.
Ich lese das so, dass der Bund in einem Vertrag mit Microsoft geregelt hat, dass der Konzern die Daten selbst dann nicht rausgibt, auch wenn dies der amerikanische Staat verlangt. Ob diese Lesart richtig ist, bleibt bis auf weiteres ein Geheimnis. Mein Gesuch auf Einsicht dieses Vertragsteils gestützt auf das Öffentlichkeitsgesetz wurde abgewiesen. Der Bund selbst würde die Verträge ja gern herausgeben, aber Microsoft says no.
Warum darf ein Bundesangestellter einen solchen Vertrag unterzeichnen?
Faktisch bedeutet dies, dass sich ein US-Konzern über das Schweizerische Öffentlichkeitsgesetz stellen kann. Was in mir zwei Fragen auslöst:
- Warum ist das rechtens?
- Warum dürfen Schweizer Bundesangestellte Vertraulichkeitsvereinbarungen mit Konzernen unterzeichnen, die die hiesige Gesetzgebung aushebeln?
Aber das ist noch nicht alles, was mich stört. Selbst wenn der Betrieb von M365 datenschutzkonform möglich ist, müssen Sachbearbeiterinnen und Sachbearbeiter in der Verwaltung praktisch bei jedem Speichervorgang entscheiden, ob die entsprechende Datei nun sensibel ist oder in der Microsoft Cloud gespeichert werden soll. Es ist also ein Delegieren der Verantwortung auf die unterste Ebene.
Delegieren der Verantwortung auf die unterste Ebene
Der Bund adressiert dieses Problem laut Mitteilung, indem den «Mitarbeitenden beim Abspeichern darin unterstützt werden, Dokumente am richtigen Ort abzulegen». Aber ob das genügt? Ich bezweifle es. In ihrer Recherche zum Projekt Ceba schreibt Kollegin Adrienne Fichter für die Republik, dass bundeseigene IT-Experten die Sicherheitsfunktionen von Microsoft nie unabhängig überprüft hätten. «Es ist ein Grundvertrauen gegenüber Microsoft vorhanden, andernfalls würde dieses Vorhaben keinen Sinn machen», haben Vertreter des Bundes laut dem Bericht höchst selbst eingeräumt. Und dass ein klassifiziertes Dokument potenziell in der 365-Cloud landen könnte, bestreitet selbst die Bundeskanzlei nicht, wie wir diese Woche geschrieben haben.
Die Chance, mit der Herausgabe der Verträge Vertrauen zu schaffen, hat der Bund verpasst. Nun startet er auf eine Reise ins Ungewisse:
Ein vorschneller Entscheid
Nicht nur für mich, sondern auch für die Eidgenössische Finanzkontrolle (EFK), ist diese vorschnelle Migration in die Microsoft-Cloud mit der gesamten Büroautomation der Bundesverwaltung ein Fehler.
Ich unterstelle dem Bund, sich nicht genügend um Alternativen gekümmert zu haben. Die EFK beispielsweise schlägt vor, Office ohne Cloudanbindung möglichst lange einzusetzen. Deutsche Bundesländer wie Schleswig-Holstein setzen auf Libre Office und Linux. Damit will ich nicht sagen, dass das der richtige Weg ist. Das wird sich zeigen. Andere Open-Source-Vorhaben wie in München sind gescheitert. Schliesslich gibt es sogar aus dem Hause Microsoft eine Alternative: das «cloud-lose» Office. «Microsoft Office LTSC 2024» richtet sich an Regierungs- und Geschäftskunden, die Office On-Premises zu einem Festpreis betreiben möchten.
Aus Fehlern lernen? Ach…
A propos scheitern: Ab 2025 hätte die Schweizer Armee ein autarkes ERP-System (Enterprise Resource Planning; eine integrierte Softwarelösung, die Unternehmen dabei unterstützt, ihre Geschäftsprozesse effizient zu planen, zu steuern und zu verwalten) betreiben wollen. Viele Unternehmen und Organisationen setzen ERPs typischerweise für Rechnungsstellung, Lohnauszahlungen, Lagerverwaltung und Logistik ein.
Doch bei der Armee bleibt der Konjunktiv: Denn das Projekt wurde abgebrochen und das bereits eingekaufte SAP-System (SAP ist einer der weltweit grössten Anbieter von ERP-Systemen) kommt nun doch nicht zum Einsatz. Die Verantwortlichen hatten nach rund vier Jahren – 2020 bewilligte das Parlament ein Budget von 240 Millionen Franken – herausgefunden, dass die Software doch nicht unabhängig von ausländischen Cloud-Dienstleistungen funktioniert. Ursprünglich war das Militär davon ausgegangen, dass das SAP-Modul «Disconnected Operations» für ein «robustes und resilientes militärisches Logistiksystem» eingesetzt werden könne. Das ist nun nicht so, wie sich herausgestellt hat. Nun steht die Armee für lange Zeit, «erst nach 2035», wie SRF aus einem Protokoll zitiert, ohne krisensicheres ERP da.
Gibt es eine Garantie, dass es der Bundesverwaltung mit der M365-Cloud besser ergeht? Nein. Die zu bearbeitenden Daten sind nicht minder heikel und Datensouveränität ist nicht nur dann wichtig, wenn es um die Landesverteidigung geht. Verteidigt werden müssen auch die persönlichen Daten aller Bürgerinnen und Bürger dieses Landes.
Eine Antwort
Im Zusammenhang mit der Nutzung von Clouds durch Behörden wird immer wieder und oft die Frage des Datenschutzes in den Vordergrund gestellt – nun auch von Reto Vogt. Es ist sicherlich nicht zu vernachlässigen, dass bei Clouds von US-Unternehmen immer latent eine gewisse Gefahr des Zugriff von US-Behörden auf die Daten besteht. Das dürfte aber nur in seltenen Einzelfällen zutreffen.
Als viel schwerwiegenderes Problem erachte ich bei der Auslagerung von Anwendungen und Daten auf Clouds von ausländischen Anbietern mit Servern im Ausland, dass die Verfügbarkeit der Daten in bestimmten Konstellationen nicht (mehr) gewährleistet sein könnte – insbesondere dann, wenn der Anbieter Konkurs geht. Während bei einem Anbieter mit Sitz und Servern in der Schweiz im Konkursfall staatliche Daten mit grosser Wahrscheinlichkeit aus der Konkursmasse gerettet werden können, kann dies im Ausland schwierig oder gar unmöglich sein.