In den Vorbereitungen auf zwei Texte für Republik.ch (Big Tech-Lobbying und Plattformregulierung), die demnächst erscheinen werden, bin ich auf einen interessanten Bericht der Eidgenössischen Finanzkontrolle gestossen. Dieser dreht sich um das Schlüsselprojekt Swiss Government Cloud. Die Auditbehörde hat sich die die potenziellen Risiken und auch die Wirtschaftlichkeit des Projekts angeschaut. Dass darüber kaum berichtet wurde, erkläre ich mir damit, dass er auf Französisch erschienen ist (und es allgemein zu wenig Tech-Journalist:innen in diesem Land gibt).
Ich habe mir den EFK-Bericht auf deepl Pro übersetzen lassen- und einige interessante Details gefunden.
Laut dem EFK-Bericht soll die abermals verschobene Swiss Government Cloud-Ausschreibung am 1. Februar 2026 endlich lanciert werden. Dabei möchte das Bundesamt für Informatik (BIT) eine Gesamterneuerung seiner Cloud-Infrastruktur vornehmen. Das IT-Bundesamt will damit sowohl Cloud-Dienstleistungen in den Bereichen «Private Cloud» (eigene Rechenzentren und vollständig eigener Betrieb der Software bei hochsensiblen Daten) als auch «Public Cloud» (Rechenzentren, Software und Betrieb durch eine externe Firma) einkaufen.
Wie mir verschiedene Quellen bestätigen, finden die Vorbereitungen dafür unter grösster Geheimhaltung statt. Nur wenige Personen sind darin involviert. Und das BIT trifft sich auch seit Längerem mit keinem potenziellen Anbieter mehr, um nicht befangen zu sein.
Ein Teil der Swiss Government Cloud-Infrastruktur geht voraussichtlich bereits an die Big-Tech-Konzerne: Die Bundeskanzlei hat die Rahmenverträge mit allen fünf IT-Konzernen aus den USA und China aus dem Jahr 2021 nochmals verlängert, auch wenn aktuell nur Microsoft und Amazon laufende Projekte erhalten haben. Dazu zählen unter anderem das Widerspruchsregister für die Organspende des Bundesamts für Gesundheit sowie verschiedene Verzollungs-Apps. Die Genfer IT-Firma Infomaniak hat seine Beschwerde gegen die Verlängerung offenbar zurückgezogen.
Und wir erinnern uns: Der Bundesrat schluckte für den kommenden Zolldeal die Kröte der möglichen Anerkennung des laschen US-Datenschutzniveaus. Wobei bisher in der Vereinbarung nur das Wort «beabsichtigt» festgelegt wird. Ausserdem ist von „facilitate“ und „interoperability of pricacy frameworks“ die Rede und nicht von gleichwertiger Anerkennung, aber im Endeffekt geht es hier nur um semantische Nuancen.
Doch auch die Abwicklung der kommenden IT-Beschaffungen droht potenziell zu einem Fiasko zu werden. Die EFK beschreibt in ihrem Bericht ein Spannungsfeld, in dem sich das zuständige BIT derzeit befindet: Einerseits wäre es für den Bund kostengünstiger und effizienter, seine Daten bei den amerikanischen IT-Firmen nach Bedarf zu speichern und «arbeiten» zu lassen.
So schreibt die EFK: „Der Trend zeigt einen deutlichen Rückgang des Anteils des Hostings durch die Private Cloud des Bundes.“
Diese Einschätzung stammt noch aus der Botschaft des Bundesrats 2024 (die vom BIT mitverfasst worden ist). Doch der Druck auf das IT-Amt ist seither wegen der geopolitischen Diskussionen und den Forderungen nach mehr digitaler Souveränität deutlich angewachsen. Der Auftrag des Parlaments ist klar: die Private Cloud müsse das Steckenpferd der Swiss Government Cloud sein. Keine ausländische Hyperscaler mit dubiosen Überwachungsgesetzen soll die Mehrheit der Projekte und Daten betreiben.
Die EFK schreibt denn auch, dass das BIT seine Schätzungen dazu 2026 aktualisiere.
Andererseits kritisiert die Untersuchungsbehörde, dass das BIT das Thema «Verfügbarkeit» angesichts der geopolitischen Risiken nicht adressiert hat — gemeint ist also das Szenario: «Was, wenn die Amerikaner den Stecker ziehen?»
Ein längeres und sehr aussagekräftiges Zitat aus dem Bericht:
„Die EFK stellt jedoch fest, dass diese Anforderungen nicht ausdrücklich die Risiken im Zusammenhang mit der Kontinuität der Cloud-Dienste (Verfügbarkeit) berücksichtigen, die im aktuellen geopolitischen Kontext zugenommen haben. Darüber hinaus stellen sich ernsthafte Fragen hinsichtlich der Machbarkeit und der Kosten im Zusammenhang mit dem Wunsch nach Autonomie des Betriebs «im Bedarfsfall» für die Stufe III. Die EFK stellt fest, dass die Einzelheiten der Anforderungen an diese Autonomie derzeit ausgearbeitet werden und in die Ausschreibung aufgenommen werden sollen. Im Hinblick auf die digitale Souveränität sieht sie jedoch das Risiko, dass zusätzliche Anforderungen oder geopolitische Ereignisse die Arbeiten zur Umsetzung des SGC beeinträchtigen könnten. Das BIT argumentiert unter Berufung auf seine Erfahrung, dass es einem solchen Risiko nicht aktiv nachgehen kann, da es keine Massnahmen zur Risikominderung auf Ebene des Umsetzungsprogramms definieren und verwalten kann. Es hat daher beschlossen, die Idee einer solchen Überwachung aufzugeben.“
Interessant: die EFK geht also davon aus, dass das BIT im Kontext der geopolitischen Spannungen einige Herausforderungen haben wird. Meine Prognose dazu: Hyperscaler werden ihre Trümpfe ausspielen und ordentlich „Souveränitätswashing“ betreiben und die hiesigen Firmen und Politiker:innen auf „Europa First“ pochen.
Der Druck aus dem Bundesparlament und aus der Zivilgesellschaft und die geopolitischen Spannungen mit den USA wird 2026 zu einem spannenden und entscheidenden Jahr machen. Die Ausschreibung zur Swiss Government Cloud droht wahrscheinlich zum Riesenpolitikum zu werden.
Die Leitfrage – die Frage nach dem Mehrwert und den Einsparungen für die Bundesämter- konnte in diesem EFK-Bericht übrigens nicht gelöst werden.
„Eine bundesweite Wirtschaftlichkeitsanalyse («Business Case»), in der die Einsparungen oder Mehrkosten für die Leistungsempfänger [die Bundesämter] verglichen werden, also auch die für die Nutzung von Cloud-Diensten erforderlichen Beträge, liegt hingegen derzeit noch nicht vor. Eine solche Berechnung ist erst nach Eingang der Angebote der Bieter für die verschiedenen Cloud-Ebenen und der angebotenen Preise möglich.“
