DNIP Briefing #57: Souveränität, Fakten, Fakes

Die Redaktion präsentiert jeden Dienstag die Geschichten, die sie bewegt, aufgerüttelt oder zum Nachdenken angeregt hat. Heute u.a. mit Souveränität, Kabelaufklärung, Fakten und Fakes.

Digitale Souveränität – aber nur für die USA

Die USA sind seit einem Jahr fleissig dabei, u. a. mit Strafzöllen, Annexionsdrohungen, Beach-Resort–Videos oder Präsidentenentführungen die politischen Entscheide in souveränen Staaten viel direkter als früher zu beeinflussen. Nur Staaten und Firmen, die in den USA produzieren, sind gut. Investitionen in US-Firmen zählen nicht, im Gegenteil, sie werden als Vergrösserung des angeblich so bösen Handelsbilanzdefizits verschrien – und mit den einleitend erwähnten Strafzöllen sanktioniert.

Wenn aber die Schweiz sich im Digitalen wieder Rückkehr zu etwas mehr Souveränität – eigentlich ein ureigenstes Interesse – wünscht, interveniert die Schweizerisch-Amerikanischen Handels­kammer, wie die DNIP-Kollegin Adrienne Fichter gestern in der Republik berichtete. Die Swiss-American Chamber of Commerce, wie sie offiziell heisst, ist die Schweizer „Franchise“ des globalen AmCham-Netzes, wie die Kurzbezeichnung „Swiss AmCham“ auch klarer hervorhebt und deren Mutterorganisation vor allem Grosskonzerne zu berücksichtigen scheint.

Während also in den USA der Präsident per Dekret, Tweet und Schlägertrupps an Verfassung und demokratischen Strukturen vorbei Fakten schafft, sollen in der Schweiz Diskussionen über Kriterien für IT-Lösungen nur in den Parlamenten geführt werden, wenn es nach Swiss AmCham-Berater Alex Grossenbacher geht.

Im Gegenteil, finden wir: Gerichte – wie in Luzern und Basel-Stadt, besonders aber in Lausanne – wissen am ehesten, welche Sicherheits- und Souveränitätsanforderungen sie für ihre Arbeit brauchen. Auch Überlegungen um steigenden Lizenzkosten sollten zu den Aufgaben jedes IT-Leiters gehören. Und natürlich sollten es Datenschützerinnen es als Teil ihrer Aufgabe verstehen, sich Gedanken zu machen, wie ihre Kantone ihre Daten am besten schützen können. Alles andere wäre ja purer Wahnsinn.

Wenn die Schweiz und ihre Behörden nicht mehr über digitale Souveränität nachdenken dürfen, können wir gleich unsere ganze völkerrechtliche Souveränität aufgeben und uns als Zusatz-Goodie („2 für 1“) zum Grönland-Deal dazuschenken.

Souveränität für Zürich

Bei der Stadt Zürich haben sich die Microsoft-Zahlungen seit 2019 auf heute über 30 Millionen pro Jahr mehr als vervierfacht, wie der Tages-Anzeiger schreibt. Ein Teil ist sicher auf zusätzliche – von der Stadt gewünschte – Leistungen zurückzuführen. Ein anderer Teil geht aber auch auf die Preissteigerungen von Microsoft zurück, zu denen gerade die Weko ermittelt.

Die Weko sieht in den Microsoft-Preiserhöhungen mögliche «Hinweise auf unzulässige Wettbewerbsbeschränkungen». Zu diesen Wettbewerbsbeschränkungen gehören laut Kartellgesetz u.a. Preisabsprachen oder Martkaufteilungen. Bei «marktmächtigen Unternehmen» können das zusätzlich beispielsweise «die Erzwingung unangemessener Preise oder sonstiger unangemessener Geschäftsbedingungen» und «die an den Abschluss von Verträgen gekoppelte Bedingung, dass die Vertragspartner zusätzliche Leistungen annehmen oder erbringen» müssten sowie die Einschränkung, Leistungen zu den im Ausland üblichen Bedingungen einzukaufen.

Was die Weko genau zu betrachten plant, ist nicht bekannt.

Wichtig zu sehen ist aber, dass die Marktmacht von Microsoft dazu führt, dass es für viele Firmen schwer ist, sich aus diesem Lock-In zu lösen.

Neben diesen wirtschaftlichen Gründen gibt es aber auch politische Dimension. So wird Oliver Heimgartner von der SP wie folgt zitiert: «Wir sehen in den aktuellen Erpressungsversuchen rund um Grönland, dass es unterdessen auch eine Frage der Sicherheit wird, möglichst wenig erpressbar zu sein.» Andere sehen die persönlichen Daten bedroht oder die mögliche Zugangsverwehrung zu US-Cloud-Diensten als Druckmittel.

Denn wir brauchen dringend mehr Handlungsfreiheit. Und ob man die bei IT-Dienstleistern hat, sieht man daran, ob man sich erlauben könnte, bei unakzeptablen Bedingungen einfach vom Verhandlungstisch aufzustehen. Doch davon sind die meisten Cloud-Kunden weit entfernt.

Zu Souveränität haben wir bei DNIP schon einiges geschrieben, u. a. Wie die USA mit den Zolldeals der Welt ihre Tech-Dominanz aufzwingen oder Gaia-X: Letzte Chance für Europas digitale Souveränität — und wie die Schweiz profitieren könnte, Teil 1 und Teil 2 oder Die Cloud, der unkündbare Subunternehmer. Und letzte Woche haben wir den EFK-Bericht zur Swiss Government Cloud analysiert, in dem u.a. steht: «Die EFK hebt hervor, dass der wirtschaftliche Nutzen der SGC für den Bund als Ganzes noch nicht aufgezeigt wurde.» (Übrigens: Die Webpräsenz der EFK liegt auf einem Open-Source-CMS, WordPress. Das auch DNIP.ch nutzt. Und mit dem man viel Geld verdienen kann.)

Schlüsselverwaltung durch Microsoft hilft nicht nur den Kunden

Moderne Windows-Versionen bieten von Haus aus eine Festplattenverschlüsselung mittels Bitlocker an. Das ist eine durchaus sinnvolle Funktion, da ansonsten der physische Zugriff auf eine Festplatte ausreicht, um deren Inhalte auszulesen. Gerade bei Laptops (welche bei Gelegenheit irgendwo liegenbleiben oder gestohlen werden) ist das ein naheliegendes Szenario. Zentral ist natürlich, dass man Schlüssel/Passwort für die Festplatte sicher aufbewahrt, sonst kann man sich unter Umständen (wenn man zum Beispiel sein Account-Passwort vergisst) nicht mehr die Festplatte zugreifen. Microsoft bietet dazu die Möglichkeit, das Festplatten-Passwort im Online-Account des jeweiligen Benutzers zu speichern.

Wie Forbes nun im Rahmen einer Recherche herausgefunden hat (siehe auch Windows Central und Techcrunch), gibt Microsoft diesen Schlüssel gegebenenfalls auch an Strafermittlungsbehörden weiter. Gemäss Microsoft erhalten sie rund 20 Anfragen pro Jahr, in mindestens einem Fall führte dies zur Herausgabe des Schlüssels (und in Folge zur Entschlüsselung der Festplatte eines Verdächtigen). Der Preis für den Komfort, sich nicht selbst um die sichere Aufbewahrung des Schlüssels kümmern zu müssen, kann also unter Umständen hoch sein.

Für alle, welche sich nun dagegen schützen wollen, liefert Heise die Anleitung dazu:

Nutzer können den Schlüssel aus ihrem Online-Account löschen. An dieser Stelle sei aber eindringlich darauf hingewiesen, dass die Verwaltung des Schlüssels ab diesem Moment vollständig in der Verantwortung des Anwenders liegt. Der Schlüssel sollte keinesfalls nur auf dem damit gesicherten Gerät hinterlegt werden. Denn wenn es einer Wiederherstellung bedarf, ist ein Zugriff auf die auf dem Gerät gespeicherten Daten nicht möglich. Als Speicherort bietet sich stattdessen beispielsweise ein Passwort-Manager auf einem anderen Gerät an. Nach dem aktiven Entfernen des Schlüssels aus dem Online-Account ist dieser theoretisch noch bis zu 30 Tage in Systemen von Microsoft zu finden.

(Apple bietet für die Festplattenverschlüsselung unter macOS einen ähnlichen Service an. Auch dort ist es für sicherheitsbewusste Menschen empfehlenswert, den Schlüssel selbst zu sichern und „Advanced Data Protection for iCloud“ zu aktivieren. Mit macOS 26 sollte es Apple allerdings auch ohne diesen Schutz nicht mehr möglich sein, den Filevault-Schlüssel zu lesen.)

Wenn die KI sich für Jobs bewirbt

Dass sich Bewerber von KIs beim Schreiben ihrer CVs und ihrer Bewerbungsschreiben helfen lassen, ist in 2025 und 2026 wohl schlicht Alltag geworden. Teilweise mag das durchaus helfen, einen trockenen Text (oder die zigte Bewerbung) etwas aufzufrischen, generell besteht aber sicher auch das Risiko, mit allzu typischen KI-Texten von vornherein eine Absage zu erhalten. Neben Menschen bewerben sind unterdessen auch eine ganze Reihe von Fake-Profilen auf Stellen, es dürfte für die HR-Abteilungen (unabhängig davon, ob sie selbst auch KI einsetzen oder nicht) oft nicht ganz einfach sein, diese auszusortieren.

Wie solche Fake Profil-Bewerbungen aussehen, hat The Markup, eine US-amerikanische Online-Publikation, beschrieben, basierend auf den eigenen Erfahrungen bei der Besetzung einer Stelle. 12 Stunden nach dem Aufschalten des Job-Inserats hatte das Unternehmen mehr als 400 Bewerbungen erhalten. Diese sahen auf den ersten Blick meist plausibel aus. Im Detail fielen dann aber schnell Dinge auf, welche klar machten, dass kein Mensch hinter der Bewerbung steckt:

• Kontaktinformationen wie E-Mail-Adressen und Telefonnummern wiederholten sich bei mehreren Bewerbern, obwohl die Namen nicht immer mit den Namen in den E-Mail-Adressen übereinstimmten.
• E-Mail-Adressen folgten einem spezifischen Muster: Sie enthielten einen vollen Namen und eine scheinbar beliebige Zahl, meistens gefolgt von .dev@gmail.com.
• Die LinkedIn-Verweise waren entweder nicht funktionsfähig, zeigten fast leere Profile oder listeten andere Arbeitgeber als im Lebenslauf auf.

Noch offensichtlicher wurde es im Freitext-Teil. Nicht nur war teilweise „ChatGPT says“ direkt im Text enthalten, die Texte folgten alle in etwa demselben unspezifischen Muster, welches man von KI-Bots kennt. Antworten auf „Warum wollen Sie bei uns arbeiten“ waren oft eine Zusammenfassung des About-Seite von The Markup. Und die aufgeführten Erfahrungen bei früheren Unternehmen hatten oft nichts mit deren Unternehmenszweck zu tun, sondern gaben 1:1 Inhalte der Jobbeschreibungen wieder.

Als HR-Abteilung wird man sich also darauf einstellen müssen, dass Bewerbungen in Zukunft oft generell erfunden sein werden. Auf die oben aufgeführten Fehler sollte man sich beim Aussortieren eher nicht verlassen, mit besseren Prompts dürften viele davon vermeidbar sein.

SRF-Themenwoche «Fakt oder Fake»

Aktuell läuft gerade eine Themenwoche zu «Fakt oder Fake» bei SRF. Wichtige Themen, die es verdient haben, für eine breitere Bevölkerung aufbereitet zu werden. Zum Zeitpunkt des Schreibens dieser Zeilen sind erst wenige Sendungen gelaufen, doch Überlegungen zu Propaganda und Fake News; wie KI weiter am Realitätsbegriff nagt uvam. klingen wichtig und spannend.

So wird auch Online-Betrug thematisiert: Wie es ist, wenn das eigene Foto auf Clickbait-Werbung thront. Wie Freunde einer bekannten Persönlichkeit reagieren, die auf deren angebliche risikolose Investition hereingefallen sind und ihr Geld verloren haben. Und erfreulicherweise wird auch erwähnt, dass Facebook, WhatsApp & Co. unzählige Milliarden pro Jahr an solchen Scams verdienen, worüber wir hier auch bereits berichteten.

Zu betrügerischen Werbungen und Betrugserkennung haben wir von DNIP in 20 Minuten-Fake-Website ist ein „Scam“- Und Google bleibt tatenlos und Wie viel Swissness (und Bitcoin) steckt in SwissBitcoin ETF? Oder: Das 1×1 der Betrugserkennung bereits hier berichtet.

Die zwei wichtigsten Aussagen sind: «Wenn es zu gut scheint, um wahr zu sein, ist es das wahrscheinlich auch» und

Immer wenn dir jemand verspricht, dass du in kurzer Zeit sehr viel Geld verdienen kannst, kannst du sicher sein: Du bist nicht die, die profitiert, sondern immer der andere.

Mona Vetsch in «Es macht mich wirklich hässig» (2026-01-26)

Betrügerische Werbung lohnt sich für Online-Plattformen aktuell besonders. Die Leidtragenden sind oft Personen, die sich aufgrund von Schicksalsschlägen an jeden Strohhalm klammern. Wenn du auch der Meinung bist, dass Big-Tech-Plattformen sich nicht länger am Schicksal dieser Leidtragenden gesundstossen sollen, dann unterstütze bitte diese Petition zuhanden des Bundesrats. Und – ganz wichtig! – sage es weiter!

Kabelaufklärung: Nachrichtendienst will legal werden

Laut Medienmitteilung des Bundes wird der Nachrichtendienst des Bundes (NDB) das nach vielen Jahren endlich gefällte Urteil, das die Digitale Gesellschaft gegen den NDB nicht weiterziehen. Das Urteil ist damit rechtskräftig. Im Urteil werden etliche Lücken in der Umsetzung der Kabelaufklärung aufgezeigt, von nicht ausreichendem Schutz gegen Missbrauch über fehlende Schutzmassnahmen zur Einhaltung von Grund- und Menschenrechten, ungenügend effektive Aufsicht oder dem Fehlen wirksamer Rechtsmittel für Betroffene.

Dieses dritte Paket zur Revision bzw. Ausweitung des NDB-Gesetzes wird parallel zu den beiden anderen, bereits gestarteten Pakten erfolgen, wie die NDB-Sprecherin im Echo der Zeit bestätigt. Im selben Beitrag wird von Digiges-Anwalt Viktor Györffy aber auch bezweifelt, dass die vom NDB gewünschten Techniken überhaupt Verfassungs- und Menschenrechtskonform umzusetzen seien, «weil Massenüberwachung darauf angelegt sei, ganz viele Daten auch von unbescholtenen Bürgern zu sammeln und zu sichten, wodurch deren Grundrechte verletzt würden».

Der NDB steht darüber hinaus schon länger in der Kritik, seine ohnehin schon weitreichenden Befugnisse bei der Datensammlung systematisch überschritten zu haben. Der NDB hatte schon damals gefordert, dass die Gesetze der Realität, so wie sie im NDB gelebt werde, angepasst werden müssten, nicht umgekehrt:

Das Nachrichtendienstgesetz wird revidiert, und wir hoffen, dass wir bald eine Rechtsgrundlage haben werden, die der heutigen Realität Rechnung trägt, insbesondere im Cyberbereich.

Christian Dussey, NDB-Direktor, im NZZ-Interview (2023-02-03)

Auch die Digitale Gesellschaft geht davon aus, dass der Rechtsrahmen für Massenüberwachung durch den NDB erweitert werden soll:

[Mit dem Verzicht auf den Weiterzug] steht fest, dass die massenhafte Überwachung verfassungswidrig ist und gegen die Europäische Menschenrechtskonvention (EMRK) verstösst. Das Urteil räumt dem Bund jedoch eine aus unserer Sicht sehr grosszügige Übergangsfrist von fünf Jahren ein, um einen verfassungskonformen Zustand herzustellen. Das aktuelle Überwachungsregime darf während dieser Frist trotz festgestellter Rechtswidrigkeit fortgeführt werden.

Der Bund hat angekündigt, nun eine Revision des Nachrichtendienstgesetzes (NDG) auszuarbeiten, um die Anforderungen des Gerichts gesetzlich zu verankern. Wir werden diesen politischen Prozess selbstverständlich kritisch begleiten und uns dafür einsetzen, dass die Grundrechte nicht nur auf dem Papier, sondern auch in der Praxis gewahrt werden.

Digitale Gesellschaft (2026-01-19)

Dabei wird sicher auch die Nutzung von privaten, äusserst sensiblen Datenquellen ein Thema sein, die auch im Ausland immer beliebter werden, da dazu keine mühsamen Gerichtsbeschlüsse o. ä. nötig sind:

Staatliche Massenüberwachung durch Private

So nutzt die US-Deportationsbehörde ICE seit Kurzem kommerzielle Dienste, um ganze Gegenden nach Bewegungsdaten von Telefonen zu analysieren, wie 404 Media berichtet. Für diese anlasslose Massenüberwachung werden die in vielen Apps und Webseiten eingebauten Tracking-Bibliotheken und -Pixel verwendet, um ein Bild über Interessen, Verhalten und Aufenthaltsort ihrer Nutzer:innen zu bekommen, also sensibelste Informationen. Diese Resultate werden dann ausgewertet und bestimmen, ob du Besuch von vermummten Gestalten erhältst, die dich abschieben wollen. Ohne Prüfung von Bürgerrecht bzw. Aufenthaltsstatus oder Gerichtsprozess. Und mit potenziell tödlichen Auswirkungen, insbesondere da viele der vermummten ICE-Personen nur einen minimalsten Anstellungsprozess oder Ausbildung durchlaufen haben.

KI: Fauler, als es der Prompt erlaubt

KI-Modelle sind darauf trainiert, möglichst faul zu sein.

Neuestes Beispiel: Mathias Schindler hat versucht, die schlechten Rechenfähigkeiten von KI-Sprachmodellen dadurch zu lösen, dass das LLM aufgefordert wurde, alles, was durch Berechnung zu lösen sei, an ein externes Python-Programm delegiert werden solle.

Doch das LLM begann selbst das Ausführen des Python-Programms zu halluzinieren. Ist ja einfacher so …

Und schliesslich:

• Die EU leitet ein Verfahren gegen X (formerly known as Twitter) ein wegen der Erzeugung von sexualisierten KI-Bildern von Frauen und Kindern, wie verschiedene Medien berichten. In der Schweiz wird der Status Quo von vorletzter Woche mutmasslich weitergezogen. Der Bundesrat vernachlässigt den Schutz seiner Bevölkerung weiterhin. Aber mutmasslich wird sogar die SWICO, die «Interessenvertretung der ICT- und Internetbranche», die also auch die KMU vertreten sollte, sich gegen eine Plattformregulierung einsetzen, da in der entsprechenden Arbeitsgruppe nur Big Tech vertreten ist. Obwohl für sie «Inhalte, die als üble Nachrede eingestuft werden, etwa in Bewertungen auf Google Maps, geschäfts­schädigend wirken» können, wie die Republik schreibt. Und ein Schutz gegen Scam-Werbung, Falschbehauptungen, Desinformation uvam. für die KMUs wichtig wäre.
• In Südkorea ist eine KI-Regulierung in Kraft getreten. Der Fokus liegt dabei auf „high-performance AI“, definiert anhand technischer Schwellenwerte wie der kumulativen Trainingsrechenleistung. Im Gegensatz zur EU wird also nicht auf der KI-Nutzung reguliert, sondern quasi auf deren Entstehung. Ob das zu einer „besseren“ Regulierung führt, wird sich in den nächsten Monaten zeigen. Von KI-Regulierung weiterhin nur träumen können wir in der Schweiz, da hat es bekanntermassen ja schon nur die Plattformregulierung schwer.
• Palantir in der Schweiz war in den letzten Wochen wieder Thema und seine Gründer provozieren. Wer das Thema auch filmisch und in einer Diskussion vertiefen möchte: Das Berner Lichtspiel-Kino zeigt am Freitag, 6. Februar 2026 in Zusammenarbeit mit der Digitalen Gesellschaft und dem Chaos Computer Club den Film Watching You – The World of Palantir and Alex Karp mit anschliessender Diskussion.
• «Was zunächst wie ein primär ökonomischer Akt wirkt, ist viel mehr ein weiterer Schlag gegen den Meinungspluralismus in einem Land, das sich selbst zwar als „Land of the free“ bezeichnet, in der politischen Einflussnahme durch die Trump-Regierung aber immer mehr hinter autokratische Strukturen zurückzutreten droht. Denn nun gerät ein weiteres digitales Netzwerk unter Kontrolle regierungsnaher Multimilliardäre.» So WIWO zum TikTok-Deal.
• «Angestellte nutzen mit KI gesparte Zeit, um KI-Ergebnisse zu korrigieren», lautet ein Titel bei Heise. Mehr muss man dazu glaube ich nicht sagen.
• Iran ist seit über 400 Stunden vom Internet getrennt, berichten die Internet-Blockade-Analysten von NetBlocks. Wir hatten letzte Woche bereits über das «Verstummen» von angeblichen schottischen Nationalisten auf ex-Twitter als Folge der iranischen Blockade berichtet. Verbindungsausfälle entstehen nicht nur durch Regierungen zur Isolation ihrer Bevölkerung (wie aktuell in Iran). In den letzten Tagen haben auch Stürme (und resultierende Stromausfälle) zu Internet-Ausfällen in Grönland, Louisiana, Tennessee und Mississippi geführt.