Wie souverän ist die Cloud wirklich, AWS und Microsoft?

Welche Entwicklungen werden Ihrer Ansicht nach die Cloud-Infrastruktur in den nächsten fünf Jahren prägen? Und welche Rolle spielt dabei die digitale Souveränität?

Marc Holitscher, Microsoft: Cloud-Infrastrukturen entwickeln sich derzeit entlang mehrerer zentraler Trends weiter. Dazu zählen der zunehmende Einsatz von künstlicher Intelligenz, wachsende Anforderungen an Cybersicherheit sowie ein stärkeres Bedürfnis nach Transparenz und Kontrolle über Daten und digitale Abhängigkeiten. Digitale Souveränität wird dabei zu einem wichtigen Gestaltungsprinzip moderner IT-Architekturen. Organisationen möchten die Innovationskraft globaler Cloud-Ökosysteme nutzen und gleichzeitig sicherstellen, dass sensible Daten geschützt sind und regulatorische Vorgaben eingehalten werden. Im Mittelpunkt steht dabei nicht Abschottung, sondern die Fähigkeit, technologische Entscheidungen fundiert zu treffen und Abhängigkeiten gezielt zu managen. Aus unserer Sicht steht daher nicht die Entscheidung zwischen globaler Cloud und nationaler Infrastruktur im Vordergrund, sondern die richtige Balance. Technische Architekturen – etwa hybride Modelle, verschiedene Verschlüsselungsoptionen oder lokal betriebene Rechenzentren – ermöglichen es heute, Innovation, Effizienz und Kontrolle miteinander zu verbinden.

Christoph Schnidrig, AWS: KI wird zum Standard in der Cloud-Infrastruktur und in Unternehmensanwendungen. Gleichzeitig erwarten Kunden volle Kontrolle über ihre Daten. Dazu gehören aus unserer Sicht: die Kontrolle über den Standort der Datenspeicherung, die Kontrolle über Datenzugriffe, die Möglichkeit zur Verschlüsselung sowie die Resilienz der Cloud. Digitale Souveränität ist kein Nischenthema mehr, sie wird zur Grundanforderung. Wir sehen das in der Schweiz und in ganz Europa. Kunden wollen wissen, wo ihre Daten liegen und wer darauf zugreifen kann. Genau darauf ist unsere Infrastruktur ausgerichtet.

In der Schweiz und in Europa wächst das Bedürfnis nach digitaler Souveränität, also nach mehr Kontrolle über Daten, Infrastruktur und Abhängigkeiten. Welche Verantwortung tragen globale Cloud-Anbieter aus Ihrer Sicht in dieser Debatte, und wie reagieren Sie konkret darauf?

Christoph Schnidrig, AWS: Unser Ansatz bei AWS ist «Sovereign by Design». Datenschutzfunktionen und Kontrollen sind direkt in die AWS Cloud eingebaut, sodass Kunden jederzeit die volle Kontrolle über ihre Daten behalten: wo sie gespeichert werden, wie sie geschützt werden und wer Zugriff hat. Entscheidend ist, dass Kunden dabei keinerlei Kompromisse bei Funktionen, Sicherheit, Verfügbarkeit oder Flexibilität eingehen müssen – volle Kontrolle ohne Kompromisse. Für Kunden mit den strengsten Anforderungen haben wir die AWS European Sovereign Cloud geschaffen, eine eigenständige, unabhängige Cloud in der EU, betrieben von in der EU ansässigem Personal, mit zusätzlichen Souveränitätskontrollen.

Marc Holitscher, Microsoft: Microsoft verfolgt einen ganzheitlichen Ansatz aus lokaler Infrastruktur, leistungsfähigen Sicherheitsmechanismen und vertraglichen Zusicherungen. In der Schweiz betreibt Microsoft eigene Rechenzentren, die es Kunden ermöglichen, ihre Daten im Land zu halten und regulatorische Anforderungen zuverlässig zu erfüllen. Gleichzeitig profitieren Kunden von einer globalen Sicherheitsarchitektur, die Bedrohungsinformationen kontinuierlich auswertet und Schutzmechanismen fortlaufend weiterentwickelt. Strenge Anforderungen an Kontrolle, Datensicherheit und Datenschutz sind ein fester Bestandteil unseres Handelns. Gerade in stark regulierten Bereichen wie dem Finanzwesen werden sie seit vielen Jahren sowohl von Kunden als auch von Aufsichtsbehörden eingefordert. Entsprechend verfügen wir heute nicht nur über eine robuste technologische Grundlage, verlässliche vertragliche Rahmenbedingungen und etablierte Prozesse, sondern auch über langjährige Erfahrung darin, solche Anforderungen wirksam und praxisnah umzusetzen. Darüber hinaus entwickelt Microsoft flexible Architekturoptionen, etwa im Rahmen von Sovereign-Cloud-Ansätzen. Diese erlauben es Organisationen, besonders sensible Daten oder Workloads klar abzugrenzen oder bei Bedarf in eigenen Umgebungen zu betreiben.

US-Gesetze wie der Cloud Act können theoretisch den Zugriff auf Daten erzwingen, auch wenn diese ausserhalb der USA gespeichert sind. Können Sie konkret darlegen, in welchen Szenarien Sie eine Offenlegung von Daten oder Metadaten rechtlich nicht verhindern könnten? Wo liegt aus Ihrer Sicht die juristische Grenze Ihrer Schutzversprechen gegenüber Kunden?

Marc Holitscher, Microsoft: Es ist wichtig festzuhalten, dass der Cloud Act auf klar definierten rechtlichen Grundlagen basiert und keinen automatischen oder ungehinderten Zugriff auf Kundendaten erlaubt. Jede Anfrage ist an eindeutige rechtliche Voraussetzungen und einen konkreten, gerichtsfesten Anlass gebunden. Microsoft hat sich zudem verpflichtet, jede Anfrage, die wir für rechtlich unbegründet, übermässig oder nicht mit internationalem Recht vereinbar halten, konsequent anzufechten. Ergänzend dazu setzen wir auf technische und organisatorische Schutzmechanismen, etwa unterschiedliche Verschlüsselungsmodelle und Zugriffsarchitekturen, die den Zugriff auf Kundendaten zusätzlich einschränken. Wichtig ist zudem der Blick auf die Praxis: Bis heute gibt es keinen dokumentierten Fall, in dem Microsoft Kundendaten des öffentlichen Sektors in der Schweiz auf Grundlage des Cloud Acts offengelegt hat.

Christoph Schnidrig, AWS: Der Cloud Act gewährt weder Regierungen noch Behörden einen automatischen oder uneingeschränkten Zugang zu Daten in der Cloud. Er ermöglicht lediglich, dass US-Behörden bei einem unabhängigen Gericht einen richterlichen Durchsuchungsbeschluss beantragen können zur Bekämpfung schwerer Kriminalität wie Terrorismus oder Cyberkriminalität. Vergleichbare Gesetze existieren in zahlreichen europäischen Ländern. AWS wehrt sich aktiv gegen unangemessene oder übermässig weitreichende Anfragen. Seit wir diese Statistik 2020 erstmals veröffentlicht haben, haben wir kein einziges Mal Unternehmensoder Regierungsinhalte ausserhalb der USA an die US-Regierung weitergegeben. Technisch entscheidend: Das AWS Nitro System ist so gestaltet, dass kein AWS-Mitarbeitender auf Kundendaten in virtuellen Maschinen zugreifen kann. Dies wurde durch ein unabhängiges Audit der NCC Group bestätigt. Die AWS-Schlüsselverwaltung (AWS KMS) ist nach dem gleichen «Zero Operator Access»-Prinzip gestaltet, sodass auch kein Zugriff auf Kundenschlüssel möglich ist.

Viele souveräne Cloud-Angebote versprechen lokale Datenhaltung und Kontrolle. Gleichzeitig werden zentrale Plattformfunktionen wie Updates, Incident Response oder privilegierte Administratorzugriffe oft weiterhin global organisiert. Welche dieser Funktionen liegen tatsächlich ausserhalb der Schweiz oder Europas und warum?

Christoph Schnidrig, AWS: Bei AWS gibt es keinen Widerspruch zwischen globaler Innovation und lokaler Datenhaltung. Unsere Infrastruktur ist so gebaut, dass kein Engineer sich in ein Kundensystem einloggt. Betrieb, Updates und Incident Response laufen über automatisierte, authentifizierte und auditierte Prozesse. Wichtig ist zudem: Die AWS European Sovereign Cloud wird vollständig in der EU entwickelt und betrieben. Alles, was es für den Betrieb braucht, liegt in der EU – Talent, Technologie, Führung und auch eine Kopie des Quellcodes. Damit ist die Betriebsfähigkeit unabhängig gewährleistet. Zusätzlich empfehlen wir allen Kunden, Verschlüsselung konsequent zu nutzen: AWS unterstützt Encryption at Rest und in Transit über alle Services hinweg, mit der Möglichkeit, eigene Schlüssel über unseren Key Management Service zu verwalten. Verschlüsselte Daten sind ohne den passenden Schlüssel wertlos, unabhängig davon, wer darauf zugreifen möchte.

Marc Holitscher, Microsoft: Azure Local und Microsoft 365 Local können auf Wunsch vollständig isoliert vom globalen Internet betrieben werden. In diesem Fall besteht keinerlei externe Verbindung, und selbst Updates werden ausschliesslich manuell eingespielt. Diese maximale Abschottung geht naturgemäss mit Einschränkungen einher: Solche Umgebungen bieten weder den gleichen Funktionsumfang noch die Skalierbarkeit einer vernetzten Cloud und erfordern auch bei Sicherheit und Betrieb andere Abwägungen. Wichtig diesbezüglich: Digitale Souveränität bedeutet nicht, jede Funktion national zu isolieren. Sie bedeutet, bewusst zu entscheiden, welche Komponenten lokal betrieben werden müssen und wo globale Zusammenarbeit Sicherheit, Stabilität und Innovation verbessert. Grundsätzlich können Kundendaten und produktive Workloads in der Schweiz oder innerhalb Europas lokal betrieben und gespeichert werden. Gleichzeitig sind bestimmte plattformübergreifende Funktionen bewusst global organisiert. Dazu zählen unter anderem Software-Updates, sicherheitsrelevante Incident-Response-Prozesse sowie ausgewählte administrative Steuerungsfunktionen auf Plattformebene. Der Grund dafür liegt vor allem in der Sicherheit und Resilienz globaler Cloud-Infrastrukturen. Eine weltweit vernetzte Sicherheitsarchitektur ermöglicht es, Angriffe frühzeitig zu erkennen, Muster global auszuwerten und Schutzmassnahmen schnell und konsistent auszurollen. Auch bei Updates und Stabilitätsfunktionen sorgt die zentrale Steuerung dafür, dass Sicherheitslücken rasch geschlossen und Plattformen verlässlich betrieben werden können.

Souveränität bedeutet auch, dass Kunden bei Bedarf einfach den Anbieter wechseln können, ohne Daten, Workloads und Governance-Modelle neu erfinden zu müssen. Inwiefern unterstützen Ihre Plattformen offene Standards, Interoperabilität oder das Konzept einer souveränen Multi-Cloud, und wo sehen Sie konkrete Hindernisse für einen echten, souveränen Exit aus Ihrer Cloud?

Marc Holitscher, Microsoft: Souveränität bedeutet in der Tat auch Wahlmöglichkeit. Kunden müssen ihre Daten, Workloads und Governance-Modelle nachvollziehbar migrieren können, ohne ihre gesamte digitale Architektur neu aufsetzen zu müssen. Microsoft setzt deshalb auf offene Standards, breite Interoperabilität und hybride Architekturen. Viele Organisationen nutzen hybride oder Multi-Cloud-Ansätze, bei denen bestimmte Daten oder Anwendungen lokal oder in anderen Umgebungen betrieben werden, während andere Dienste aus der Public Cloud genutzt werden. Technologien wie hybride Architekturen oder verschiedene Verschlüsselungsmodelle unterstützen solche Szenarien. Entscheidend ist aus unserer Sicht, dass Kunden ihre digitale Architektur bewusst gestalten können, abhängig von Risiko, regulatorischen Anforderungen und Innovationsbedarf. Die Schweiz verfügt über einen funktionierenden Markt mit einem breiten Ökosystem. Dieses umfasst lokale Start-ups, Systemintegratoren, Softwareentwickler, Betreiber von Rechenzentren und internationale Cloud-Anbieter. Die Entscheidungshoheit, ob und welcher Dienst wofür genutzt wird, liegt beim Kunden.

Christoph Schnidrig, AWS: Wir geben Kunden die Freiheit, die Technologie zu wählen, die am besten zu ihnen passt. Kunden behalten die Eigentümerschaft an ihren Daten und können sie jederzeit mitnehmen. Unser Payper- Use-Modell kennt keine langfristigen Lock-in-Verträge. Wir unterstützen offene Standards und Open-Source-Technologien. Ein gutes Beispiel ist die Schweizerische Post: Sie betreibt ihr Paketsortierungssystem auf AWS und hat die Architektur bewusst so gestaltet, dass sie den vollen Nutzen der Cloud ausschöpft und gleichzeitig innerhalb von ein bis zwei Wochen zu einem anderen Anbieter wechseln könnte. Echte Portabilität entsteht durch offene APIs und Standards. Und genau dort investieren wir.

Viele Schweizer Organisationen stehen heute vor der Frage, wie sie Innovation in der Cloud nutzen können, ohne die Kontrolle über ihre Daten und Abhängigkeiten zu verlieren. Welchen konkreten Rat geben Sie Kunden in der Schweiz, die die Cloud nutzen wollen und gleichzeitig Wert auf digitale Souveränität legen?

Christoph Schnidrig, AWS: Mein Rat: Prüfen Sie die tatsächlichen Sicherheitsmechanismen, nicht nur die Herkunft des Anbieters. Erstens technisch: AWS bietet in allen Regionen – auch in Zürich – volle Kontrolle über Datenstandort, Verschlüsselung mit kundeneigenen Schlüsseln und das Nitro System, das unbefugten Zugriff technisch verhindert. Zweitens vertraglich: Unser Vertragswerk wurde von Schweizer Banken, Versicherungen und Behörden geprüft und adressiert die lokalen Gesetzmässigkeiten. Drittens Compliance: Unabhängige Zertifizierungen wie SOC 2 und C5 geben Kunden die Gewissheit, dass Technologie und Prozesse so implementiert sind, wie wir sagen. Souveränität und Innovation sind kein Widerspruch.

Marc Holitscher, Microsoft: Aus unserer Sicht beginnt digitale Souveränität mit einer klaren, risikobasierten Einordnung der eigenen Daten und Anwendungen. Nicht jede Information erfordert das gleiche Mass an Kontrolle oder Schutz. Organisationen sollten deshalb bewusst differenzieren, welche Daten besonders sensibel sind, welche regulatorischen Anforderungen gelten und wo zusätzliche Kontrolle erforderlich ist. Für diese sensiblen Bereiche können lokale Datenhaltung, kundenseitig verwaltete Verschlüsselungsmodelle oder hybride Architekturen sinnvoll sein. Gleichzeitig gibt es viele Anwendungen, die von der Innovationskraft und Skalierbarkeit globaler Cloud-Dienste profitieren, etwa bei KI-gestützten Services oder datengetriebenen Geschäftsmodellen. Ein pragmatischer Ansatz, der Kontrolle dort stärkt, wo sie wirklich erforderlich ist, und gleichzeitig Innovation ermöglicht, hat sich in der Praxis für viele Schweizer Organisationen bewährt. Er verbindet Kontrolle und Compliance mit technologischer Weiterentwicklung und schafft die Grundlage für nachhaltige digitale Resilienz.