Fällt die Bundes­kanzlei bald aus allen Wolken?

«Besorgter Bürger» ist ein Begriff, den man in den letzten Jahren immer wieder bei rechten und rechts­extremen Aufmärschen in Deutschland gehört hat. Es handelt sich also um (oft wert­konservative) Bürgerinnen, die etwa gegen die vermeintliche Islamisierung ihres Landes protestieren.

Auch im vorliegenden Gerichts­fall geht es um einen besorgten Bürger, der aber ein durchaus berechtigtes Anliegen hat und sich Gedanken zu aktuellen Entwicklungen macht – nicht bezüglich des Abend­landes, sondern der Digitalisierung.

Der es nicht einfach gutheissen möchte, dass Teile von Daten des Bundes – darunter auch zu einem grossen Teil Daten von Schweizer Einwohnerinnen – zu amerikanischen und chinesischen Cloud-Speicher-Giganten geschoben werden. Was den Schweizer Rechts­staat und die digital­politischen Ambitionen der Bundes­verwaltung auf die Probe stellt.

Ricardo Fischer, der in Wirklichkeit anders heisst, ist dieser digital­politisch besorgte Bürger. Er hat soeben vor dem Bundes­gericht gegen die Bundes­kanzlei, das feder­führende Amt bei der Cloud-Beschaffung, einen Teilsieg errungen.

Wir erinnern uns: Am 14. Januar veröffentlichte die Republik eine Hintergrund­recherche zur Beschaffung der Public Cloud. Darin konnte aufgezeigt werden, dass diese Ausschreibung auf die amerikanischen und chinesischen Cloud-Anbieter zugeschnitten war und auch rechts­widrige Mängel begangen wurden.

Am 18. Januar 2022 – also vier Tage nach Erscheinen des Republik-Beitrags – reicht Herr Fischer ein Schreiben bei der Bundes­kanzlei ein. Er erkundigte sich, ob die vorgesehene Auslagerung von Bundes­daten in amerikanische und chinesische Cloud-Zentren überhaupt eine gesetzliche Grund­lage habe. Sollte es kein solches spezifisches Gesetz geben, verlangt Herr Fischer einen sofortigen Stopp der Daten­auslagerung. Er möchte nicht, dass seine persönlichen Daten in virtuelle Infra­strukturen von ausländischen Anbietern gelangen und dort verarbeitet werden.

Die Bundeskanzlei antwortet am 21. Januar, alles habe seine Recht­mässigkeit; und zwar wegen Datenschutz­folgeabschätzungen und weiterer Abklärungen zur Rechts­konformität, die man getroffen habe. Doch die konkrete gesetzliche Grund­lage für das Public-Cloud-Geschäft fehlt in der Antwort.

Stopp aller Cloud-Aktivitäten

Fischer erhebt am 9. Februar Beschwerde vor dem Bundes­verwaltungs­gericht. Er verlangt den sofortigen Stopp aller Cloud-Aktivitäten mittels «vorsorglicher Massnahmen».

Am 24. März 2022 beantragt die Bundes­kanzlei, es sei auf die Beschwerde nicht einzutreten. Dem Beschwerde führenden Bürger fehle es an einer Beschwerde­legitimation, weil er von allfälligen Auslagerungen in die Cloud nicht mehr betroffen sei als andere Personen in der Schweiz.

Das Bundesverwaltungs­gericht, das bei dieser Public-Cloud-Beschaffung bereits rechts­widrige Mängel festgestellt hatte, stellt sich dieses Mal ganz auf die Seite der Bundes­kanzlei. Und weist die Beschwerde Fischers am 31. März mit einer Zwischen­verfügung ab.

Dieser lässt sich jedoch nicht so einfach abwimmeln. Am 20. April 2022 beantragt Ricardo Fischer beim Bundes­gericht, die Zwischen­verfügung sei aufzuheben. Er beharrt auf dem Abbruch der Cloud-Projekte und auf der Klärung, ob eine gesetzliche Grundlage vorliege.

Das Bundesgericht gibt Fischer in Teilen recht, wie das nun veröffentlichte Urteil vom 28. Juli zeigt.

Zwar lehnt das Gericht Fischers Antrag auf vorsorgliche Massnahmen ab. Dies, weil sich die Bundes­kanzlei öffentlich und in einer Stellung­nahme zuhanden des Gerichts dazu bekennt, keine sensitiven Daten wie Steuer­daten in die Public Clouds von Amazon und Co. zu verlagern. Oder dies explizit so nicht «beabsichtigt».

Und dennoch rügt das höchste Gericht die Vorinstanz, also das Bundes­verwaltungs­gericht. Es habe sich mit dem Gesuch Fischers gar nicht auseinander­gesetzt, sondern sich als «nicht zuständig» erklärt. «Rechts­verweigerung» nennen dies die Juristinnen. Die Zwischen­verfügung wird damit wieder aufgehoben.

Die Bundes­richterinnen haben den Ball also wieder an die Vorinstanz zurück­gespielt. Nun müssen sich die Richter des Bundes­verwaltungs­gerichts erneut mit dem Cloud-Projekt und auch inhaltlich mit den Forderungen des Beschwerde­führers auseinander­setzen. Und entscheiden, ob vorsorgliche Massnahmen, also ein unmittelbarer Stopp des Cloud-Projekts, verhängt werden sollen.

Sensible Daten bereits in der Wolke

Ricardo Fischer hat womöglich noch ein wertvolles Beweis­mittel in der Hand. Denn, wie bereits erwähnt: Das Bundes­gericht hat sich von der Bundes­kanzlei versichern lassen, dass keine Daten mit erhöhtem Schutz­bedarf in der Wolke gespeichert werden.

Doch de facto tut der Bund genau das bereits heute.

Zwar handelt es sich nicht um Daten von Schweizer Bürgerinnen, sondern von den rund 40’000 Bundes­angestellten (die notabene auch Schweizer Bürger oder Einwohnerinnen sind). Diese werden seit anderthalb Jahren in SAP-Rechen­zentren sowie auch beim amerikanischen Cloud-Giganten Microsoft gehalten. Dabei könnte es sich je nachdem um Daten wie Mitarbeiter­bewertungen, Absenzen, Verwarnungen, Gründe für eine Entlassung, allfällige Arzt- und Arbeits­zeugnisse handeln.

«Im Cloud-Service SuccessFactors [Name der Cloud-Einrichtung] werden HR-Daten verarbeitet. Darunter befinden sich auch Personen­daten der Bundes­angestellten, die vereinzelt als besonders schützens­werte Personen­daten zu qualifizieren sind», sagt Jonas Spirig, Sprecher des Bundesamts für Bauten und Logistik; jenes Amts, das für Beschaffungen zuständig ist.

Jene Personal­informationen befinden sich in einem Microsoft-Daten­zentrum in der Schweiz. Und weil es sich um einen amerikanischen Konzern handelt, könnten je nachdem auch die amerikanischen Überwachungs- und Strafverfolgungs­gesetze greifen, etwa der «Cloud Act» oder «Fisa Section 702». Diese gebieten direkten Zugriff auf die Daten von Europäerinnen, jene von Schweizerinnen inbegriffen. Ein Risiko, das den Bundes­behörden bewusst ist und das man mit Schweizer Daten­zentren sowie mit Verschlüsselungs­methoden einzugrenzen versucht.

Auch wenn es um zwei separate Cloud-Geschäfte geht: Die Grund­thematik – welche Daten in die Cloud verlagert werden – ist dieselbe. Und die Information bezüglich der Personal­daten könnte allenfalls die Karten neu mischen.

Die Rahmenverträge mit Amazon, Alibaba und Co. hätten in diesem Monat in trockene Tücher gebracht werden sollen. Doch ob sie jemals unter­zeichnet werden können, ist bis zum Entscheid des Bundes­verwaltungs­gerichts noch ungewiss.

Im Bundesgerichtsurteil wurde zudem etwas Entscheidendes festgehalten, zumindest sinngemäss: Kein Amt kann sich mit der Begründung rausreden, dass die Bedenken einer Einzel­person allein nicht wichtig genug seien, um sich mit ihnen auseinander­zusetzen. Auch nicht, wenn es dabei um ein Bundes­projekt in der Grössen­ordnung von 110 Millionen Franken geht. Eine Argumentation, die die Bundes­kanzlei auszuspielen versuchte – und womit sie scheiterte.

Mit anderen Worten: Eine Behörde hat sich mit den Anliegen von besorgten Bürgerinnen rechtlich auseinander­zusetzen und kann sie nicht (mit Floskeln) abwimmeln. Unabhängig davon, wie es nun in dieser Sache weitergeht: Zumindest diese Fest­stellung ist ein Sieg für den Rechts­staat.