Gut, dass dieser einzelne Bürger gegen das Public Cloud Projekt des Bundes vor Gericht ging und dies vom Bundesgericht gegen die Vorinstanz gestützt wird.
Arrogant die Auffassung der Bundeskanzlei, dass einer einzelnen Person die Beschwerdelegitimation nicht zustehe, wenn die gesamte Bevölkerung betroffen sei.
Gut, dass Adrienne Fichter in der Republik darüber berichtet.
Und atemberaubend das Beispiel der 40'000 Bundesangestellten, deren Daten in einer Microsoft-Cloud liegen, auf die nach amerikanischem Gesetz die US-Geheimdienste Zugriff haben können.
Edit: Tippfehler

Ein großes Dankeschön an den fiktiven Hr. Fischer. Auch für diese vorbildliche Hartnäckigkeit. Ich selbst hätte nicht die Energie. Danke

Zu dem, was Marc vor mir schon erwähnt und dem ich vollständig zustimme, möchte ich noch ein anderes Problem ergänzen:
Wie es sich schon bei einem Cloud-Projekt bei der Swisscom gezeigt hat, sind Rechenzentren in der Schweiz nur ein kleiner Teil der Lösung. Im Prinzip müsste sich auch der Zugriff von Personen ("Admins") auf diese Infrastruktur auf Personen beschränken, die der schweizerischen Gerichtsbarkeit (und Lohngefüge) unterworfen sind.

Warum?

• wenn (wie im Fall der Swisscom vor einigen Jahren) sich der Datentopf zwar in der Schweiz befindet, dieser aber preisgünstig von Mitarbeitern in Indien verwaltet wird, haben wir durch das Lohngefälle ein dramatisch hohes Risiko, dass die Bestechung so einer Person finanziell für jeden von uns gar kein Problem wäre. Bei Stundensätzen von unter 3 Franken/Stunde (Verrechnung der Firma an Kunden, nicht Lohn des Mitarbeiters - kein Hörensagen, ich war in solchen Projekten dabei) ist das Risiko offensichtlich. Warum werden auf solche Sachen nicht die gleichen Bedingungen angewendet, wie sie im Bankensektor gesetzlich vorgegeben sind? (Datenhaltung und entsprechendes Personal muss sich physisch innerhalb der Landesgrenzen befinden)
  Wenn es sich um US-Amerikanische (ich vermeide die Benutzung von "Amerikanisch", weil das auch Mexiko, Kanada und viele andere Länder einbezieht) Lieferanten handelt, dann gelten halt die Gesetze, die schon im Artikel genannt wurden. Die US-Behörden differenzieren nicht, wo sich die Datenhaltung physisch befindet. Das Problem ist den US-Firmen sehr wohl bekannt und sie sehen das durchaus als Nachteil, haben aber selber noch keine nachhaltige Lösung gefunden. In Deutschland hatte Microsoft einen Versuch mit der deutschen Telekom als "Treuhänder" für seine Azure-Cloud versucht, dies scheint aber (aus mir nicht bekannten Gründen) gescheitert zu sein. Es ist anzunehmen, dass die Analyse auf chinesische Anbieter genauso anzuwenden ist. Ich glaube nicht, dass Verschlüsselung hier die definitive Lösung ist. Damit mag der Storage Admin in USA keinen Zugriff auf Daten mehr haben, aber an anderen Stellen werden die entschlüsselten Daten ausserhalb der Kontrolle der Bundes-Admins vorliegen. Mir sind jedenfalls noch keine Techniken begegnet, wo die Ver/Entschlüsselung in einem Schweizer Netzwerkknoten passiert, der nicht der Hohheit des US-Anbieters unterliegt. Und selbst dann gäbe es noch genug relevante Metadaten

Gott sei Dank gibt es noch mutige Bürger, wie diesen 'Herr Fischer'!

Dass über diese Auslagerung sensitiver Daten überhaupt gestritten werden muss, ist ein Skandal. Was denken sich die entscheidenden Köpfe in Bundesverwaltung und Staatskanzlei überhaupt? Geht es wieder einmal um Business und Boni? Gerade so, als hätten wir in der Schweiz keine Unternehmen, welche diese Aufgabe nicht problemlos bewältigen könnten.

Wie sieht das Verfahren eigentlich aus Kostensicht für Herrn Fischer aus? Muss er da eigentlich in Vorleistung gehen, oder sind solche Verfahren bis zu einer bestimmten Stufe kostenlos? Ansonsten wäre das vielleicht ein Fall für ein Crowdfunding...

Bedauerlich, dass die Bundeskanzlei nicht einfach erklärt hat, was die Rechtsgrundlage für die Beschaffung ist. Dann wäre die Diskussion entweder vorbei oder auf der inhaltlichen Ebene angekommen. Jetzt geht es gerade um Dinge, die mit den sachlich spannenden Fragen nichts zu tun haben..

Klassisch: Man schreibt Angebote an den Günstigsten aus, wundert sich als Nächstes, dass das Schweizer Angebot nicht gewinnt, und weist dann besorgte Bürger ab, weil "einer ist ja nicht genug".

Super Einleitung und Fazit. Die beste Art, «besorgte Bürger» zu verhindern, ist, besorgte Bürger ernst zu nehmen.

Das grösste Problem an allen Cloudangeboten ist die massive Konzentration wertvoller Daten und die Potenzierung von Sicherheitslücken und Wert eines Angriffs auf solche Infrastrukturen.
Es gibt viele, viele Angriffe auf die Standard Hardware der heutigen Provider, u.A. nicht korrigierbare Side-Channel Attacken (s. Spectre, Meltdown oder Hertzbleed), die komplett am Betriebssystem vorbeigehen und dementsprechend nicht durch einfache Updates behoben werden können. Auch ist die wasserdichte Segmentierung der Speicher und Storagelösungen ein Hirngespinst.
Ausbrüche aus VMs und Containern (sorry für das Fachchinesisch) waren immer möglich und werden immer möglich sein. Bei Codebasen von millionen von Zeilen von Code ist die Idee, jede Lücke zu finden, illusorisch (ansonsten würde unsere Software im Laufe der Zeit sicherer werden.. das Gegenteil ist aber der Fall).
Die einzig sinnvolle Antwort wäre Daten so stark wie möglich zu verteilen, das eine Sicherheitslücke möglichst wenig Schaden anrichtet.
Die Cloud ist das genaue Gegenteil davon.
Erfolgreiche Angriffe werden dann nicht einzelne Firmen/Regierungen treffen, sondern ganze Kontinente und Industrien.

@Adrienne Fichter: Kennst Du übrigens eine öffentliche Liste der Bundeskanzlei oder sonstiger Bundesbehörden, wo aufgezählt wird, was alles als «Daten mit erhöhtem Schutzbedarf» beim Bund gilt?

Danke "Ricardo Fischer"!

Das Vorhaben mit US und chinesischen Cloudanbietern besorgt mich auch sehr. Aber ich habe kaum eine Ahnung was ich dagegen unternehmen könnte. Ich bin froh um deinen Einsatz und wünschte, die Kraft und das Wissen zu haben um irgendwie unterstützend zu sein.

Auch ich bin sehr froh, dass "Ricardo Fischer" diese Anklage durchzieht, und danke ihm dafür.

In der Diskussion fehlt mir aber ein bisschen die Reflektion der Grundlagen. Es geht nicht nur um die technische Abwägung der Sicherheit und "Machbarkeit" von Cloud vs. eigenen CH-Lösungen

Ein Staat besteht aus Information. Information ist seine Essenz!

Die Cloud (oder schon den Einsatz von proprietärer Software) als alternativlos zu sehen, ist meines Erachtens eine komplette Kapitulation, ein Aufgeben jeder Souveränität.

Der Umgang mit Information macht den Staat aus, und zu diesem Umgang erklärt er sich selber unfähig? Das können nur amerikanische Grossunternehmen gut genug?

Wieso haben wir denn z.B. keine AaS (Armee as a Service)? Das könnte mit exakt denselben Argumenten wie bei der Cloud gefordert werden - die Bedrohungen da draussen sind so gross, dass wir uns selber ja gar nicht wehren können. Also lassen wir das doch einfach eine globale Firma machen...

So absurd dieses Beispiel ist, noch viel absurder ist es für mich, dasselbe für den gesamten Datenhaushalt des Staates in Erwägung zu ziehen.

Das geht nicht: "...einen besorgten Bürger, der aber ein durchaus berechtigtes Anliegen hat". Es impliziert, dass die Angst der Bürgerlichen vor einer Islamisierung nicht ernst zu nehmen ist. Mein Kind hat Angst vor Monster und allerlei völlig irrationalen Dingen (aus meiner Sicht). Aber dennoch nehme ich sein Gefühl ernst. Angst verschwindet nicht wenn man es belächelt: das Kind lernt dabei nur, dass es nicht auf mich zählen kann. Wertkonservative Ängste muss man auch verstehen und beachten, sonst werden sie nur schlimmer.

Hier die Antwort der Bundeskanzlei zur Frage, wie die gesetzliche Grundlage für die Public Cloud-Beschaffung lautet.

tl;dr: Es gibt keine, weil es angeblich keine braucht.

Hier die ausführliche Antwort:

"Die Nutzung von Cloud-Diensten ist im Grundsatz als administrative Hilfstätigkeit (Bedarfsverwaltung) einzustufen. Unter «administrative Hilfstätigkeit» wird die Beschaffung jener notwendigen Sachgüter oder Leistungen verstanden, die die Verwaltung zur Erfüllung ihrer öffentlichen Aufgabe benötigt. Beispiele dafür sind der Abschluss von Werkverträgen für die Errichtung einer öffentlichen Baute oder eben das Beiziehen eines IKT-Leistungserbringers. Die Verwaltungseinheit schliesst dabei grundsätzlich privatrechtliche Verträge nach den Voraussetzungen des Beschaffungsrechts ab. Die gesetzliche Grundlage leitet sich unmittelbar aus der Rechtsgrundlage der jeweiligen öffentlichen Aufgabe ab. Hier folgt ein kleines Beispiel: Gemäss Artikel 60 Heilmittelgesetz (HMG) ist das Institut (Swissmedic) grundsätzlich für das Inspektionswesen in der Schweiz zuständig. Hier liegt die gesetzliche Grundlage für Inspektionen unter den Voraussetzungen nach Art. 60 HMG. Damit sie diese Aufgabe wahrnehmen kann, braucht sie verschiedenste Hilfsmittel (bspw. Autos, spezielle Ausrüstung, WLan etc.). Für die Beschaffung oder Nutzung dieser Hilfsmittel ist keine spezifische gesetzliche Grundlage nötig, denn das Beschaffen und Nutzen dieser Hilfsmittel dient der Erfüllung der zugrunde liegenden öffentlichen Aufgabe der Durchführung von Inspektionen. (Dazu noch der Hinweis, dass die Bundesverfassung dem Bundesrat – und abgeleitet damit auch der Verwaltung – den Auftrag gibt, für den Vollzug, u.a. der Gesetzgebung, zu sorgen; https://www.fedlex.admin.ch/eli/cc/…de#art_182)

Je nach Sachbereich oder Natur der bearbeiteten Daten gelten jedoch spezifischere Anforderungen an die Rechtsgrundlage. Das gilt allgemein namentlich dann, wenn Personendaten Gegenstand eines Cloud-Sourcing sind. Hier sind insbesondere die Anforderungen des Datenschutzgesetzes (DSG) einzuhalten. Das Datenschutzgesetz findet nur dann Anwendung, wenn Personendaten bearbeitet werden. Gemäss Artikel 17 DSG braucht es für die Datenbearbeitung durch Bundesbehörden eine gesetzliche Grundlage. Diese ergibt sich aus dem jeweiligen Spezialgesetz. Um beim Beispiel vom HMG zu bleiben, regelt Artikel 62a HMG die Bearbeitung von Personendaten. Gemäss Artikel 10a DSG können Personendaten durch Dritte bearbeitet werden, wenn die dort aufgezählten Voraussetzungen (https://www.fedlex.admin.ch/eli/cc/…e#art_10_a) erfüllt sind. Auch eine Datenbekanntgabe ins Ausland ist gemäss Artikel 6 DSG unter bestimmten Voraussetzungen möglich. Diese Regelungen werden sich mit dem neuen Datenschutzgesetz auch nicht wesentlich ändern.

Nach dem oben Erklärten ergibt sich somit die gesetzliche Grundlage aus den jeweiligen Spezialgesetzen und aus dem Datenschutzgesetz. Eine zusätzliche spezifische gesetzliche Grundlage für die Nutzung von Cloud-Services ist nicht erforderlich."

Zum Cloud-Thema wären noch folgende Zitate aus einem aktuellen Artikel von Inside IT nachzutragen:
Kosten: "Bis zu einem Drittel mehr müsse man für Dienste von Hyperscalern im kommenden Jahr zahlen, fürchten Analysten von Canalys. Einige Kunden dürften die Ausstiegskosten zu kalkulieren beginnen."
Abhängigkeit: "...es handle sich bei den Angeboten eigentlich nicht um "Software as a Service, sondern um Software als Geisel". Kunden hätten oft keine Wahl und könnten nicht mehr aussteigen. Wer in die Cloud migriert ist, wird mit Anwendungen für proprietäre APIs, mit spezifischer Schulung der eigenen technischen Teams und mit potenziell gigantischen Migrationsprojekten aus der Cloud zu kalkulieren haben."

Vielen Dank für die vielen Kommentare.
Frage mich gerade, welche gesetzlichen Rahmenbedingungen für bundesnahe Betriebe gelten. Success Factors ist ja z.B. nicht nur beim Bund im Einsatz …

Extra credits für den Titel dieses Artikels :)