Nachgefragt: Die Cloud-Strategie des Bundes unter der Lupe

Wenn es um die Cloud-Strategie des Bundes geht, sind die Begrifflichkeiten und Details selbst für Fachkundige nicht immer ganz verständlich. Was ist die Swiss Cloud denn nun genau? Warum kauft der Bund Cloud-Leistungen bei Anbietern aus den USA und China? Und müssen wir uns nun Sorgen machen, dass die CIA nun Zugriff auf unsere Steuerdaten hat? «Swiss IT Magazine» hat mit Daniel Markwalder, Delegierter des Bundesrates für Digitale Transformation und IKT-Lenkung, gesprochen, um eine Landkarte der bundeseigenen Cloud-Landschaft aufzuzeichnen.

«Swiss IT Magazine»: Herr Markwalder, Sie sind seit Anfang 2021 der Delegierte des Bundesrates für Digitale Transformation und IKT-Lenkung. Können Sie Ihre Rolle beim Bund und die damit einhergehende Verantwortung für die Cloud-Projekte des Bundes umreissen?
Daniel Markwalder: Der Bundesrat hat per 1. Januar 2021 die Organisation für die digitale Transformation neugestaltet. Er legt den Fokus heute stärker auf Digitalisierung und weniger auf IKT, sprich weniger auf rein technologische Themen. In diesem Zug hat man die Aufgaben neu verteilt und bei der Bundeskanzlei den Bereich Digitale Transformation und IKT-Lenkung, kurz DTI, gebildet. Diesen leite ich in meiner Position.


Welche Aufgaben übernimmt die DTI?
Im Wesentlichen sind das folgende Aufgaben: Erstens, Interoperabilität bei den Fachthemen. Hier geht es darum, dass man übergeordnete gemeinsame Prinzipien hat – vergleichbar mit der einheitlichen Spurbreite für die Eisenbahn im Land. Wir sorgen möglichst nahe am Fach für diese Interoperabilität und Wiederverwendbarkeit. Beispiel dafür ist etwa die Schnittstellen­offenheit, die der Entwicklung aller Anwendungen zugrunde liegen muss. Die Entwicklung liegt dann aber bei den Verwaltungseinheiten. Die zweite Aufgabe betrifft fachübergreifende Leistungen – wie etwa die Entwicklung eines einheitlichen Log­ins, das als standardisierter Baustein für die Applikationsentwicklung dient und von allen genutzt werden kann.

Was auch in direktem Zusammenhang mit der ersten Aufgabe der Interoperabilität steht.
Absolut, Standarddienste wie Login, Geschäftsverwaltung oder E-Mail-Dienste sind letztlich für alle Einheiten gleich. Weiter erbringt DTI nicht-technische Dienstleistungen für den Bund, wie beispielsweise eine Cloud-Beschaffung. Im Rahmen unserer vierten Aufgabe – genannt Digitale Schweiz – öffnen wir den Blick und ordnen unter anderem internationale Entwicklungen für die Digitalisierung in der Schweiz ein. Hier sind wir im engen Austausch mit Wirtschaft, Politikern und Zivilgesellschaft und natürlich den Verwaltungseinheiten, haben also eine Drehscheibenfunktion.

Bei allen diesen Themen spielt das heutige Fokusthema, die Cloud beim Bund, eine enorm wichtige Rolle. Lassen Sie uns mit einer Auslegeordnung beginnen – welche verschiedenen Cloud-Infrastrukturen betreibt der Bund?
Sie sprechen in der Formulierung der Frage schon einen wichtigen Punkt an: Wir sprechen über einen Mix. Die Bundesverwaltung verfolgt eine Hybrid-Multi-Cloud-Strategie. Leider wird gerne vergessen, dass es nicht «die eine Cloud» beim Bund gibt.


Das ist schliesslich auch in der Wirtschaft praktisch nie der Fall. Wie gestaltet sich dieser Mix beim Bund?
Wir können die Cloud-Strategie der Bundesverwaltung konzeptionell in mehrere Ebenen unterteilen. Auf der obersten Ebene ist die Public Cloud «ab Stange» für Standardangebote ohne sensible Daten. Das decken wir mit der aktuellen WTO-Beschaffung Public Clouds Bund ab. Als zweite Ebene gibt es Public Clouds Plus mit besonderen Anforderungen – eine Bedingung kann beispielsweise die Datenhaltung in der Schweiz sein. Für beide Kategorien gibt es verschiedene Bedürfnisse von den Verwaltungseinheiten und jeweils auch mehrere Anbieter. Das ist der Public-Cloud-Teil der Strategie. Weiter betreibt der Bund auch eine eigene Private Cloud in bundeseigenen Rechenzentren.

Wird diese vom Bundesamt für Informatik und Telekommunikation BIT betrieben?
Ja, die Private Cloud des Bundes umfasst aktuell die sogenannte Atlantica-Cloud des BIT in den bundeseigenen Rechenzentren. Aber auch bei der Private Cloud gibt es konzeptionell zwei Ebenen: eine Standard Private Cloud und eine Private Cloud Plus für besondere Anforderungen. Für einzelne besonders schützenswerte Anwendungen sind wir etwa mit dem Justiz- und dem Verteidigungsdepartement im engen Austausch. Zusammenfassend kann man sagen, dass es beim Bund eine Hybrid-Multi-­Cloud gibt. Hybrid im Sinne eines Mix aus Private und Public Cloud, Multi im Sinn von verschiedenen Cloud-Instanzen mehrerer Anbieter.

Konzeptionell gibt es also vier Sicherheitsebenen bei der Cloud des Bundes, je zwei Ebenen für die Private und für die Public Cloud?
Ja, so könnte man es auch zusammenfassen. Dazu kommen aber noch eine Reihe klassischer Anwendungen ausserhalb der Cloud mit erhöhtem Schutzbedarf, die wohl auch nie in der Cloud landen werden. Diesen Mix sehe ich als zentral für die digitale Souveränität der Bundesverwaltung. Wir können nicht alles selbst machen – radikal gedacht müsste man konsequent bis zum Bau der Hardware zurückgehen, was nicht realistisch ist. Die Schweiz lebt von ihrer Vernetzung und von weltweiter Kooperation. Vom Computerchip bis zur Stromversorgung sind wir in einen internationalen Markt eingebunden. Wie der Rest Europas im Übrigen auch. Bei Cloud-Diensten müssen wir nicht alles selber machen. Aber wir sind in der Lage, selbstbestimmt leistungsfähige Partner zu wählen – und auch wieder zu wechseln. Bei Cloud-Diensten heisst das, dass wir uns mit diesem Mix unabhängig von einzelnen Anbietern machen. Dazu bauen wir parallel Wissen und Fähigkeiten auf – beispielsweise bei der Verschlüsselung.


Lassen Sie uns über einige Beispiele sprechen: Wo ist die neue SAP-Cloud des Bundes angesiedelt, die derzeit im Rahmen des ERP-Grossprojekts SUPERB aufgebaut wird?
Wenn wir beim Konzept bleiben, ist wichtig anzumerken, dass die SAP-Cloud nicht Teil der WTO-Ausschreibung Public Clouds Bund ist. Die SAP-Cloud ist grösstenteils in der zweiten Ebene Public Cloud Plus mit Datenhaltung in der Schweiz angesiedelt. Einzelne besonders kritische Module werden in der Private Cloud liegen.

Diese angesprochene WTO-Ausschreibung für die Public Cloud, die von fünf Grosskonzernen aus den USA und China gewonnen wurde, hat viel zu reden gegeben. Sie ist laut Ihrer Aussage also für unkritische Workloads und Daten vorgesehen. Aber wer betreibt denn die Public Clouds Plus, also die zweite Ebene mit sensibleren Daten?
In dieser Ebene geht es um spezifische Anforderungen, für die spezifisch beschafft wird. Diese sind nicht Teil der WTO-Ausschreibung Public Clouds Bund. Im Plus-Bereich gab es bereits einzelne Beschaffungen – wie die angesprochene SAP-Cloud. Ebenfalls auf der zweiten Ebene angesiedelt wird zum Beispiel in Zukunft der Web-Auftritt der Bundesverwaltung. Dieser wird von Swisscom in der Schweiz gehostet. Weitere Beschaffungen werden nach Bedarf folgen.

Nochmal zur Public Cloud, die von Microsoft, Alibaba und Co. gestellt werden soll. Dort gibt es grosse Bedenken, dass die USA und China eines Tages Daten abgreifen könnten. Welche Daten werden konkret auf der Public Cloud gespeichert und verarbeitet?
Diese Beschaffung geschah im Auftrag der Departemente. Da gab es offenkundig ein grosses Bedürfnis bei vielen Departementen, daher haben wir beschlossen, das als Dienstleistung gemeinsam zu beschaffen. Im Fokus stehen unkritische Daten und Anwendungen – beispielsweise Geodaten von Swisstopo und Wetterdaten von Meteo Schweiz.


Die Beschaffung selbst wurde ebenfalls stark kritisiert – der Bund habe diese auf die Hyperscaler zugeschnitten.
Es geht eben nicht nur um Datenhaltung, sondern auch um hochskalierbare Rechenpower und um Funktionalität. Am Beispiel der Wetterdaten von Meteo Schweiz: Hier stösst man im Zentrum für Supercomputing im Tessin bereits an die Grenzen der Rechenkapazität. Es geht dort um unkritische Daten, bei denen aber grosse skalierbare Rechenleistung gefragt ist. Im Rahmen der Erhebung hat sich ein sehr vielseitiger Anforderungskatalog ergeben. Das Ergebnis der gemeinsamen Beschaffung war, dass man viele Anforderungen hatte und ein Angebot suchte, das die ganze Palette abdecken kann.

Um sich damit alle Optionen für allfällige Bedürfnisse der Departemente offenzuhalten?
Ja, aber immer mit dem Bewusstsein, dass man hier nur eines von mehreren Puzzlestücken der Cloud-Strategie beschafft. Nicht ein One fits All für alle Bedürfnisse, sondern eben nur für das Standardangebot.

Letzteres wurde oft falsch verstanden und hat daher bei vielen Beobachtenden nachvollziehbares Entsetzen ausgelöst.
Rückblickend kann man wohl sagen, dass man das nicht erfolgreich kommuniziert hat. Das Setting der Beschaffung ist für mich heute aber nach wie vor nachvollziehbar und korrekt.


Die Einschätzung, dass das nur internationale Anbieter stemmen können, ist grundsätzlich nachvollziehbar. Aber die Schweizer Anbieter ziehen nach und sind teilweise auch heute schon sehr gross.
Ich sehe die Fähigkeiten der Schweizer Anbieter besonders passend für die zweite Ebene für Projekte mit besonderen Anforderungen, Public Cloud Plus. Aber auch bei der obersten Ebene haben wir die Schweizer Anbieter nicht ausgeschlossen. Die sehr hohen Anforderungen haben jedoch dazu geführt, dass kein Schweizer Angebot einging, das die Anforderungen erfüllte.

Ehrlicherweise muss man somit festhalten, dass diese hohen Anforderungen die Schweizer Anbieter eben doch ausgeschlossen haben.
Ich wehre mich gegen den Standpunkt, dass Schweizer Anbieter ausgeschlossen wurden. Man wollte mit der Ausschreibung eine möglichst breite Palette abdecken. Das waren nun mal die Bedürfnisse der Departemente. Und damit – diese Einschätzung teile ich – war es für Schweizer Anbieter schwierig. Sehr wichtig ist aber: Das eine schliesst das andere nicht aus. Es gibt viele verschiedene Bedürfnisse, die zu weiteren Beschaffungen geführt haben oder führen werden. Es ist kein Gegeneinander, sondern ein gesunder Mix. Dieser erlaubt der Bundesverwaltung, die Departemente bei der Digitalisierung zu unterstützen.

Wer entscheidet, welche Daten in der Public Cloud verarbeitet werden?
Die zuständigen Fachämter kennen ihre Daten am besten. Sie kategorisieren, wie heikel ihre Daten sind und haben die gesetzlichen Grundlagen und Verordnungen, um diese Entscheidung zu treffen. Der Entscheid liegt beim zuständigen Departement. Wir beim Bereich DTI der Bundeskanzlei definieren die übergeordneten Spielregeln und bieten den Verwaltungseinheiten Unterstützung, um die Entscheidung zu treffen, wo ihre Daten verarbeitet werden sollen. Dazu gehören etwa Hilfsmittel für die Datenschutz­folgeabschätzung und Rechtsgrundlagenanalysen, zu denen wir den Eidgenössischen Datenschutzbeauftragten (EDÖB) konsultieren.

Welche Daten letztendlich in der Public Cloud gespeichert und verarbeitet werden, wissen wir heute also noch nicht abschliessend?
Ja. Es wird sich zeigen, für welche Projekte der Bundesverwaltung die Public-Cloud-Infrastruktur genutzt wird. Wir sind selbst sehr gespannt! Gleichzeitig wird aber auch die bundeseigene Cloud vom BIT weiterentwickelt und vergrössert. Die grosse Schwierigkeit bei der eigenen Infrastruktur ist es vorauszusehen, wie umfangreich die Private Cloud sein muss. Es stellt sich auch die Frage, ob nicht eine engere Zusammenarbeit mit den Kantonen möglich wäre.


Wie sieht der Prozess aus, in dem definiert wird, wo bestimmte Daten verarbeitet werden?
Er besteht grob gesagt aus der Prüfung der Rechtkonformität, einer Schutzbedarfsanalyse und einer Risikoanalyse. Sind besonders schützenswerte Personendaten betroffen, wird zusätzlich eine Datenschutz-Folgeabschätzung durchgeführt. Hier kommen dann entsprechende Massnahmen zum Zug, zum Beispiel die Datenhaltung in der Schweiz oder Verschlüsselung. Gegebenenfalls muss man dann auch eine separate Beschaffung für diese Anforderungen machen.

Wenden wir uns der Private Cloud des Bundes zu. Wo sind die Rechenzentren der Atlantica-Cloud, die vom BIT betrieben wird?
Die Rechenzentren des BIT befinden sich in Bern und Frauenfeld. Weiter gibt es ein Rechenzentrum für die Armee, zu dem ich aus Sicherheitsgründen nicht mehr sagen kann.

Und das Vorgehen ist immer das gleiche, egal ob Public oder Private: Es wird eine Bedarfsabklärung gemacht und die richtige Cloud-Instanz für das entsprechende Schutzbedürfnis ausgewählt, richtig?
Genau. Das kann gegebenenfalls dann auch dazu führen, dass die Daten überhaupt nicht in einer Cloud landen, falls sie zu sensibel sind.


Die Abklärung zur sogenannten Swiss Cloud hat ebenfalls viel Unsicherheiten bei Bevölkerung und Parlament hervorgerufen. Im zugehörigen Bericht kam man zum Schluss, dass die Swiss Cloud nicht notwendig ist, die Kritik war laut. Was ist da passiert?
Hier gab es tatsächlich Verwirrung. In dieser Abklärung ging es darum, ob der Bund eine Cloud für die Schweizer Wirtschaft anbieten soll. Hier wäre also die Wirtschaft der Kunde des Bundes gewesen und nicht umgekehrt, wie bei den bisher besprochenen Cloud-Angeboten, bei denen der Bund Kunde ist. Beides wurde landläufig aber als Swiss Cloud verstanden.

Auf der Swiss Cloud hätte man als Unternehmen also etwa sein ERP-System laufen lassen können?
Korrekt, das war Gegenstand der Abklärung. Die Umfragen bei Wirtschaftsvertretern kamen aber zum klaren Ergebnis, dass das für die Unternehmen nicht in Frage kommt. Das hat dann aber zur Schlagzeile geführt, dass die Swiss Cloud nun vom Tisch ist, was oft falsch verstanden wurde. Die Swiss Cloud, die der Bund bezieht, wäre die besprochene Public Cloud und Public Cloud Plus – etwa die bereits genannte Swisscom-Cloud für den Web-Auftritt des Bundes.

Unsere Nachbarländer und damit die EU haben selbst ja auch Cloud-Pläne. Mit Gaia-X soll etwa eine einheitliche Dateninfrastruktur geschaffen werden, die der beschriebenen Strategie des Bundes nicht unähnlich ist, etwa die Inter­operabilität betreffend. Klinkt sich die Schweiz da ein?
Der Ansatz von Gaia-X ist enorm spannend, aber auch in der EU nicht unumstritten. Da sind die ganz Grossen wie Alibaba auch mit im Boot, aber eben mit der zusätzlichen Verpflichtung, gewisse Vorgaben einzuhalten. Unter Federführung des Eidgenössisches Departement für auswärtige Angelegenheiten (EDA) wird das evaluiert.


Welche Entwicklungen sind für Sie als Leiter der digitalen Transformation in der Schweiz in den kommenden Jahren besonders wichtig?
Wir sollten einen hohen Anspruch haben. Digitalisierung ist eines der ganz grossen Themen und bietet riesige Chancen für die Schweiz. Schade finde ich, wenn diffuse Angst vor der Digitalisierung dominiert statt Freude und positive Erwartungen. Leider überwiegen oft die Risiken in den Köpfen. Dabei haben wir als Schweiz beste Möglichkeiten, zu den Vorreitern zu gehören. Meine Vision ist es, dass wir in der Schweiz in den kommenden Jahren möglichst viele Chancen gepackt haben. (win)