Wie wichtig ist es, dass Sicherheitssoftware Ihre Daten in der Schweiz speichert, und wie prüfen Sie, was ein Anbieter damit wirklich meint? In einem ISMS- oder Assessment-Tool liegt ein genaues Bild Ihrer Schwachstellen, deshalb gehört der Speicherort zu den Beschaffungskriterien. «Schweiz» allein sagt aber wenig: Entscheidend sind Backups, Supportzugriffe, Unterauftragnehmer, Verträge und der Ausstieg. Dieser Leitfaden zeigt, welche Fragen Sie stellen und wann SaaS oder Eigenbetrieb passt.

Was in Sicherheitssoftware tatsächlich gespeichert wird

Viele unterschätzen, wie aussagekräftig die Daten in einem ISMS- oder Assessment-Tool sind. Gespeichert werden Reifegradbewertungen, Antworten auf Kontrollfragen, Hinweise auf fehlende Schutzmassnahmen, Schutzbedarf kritischer Systeme, offene Risiken, Prioritäten, Verantwortliche und Fristen, manchmal auch Feststellungen aus Audits.

Einzeln wirken diese Angaben harmlos. Zusammen ergeben sie eine Anleitung, wo eine Organisation am verwundbarsten ist. Wer Sicherheitssoftware beschafft, beschafft deshalb immer auch einen Ort für sensible Steuerungsdaten, und je strukturierter eine Lösung Anforderungen wie ISO 27001 oder den IKT-Minimalstandard abbildet, desto schützenswerter wird ihr Inhalt. Wie Sie solche Informationen einstufen, beschreibt der Leitfaden zur Schutzbedarfsanalyse.

Was eine Datenhaltung in der Schweiz bringt

Eine internationale Cloud kann sehr sicher betrieben sein. Zu prüfen ist, ob sie zu Ihrer Verantwortung, Ihrem Risikoprofil und Ihren Nachweispflichten passt. Eine Datenhaltung in der Schweiz hat dabei einige praktische Vorteile:

• Einfachere Einordnung. Verträge, Ansprechpartner und rechtliche Beurteilung bewegen sich näher am eigenen Geschäftsumfeld. Bei Modellen mit Subdienstleistern in mehreren Rechtsräumen ist das aufwendiger.
• Leichter erklärbar. Wer einem Verwaltungsrat, einer internen Revision, einer Aufsicht oder Kunden darlegen muss, wo Sicherheitsdaten liegen, hat mit einem klaren Schweizer Standort weniger Erklärungsaufwand.
• Passend zu internen Vorgaben. Viele öffentliche Stellen und Unternehmen mit erhöhtem Vertrauensbedarf haben Richtlinien oder Kundenverträge, die einen Speicherort in der Schweiz verlangen oder bevorzugen.
• Kurze Wege im Betrieb. Ein Anbieter in der Schweiz kennt die Rahmenbedingungen seiner Kundschaft und arbeitet zu denselben Geschäftszeiten. Vertraglich geregelte Service Levels ersetzt das nicht.

Datenhoheit heisst dabei nicht, jede technische Komponente selbst zu betreiben. Sie bedeutet, die Kontrolle über Datenflüsse, Zugriffsrechte, Aufbewahrung und Löschung aktiv wahrzunehmen.

Was der Standort nicht leistet

Der Speicherort macht eine Software noch nicht sicher. Auch eine Plattform mit Hosting in der Schweiz muss sauber entwickelt, professionell betrieben und nachvollziehbar administriert werden. Vier Fehlannahmen führen in der Praxis regelmässig zu Lücken:

• «Schweiz» beschreibt oft nur den Speicherort der Produktionsdaten. Supportzugriffe, Backups, Protokolle, Metadaten und beteiligte Dienstleister können anders geregelt sein.
• Ein Zertifikat bestätigt definierte Prüfbereiche. Es sagt nicht, ob der Dienst für Ihren konkreten Zweck geeignet ist.
• Verschlüsselung schützt die Daten, hilft aber nicht gegen falsche Berechtigungen oder schwache Authentisierung.
• Ein unterschriebener Vertrag ist noch keine gelebte Kontrolle, wenn Reviews, Massnahmen und Vorfälle nicht nachweisbar gesteuert werden.

Ebenso wenig macht der Standort Schweiz eine Organisation automatisch datenschutzkonform. Auch wenn Sie einen Anbieter einsetzen, bleiben Sie für die Bearbeitung Ihrer Daten verantwortlich, und je nach Branche, Datenkategorie und internationaler Zusammenarbeit gelten zusätzliche Anforderungen. Manche Anbieter betonen den Standort stark und bleiben bei Betrieb, Berechtigungen und Nachvollziehbarkeit vage. Entscheidend ist das Zusammenspiel aus Standort, Sicherheitsniveau und Transparenz.

Prüffragen an den Anbieter

Lassen Sie sich die Antworten schriftlich geben. Transparenz ist hier mehr wert als pauschale Zusicherungen.

Datenstandort und Rechtsraum

• Wo genau werden Produktionsdaten, Backups, Testdaten und Logdaten gespeichert?
• Welche Datenkategorien werden ausserhalb der Schweiz verarbeitet, durch wen und wofür, etwa für Zahlungen, E-Mail-Versand oder Support?
• Welches Recht gilt für den Anbieter und seine beteiligten Gesellschaften? Eine Schweizer Gesellschaft ist ein gutes Zeichen, beantwortet aber nicht alle Fragen zu Konzernstrukturen und Unterauftragnehmern.
• Gibt es eine aktuelle Liste der Unterauftragnehmer, und werden Sie über Änderungen informiert?
• Gibt es einen Vertrag zur Auftragsbearbeitung, der die Pflichten des Anbieters regelt?

Zugriffe und Rollen

Der häufigste Schwachpunkt in der Praxis ist ein zu weit gefasster Zugriff, selten das Rechenzentrum.

• Lassen sich Rollen so vergeben, dass Mitarbeitende nur sehen und bearbeiten, was sie für ihre Aufgabe brauchen? Die Geschäftsleitung braucht andere Einblicke als die Person, die eine einzelne Massnahme umsetzt.
• Wie ist die Anmeldung geschützt?
• Wie sind privilegierte Zugriffe des Anbieters geregelt? Werden administrative Tätigkeiten protokolliert, und gibt es Freigabeprozesse für Supportzugriffe?
• Werden Daten bei der Übertragung und im Ruhezustand verschlüsselt? Bei erhöhtem Schutzbedarf: Wer verwaltet die Schlüssel?

Nachvollziehbarkeit

• Hält das System fest, wer wann eine Bewertung, Verantwortlichkeit oder Risikoeinstufung geändert hat?
• Lassen sich Entscheidungen auch Monate später oder nach einem Personalwechsel noch nachvollziehen?

Verfügbarkeit und Ausstieg

• Welche Service Levels, Sicherungskonzepte und Wiederanlaufziele gelten, und werden Wiederherstellungen getestet?
• Lassen sich Daten jederzeit in einem nutzbaren, offenen Format exportieren?
• Wie lange bleiben Daten nach der Kündigung verfügbar, wann werden sie gelöscht, und erhalten Sie einen Nachweis?

Wie streng Sie die Verfügbarkeit bewerten, leiten Sie aus Ihren eigenen Prozessen ab. Die Standardwerte des Anbieters sind dafür kein Massstab. Ein Assessment-Tool, das Sie vor allem für jährliche Bewertungen nutzen, hat andere Anforderungen als eine Plattform für die Einsatzplanung.

SaaS oder On-Premise

Mit der Frage nach dem Speicherort kommt oft die nach der Betriebsform. Der Unterschied ist grösser als «Cloud oder eigener Server», denn es geht darum, wer den technischen Betrieb verantwortet.

Kriterium	SaaS	On-Premise
Betrieb	Anbieter betreibt, wartet und aktualisiert die Anwendung	Organisation verantwortet Server, Datenbank, Updates, Backups, Überwachung
Start	Direkt mit der Bewertung beginnen	Erst Infrastruktur aufbauen, installieren, absichern
Kontrolle	Über Rollen, Bearbeitungsstände, Verträge und Prüfung des Anbieters	Über die eigene Umgebung, sofern sie aktiv wahrgenommen wird
Aufwand	Abonnement, Prüfung des Anbieters	Lizenz plus Betrieb, Personal, Sicherheitsupdates, Prüfungen, Erweiterungen
Passt zu	Organisationen ohne eigenes Betriebsteam für Fachanwendungen	Organisationen mit isolierten Netzen, verbindlichen Vorgaben oder starker Betriebsorganisation

Kontrolle heisst nicht automatisch eigener Server

Viele verbinden On-Premise mit maximaler Kontrolle. Diese Kontrolle ist aber nur ein Vorteil, wenn sie gelebt wird. Wer prüft Sicherheitsupdates? Wer überwacht die Verfügbarkeit, testet Wiederherstellungen, passt Berechtigungen bei Personalwechseln an? Bleiben diese Aufgaben im Tagesgeschäft liegen, wird aus der gewünschten Kontrolle ein Betriebsrisiko. Für die Informationssicherheit ist es oft wertvoller, jederzeit zu sehen, welche Anforderungen erfüllt sind, welche Lücken bestehen und wer welche Massnahme bearbeitet.

Vertraulichkeit allein ist kein Argument für Eigenbetrieb. Ausschlaggebend ist, ob Sie intern mindestens so sicher, aktuell und dokumentiert betreiben können wie ein geeigneter Anbieter.

Wann On-Premise die bessere Wahl bleibt

• wenn gesetzliche, vertragliche oder interne Vorgaben eine eigene Infrastruktur verbindlich verlangen
• wenn die Umgebung bewusst vom Internet getrennt ist
• wenn eine leistungsfähige Betriebsorganisation bereits vorhanden ist
• bei sehr spezifischen Integrationen oder individuellen Anpassungen

Rechnen Sie dann mit den Gesamtkosten über mehrere Jahre. Eine günstige Lizenz kann teuer werden, wenn sie dauerhaft interne Spezialressourcen bindet. Internationale Konzerne haben zudem oft verbindliche Vorgaben zu zulässigen Cloud-Anbietern, die vor jeder Auswahl zu klären sind.

Den Anbieter wie einen Lieferanten bewerten

Die Auswahl einer Sicherheitsplattform ist selbst eine Lieferantenbewertung, und sie endet nicht mit der Unterschrift. Bewährt hat sich ein einfacher Ablauf:

1. Dienst einordnen. Welche Daten werden verarbeitet, und wie hoch ist der Bedarf an Vertraulichkeit, Integrität und Verfügbarkeit?
2. Nachweise sammeln. Vertragsunterlagen, Vereinbarung zur Auftragsbearbeitung, Liste der Unterauftragnehmer, Datenschutzerklärung, Zertifikate, Beschreibung des Berechtigungskonzepts. Ein fehlender Beleg ist nicht zwingend ein Ausschlussgrund, aber eine Lücke, die Sie festhalten.
3. Massnahmen ableiten. Zum Beispiel Mehrfaktor-Anmeldung für alle Nutzenden verbindlich machen, einen jährlichen Berechtigungsreview festlegen oder Zuständigkeiten für Sicherheitsmeldungen klären. Jede Massnahme braucht eine verantwortliche Person, eine Frist und einen Status.
4. Restrisiken dokumentieren. Was sich nicht beheben lässt, gehört mit Eintrittswahrscheinlichkeit, Auswirkung, verantwortlicher Person und Entscheid in ein Register. Eine Vorlage bietet der Leitfaden zum Risikoregister Informationssicherheit.
5. Regelmässig überprüfen, mindestens jährlich und bei Änderungen am Dienst.

Wie Sie das mit einem strukturierten Fragebogen für alle wichtigen Dienstleister tun, zeigt der Leitfaden Lieferantenrisiken mit Fragebogen bewerten. Beginnen Sie mit dem Dienst, der Ihre wichtigsten Prozesse oder sensibelsten Daten trägt. Diese erste Bewertung wird zum Muster für alle weiteren.

Für wen der Speicherort besonders zählt

Für ein kleines Team mit überschaubarem Schutzbedarf kann eine internationale Standardlösung ausreichen. Besonders relevant ist eine Datenhaltung in der Schweiz für:

• öffentliche und halböffentliche Stellen, wie im Leitfaden Cyber Assessment für Verwaltung beschrieben
• Betreiber kritischer Infrastrukturen, etwa in Energie und Versorgung
• Unternehmen mit erhöhtem Vertrauensbedarf gegenüber Kunden und Partnern
• Organisationen, die regelmässig Audits, Assessments oder Compliance-Nachweise erbringen müssen

Wer zusätzlich Personendaten bearbeitet und Pflichten aus dem revDSG und allenfalls der DSGVO prüfen will, findet im Modul Datenschutz (revDSG/DSGVO) eine strukturierte Selbstbeurteilung, die auch Auftragsverarbeitung, Drittparteien und internationale Datentransfers abdeckt.

Wie SCMC Daten hält

Damit Sie die Prüffragen auch an uns stellen können, hier die Fakten:

• Speicherort: Die Daten der Plattform werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich).
• Dienstleister: Die Infrastruktur stellt AWS, Zahlungen wickelt Stripe ab. Was ausserhalb der Schweiz verarbeitet wird, beschreibt die Datenschutzerklärung im Detail.
• Vertrag: Ein Auftragsverarbeitungsvertrag mit Liste der Unterauftragsverarbeiter ist verfügbar.
• Website: Die Website von SCMC kommt ohne Dienste von Google aus. Die Zugriffsprotokolle liegen in Zürich, und Anmeldedaten erscheinen in keinem Protokoll.
• Nachvollziehbarkeit: Der Verlauf einer Frage, Massnahme oder eines Risikos zeigt, was sich wann geändert hat, und jede Karte nennt, wer sie zuletzt geändert hat. Die Zusammenarbeit läuft über Rollen.
• Ausstieg und Weiterverwendung: Eine Bewertung lässt sich jederzeit als Excel herunterladen, Bewertung, Massnahmen und Risikoanalyse auch als Word-Dokument.

Antworten auf weitere Fragen zu Datenschutz und Sicherheit finden Sie im Hilfe-Center. Wer zuerst den Stand der eigenen Informationssicherheit sehen will, beginnt mit dem kostenlosen Cyber Security Basis Check. Wie Sie zwischen Tool, Beratung und GRC-System abwägen, beschreibt der Leitfaden ISMS-Software oder Beratungsprojekt.

Am Ende sollte die Datenhaltung einer Sicherheitsplattform gegenüber Geschäftsleitung, Revision und Partnern in wenigen Sätzen erklärbar sein. Wenn Ihnen ein Anbieter diese Sätze nicht liefern kann, ist das selbst ein Befund.