Sicher vor Big Tech mit Galaxyweb Business-Mail
- Business-Mail
- 1'957 Wörter
- 10 Minuten
- Mi. 21. Januar 2026, 07:53 Uhr
Wenn Schweizer Daten beim FBI landen: Erfahren Sie, warum Microsoft 365 für KMU ein Risiko ist und wie Galaxyweb mit Business-Mail echte Datensouveränität und Sicherheit nach Schweizer Recht garantiert.
Die Digitalisierung versprach Freiheit, doch für viele Schweizer Unternehmen und Verwaltungen endete sie in der Abhängigkeit von US-Giganten. Ein aktueller Fall aus Luzern zeigt die Brisanz: Trotz Speicherung auf hiesigen Servern sind Daten vor dem US Cloud Act sowie FISA Act nicht sicher. In diesem Beitrag analysieren wir die wachsende Kritik an Microsoft 365 in der Schweiz und zeigen auf, warum eine lokale Lösung von Galaxyweb die einzige Antwort für datenschutzbewusste KMU im Jahr 2026 ist.
Warum Ihre Mails nicht nach Übersee gehören
Die Schlagzeile der Luzerner Zeitung lässt aufhorchen: Wenn Dienstpläne beim FBI landen. Was wie ein Plot aus einem Spionagethriller klingt, ist für viele Schweizer Unternehmen und Verwaltungen bittere Realität. Der Kern des Problems ist der sogenannte US Cloud & FISA Act. Diese Gesetze verpflichtet US-Unternehmen wie Microsoft, Google oder Amazon dazu, Behörden Zugriff auf gespeicherte Daten zu gewähren – völlig ungeachtet dessen, ob die Server physisch in Zürich, Genf oder New York stehen.
Mehr erfahren: Haltung der Stadt Luzern zur Nutzung von M365 auf www.stadtluzern.ch
Die Illusion der Schweizer Cloud bei US-Anbietern
Die Stadt Luzern steht stellvertretend für ein nationales Problem. Die Interpellation von Adrian Häfliger und Monika Weder (Grüne/JG-Fraktion) brachte es ans Licht: Die Nutzung von Microsoft 365 (M365) schafft Tatsachen, die den Datenschutz untergraben.
Aktuelle Debatten im Luzerner Kantonsrat (Stand Oktober 2025) zeigen, dass der Widerstand wächst. Kritiker bemängeln, dass die Datenhoheit schlicht nicht geklärt ist. Selbst wenn 95 % der Daten in "kantonaler Obhut" bleiben sollen, reicht bereits die Nutzung von M365 als Arbeitswerkzeug aus, um Metadaten und Kommunikation unter die Jurisdiktion des US-Rechts zu stellen. Die kantonale Datenschutzbeauftragte und sogar das Kantonsgericht warnten bereits 2024 vor einer unzureichenden Bewertung dieser Risiken.
Involvierte Quellen & Artikel:
- Stadt Luzern (News 2720678): Offizielle Stellungnahmen zur Interpellation betreffend M365-Datenschutz.
- Luzerner Zeitung: „Wenn Dienstpläne beim FBI landen“ – Der investigative Bericht über die Zugriffsmöglichkeiten von US-Behörden.
- Inside IT / Netzwoche: Berichte über den abgelehnten "M365-Marschhalt" im Kantonsrat trotz massiver Bedenken der Datenschützer.
Spionage statt Strafverfolgung
Was viele dabei missverstehen: Wir reden hier nicht von einem klassischen Strafverfahren. In einem rechtsstaatlichen Prozess, wie wir ihn in der Schweiz kennen, müssen Behörden eine konkrete Anklage erheben und einen richterlichen Beschluss erwirken. Der Betroffene hat meist die Möglichkeit, sich rechtlich zu wehren.
Beim FISA Act (Foreign Intelligence Surveillance Act), speziell unter Sektion 702, gelten diese Regeln nicht. Hier geht es nicht um die Verfolgung von Straftaten, sondern um die Gewinnung von Informationen zur Auslandsaufklärung. Das bedeutet:
- Kein Einzelbeschluss: US-Geheimdienste wie die NSA oder das FBI benötigen keinen spezifischen gerichtlichen Durchsuchungsbeschluss für ein einzelnes Schweizer Unternehmen. Sie lassen sich lediglich allgemeine Überwachungsprogramme jährlich pauschal genehmigen.
- Keine Information (Gag Order): Die US-Provider werden gesetzlich dazu verpflichtet, über den Datenabfluss zu schweigen. Ein Schweizer Unternehmen erfährt also nie, ob und wann seine Daten in die USA kopiert wurden.
- Kein Rechtsschutz für Schweizer: Da die betroffenen Personen keine US-Bürger sind, geniessen sie vor den US-Geheimdienstgerichten (FISC) so gut wie keinen Schutz.
Ein Eingriff in die Freiheit Unbeteiligter
Das wahre Ausmass dieser Gesetzgebung zeigt sich beim Blick auf die Betroffenen. Es trifft eben nicht nur das Unternehmen, gegen das eventuell ein Verdacht vorliegt. Da moderne IT-Systeme (wie ERP-Lösungen oder E-Mail-Dienste) hochgradig vernetzt sind, landen bei einer solchen Abfrage unweigerlich auch die Daten von Kunden, Lieferanten und Mitarbeitenden im Netz der US-Behörden.
Selbst wenn ein Unternehmen völlig korrekt arbeitet, werden die Daten seiner Partner zum „Beifang“ einer ausländischen Überwachung. Das ist ein massiver Eingriff in die informationelle Selbstbestimmung nach Art. 13 Abs. 2 BV (Bundesverfassung), für den wir als Unternehmer die Verantwortung tragen. Wer seine Daten einer US-Cloud anvertraut, verliert faktisch die Kontrolle darüber, wer den Generalschlüssel zum digitalen Archiv besitzt.
Echte Souveränität gibt es nur ohne Hintertür
Der Fall Luzern zeigt: Die Strategie, Daten einfach in vertraulich und unbedeutend zu unterteilen, greift zu kurz. In einer digitalen Wirtschaft sind auch Dienstpläne, CRM-Einträge und E-Mail-Metadaten wertvolles Gut – und oft auch Zielscheibe für Wirtschaftsspionage.
Oft wird als rettender Anker die Verschlüsselung genannt. Doch wer versucht, eine US-Cloud mit eigenen Schlüsseln (BYOK – Bring Your Own Key) wirklich abzusichern, stösst schnell an die Grenzen der Nutzbarkeit. Damit moderne Cloud-Funktionen wie die Volltextsuche in E-Mails, die automatische Indexierung im ERP oder die gemeinsame Bearbeitung von Dokumenten funktionieren, müssen die Daten auf den US-Servern im Arbeitsspeicher entschlüsselt werden. Am Ende ist die Verschlüsselung in der US-Cloud oft nur ein teures Pflaster für ein systemisches Problem.
Wirkliche digitale Souveränität für Schweizer KMU und Verwaltungen beginnt dort, wo fremdes Recht endet: Auf Schweizer Infrastruktur, bei Schweizer Anbietern, unter Schweizer Recht. Ohne Hintertür, ohne Generalschlüssel, ohne Kompromisse.
Ein Domino-Effekt: St. Gallen, Zürich und der Aargau ziehen nach
Nicht nur in Luzern brennt es. Die St. Galler Regierung räumte im August 2025 ein, dass sie die Risiken eines „Foreign Lawful Access“ heute anders beurteilen würde. Im Aargau wurde bekannt, dass sogar hochsensible ärztliche Gutachten in der M365-Cloud landen – ohne echten "Plan B" bei einem Ausfall oder rechtlichen Konflikt. Die Zürcher Datenschützerin warnte im November 2025 erneut: US-Anbieter garantieren keinen Schutz vor dem Zugriff ihrer Regierung.
Dass der Schritt hin zu mehr Unabhängigkeit dringend notwendig ist, zeigt auch ein aktueller Bericht der Republik von Januar 2026. Demnach intensivieren die USA ihre Lobbying-Bemühungen gegen die digitale Souveränität der Schweiz, um die Dominanz amerikanischer Cloud-Giganten und den Zugriff auf hiesige Datenbestände zu sichern.
Warum Big Tech für Ihr KMU gefährlich ist
- Rechtliche Grauzonen: Der Konflikt zwischen dem Schweizer Datenschutzgesetz (DSG), dem US Cloud Act sowie Amerikanischen FISA ACT schafft eine Rechtsunsicherheit, die bei Audits existenzbedrohend sein kann.
- KI-Training mit Ihren Daten: Viele öffentliche Quellen wie auch Galaxyweb warnen, dass Anbieter Kundendaten zunehmend zum Training ihrer KI-Modelle nutzen. Ihre Geschäftsgeheimnisse könnten so unfreiwillig Teil eines globalen Algorithmus werden.
- Kein demokratischer Diskurs: Wie die Fälle in den Kantonen zeigen, werden oft IT-Entscheidungen getroffen, die Grundrechte tangieren, ohne dass die Nutzer (oder die Legislative) die volle Tragweite verstehen.
Das "Opt-out"-Dilemma: Ihre Daten als Standard-Futter
- Microsoft & LinkedIn: Seit November 2025 nutzt LinkedIn (eine Microsoft-Tochter) standardmässig europäische Nutzerdaten für das Training von generativer KI. Nutzer müssen aktiv in den Einstellungen widersprechen (Opt-out), statt gefragt zu werden (Opt-in).
- Microsoft 365 "Connected Experiences": Es gab Berichte (z. B. TweakTown), dass Microsoft-Office-Funktionen standardmässig aktiviert sind, die potenziell Inhalte aus Word- oder Excel-Dokumenten analysieren können. Microsoft bestreitet zwar das Training von LLMs ohne Erlaubnis, behält sich in den Servicebedingungen aber "Produktverbesserungen" vor – eine rechtliche Grauzone.
- Meta (Facebook/Instagram): Meta startete 2025 einen zweiten Anlauf, öffentliche Posts (auch von Schweizer Usern) für KI-Training zu nutzen. Auch hier ist die Hürde ein kompliziertes Widerspruchsformular.
Mehr erfahren: https://www.republik.ch/2026/01/26/die-usa-lobbyieren-gegen-die-digitale-souveraenitaet-der-schweiz
Die Schatten-KI und Daten-Abfluss in Unternehmen
Medien wie Inside IT und SwissCybersecurity.net berichten verstärkt über das Risiko der sog. Shadow AI.
- Wenn Mitarbeiter Tools wie ChatGPT oder Gemini im Geschäftsalltag nutzen (z. B. um E-Mails zu formulieren), fliessen sensible Firmendaten direkt in die Cloud der Anbieter.
- Das Problem: Ohne Enterprise-Verträge mit striktem Datenschutz-Ausschluss werden diese Prompts zur Weiterentwicklung der Modelle genutzt. Geschäftsgeheimnisse könnten so theoretisch in den Antworten für die Konkurrenz landen.
Kritik der Schweizer Datenschützer (Privatim & Kantone)
Die Berichterstattung in der Schweiz hat sich 2024/2025 massiv verschärft:
- St. Gallen: Die kantonale Fachstelle für Datenschutz kritisierte im Mai 2025 scharf, dass bei der Einführung von Microsoft 365 nun doch Personendaten mit Berufsgeheimnis in die Cloud wandern können – entgegen ursprünglicher Versprechen.
- Resolution der Datenschützer: Ende 2025 verabschiedeten Schweizer Datenschützer eine Resolution, die den Einsatz von US-Clouddiensten für sensible Behördendaten (Amtsgeheimnis) massiv einschränken oder sogar verbieten will.
Verantwortung übernehmen: Datenschutz ist kein Selbstzweck
In manchen Beratungsgesprächen begegnet uns das Argument: „Wir haben keine sensiblen Staatsgeheimnisse, daher reicht uns die Standard-Cloud.“ Doch diese Sichtweise übersieht den wichtigsten Aspekt moderner Geschäftsführung: Die Verantwortung gegenüber Dritten.
Die ethische Falle der Standard-Lösungen
Wenn Sie sich für einen E-Mail-Dienst eines US-Giganten entscheiden, treffen Sie eine Wahl, deren Konsequenzen Ihre Kunden und Partner tragen müssen. Jede Nachricht, die ein Kunde an Sie schickt – ob eine einfache Anfrage oder ein detaillierter Projektentwurf – landet in einer Infrastruktur, die dem US Cloud Act und FISA Act Section 702 unterliegt.
Das Problem dabei: Ihre Kunden haben dieser Auslieferung in der Regel nie zugestimmt. Sie sind Ihrer Infrastruktur-Entscheidung schutzlos ausgeliefert. Wer heute ohne Not auf Anbieter setzt, die Daten für KI-Training nutzen oder ausländischen Behörden Zugriff gewähren, geht ein moralisches Wagnis ein. Man macht sich indirekt mitschuldig an einer Datenschutzverletzung, da die Betroffenen (Ihre Kunden) keine Wahlmöglichkeit hatten.
Privatsphäre als Qualitätsmerkmal
Datenschutz bedeutet nicht, dass man „etwas zu verbergen“ hat. Es bedeutet, dass man die Hoheit über die Informationen behält, die einem anvertraut wurden. In der Schweiz geniesst das Berufsgeheimnis und der Schutz der Privatsphäre einen extrem hohen Stellenwert.
Die einfache Lösung: Galaxyweb Business-Mail
Es gibt einen Weg aus dieser Sackgasse. Business-Mail bietet Ihnen die technologische Exzellenz der grossen Player, aber mit dem Schutzschild der Schweizer Souveränität.
✅ 100 % Schweizer Rechtssicherheit
Galaxyweb ist ein inhabergeführtes Schweizer Unternehmen. Ihre Daten liegen in hochsicheren Rechenzentren in der Schweiz. Da wir kein US-Mutterhaus haben, hat der Cloud Act bei uns keine Handhabe. Ihre Korrespondenz bleibt dort, wo sie hingehört: in der Schweiz.
✅ Voller Funktionsumfang (EAS & MAPI)
Sie müssen nicht auf Komfort verzichten. Unsere Lösung unterstützt Exchange ActiveSync und MAPI. Das bedeutet: Nahtlose Synchronisation von E-Mails, Kalendern und Kontakten auf iPhone, Android und Outlook – genau wie Sie es von M365 gewohnt sind.
✅ Persönlicher Support statt anonymer Tickets
Während Sie bei Big-Tech-Anbietern im Falle einer Kontosperrung oft wochenlang auf eine automatisierte Antwort warten, erreichen Sie bei Galaxyweb Experten, die Ihren Namen kennen und Ihnen sofort helfen.
Mit Galaxyweb entscheiden Sie sich aktiv gegen die Fremdbestimmung:
- Kein ungefragtes KI-Training: Ihre Geschäftskorrespondenz bleibt privat und dient nicht als Futter für fremde Algorithmen.
- Schutz vor fremder Jurisdiktion: Da Galaxyweb ein rein schweizerisches Unternehmen ist, greifen US-Gesetze wie der Cloud Act nicht.
- Transparenz: Sie können Ihren Kunden mit gutem Gewissen sagen: „Ihre Daten sind bei uns sicher – auf Schweizer Servern, nach Schweizer Recht.“
