SBB und Roche als Kunden – und die Server in Russland?

Ein anonymer Tipp ging ein. Die Mobilitätsfirma Urban Connect, die E-Fahrzeugflotten für Unternehmen bereitstellt, habe ihre IT in Russland.

Das klang verdächtig. Nur: Warum eigentlich?

Bekanntlich verlagern viele Firmen ihre IT-Abteilungen ins Ausland – nach Indien etwa oder in den Balkan.

Sollten russische Informatiker per se ein Problem sein? Rein technisch nicht. Juristisch aber schon, wie sich zeigt.

Nach einigen Recherchen wurde klar: Nicht der Standort eines Servers ist entscheidend, sondern das Recht, das dort gilt.

Wenn ein Land kein gleichwertiges Datenschutz-Gesetz kennt, kann der Staat jederzeit auf die Daten zugreifen.

In Russland etwa dürfen Behörden per Gesetz Einsicht in IT-Systeme nehmen. Damit wäre jedes Unternehmen, das von dort auf produktive Systeme zugreift, theoretisch nicht datensouverän.

Urban Connect zählt namhafte Kunden, darunter SBB, Roche und Google. Also wollten wir wissen: Weiss die SBB, mit wem sie da zusammenarbeitet?

Die Antwort kam prompt. SBB-Mediensprecher erklärte, Datenschutz und IT-Sicherheit seien vertraglich geregelt.

Urban Connect verpflichte sich zur Datenverarbeitung in der Schweiz oder in „gleichwertigen Jurisdiktionen“.

Russland wäre damit ausgeschlossen, aber die SBB prüft das nicht selbst. Man verlässt sich auf die vertragliche Zusicherung und hat im Fall der Fälle Audit-Rechte.

Das heisst im Klartext: Was der Partner technisch wirklich macht, bleibt weitgehend Vertrauenssache.

Urban Connect reagierte zunächst nicht auf eine Anfrage, erst nach einem Telefonat meldete sich Mitgründerin Judith Häberli.

Sie schrieb, Datenschutz und Informationssicherheit hätten „höchste Priorität“. Die Entwicklerteams sässen in der Schweiz, der EU, den USA und Serbien – „sowie in einzelnen weiteren Ländern“.

Personendaten würden gemäss der Datenschutzerklärung nur in der Schweiz, der EU/EWR, den USA und Serbien bearbeitet. Partner in anderen Ländern seien „nicht in den Fluss der Personendaten eingebunden“.

Das ist juristisch sauber formuliert, lässt aber offen, ob externe Partner Zugriff auf Quellcode, System-Logs oder Build-Pipelines haben. Denn auch dort kann theoretisch manipuliert oder mitgelesen werden.

Interessant ist, dass Urban Connect die USA offen nennt, obwohl sie datenschutzrechtlich nicht als gleichwertige Jurisdiktion gelten.

Der CLOUD Act erlaubt US-Behörden den Zugriff auf Daten amerikanischer Firmen, selbst wenn die Server ausserhalb der USA stehen.

Urban Connect verweist auf „Standardvertragsklauseln“ – ein legitimer, aber theoretischer Schutz. In der Praxis kann niemand in der Schweiz kontrollieren, was eine US-Behörde abruft oder verlangt.

Ein Schweizer IT-Sicherheitsfachmann ordnet es so ein: „Grundsätzlich sind Server in der Schweiz nicht sicherer als irgendwo anders und Datensicherheit (dass keine Daten geklaut werden) kann niemand garantieren.“

„Wenn der Staat, in dem die Server stehen, per Gesetz einen Zugriff verlangen kann, dann sieht es anders aus.“

Man könne Entwicklungs- und Produktivdaten trennen, „aber man muss selbst verstehen, wie das geht. Wenn also hier eine Pfeife die Vorgaben macht – und das ist leider nicht selten –, dann wird das Ergebnis dessen Handschrift tragen.“

Besonders heikel werde es, wenn Systeme mit echten Nutzerdaten entwickelt werden: „Die Gefahr ist nicht nur, dass jemand Daten kopiert, sondern dass eine ‚Backdoor‘ in den Code eingebaut wird. Das ist viel nachhaltiger und schwieriger zu erkennen.“

Urban Connect ist kein Ausreisser. Viele Schweizer Firmen lassen Code im Ausland schreiben.

Serbien, Osteuropa oder die USA sind gängige Standorte. Das ist ökonomisch nachvollziehbar, aber datensouverän ist es nicht.

Die Branche verlässt sich auf Verträge statt Kontrolle. Werbung mit „Swiss Engineering“ bleibt oft eine Frage des Brandings, nicht der Realität.

Am 2. Dezember 2024 erklärte Justizminister Beat Jans im Nationalrat während der Debatte zum neuen Gesetz über den elektronischen Identitätsnachweis (E-ID): „Wir haben das Datenschutzgesetz; damit sind unsere Daten geschützt.“

Ein schöner Gedanke, aber einer, der mit der Realität der digitalen Wirtschaft wenig zu tun hat. Datensicherheit ist ein frommer Wunsch in einer digitalen Welt, die sich nicht ans Schweizer Gesetz hält.