Zürcher Mobilitätsfirma im Clinch: Wo liegen Daten?

Ein anonymer Tipp ging bei Inside Paradeplatz ein. Die Mobilitätsfirma Urban Connect, die E-Fahrzeugflotten für Unternehmen bereitstellt, habe ihre IT in einem heiklen Land.

Das klang verdächtig. Nur: Warum eigentlich?

Eine Bestätigung dafür fand sich nicht. Urban Connect hat dazu keine klare Auskunft gegeben.

Dafür zeigte sich beim Nachfragen etwas Grundsätzlicheres: IT-Vorzeigeunternehmen mit Schweizer Grosskunden können nicht präzise sagen, wo überall ihre Entwickler sitzen und wer potenziell Zugriff auf die Systeme hat.

Der Fall steht beispielhaft für ein strukturelles Problem: Schweizer Firmen lagern IT-Leistungen global aus.

Trotz Datenschutzklauseln ist nicht klar, was mit den Daten passiert.

Bekanntlich verlagern viele Firmen ihre IT-Abteilungen ins Ausland – nach Indien etwa oder in den Balkan.

Sollten Informatiker beispielsweise in Russland oder China per se ein Problem sein? Rein technisch nicht. Juristisch aber schon, wie sich zeigt.

Nach einigen Recherchen wurde klar: Nicht der Standort eines Servers oder der IT-Abteilung ist entscheidend, sondern das Recht, das dort gilt.

Wenn ein Land kein gleichwertiges Datenschutzgesetz kennt, kann der Staat jederzeit auf Daten zugreifen.

In Russland etwa dürfen Behörden per Gesetz in IT-Systeme einsehen. Damit wäre jedes Unternehmen, das von dort auf produktive Systeme zugreift, theoretisch nicht datensouverän.

Die Schlieremer Urban Connect zählt namhafte Kunden, darunter SBB, Roche und Google. Also wollten wir wissen: Weiss die SBB, mit wem sie zusammenarbeitet und wohin die Daten gelangen?

Die Antwort kam prompt. Ein SBB-Mediensprecher erklärte, Datenschutz und IT-Sicherheit seien vertraglich geregelt.

Urban Connect verpflichte sich zur Datenverarbeitung in der Schweiz oder in „gleichwertigen Jurisdiktionen“.

Somit würde Russland rausfallen. Aber die SBB prüft das nicht selbst. Man verlässt sich auf die vertragliche Zusicherung und hat im Fall der Fälle Audit-Rechte.

Das heisst im Klartext: Was der Partner technisch wirklich macht, bleibt weitgehend Vertrauenssache.

Urban Connect reagierte zunächst nicht auf eine Anfrage, erst nach einem Telefonat meldete sich Mitgründerin Judith Häberli.

Sie schrieb, Datenschutz und Informationssicherheit hätten „höchste Priorität“. Die Entwicklerteams sässen in der Schweiz, der EU, den USA und Serbien – „sowie in einzelnen weiteren Ländern“.

Personendaten würden gemäss der Datenschutzerklärung nur in der Schweiz, der EU/EWR, den USA und Serbien bearbeitet. Partner in anderen Ländern seien „nicht in den Fluss der Personendaten eingebunden“.

Das ist juristisch sauber formuliert, lässt aber offen, ob externe Partner Zugriff auf Quellcode, System-Logs oder Build-Pipelines haben. Denn auch dort kann theoretisch manipuliert oder mitgelesen werden.

Interessant ist, dass Urban Connect die USA offen nennt, obwohl die Vereinigten Staaten datenschutzrechtlich nicht als gleichwertige Jurisdiktion gelten.

Der CLOUD Act erlaubt US-Behörden den Zugriff auf Daten amerikanischer Firmen, selbst wenn die Server ausserhalb der USA stehen.

Urban Connect verweist auf „Standardvertragsklauseln“ – ein legitimer, aber theoretischer Schutz. In der Praxis kann niemand in der Schweiz kontrollieren, was eine US-Behörde abruft oder verlangt.

Ein Schweizer IT-Sicherheitsfachmann ordnet es so ein: „Grundsätzlich sind Server in der Schweiz nicht sicherer als irgendwo anders und Datensicherheit (dass keine Daten geklaut werden) kann niemand garantieren.“

„Wenn der Staat, in dem die Server stehen, per Gesetz einen Zugriff verlangen kann, dann sieht es anders aus.“

Man könne Entwicklungs- und Produktivdaten trennen, „aber man muss selbst verstehen, wie das geht.“

„Wenn also hier eine Pfeife die Vorgaben macht – und das ist leider nicht selten –, dann wird das Ergebnis dessen Handschrift tragen.“

Besonders heikel werde es, wenn Systeme mit echten Nutzerdaten entwickelt werden:

„Die Gefahr ist nicht nur, dass jemand Daten kopiert, sondern dass eine ‚Backdoor’’ in den Code eingebaut wird. Das ist viel nachhaltiger und schwieriger zu erkennen.“

Urban Connect ist kein Ausreisser. Viele Schweizer Firmen lassen Code im Ausland schreiben.

Serbien, Osteuropa oder die USA sind gängige Standorte. Das ist ökonomisch nachvollziehbar, aber datensouverän ist es nicht.

Die Branche verlässt sich auf Verträge statt Kontrolle. Werbung mit „Swiss Engineering“ bleibt oft eine Frage des Brandings, nicht der Realität.

Am 2. Dezember 2024 erklärte Bundesrat Beat Jans im Nationalrat während der Debatte zum neuen Gesetz über den elektronischen Identitätsnachweis (E-ID):

„Wir haben das Datenschutzgesetz; damit sind unsere Daten geschützt.“

Ein schöner Gedanke, aber einer, der mit der Realität der digitalen Wirtschaft wenig zu tun hat. Datensicherheit ist ein frommer Wunsch in einer digitalen Welt, die sich nicht ans Schweizer Gesetz hält.