Nach einer längeren Testphase sowie Prüfungen wird die Bundes­ver­waltung Microsoft 365 als neue Office-Version einführen. Der Bundesrat hat dafür am 15. Februar 2023 einen Verpflichtungskredit über 14,9 Millionen Franken genehmigt, wie er mitteilt.

Die aktuell in der Bundesverwaltung eingesetzte Office-Version müsse ersetzt werden, weil wichtige Anwendungen das Ende ihres Lebenszyklus erreichen. Sie werden von Microsoft vermutlich ab 2026 nicht mehr unterstützt. Das Projekt zur Ablösung der bestehenden Office-Lösung wurde laut der Mitteilung 2019 gestartet. Die Einführung von Microsoft 365 ist schrittweise ab der zweiten Hälfte 2023 geplant. Voraussichtlich Ende 2025 soll die Migration abgeschlossen sein.

Der Ersatz sei ungewöhnlich, heisst es in der Mitteilung, da Nachfolgeprodukte nur noch mit Public-Cloud-Anbindung angeboten werden.

Inwiefern öffentliche Verwaltungen auf Public-Cloud-Lösungen setzen sollen, sorgt regelmässig für hitzige Diskussionen. Der Bund habe entsprechende rechtliche, organisatorische und technische Abklärungen durchgeführt. Diese hätten ergeben, dass Microsoft 365 in der Bundesverwaltung eingeführt werden kann, schreibt der Bundesrat weiter. Zu ähnlichen Schlüssen sind auch die Kantone Zürich und Schaffhausen gekommen.

Office-Lösungen werden beim Bund zentral als Standarddienst geführt. Aus diesem Grund ist der Bereich Digitale Transformation und IKT-Lenkung (DTI) der Bundeskanzlei für das Projekt verantwortlich. Der Bereich hatte auch die Verantwortung für die rechtlichen, technischen und organisatorischen Abklärungen für die Einführung von Microsoft-Cloud-Produkten. Dafür wurde 2020 das Projekt CEBA (Cloud Enabling Büroautomation) gestartet.

Mit der Ausnahme von als "geheim" klassifizierten Daten, würden keine rechtlichen Hürden bestehen, die die Bearbeitung in M365 grundsätzlich verbieten, heisst es in einem CEBA-Informationspapier. Für die Bearbeitung von als "vertraulich" klassifizierten Daten, Amtsgeheimnissen sowie besonders schützenswerten Personendaten würden die Office-Anwendungen von M365 weiterhin lokal verwendet. Diese Daten könnten mit der Software Secure Center bearbeitet und auf On-Premises-Ablagen wie Gever gespeichert werden. Daten der Stufe "intern" könnten in M365 bearbeitet werden, da Microsoft mit verschiedenen Massnahmen und Werkzeugen zur Verschlüsselung einen adäquaten Schutz biete.

Nutzerinnen und Nutzer dürfen somit keine besonders schützenswerten Daten und keine vertraulichen Dokumente in der Cloud von Microsoft speichern. Die E-Mails und Kalender der Mitarbeitenden sollen vor Ort in den Rechenzentren des Bundes verarbeitet und gespeichert werden, heisst es weiter.

Mit der Cloudifizierung der Office-Anwendungen wachse die Abhängigkeit zu Microsoft, heisst es im CEBA-Informationspapier. Diese Tatsache führe zu Diskussionen rund um die Aufrechterhaltung der staatlichen digitalen Souveränität. Aktuell wird dies auch in Zusammenhang mit Beschlüssen von Kantonen und der Suva breit diskutiert. "Das Risiko besteht, dass bei entsprechend hohem Druck der Bundesverwaltung die Nutzung von Public Clouds und damit auch der Einsatz von Microsoft 365 untersagt wird", heisst es weiter.

Ferner bestehe das Risiko einer widerrechtlichen nachrichtendienstlichen Ausspähung der Daten und Metadaten durch Staaten oder andere Organisationen, wird angefügt. Da die Microsoft-Services aber breit genutzt und entsprechend beobachtet würden, werde dieses Risiko als moderat eingeschätzt, so das CEBA-Papier.

Ein weiteres Risiko ergibt sich durch den US-Cloud-Act, der es US-Strafverfolgungsbehörden ermöglicht, die Herausgabe von Daten bei den Cloudanbietern zu verlangen, auch wenn sich die entsprechenden Daten im Ausland befinden. Microsoft verpflichte sich, eine Strafverfolgungsbehörde immer direkt an die Kunden zu verweisen, heisst es dazu.

Wie aus der CEBA-Publikation hervorgeht, ist neben M365 auch Googles G-Suite als Kandidat für die Office-Anwendungen zur Debatte gestanden. Daneben sind auch On-Premises-Alternativen (inklusive Open-Source) getestet worden.

Bei Microsoft habe einerseits die Benutzerfreundlichkeit überzeugt. Andererseits seien zahlreiche Fachanwendungen der Bundesverwaltung eng mit Microsoft-Office-Anwendungen verzahnt, so das Papier.

Auch in der heutigen Mitteilung des Bundesrats heisst es: "Faktisch ist die Bundesverwaltung heute abhängig von Office-Produkten des Herstellers Microsoft." Ein Anbieter- und Produktewechsel sei risikoreich und aufwendig. Mittel- und langfristig soll diese Abhängigkeit aber reduziert und die Prüfung von Alternativen zu Microsoft 365 weitergeführt werden. Im Rahmen einer Exit-Strategie werde der Bereich DTI auch weiterhin Open-Source-Alternativen überprüfen.