Im Gesetz über digitale Basisdienste will der Kanton Zürich unter anderem den Umgang mit der Cloud und die elektronische Identifizierung regeln sowie einen zentralen Webzugang zu elektronisch angebotenen Leistungen sicherstellen. Es gehe darum, dass Einwohnerinnen und Einwohnern sowie Unternehmen ihre Rechte und Pflichten durchgängig und sicher auf dem elektronischen Weg wahrnehmen können, so die Staatskanzlei des Kantons.

Aber "damit das digitale Leistungsangebot der Verwaltung weiter ausgebaut werden kann, sind neue Rechtsgrundlagen erforderlich", hiess es im Februar in einer Mitteilung, als das Gesetz in die Vernehmlassung geschickt worden ist.

Beim Kanton ist man derzeit dabei, die Stellungnahmen der Mitte Mai zu Ende gegangenen Vernehmlassung auszuwerten, wie Daniel Eberhard von der Staatskanzlei auf unsere Anfrage hin schreibt. "Wir gehen davon aus, dass der Regierungsrat seinen Antrag zum Gesetzesentwurf dem Kantonsrat gegen Ende September 2024 vorlegen wird", so Eberhard. Ab dann würden die Vernehmlassungsantworten öffentlich publiziert werden.

Ihre Antworten selbst veröffentlicht haben der Branchenverband SwissICT sowie der Verein Digitale Gesellschaft (Digites). Beiden Organisationen ist insbesondere Paragraph 17 ein Dorn im Auge. Darin gehts um eine gesetzliche Grundlage für cloudbasierte Anwendungen im Rahmen des digitalen Arbeitsplatzes – konkret um Microsoft 365.

SwissICT schreibt in seiner Stellungnahme, dass das Gesetz für "Anbieter und Nutzer von Cloud-Diensten in der öffentlichen Verwaltung im Kanton Zürich" hoch relevant sei. Es ziele primär auf das Angebot M365 von Microsoft ab und wolle bei sensibleren Daten einen durch Verschlüsselungstechniken umgesetzten 100%-Schutz vor Zugriffen Dritter etablieren. Das sei der falsche Weg.

Laut SwissICT würde mit Paragraph 17 die Sicherheit nicht verbessert, sondern verschlechtert. Das Niveau an Sicherheit, das moderne Cloud-Lösungen heutzutage bereitstellen, könne on-premises nicht ohne erheblichen Zusatzaufwand erreicht werden. Paragraph 17 würde "ein generelles Cloud-Verbot mit Ausnahme vollverschlüsselter Speicherdienste statuieren", was nicht angemessen sei, so der Branchenverband. Nach Einschätzung der eigenen Rechtskommission sei eine solche "Spezialbestimmung" gesetzgeberisch nicht notwendig. Für die Einführung von Cloud-Lösungen im Bereich des digitalen Arbeitsplatzes müssten keine Rechtsgrundlagen geändert oder neu geschaffen werden.

Auch die Digitale Gesellschaft ist kritisch. Für sie sei es fraglich, wie eine wirksame Verschlüsselung gegenüber Cloudanbietern wie Microsoft gewährleistet werden soll. Bei der Nutzung von Clouddiensten wie M365 liege es in der Natur der Sache, dass der Cloudanbieter "auch ohne Mitwirkung des öffentlichen Organs auf die Personendaten sowie vertrauliche oder der Geheimhaltung unterliegende Informationen zugreifen kann". Digiges beantragt eine Änderung von Paragraf 17, sodass öffentliche Organe die Bearbeitung von Informationen nur an Cloudanbieter übertragen können, bei denen" technisch und rechtlich sichergestellt ist, dass ausländische Behörden nicht unter Umgehung der Rechtshilfe auf Personendaten sowie vertrauliche oder der Geheimhaltung unterliegende Informationen zugreifen können".

Nicht bei der Vernehmlassung mitgemacht, hat die Piratenpartei. Auf unsere Anfrage schreibt Monica Amgwerd, Generalsekretärin der Zürcher Piratenpartei, es sei inakzeptabel, dass beabsichtig werde, Microsoft 365 oder einen ähnlichen cloudbasierten Dienst standardmässig für heikle Personendaten zu verwenden. "Es ist hinlänglich bekannt, dass Microsoft auf Anfrage alle Daten an den amerikanischen Staat weitergeben muss." Das widerspreche nicht nur dem Grundrecht auf Privatsphäre der Bürgerinnen und Bürger, sondern auch dem Prinzip einer souveränen Schweiz.

er Staates.