Im September gab der Luzerner Regierungsrat bekannt, dass für die kantonale Verwaltung Microsoft 365 ab 2025 schrittweise eingeführt werden soll. Auch die Telefonielösung soll von Skype for Business auf Microsoft Teams umgestellt werden.
Budgetiert sind Investitionskosten von 5,8 Millionen Franken. Für den Betrieb rechnet der Kanton mit jährlichen Kosten von rund 4,4 Millionen Franken, wovon ein erheblicher Teil auf die Lizenzen entfalle.
Die entsprechenden Pläne des Regierungsrates waren schon länger bekannt, und noch vor dem Entscheid hatte der Kantonsrat Fabrizio Misticoni (Grüne) zusammen mit Mitunterzeichnenden eine Anfrage zur "Datensicherheit und Datensouveränität bei der Einführung von Microsoft 365" im Parlament eingereicht, die mehrere Fragen zum Thema enthielt.
M365 ist nicht "primäres Arbeitsinstrument"
Diese hat die Regierung jetzt beantwortet. Das Finanzdepartement betont: "Primäre Arbeitsinstrumente der kantonalen Verwaltung bleiben auch nach der Einführung von M365 die verschiedenen Fachanwendungen (z.B. im Steuerbereich) und das Geschäftsverwaltungssystem (Gever). Im Zusammenspiel mit den lokal installierten Office-Anwendungen ermöglichen sie, Dokumente mit besonders sensiblem Inhalt lokal zu bearbeiten und auszutauschen." Für weniger sensible Daten könne die Verwaltung zukünftig von den verbesserten Kollaborationsfunktionen der M365 Cloud Services profitieren.
Die Office-Anwendungen Word, Excel, Powerpoint, Onenote und Outlook würden auch nach der Einführung von M365 auf den kantonalen Arbeitsgeräten installiert bleiben. "Die damit bearbeiteten Dokumente werden auf den Arbeitsgeräten lokal bearbeitet und in den Rechenzentren des Kantons gespeichert", schreibt das Finanzdepartement. In der Cloud und damit in den Rechenzentren von Microsoft würden künftig Speicherlaufwerke für Sharepoint Online und Teams betrieben. Zu einem späteren Zeitpunkt soll auch Exchange Online in der Cloud folgen.
Stellungnahme des Datenschützers wird nicht veröffentlicht
Zur Frage von Kantonsrat Misticoni bezüglich Datensicherheit und Datensouveränität heisst es: "Die in den M365 Cloud Services bearbeiteten Daten werden nur in den Schweizer Rechenzentren von Microsoft gespeichert und ausschliesslich innerhalb der EU bearbeitet, wobei in Einzelfällen Datentransfers in die USA vorbehalten bleiben." Sämtliche in der Cloud gespeicherten Daten würden mit einem eigenen, von Microsoft unabhängigen Backup gesichert. Für "geheim" klassifizierte Informationen und für Informationen, die aus rechtlichen Gründen nicht in einer Cloud bearbeitet werden dürfen, sei die Nutzung von M365 nicht gestattet. Die Mitarbeitenden würden entsprechend sensibilisiert, geschult und technisch unterstützt.
Das Finanzdepartement habe zur geplanten Einführung auch eine Datenschutz-Folgenabschätzung durchgeführt und den kantonalen Datenschutzbeauftragten dazu konsultiert. Dieser habe verschiedene Empfehlungen gemacht, "von denen ein Teil umgesetzt wird". Die Stellungnahme des Beauftragten werde nicht veröffentlicht, da sie sicherheitsrelevante Informationen enthalte.
Der
scheidende Luzerner Datenschützer Matthias Schönbächler hatte den M365-Entscheid allerdings in seinem letzten Jahresbericht kritisiert: "Der Datenschutzbeauftragte hat in der Vergangenheit bereits mehrfach darauf hingewiesen, dass sich die Verwaltung des Kantons Luzern mit der breiten Einführung und Nutzung von M365 in eine Abhängigkeit von noch nie dagewesenem Ausmass begibt."
Produkt-Diversifizierung wäre "sehr teuer"
In seiner Anfrage schrieb Kantonsrat Fabrizio Misticoni weiter, die Crowdstrike-Panne und die darauf folgenden Abstürze von Microsoft-Systemen hätten gezeigt, "wie problematisch die Abhängigkeit von einem einzigen Monopol-Anbieter sein kann". Dazu antwortet das Finanzdepartement, betreffend Funktionsfähigkeit würden die M365 Cloud Services eine hohe Verfügbarkeit aufweisen. Zudem sei Microsoft "mit seinen grossen personellen Ressourcen schneller in der Lage, die Funktionsfähigkeit eines Cloud-Services wiederherzustellen, als es die Dienststelle Informatik bei vergleichbaren, selbst betriebenen Anwendungen wäre".
Eine Diversifizierung im Sinne eines parallelen Einsatzes von mehreren gleichartigen Produkten, zum Beispiel von Google Workspace und Open-Source-Produkten neben M365, wäre ausserdem "sehr teuer". Trotzdem verfolge der Kanton Luzern die Situation am Markt im Hinblick auf mögliche Alternativen zu M365.
