Microsofts Cloud wächst – Schweizer Daten bleiben eine Vertragsfrage
Azure legt im Quartal um 48 Prozent zu. Was Schweizer Kunden über Datenstandorte, Zugriff und Ausnahmen wissen müssen, steht jedoch nicht in der Erfolgsbilanz.
Microsoft hat am 28. Oktober 2026 für das erste Quartal seines Geschäftsjahres 2027 einen Umsatz von 92,3 Milliarden Dollar gemeldet, 19 Prozent mehr als ein Jahr zuvor. Azure wuchs im bis Ende September dauernden Quartal um 48 Prozent. Bloomberg zufolge hatten Analysten mit 44 Prozent gerechnet. Die Zahlen zeigen die wirtschaftliche Dynamik des Cloud-Geschäfts. Sie sagen aber nichts darüber aus, welche Datenschutzgarantien eine Schweizer Firma für ihre konkrete Anwendung erhält.
Diese zweite Frage betrifft nicht nur grosse Konzerne. Wer Kundendaten, Personalunterlagen oder geschäftliche Kommunikation auslagert, muss wissen, welche Daten wohin gelangen. Der Begriff «Schweizer Cloud» kann einen physischen Standort beschreiben. Er beantwortet noch nicht alle Fragen zu Verarbeitung, Betrieb und Zugriff.
Schweiz und Europa sind nicht dieselbe Zusage
Microsoft betreibt nach eigenen Angaben seit 2019 Cloud-Regionen nahe Zürich und Genf. In seiner Schweizer Souveränitätsdarstellung vom Februar 2026 nennt das Unternehmen daneben die EU Data Boundary. Diese umfasst die EU und die EFTA einschliesslich der Schweiz. Daten innerhalb dieser Grenze zu halten, bedeutet daher nicht automatisch, sie ausschliesslich auf Schweizer Boden zu speichern und zu bearbeiten.
Microsoft verweist ausserdem auf Zugriffsfreigaben, Verschlüsselungsoptionen und kundenseitig kontrollierte Schlüssel. Das sind Angaben des Anbieters zu seinen Möglichkeiten, kein unabhängiger Nachweis, dass jede davon in jedem Kundenvertrag enthalten und eingeschaltet ist. Für eine Beschaffung ist deshalb eine präzise Zusage wichtiger als das allgemeine Wort «Souveränität»: Welche Datenarten, welche Dienste und welche Betriebsabläufe sind tatsächlich erfasst?
Bei Azure entscheidet auch die Konfiguration
Die Azure-Dokumentation unterscheidet regionale Dienste von Ausnahmen. Bei vielen regionalen Angeboten kann der Kunde die Bereitstellungsregion wählen; die geografische Einheit setzt den Rahmen der Datenresidenz. Eine Replikation innerhalb dieser Einheit kann der Ausfallsicherheit dienen. Standortwahl und Sicherungskopie müssen deshalb gemeinsam betrachtet werden.
Besonders relevant sind KI-Anwendungen. Bei als «Global» bezeichneten Bereitstellungen des Azure OpenAI Service können Eingaben und Ausgaben nach Microsofts Dokumentation weltweit verarbeitet werden. Für «DataZone»-Bereitstellungen gilt eine definierte Datenzone statt zwingend eines einzelnen Landes. Eine lokale Speicherung der Daten im Ruhezustand und der Ort der laufenden Verarbeitung sind also verschiedene Eigenschaften. Wer einen Dienst aktiviert, sollte beides getrennt festhalten und nicht vom Speicherort auf sämtliche Verarbeitungsschritte schliessen.
Auch angeschlossene Dienste haben eigene Datenwege
Ein weiterer Prüfpunkt ist die digitale Identität. Microsofts Dokumentation zu Entra ID beschreibt die Datenlokalisierung abhängig von der Einrichtung des Kundenmandanten. Sie nennt zudem Ausnahmen und optionale Funktionen. Bei mandantenübergreifender Zusammenarbeit können etwa Benutzer- und Gerätekontodaten sowie Konfigurationen am Ort eines beteiligten fremden Mandanten verarbeitet werden.
Die praktische Konsequenz: Es genügt nicht, nur den Speicher einer Anwendung zu kontrollieren. Anmeldung, Zusammenarbeit und Zusatzfunktionen gehören ebenfalls in die Übersicht. Eine Organisation sollte Änderungen an solchen Einstellungen wie Änderungen am Datenfluss behandeln. Eine ursprünglich dokumentierte Architektur kann ihre Aussagekraft verlieren, wenn später neue Funktionen hinzukommen.
Die Verantwortung bleibt beim Kunden
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hält fest, dass die Verantwortung für rechtmässige Bearbeitung durch die Auslagerung nicht verschwindet. Kunden müssen die Auftragsbearbeitung vertraglich absichern und eine allfällige Datenbekanntgabe ins Ausland gesondert prüfen. Der EDÖB nennt dabei unter anderem Vertraulichkeit, Weisungsbindung, Sicherheit und Unterauftragnehmer. Auch die Löschung oder Rückgabe nach Vertragsende gehört zur Prüfung.
Ein konkreter Prüfstein ist der Ausstieg. Microsoft stellt in seiner Schweizer Darstellung den Export von Daten als möglich dar. Ein Exportknopf allein beantwortet aber nicht, ob eine Firma ihre Anwendung mit vertretbarem Aufwand weiterbetreiben kann. In einer eigenen Probe sollte sie daher nicht nur Dateien sichern, sondern auch Berechtigungen und benötigte Konfigurationen erfassen und die Wiederherstellung testen. Das ist keine Behauptung über einen vorliegenden Mangel, sondern eine überprüfbare Anforderung an die eigene Notfallplanung.
Für Schweizer Unternehmen ergibt sich daraus eine konkrete Reihenfolge: zuerst Daten und Schutzbedarf bestimmen, dann die vorgesehenen Dienste und Datenwege erfassen und anschliessend die Zusagen mit der tatsächlichen Konfiguration abgleichen. Offene Punkte gehören vor die Vertragsfreigabe, nicht erst in die Untersuchung eines Zwischenfalls. Microsofts Wachstum kann Nachfrage illustrieren. Ob eine bestimmte Auslagerung den eigenen Anforderungen genügt, entscheidet sich dagegen im Vertrag und im Betrieb – nicht an der Börse.
Quellen
- Microsoft: Quartalsergebnis FY2027 Q1, 28. Oktober 2026
- Microsoft Schweiz: Digitale Souveränität, 25. Februar 2026
- Microsoft Azure: Datenresidenz und Ausnahmen
- Microsoft Learn: Datenhaltung und Verarbeitung bei Entra ID
- EDÖB: Cloud-Computing und Verantwortung der Kunden
- Bloomberg: Microsofts Cloud-Umsatz übertrifft Erwartungen, 28. Oktober 2026
- Titelbild: NOIRLab/NSF/AURA/T. Slovinský, Wikimedia Commons
- Titelfoto-Lizenz: CC BY 4.0
- Artikelbild: Alexander-design, Wikimedia Commons / Pixabay
- Artikelbild-Lizenz: CC0 1.0
