SubmittedText

Besteht das Risiko, dass die USA über amerikanische Unternehmen Zugriff auf die Daten von Schweizer Bankkonten haben? Muss der Bund, falls das Risiko besteht, nicht dafür sorgen, dass die Sicherung von Schweizer Internetseiten durch Schweizer Unternehmen erfolgt, die sich in Schweizer Händen befinden?

FederalCouncilResponseText

Der Bundesrat ist sich bewusst, dass amerikanische Firmen aufgrund des Patriot Act 2001 dazu verpflichtet werden können, Informationen an amerikanische Nachrichtendienste weiterzugeben. Dies gilt auch für Ableger solcher Unternehmen im Ausland, da hier das geltende Recht im Mutterland das nationale Recht im Land der Tochtergesellschaft typischerweise bricht. Es ist unbestritten, dass ein wichtiger Teil der für den Betrieb des World Wide Web notwendigen Infrastruktur in den USA hergestellt, betrieben und unterhalten wird. Dazu gehören sowohl Hardware- als auch Software-Komponenten wie z. B. Server, Router, Browser usw.

1. Ein absoluter Schutz gegen Cyberspionage bei vernetzten Systemen ist nicht realistisch. Die Schweizer Unternehmen sind in erster Linie selbst für die angemessene Sicherung ihrer Daten verantwortlich. Die Melde- und Analysestelle Informationssicherung (Melani) unterstützt zusätzlich die Betreiber kritischer Infrastrukturen. Personendaten müssen gemäss Artikel 7 DSG durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden. Weiter gelten die Mindestanforderungen der Verordnung zum Datenschutzgesetz an die Datensicherheit (Art. 8ff. und Art. 20ff. VDSG). Bei der Weitergabe von Personendaten aus der Schweiz ins Ausland müssen die schweizerischen Datenschutzbestimmungen (insbesondere Art. 6 DSG betreffend grenzüberschreitende Bekanntgabe von Personendaten, aber auch die allgemeinen Datenschutzgrundsätze des DSG) eingehalten werden. Das DSG ist gemäss Artikel 2 Absatz 2 Buchstabe c nicht anwendbar, wenn ausländische Behörden die Schweiz im Rahmen der Rechtshilfe um die Herausgabe von Daten ersuchen. Der Bundesrat hat das EJPD zudem beauftragt, gesetzgeberische Massnahmen zur Stärkung des Datenschutzes angesichts der fortschreitenden technologischen und gesellschaftlichen Entwicklungen zu prüfen.

Auf internationaler Ebene vertritt die Schweiz die Haltung, dass alle Vertragsstaaten des Internationalen Pakts über bürgerliche und politische Rechte (Uno-Pakt II) grundsätzlich verpflichtet sind, dessen Bestimmungen (hier namentlich Art. 17) auch bei hoheitlichen Handlungen im Ausland zu beachten.

Werden Daten aus der Schweiz an ausländische Nachrichtendienste weitergegeben oder von diesen Diensten direkt beschafft, so ist die Anwendbarkeit der Straftatbestände aus dem Computerstrafrecht (z. B. Art. 143 StGB: Unbefugtes Datenbeschaffen; Art. 143bis StGB: Hacking) oder der Delikte gegen den Staat (z. B. Art. 271 StGB: Verbotene Handlungen für einen fremden Staat) zu prüfen. Daneben kann eine Strafbarkeit aufgrund verschiedener Bestimmungen aus dem Nebenstrafrecht (z. B. Art. 47 Abs. 1 Bst. a und b des Bankengesetzes: Verletzung des Berufsgeheimnisses) vorliegen.

2. Domainnamen mit der Endung .ch können von Schweizer und ausländischen Firmen genutzt werden. Die Stiftung Switch ist mit dem Unterhalt der .ch-Internet-Domäne beauftragt und hat gemäss Artikel 14fbis Absatz 1 der Verordnung über die Adressierungselemente im Fernmeldebereich (SR 784.104) vom 6. Oktober 1997 unter bestimmten Voraussetzungen die Möglichkeit, einen Domainnamen zu blockieren.

3. Aufgrund der erwähnten Tatsache, dass Hard- und Software für den Betrieb des Internets zu wichtigen Teilen von amerikanischen Herstellern stammen, lässt es sich nur schwer verhindern, dass entsprechende Produkte beim Bau und Betrieb der IKT-Infrastrukturen zum Einsatz kommen. Jedes Unternehmen muss für sich selber entscheiden, ob es seine Daten über das Internet übermitteln will und wie seine Daten und Infrastrukturen geschützt werden sollen.

Der Datensicherheit in der Bundesverwaltung trug der Bundesrat mit seinem Beschluss vom 28. Januar 2014 Rechnung. So hielt er fest, dass "Betriebsleistungen für den Datentransport im Inland, wenn sie nicht bundesintern erbracht werden, wo möglich nur an Unternehmen vergeben werden, welche für die Erbringung der Leistung ausschliesslich unter Schweizer Recht handeln, sich zur Mehrheit in Schweizer Eigentum befinden und welche die Leistung gesamtheitlich innerhalb der Schweizer Landesgrenzen erzeugen". Weiter beauftragte er den Nachrichtendienst des Bundes, weiter gehende Einschätzungen der Bedrohungslage vorzunehmen, sowie das EFD, darauf gestützt Grundsätze zur IKT-Leistungserstellung für die Bundesverwaltung zu erarbeiten.

Antwort des Bundesrates.