Wo liegen Ihre Daten? Schweizer Server und Datenhaltung bei ePost

Wem vertrauen Sie Ihre Daten an? Für Unternehmen ist das keine Nebensache. Wer Rechnungen, Verträge, Personal- oder Gesundheitsdaten digital verwaltet, muss wissen, wo diese Daten liegen und welches Recht dafür gilt. Für Behörden und regulierte Branchen wie das Finanz- und Gesundheitswesen ist der Speicherort oft sogar eine gesetzliche Anforderung.

Dieser Beitrag zeigt, warum der Standort Ihrer Daten zählt – und wie ePost ihn löst.

Warum der Speicherort entscheidend ist

Nicht jede Cloud bietet denselben Schutz. Hintergrund ist der US CLOUD Act: Er kann Anbieter mit US-Bezug verpflichten, Daten auf gerichtliche Anordnung in einem Strafverfahren herauszugeben – auch dann, wenn die Daten physisch ausserhalb der USA liegen. Vergleichbare Zugriffsrechte kennen im Übrigen viele Länder. Für vertrauliche Geschäfts- und Behördendaten ist dieser Punkt dennoch wichtig zu kennen.

Entscheidend ist deshalb nicht nur, in welchem Land die Server stehen, sondern auch, welches Recht gilt und mit welcher Gesellschaft der Vertrag besteht.

Woran Sie eine vertrauenswürdige Datenhaltung erkennen

Vier Fragen helfen bei der Beurteilung:

• Wo stehen die Rechenzentren – in der Schweiz oder EU statt in den USA?
• Welches Recht gilt – DSG und, sofern anwendbar, DSGVO?
• Mit welcher Gesellschaft besteht der Vertrag – nicht mit einer US-Muttergesellschaft?
• Wie werden die Daten verschlüsselt, und wer verwaltet die Schlüssel?

Wie ePost Ihre Daten hält

ePost verbindet die Leistungsfähigkeit moderner Cloud-Technik mit Schweizer Rahmenbedingungen:

• Standort Schweiz: Die produktiven Systeme laufen in Schweizer Rechenzentren (Google Cloud Platform in der Schweizer Region Zürich). Die Inhaltsdaten bleiben ausschliesslich in der Schweiz; Backups liegen in einem zweiten, physisch getrennten Rechenzentrum – ebenfalls in der Schweiz.
• Ausfallsicher: Die Infrastruktur ist redundant ausgelegt; für Störungen bestehen definierte Notfall- und Wiederherstellungsprozesse.
• Schweizer Recht: Die Inhaltsdaten werden ausschliesslich in der Schweiz und nach Schweizer Recht gespeichert und verarbeitet. Sie unterstehen dem Schweizer Datenschutzgesetz (DSG) und, sofern anwendbar, der DSGVO.
• Verschlüsselt: Ihre Daten sind bei der Übertragung (TLS 1.2+) und bei der Speicherung (AES-256) verschlüsselt, mandanten- und dokumentbezogen. Beim Versand ist das Dokument senderseitig geschützt; für die Zustellung wird es für den Empfänger neu verschlüsselt. Der Versender hat danach keinen automatischen Zugriff auf die Empfängerversion. Verschlüsselung hier einfach erklärt.
• Schlüsselmanagement bei ePost: Das Schlüsselmanagement liegt bei ePost und wird unabhängig vom Cloud-Anbieter betrieben. Der Cloud-Anbieter besitzt die für die Entschlüsselung nötigen Schlüssel nicht.
• Kontrollierter Zugriff: Zugriffe auf Inhalte erfolgen nur kontrolliert und beschränkt – etwa für technisch notwendige Verarbeitungsschritte. Nach der Zustellung ist der Brief für Sie als berechtigte Empfängerin oder berechtigten Empfänger zugänglich. Das Breifgeheimnis gilt auch digital.

Der CLOUD Act – und wie ePost sich schützt

Gerade beim Einsatz eines global tätigen Cloud-Anbieters stellt sich die Frage nach dem CLOUD Act. ePost begegnet ihm auf drei Ebenen:

• Technisch: Die Inhalte sind mandanten- und dokumentbezogen verschlüsselt; das Schlüsselmanagement liegt bei ePost, unabhängig vom Cloud-Anbieter. So sind Zugriffe über den Cloud-Anbieter wirksam beschränkt.
• Vertraglich: Schweizer Datenstandort, vertragliche Zugriffsbeschränkungen und Verarbeitung nach Schweizer Recht.
• Rechtlich: Für behördliche Anfragen besteht ein definiertes Verfahren mit Prüfung der Zuständigkeit, Freigaben und lückenloser Dokumentation.

Die belastbare Kernaussage lautet: Datenhaltung in der Schweiz, Verschlüsselung bei Übertragung und Speicherung sowie Schlüsselmanagement durch ePost unabhängig vom Cloud-Anbieter. Das grössere Alltagsrisiko ist ohnehin nicht der CLOUD Act, sondern Cyberkriminalität – und genau dagegen sichern die beschriebenen Massnahmen ab.

Weitere Beiträge zu Cyberkriminalität und wie sie sich schützen können:

• Cyberattacken: So schützen Sie Ihr Unternehmen
• So schützen und sensibilisieren Sie Ihre Mitarbeitenden im Homeoffice vor Cyberbedrohungen
• Online Betrügern einen Schritt voraus sein

Geprüft und beaufsichtigt

Vertrauen braucht Belege. ePost ist nach ISO/IEC 27001:2022 zertifiziert, die digitale Archivierung zusätzlich nach ISAE 3000 (GeBüV-konform). Dazu kommen regelmässige externe Penetrationstests und Sicherheitsüberprüfungen. Zusätzlich werden sogenannte Cloud Lawful Access Risk Assessments durchgeführt – überwacht durch die PostCom und den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Die Liste der eingesetzten Unterauftragsbearbeiter ist öffentlich einsehbar. Alle Details finden Sie auf der Seite Sicherheit und Datenschutz.

Fazit

Der Speicherort Ihrer Daten ist kein technisches Detail, sondern eine Frage von Recht und Vertrauen. Bei ePost bleiben Ihre Daten in der Schweiz, unter Schweizer Recht, verschlüsselt und nachvollziehbar geprüft.

Möchten Sie wissen, was das für Ihr Unternehmen oder Ihre Behörde bedeutet? Lassen Sie sich beraten.

Mehr dazu: Briefgeheimnis digital