Cloud- und Dual-Use-Dienstleistungen. Lücken im Güterkontrollrecht schliessen

Der Bundesrat hat zu diesen Fragen bereits in seiner Stellungnahme zum Postulat 25.4119 und in seiner Antwort auf die Interpellation 25.4530 Stellung genommen.

Gemäss Güterkontrollgesetz (GKG; SR 946.202) kann der Bundesrat zur Unterstützung internationaler Kontrollmassnahmen, die völkerrechtlich nicht verbindlich sind, die Einfuhr, Ausfuhr, Durchfuhr und Vermittlung von Gütern der Bewilligungspflicht unterstellen, sofern diese Massnahmen auch von den wichtigsten Handelspartnern der Schweiz unterstützt werden. Es werden damit international harmonisierter Güterlisten für doppelt verwendbare Güter und für besondere militärische Güter nachvollzogen, welche u.a. der Wassenaar-Vereinbarung entstammen.

Die Güterlisten der Wassenaar-Vereinbarung, und damit auch die schweizerische Exportkontrolle, erfassen bereits jetzt die Bereitstellung von Dual-Use- und militärischer Software in jeglicher grenzüberschreitender Übertragungsform (einschliesslich Software-as-a-Service, beispielsweise über eine Cloud-Infrastruktur). Hingegen ist die ausschliessliche Bereitstellung von generischen Cloud-Dienstleistungen, die keine exportkontrollrelevante Tätigkeit darstellt, nicht von den international harmonisierten Exportkontrollen erfasst, weshalb der Bundesrat keine entsprechenden Massnahmen erlassen kann. International ist in absehbarer Zeit kein Kurswechsel zu erwarten. Eine Änderung des Güterkontrollgesetzes lehnt der Bundesrat nicht nur aus diesem Grund ab, sondern auch, weil eine Regulierung von Cloud-Dienstleistungen sachfremd wäre. Dies bestätigt auch ein Blick über die Landesgrenze, etwa nach Deutschland, wo solche Dienstleistungen ebenfalls nicht in der Exportkontrollgesetzgebung, sondern u.a. im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen geregelt sind.

Cloud-Dienstleistungen, die zugunsten von Streit- oder Sicherheitskräften erbracht werden und im engen Zusammenhang mit deren Kernaufgaben stehen, können überdies in gewissen Fällen als logistische Unterstützung im Sinne des Bundesgesetzes über die im Ausland erbrachten privaten Sicherheitsdienstleistungen (BPS; SR 935.41) gelten.

Das Risiko, dass in der Schweiz betriebene IT-Infrastrukturen missbräuchlich für Cyberangriffe verwendet werden, wird bereits mit der Umsetzung der Motion 25.3011 «Die Rolle von Hosting- und Cloud-Anbietern bei der Bewältigung von Cyberbedrohungen stärken» adressiert. Diese beauftragt den Bundesrat, gesetzliche Grundlagen zu schaffen, um solchen Missbrauch zu verhindern.

Der Bundesrat hält in der IP 25.4530 fest, dass Cloud-Infrastrukturen wie ''IaaS'', ''PaaS'' und ''SaaS'' derzeit nicht als Ausfuhr im Sinne des Güterkontrollrechts gelten und daher keiner Bewilligungspflicht unterliegen. Gleichzeitig bestehen keine spezifischen Kontrollmechanismen für solche Dienstleistungen, sofern keine explizit gelistete Software betroffen ist.

Diese Rechtslage ermöglicht den Zugang zu potenziell sicherheitsrelevanter digitaler Infrastruktur aus der Schweiz, ohne dass eine systematische exportkontrollrechtliche Prüfung erfolgt. Angesichts der wachsenden Bedeutung digitaler Technologien in militärischen und nachrichtendienstlichen Kontexten stösst ein primär auf physische Güter ausgerichteter Ansatz an seine Grenzen und ist nicht mehr zeitgemäss.

Die heutige Praxis, wonach Kontrollen nur im Einzelfall und bei konkreter Kenntnis erfolgen, ist nicht ausreichend, um Missbrauch präventiv zu verhindern. Zudem erfordert die rasante technologische Entwicklung, etwa im Bereich neuer ‘’as a Service’’ Modelle, einen technologieoffenen Ansatz, um künftige Lücken zu vermeiden.

Der Bundesrat wird beauftragt die gesetzlichen Grundlagen, insbesondere das Güterkontrollgesetz (GKG) und die Güterkontrollverordnung (GKV), so anzupassen, dass auch die Bereitstellung digitaler Infrastruktur und Dienstleistungen, namentlich Cloud-Infrastrukturen (IaaS), Plattformdienste (PaaS), Software-as-a-Service (SaaS) sowie Fernzugriffe, einer Bewilligungs- oder Meldepflicht unterstellt werden, wenn ein konkretes Risiko einer militärischen oder sicherheitsrelevanten Nutzung besteht.

Dabei ist insbesondere sicherzustellen, dass:

1. die bestehende Unterscheidung zwischen physischer Ausfuhr und digitaler Bereitstellung sicherheitsrelevanter Technologien überprüft und angepasst sowie bestehende Lücken geschlossen werden
2. die zuständigen Behörden über geeignete Instrumente verfügen, um immaterielle Technologietransfers sowie auch zukünftige digitale Dienstleistungsformen wirksam und technologieoffen zu erfassen und zu kontrollieren
3. die Schweiz ihre Handlungsspielräume im Rahmen des Wassenaar-Arrangement aktiv nutzt und weiterentwickelt.