Treuhand, Recht, Finanzen: Wer vom Virtual Data Center profitiert
Schweizer Banken, Versicherungen, Anwaltskanzleien und Treuhandgesellschaften unterliegen strengen Vorgaben wie dem FINMA-Rundschreiben 2018/3, dem Anwaltsgeheimnis nach Art. 321 StGB und dem Geldwäschereigesetz. Ein Virtual Data Center mit Schweizer Serverstandort erfüllt die Anforderung, dass sanierungsrelevante Daten jederzeit im Inland zugänglich bleiben, und qualifiziert als Hilfsperson im Sinne des Berufsgeheimnisses. Diese Branchen profitieren dadurch besonders von lokal betriebener Infrastruktur.
Treuhandbüros, Anwaltskanzleien, Banken und Versicherungen verwalten Daten, die einer besonderen gesetzlichen Vertraulichkeit unterliegen, sei es durch das Berufsgeheimnis, das Geldwäschereigesetz oder aufsichtsrechtliche Auslagerungsvorschriften der FINMA. Für diese Sektoren ist der Standort und die Kontrolle über die IT-Infrastruktur keine technische Nebenfrage, sondern Teil der rechtlichen Sorgfaltspflicht. Ein Virtual Data Center mit Rechenzentren in der Schweiz bietet eine Grundlage, auf der sich diese Anforderungen nachvollziehbar umsetzen lassen.
Welche Vorgaben macht die FINMA Banken und Versicherungen bei der Auslagerung?
Das FINMA-Rundschreiben 2018/3 'Outsourcing – Banken und Versicherer', in Kraft seit dem 1. April 2018, verlangt von Banken, Effektenhändlern und Versicherungsunternehmen, dass der Zugriff auf die für Sanierbarkeit und Abwickelbarkeit erforderlichen Informationen jederzeit in der Schweiz möglich sein muss.
Für bestehende Auslagerungsverhältnisse von Banken und Effektenhändlern galt beim Inkrafttreten eine Übergangsfrist von fünf Jahren, die mittlerweile abgelaufen ist. Mit dem Rundschreiben 2023/1 'Operative Risiken und Resilienz' hat die FINMA zusätzlich präzisiert, welche Anforderungen bei der Auslagerung geschäftsrelevanter Funktionen gelten. Ein Institut bleibt gegenüber der FINMA dabei so verantwortlich, wie wenn es die ausgelagerte Funktion selbst wahrnehmen würde, weshalb die Wahl des Infrastrukturpartners sorgfältig zu dokumentieren ist. Wer den Serverstandort als Schutzmerkmal betrachtet, sollte zudem die Souveränitätsfrage beim US CLOUD Act einbeziehen, da dort der Anbieter und nicht nur der Standort massgebend ist.
Wie lässt sich das Anwaltsgeheimnis mit einer Cloud-Nutzung vereinbaren?
Art. 321 StGB unterstellt Anwältinnen und Anwälte, Notare und weitere namentlich genannte Berufsgruppen als echtes Sonderdelikt dem Berufsgeheimnis, wobei die Auslagerung von Klientendaten an einen Cloud-Anbieter nach herrschender Lehre und Rechtsprechung zulässig ist, sofern dieser als Hilfsperson im Sinne von Art. 321 Ziff. 1 Abs. 1 StGB qualifiziert wird.
Aus dem Berufsrecht, dem BGFA, ergeben sich zusätzliche Sorgfaltspflichten, die eine Kanzlei bei der Wahl des Anbieters berücksichtigen muss. Ein Schweizer Cloud-Anbieter, dessen Server sich im Inland befinden, gilt dabei als Hilfsperson im Sinne von Art. 321 StGB, sodass die Auslagerung von Klientendaten an diesen Anbieter als zulässig erachtet wird. Für Kanzleien wird der Serverstandort damit zu einem Kriterium der Vertragsgestaltung, nicht zu einer technischen Randfrage.
Welche Sorgfaltspflichten treffen Treuhänder nach dem Geldwäschereigesetz?
Das Geldwäschereigesetz, das seit dem 1. April 1998 gilt, verpflichtet Schweizer Finanzintermediäre, zu denen auch Treuhänder zählen, zu fünf kumulativen Sorgfaltspflichten: Identifizierung der Vertragspartei, Feststellung des wirtschaftlich Berechtigten, besondere Abklärungen und Risikoklassifizierung, risikobasierte Überwachung sowie Dokumentation.
Treuhänder ohne FINMA-Bewilligung müssen sich einer von der FINMA anerkannten Selbstregulierungsorganisation anschliessen, die eigene Reglemente erlässt und jährliche Mitgliederprüfungen durchführt. Seit dem 1. Januar 2025 erfassen neue GwG-Bestimmungen erstmals auch den berufsmässigen Handel mit Grundstücken, wodurch Immobilienmakler und Treuhänder stärker in den Fokus der Aufsichtsbehörden geraten. Nach Art. 33 GwG richtet sich die Bearbeitung von Personendaten grundsätzlich nach dem Datenschutzgesetz, während Verdachtsmeldungen nach Art. 9 GwG als besonders delikat gelten und sich nach den Art. 34 bis 35a GwG richten. Seit dem 1. September 2023 gilt zudem das revidierte Datenschutzgesetz zusammen mit der Datenschutzverordnung, was diese Dokumentationspflichten zusätzlich verschärft.
Warum verschärfen aktuelle Ransomware-Zahlen den Handlungsdruck in diesen Branchen?
Im ersten Halbjahr 2025 registrierte das Bundesamt für Cybersicherheit 57 Ransomware-Meldungen gegenüber 44 Vorfällen im gleichen Zeitraum 2024, wobei die Variante Akira am häufigsten genannt wurde, gefolgt von LockBit.
Im zweiten Halbjahr 2025 wurden dem Bundesamt für Cybersicherheit erneut 57 Ransomware-Vorfälle gemeldet, wobei sich die Aktivitäten von Akira zusätzlich intensivierten. Eine zentrale Herausforderung bilden laut Bundesamt für Cybersicherheit Angriffe innerhalb der Lieferkette, da nach einem Angriff auf ein IT-Unternehmen auch dessen Geschäftskunden von negativen Konsequenzen betroffen sein können. Seit dem 1. April 2025 sind Betreiberinnen kritischer Infrastrukturen zudem gesetzlich verpflichtet, schwerwiegende Cybervorfälle dem Bundesamt für Cybersicherheit zu melden. Für Treuhand-, Rechts- und Finanzbetriebe, deren Mandatsdaten sich kaum ersetzen lassen, lohnt sich ein Blick auf die aktuelle Meldestatistik des Bundesamts für Cybersicherheit, um die eigene Risikolage einzuordnen.
Wie prüfen Treuhand-, Rechts- und Finanzbetriebe die eigene IT-Infrastruktur?
Geschäftsführer und IT-Verantwortliche klären zuerst, welches Regelwerk, das FINMA-Rundschreiben, das Berufsgeheimnis oder das Geldwäschereigesetz, für das eigene Mandat massgebend ist und welche Anforderungen an Serverstandort und Zugriffskontrolle daraus entstehen.
Im zweiten Schritt lohnt sich ein Abgleich der bestehenden Infrastruktur mit den priorisierten Basismassnahmen aus dem Leitfaden für den IT-Basisschutz von Schweizer KMU, insbesondere zu Zugriffsschutz, Backup-Tests und internen Meldewegen. Erst danach lässt sich beurteilen, ob ein Virtual Data Center mit Schweizer Rechenzentrum und dokumentierter ISO/IEC-27001-Zertifizierung die eigenen regulatorischen Nachweise sinnvoll unterstützt. Der konkrete erste Schritt ist eine interne Bestandsaufnahme, in der festgehalten wird, wo Mandats- und Kundendaten heute effektiv liegen und wer darauf Zugriff hat.
Häufige Fragen
Was verlangt das FINMA-Rundschreiben 2018/3 zur Auslagerung von IT-Infrastruktur?
Das FINMA-Rundschreiben 2018/3 zu Outsourcing bei Banken und Versicherern, in Kraft seit 1. April 2018, schreibt vor, dass sanierungs- und abwicklungsrelevante Informationen jederzeit in der Schweiz zugänglich bleiben müssen. Institute bleiben gegenüber der FINMA voll verantwortlich, auch wenn Funktionen ausgelagert werden, weshalb die Wahl des Infrastrukturpartners sorgfältig dokumentiert werden muss.
Ist die Nutzung einer Cloud mit dem Anwaltsgeheimnis vereinbar?
Ja, Anwältinnen und Anwälte dürfen Mandatsdaten in einer Cloud verarbeiten, sofern der Anbieter nach Art. 321 StGB als Hilfsperson qualifiziert wird. Voraussetzung ist eine sorgfältige Vertragsgestaltung, die den Zugriffsschutz und die Vertraulichkeit sicherstellt. Ein Schweizer Anbieter mit Servern im Inland erfüllt diese Anforderung nach herrschender Lehre und Rechtsprechung.
Welche Sorgfaltspflichten gelten für Treuhänder nach dem Geldwäschereigesetz?
Treuhänder gelten als Finanzintermediäre und müssen fünf Sorgfaltspflichten erfüllen: die Identifizierung der Vertragspartei, die Feststellung des wirtschaftlich Berechtigten, besondere Abklärungen mit Risikoklassifizierung, eine risikobasierte Überwachung der Geschäftsbeziehung sowie eine lückenlose Dokumentation. Treuhänder ohne FINMA-Bewilligung schliessen sich zudem einer anerkannten Selbstregulierungsorganisation an, die jährliche Prüfungen durchführt.
Wie viele Ransomware-Vorfälle wurden 2025 in der Schweiz gemeldet?
Im ersten Halbjahr 2025 meldete das Bundesamt für Cybersicherheit 57 Ransomware-Vorfälle, gegenüber 44 im gleichen Zeitraum 2024. Im zweiten Halbjahr 2025 wurden erneut 57 Fälle registriert. Am häufigsten wurde die Variante Akira genannt, gefolgt von LockBit, wobei sich die Aktivitäten von Akira im Jahresverlauf zusätzlich intensivierten.
Was ist ein Virtual Data Center mit Schweizer Serverstandort?
Ein Virtual Data Center ist eine virtualisierte Cloud-Infrastruktur, die Rechenleistung, Speicher und Netzwerk aus einem physischen Rechenzentrum bereitstellt. Befindet sich dieses Rechenzentrum in der Schweiz, bleiben Daten und Zugriff im Inland, was regulatorische Vorgaben wie das FINMA-Rundschreiben 2018/3, das Anwaltsgeheimnis oder das Geldwäschereigesetz einfacher nachvollziehbar macht.
Quellen
- Inkrafttreten des revidierten Datenschutzgesetzesadmin.ch
- Halbjahresbericht 2025/2 zur CybersicherheitBundesamt für Cybersicherheit (BACS)
Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung fachlich geprüft und freigegeben. Die inhaltliche Verantwortung liegt bei n'cloud.swiss AG.