Wie die Schweiz trotz digitaler Abhängigkeiten handlungsfähig bleiben will

Markus Mäder, Staatssekretär für Sicherheitspolitik. (Source: zVg)

Markus Mäder, Staatssekretär für Sicherheitspolitik. (Source: zVg)

Die neue Sicherheitspolitische Strategie hält fest, dass Staaten technologische Abhängigkeiten als ­politisches Druckmittel nutzen können. Wo ist die Schweiz digital heute am verwundbarsten?

Markus Mäder: Die Schweiz ist als hochdigitalisiertes und international vernetztes Land in vielen Bereichen auf ausländische Technologien und Dienstleistungen angewiesen. Das betrifft unter anderem Cloud-Infrastrukturen, Software, Kommunikationssysteme und technologische Lieferketten. Besonders aufmerksam müssen wir deshalb dort sein, wo kritische Infrastrukturen und die Handlungsfähigkeit des Staates betroffen sind. Es gibt aber keine Rangliste der kritischsten digitalen Abhängigkeiten.

Wann wird aus einer normalen technologischen ­Abhängigkeit ein Risiko für die nationale Sicherheit – und woran erkennt der Bund diese Schwelle?

Die Beurteilung erfolgt risikobasiert und abhängig vom betroffenen System, seiner Kritikalität und den möglichen Auswirkungen. Es gibt keine allgemeingültige quantitative Schwelle, ab der eine technologische Abhängigkeit zu einem nationalen Sicherheitsrisiko wird. Technologische Abhängigkeiten sind für ein international vernetztes Land wie die Schweiz unvermeidbar. Sie werden dann zu einem sicherheitspolitischen Risiko, wenn sie unsere Handlungsfähigkeit beeinträchtigen können – etwa wenn kritische Infrastrukturen ausfallen, wichtige staatliche Aufgaben nicht mehr erfüllt werden können oder Abhängigkeiten gezielt als politisches Druckmittel eingesetzt werden. Entscheidend sind deshalb die möglichen Auswirkungen einer Abhängigkeit: Wie kritisch ist eine Technologie oder Dienstleistung? Welche Folgen hätte ein Ausfall oder ein unbefugter Zugriff? Wie stark sind wir von einzelnen Anbietern abhängig, und welche Alternativen stehen uns zur Verfügung? Die Sicherheitspolitische Strategie sieht vor, solche Abhängigkeiten systematisch zu identifizieren und so weit wie möglich zu reduzieren. Entscheidend ist, dass die Schweiz auch in Krisen handlungsfähig bleibt.

Angenommen, ein US-Anbieter stellt zentrale Cloud-Dienste für den Bund plötzlich nicht mehr bereit – etwa wegen eines politischen Entscheids in Washington. Welche Funktionen müssen weiterlaufen, und wie gut ist die Schweiz darauf vorbereitet?

Ein plötzlicher Ausfall zentraler Cloud-Dienste wäre eine ernst zu nehmende Herausforderung. Der Bund arbeitet daran, kritische Informationssysteme zu identifizieren, Risiken zu reduzieren und Ausweichmöglichkeiten zu schaffen. Dazu gehören die Hybrid-Multi-Cloud-Strategie und der Aufbau einer souveränen Arbeitsplatzsoftware als Alternative zu Microsoft 365. Wir müssen aber zwischen dem strategischen Ziel, unsere Handlungsfähigkeit sicherzustellen, und der konkreten technischen Vorsorge für einzelne Systeme unterscheiden. Die entsprechenden Ausfall- und Wiederanlaufkonzepte liegen in der Verantwortung der für die jeweiligen Systeme zuständigen Stellen. Grundschutzmassnahmen sind umso wichtiger.

Der US-Cloud-Act kann Anbieter unter US-Recht verpflichten, auch im Ausland gespeicherte Daten an US-Behörden herauszugeben. Ist das aus sicherheitspolitischer Sicht mit digitaler Souveränität vereinbar? Und wenn ja: unter welchen Bedingungen?

Digitale Souveränität bedeutet nicht, dass die Schweiz ausschliesslich eigene Technologien oder Dienstleistungen einsetzen darf. Entscheidend ist, dass der Bund die notwendige Kontrolle über seine Daten und Systeme behält und seine Aufgaben selbstbestimmt erfüllen kann. Bei der Nutzung ausländischer Cloud-Dienste müssen deshalb die rechtlichen, technischen und organisatorischen Risiken sorgfältig geprüft werden. Dazu gehört auch die Frage, welchem ausländischen Recht ein Anbieter untersteht und welche Zugriffsmöglichkeiten sich daraus ergeben. Der Bund hat für den Einsatz von Microsoft 365 Schutzmassnahmen getroffen. Besonders schützenswerte Daten und vertrauliche Dokumente dürfen nicht in der Microsoft-Cloud gespeichert werden. Diese Einschränkungen sind ein konkretes Beispiel dafür, wie der Bund Risiken begrenzt.

Microsoft 365 läuft inzwischen auf rund 54 000 Arbeitsplätzen des Bundes. Die geplante Open-Source-Alternative ist vorerst für rund 3000 Mitarbeitende vorgesehen. Reicht das als sicherheitspolitischer Plan B, oder ist die Bundesverwaltung weiterhin zu abhängig von Microsoft?

Auf strategischer Ebene ist die Anforderung relevant, Lieferantenabhängigkeiten systematisch zu erfassen, kritische Informationssysteme zu identifizieren und Abhängigkeiten von ausländischen Anbietern so weit wie möglich zu reduzieren. Der Bund ist sich der Abhängigkeiten von einzelnen Technologieanbietern bewusst und arbeitet daran, diese zu reduzieren. Dabei geht es nicht darum, Microsoft 365 von heute auf morgen vollständig zu ersetzen, sondern darum, zusätzliche Handlungsoptionen zu schaffen.

Bei KI reichen die Abhängigkeiten von Modellen und Trainingsdaten bis hin zu Chips, Rechenleistung und Cloud-Infrastrukturen. Welche dieser Abhängigkeiten ist sicherheitspolitisch besonders kritisch – und was muss die Schweiz selbst beherrschen?

Die Strategie anerkennt KI als Schlüsseltechnologie und behandelt technologische Abhängigkeiten als sicherheitspolitisches Problem. Sie priorisiert jedoch nicht ausdrücklich zwischen KI-Modellen, Trainingsdaten, Halbleitern, Rechenkapazität und Cloud-Infrastrukturen. Sicherheitspolitisch entscheidend ist, ob wir die Kontrolle über kritische Anwendungen und Daten behalten und die damit verbundenen Risiken eigenständig beurteilen können. Die Schweiz muss nicht sämtliche Komponenten selbst entwickeln oder herstellen. Sie muss aber über die Kompetenzen verfügen, um Technologien sicher einzusetzen, ihre Risiken zu bewerten und bei kritischen Anwendungen handlungsfähig zu bleiben. Dafür sind eigene Forschungs- und Innovationskapazitäten, qualifizierte Fachkräfte und die internationale Zusammenarbeit zentral.

KI beschleunigt Cyberangriffe, Desinformation und militärische Entscheidungsprozesse. Wie muss sich die Sicherheitspolitik darauf einstellen, wenn Maschinen das Tempo vorgeben und Menschen immer weniger Zeit zum Prüfen und Eingreifen haben?

Der Bund befasst sich intensiv mit dieser Herausforderung und es findet dazu auch eine politische Debatte statt. Die Sicherheitspolitische Strategie berücksichtigt KI sowohl als sicherheitspolitische Herausforderung als auch als Instrument zur Verbesserung der Cyberabwehr. Für die Sicherheitspolitik bedeutet dies konkret, dass wir unsere Fähigkeiten zur Früherkennung, Lagebeurteilung und Krisenbewältigung weiterentwickeln müssen. Dazu gehört auch der verantwortungsvolle Einsatz neuer Technologien.

Welche Entscheidung darf ein militärisches KI-System niemals ohne menschliche Freigabe treffen?

Für die Schweiz ist zentral, dass beim Einsatz militärischer KI-Systeme das Völkerrecht, insbesondere das humanitäre Völkerrecht, eingehalten wird. Autonomie darf nicht unbegrenzt sein. Konkret bedeutet dies: Entscheide über Leben und Tod dürfen nicht von autonomen Waffensystemen gefällt werden. Die menschliche Kontrolle muss gewährleistet bleiben. Die Schweiz hat entsprechende Leitlinien für ihre eigene Armee definiert. Und sie setzt sich im internationalen Rahmen dafür ein, dass KI im militärischen Kontext verantwortungsvoll genutzt wird.

KI kann staatliche Desinformationskampagnen gegen die Schweiz glaubwürdiger machen. Wie reagiert der Bund, wenn unklar bleibt, wer dahintersteckt?

Durch künstliche Intelligenz ist es für Staaten, aber auch andere Akteure noch einfacher geworden, täuschend echte Inhalte zu ­erstellen und gezielt zu verbreiten. Unabhängig von einer ­Attribution können die zuständigen Behörden die Bevölkerung mit verlässlichen Informationen versorgen, auf Manipulationsversuche aufmerksam machen und für den Umgang mit Desinformation sensibilisieren. Ein solides Vertrauensverhältnis zwischen Behörden und Bevölkerung bildet die Grundlage für die Abwehr von Desinformationskampagnen.

Bei KI, Quanten-, Bio- und Cybertechnologien kann unerwünschter Wissensabfluss die Sicherheit gefährden. Wie schützt die Schweiz dieses Wissen, ohne die internationale Forschungszusammenarbeit an Hochschulen auszubremsen?

Zu dieser Frage ist der Bund in regelmässigem Austausch mit den Hochschulen und verfolgt ausdrücklich beide Ziele: sicherheits­relevantes Wissen schützen und die Forschungszusammenarbeit ermöglichen. Die Schweiz ist ein international führender Forschungs- und Innovationsstandort. Der internationale Austausch und die Offenheit unserer Hochschulen sind eine wesentliche Grundlage dieses Erfolgs. Diese Stärken wollen wir bewahren. Gleichzeitig müssen wir berücksichtigen, dass Forschungsergebnisse und Technologien auch sicherheitspolitisch relevant sein können. Das gilt insbesondere für Technologien, die sowohl zivil als auch militärisch genutzt werden können. Solches Wissen kann gezielt abgeschöpft oder für Zwecke eingesetzt werden, die unseren Sicherheitsinteressen widersprechen. Entsprechend sieht die Strategie eine Koordination der Massnahmen zur Wissenssicherheit unter den Hochschulen vor.

Viele kritische Infrastrukturen liegen in privater Hand. Wann braucht es über die Eigenverantwortung hinaus verbindliche staatliche Vorgaben für Resilienz und Ausweichmöglichkeiten?

Bund, Kantone und Betreiber entwickeln gemeinsam Standards für Resilienz, physische Sicherheit sowie Informations- und Cybersicherheit. Dort, wo der Bund über entsprechende Kompetenzen verfügt oder regulatorische Vorgaben bestehen, werden Normen und Standards verbindlich ausgestaltet. Beispielsweise gibt es eine Meldepflicht bei Cyberangriffen, teilweise auch branchenweite Minimalstandards für Cybersicherheit – so zum Beispiel im Energiesektor.

Der Bundesrat hat das SEPOS Ende 2025 beauftragt, gemeinsam mit dem EDA eine Arbeitsgruppe zur digitalen Souveränität einzusetzen. Welche konkreten Ergebnisse gibt es bereits, und was muss die Arbeitsgruppe noch liefern?

Mit dem Bericht zur digitalen Souveränität vom November 2025 hat der Bundesrat zunächst die konzeptionellen Grundlagen geschaffen. Er definiert digitale Souveränität als die erforderliche Kontroll- und Handlungsfähigkeit im digitalen Raum, damit der Staat seine Aufgaben erfüllen kann. Dazu wurden verbindliche Leitlinien für die Bundesverwaltung erlassen. Sie legen fest, wie die digitale Souveränität bei Digitalprojekten berücksichtigt werden soll. Dabei geht es unter anderem um die Reduktion kritischer Abhängigkeiten, die Resilienz sowie den Schutz von Daten und Informationen. Die vom Bundesrat eingesetzte interdepartementale Arbeitsgruppe unter Federführung des SEPOS ergänzt diese Arbeiten aus sicherheits- und aussenpolitischer Sicht. Sie soll Risiken für die digitalen Ressourcen des Bundes identifizieren, eine Gesamtsicht auf die relevanten Arbeiten sicherstellen und Empfehlungen sowie Hilfsmittel für die Risikoeinschätzung entwickeln. Damit wollen wir erreichen, dass technologische Abhängigkeiten nicht nur aus einer technischen oder wirtschaftlichen Perspektive beurteilt werden, sondern auch im Hinblick auf mögliche geopolitische Entwicklungen und deren Auswirkungen auf die Handlungsfähigkeit der Schweiz.

Bis Ende 2028 will der Bundesrat Bilanz zur Umsetzung der Sicherheitspolitischen Strategie ziehen. ­Woran lässt sich dann messen, ob die Schweiz im ­digitalen Raum resilienter geworden ist?

Für die Umsetzung der Ziele wurde ein interdepartementaler Steuerungsausschuss gebildet, in dem auch die jeweils relevanten Kantonskonferenzen vertreten sind. Dieser Steuerungsausschuss ist für die ganzheitliche Umsetzung der Strategie zuständig. Er wird vom SEPOS geleitet. Das SEPOS wird dem Bundesrat bis Ende 2028 einen Bericht zum Stand der Umsetzung liefern. Massstab sind die Ziele der Strategie, nicht eine Liste erledigter Massnahmen. Für den digitalen Raum heisst das: Die Abhängigkeiten von ausländischen Anbietern, etwa bei Cloud und KI, sind besser erfasst und, wo möglich, reduziert. Die Informationssicherheit der Bundesbehörden ist höher. Cyberbedrohungen werden früher erkannt und abgewehrt. Kritische Infrastrukturen erbringen ihre essenziellen Leistungen auch unter erschwerten Bedingungen. Das geht nur gemeinsam. Digitale Risiken betreffen nicht nur einzelne Bundesstellen, sondern auch die Kantone, die Wirtschaft und die Betreiber kritischer Infrastrukturen. Deshalb werden Standards mit ihnen gemeinsam entwickelt und die Zusammenarbeit für den Krisenfall geübt.

Zu den Aufgaben des SEPOS gehört es, künftige sicherheitspolitische Entwicklungen zu antizipieren. Welches digitale Krisenszenario sollte die Schweiz als Nächstes durchspielen, um ihre Handlungsfähigkeit im Ernstfall zu testen?

Es sind verschiedene Szenarien denkbar. Die Strategie sieht regelmässige Verbundübungen von Bund und Kantonen vor, teilweise unter Beteiligung von Betreibern kritischer Infrastrukturen. Erkenntnisse aus Übungen sollen in Entscheidungsstrukturen und Abläufe einfliessen. Mit der Integrierten Übung 2025 haben Bund und Kantone bereits ein komplexes hybrides Bedrohungsszenario gemeinsam durchgespielt. Die Erkenntnisse daraus fliessen in die Weiterentwicklung des nationalen Krisenmanagements ein. Ich erlaube mir noch eine Schlussbemerkung: Technologische Sicherheit ist Teil einer umfassenden Sicherheitspolitik. Digitale Abhängigkeiten, Cybersicherheit, kritische Infrastrukturen, Wissenssicherheit und hybride Bedrohungen müssen zusammengedacht werden. Dafür braucht es die Zusammenarbeit von Bund, Kantonen, Wirtschaft, Gesellschaft und Wissenschaft.

Zur Person
Markus Mäder leitet seit Januar 2024 als erster Staats­sekretär für Sicherheitspolitik das neu geschaffene Staatssekretariat für Sicherheitspolitik SEPOS im VBS. Zuvor war er in verschiedenen Funktionen für das VBS tätig: 2016 bis 2023 als Chef Internationale Beziehungen Verteidigung (im Grad Brigadier); davor als Verteidigungsattaché für Pakistan, Afghanistan und Iran; zuvor als Stellvertretender Militärischer Repräsentant auf der Schweizer Mission bei der NATO in Brüssel sowie als Sicherheitspolitischer Berater und Stellvertretender Chef Streitkräfte- und Rüstungsplanung in der damaligen Direktion für Sicherheitspolitik. ­Mäder ist promovierter Historiker und arbeitete an der Forschungsstelle für Sicherheitspolitik der ETH Zürich.