Mehr als jede zweite Schweizer Gemeinde setzt auf Microsoft

(Source: Simon Ray / Unsplash.com)

(Source: Simon Ray / Unsplash.com)

Eine neue Studie (PDF) zeigt, wie stark Schweizer Gemeinden beim E-Mail-Verkehr von US-Cloud-Anbietern abhängen. Dafür analysierte ein Forschungsteam der Universität Freiburg, der Hochschule Luzern sowie der Technischen Hochschulen Ingolstadt und Nürnberg 2110 Schweizer Gemeinden.

Insgesamt nutzen rund 53 Prozent einen US-Anbieter. Fast der gesamte Anteil entfällt jedoch auf Microsoft 365: 1099 Gemeinden beziehungsweise gut 52 Prozent setzen auf den Dienst. Google Workspace und der AWS-E-Mail-Dienst Amazon SES kommen zusammen lediglich auf 26 Gemeinden.

Bei der Cloud-Abhängigkeit klaffen die Kantone auseinander

Auf einheimische Anbieter setzen knapp 42 Prozent der Schweizer Gemeinden. Dabei unterscheiden sich die Kantone stark: Im Kanton St. Gallen nutzen 80 Prozent der Gemeinden US-Clouds, im Aargau gut 75 Prozent. Sieben Kantone - darunter Appenzell Ausserrhoden, Basel-Stadt, Neuenburg und Zug - kommen laut Studie dagegen vollständig ohne US-Anbieter aus.

Im Vergleich mit den Nachbarländern liegt die Schweiz zwischen zwei Extremen. In Österreich nutzen 67 Prozent der Gemeinden US-Clouds, in Deutschland lediglich 7 Prozent. Dort setzen knapp 87 Prozent auf einheimische Anbieter. Die Studienautoren ordnen diese Unterschiede auch als Frage der digitalen Souveränität ein. Sie verweisen unter anderem auf mögliche Abhängigkeiten von einzelnen Anbietern, eingeschränkte Kontrolle über die Infrastruktur und Lock-in-Risiken.

Beim Schutz vor gefälschten Absendern hapert es

Ein einheimischer Anbieter macht ein Mail-System allerdings nicht automatisch sicherer. Die Studie trennt deshalb zwei Fragen: Wer kontrolliert die Infrastruktur und wie gut schützt eine Gemeinde ihre Domain vor Missbrauch? Beim verbreiteten SPF schneiden die Schweizer Gemeinden vergleichsweise gut ab. Der Standard legt fest, welche Mailserver Nachrichten im Namen einer Domain verschicken dürfen. Fast alle Gemeinden nutzen SPF, rund 80 Prozent setzen dabei eine strikte Konfiguration ein.

SPF allein reicht jedoch nicht für einen umfassenden Schutz vor gefälschten Absendern. DMARC legt zusätzlich fest, wie empfangende Mailserver mit Nachrichten umgehen sollen, bei denen die Absenderprüfung scheitert. Zwar haben knapp 56 Prozent der Schweizer Gemeinden DMARC eingerichtet, doch nur gut 13 Prozent verlangen die strengste Konsequenz und lassen solche Nachrichten abweisen. Auch bei Microsoft 365 bleibt diese Lücke gross: 87 Prozent der Schweizer Gemeinden, die den Dienst nutzen, haben keine strikte DMARC-Regel aktiviert.

Wie konsequent die Gemeinden ihre Mail-Systeme absichern, hängt auch vom jeweiligen Anbieter ab. US-Clouds schneiden besonders gut bei streng konfiguriertem SPF ab, während einheimische Anbieter häufiger strikte DMARC-Regeln durchsetzen. DANE ist insgesamt noch wenig verbreitet: Gut 7 Prozent der Schweizer Gemeinden nutzen den Standard, der die verschlüsselte Verbindung zwischen Mailservern zusätzlich absichert. Wo DANE zum Einsatz kommt, läuft es überwiegend über einheimische Anbieter. Einen klaren Sicherheitsvorsprung für eine der beiden Anbietergruppen zeigt die Studie damit nicht.

Für die Untersuchung analysierte das Forschungsteam im April 2026 insgesamt 15'331 kommunale E-Mail-Domains in Deutschland, Österreich und der Schweiz. Es wertete unter anderem DNS-Einträge aus, bestimmte die jeweiligen Mailanbieter und prüfte mehrere Sicherheitsmechanismen. Bei 93 Schweizer Gemeinden konnte das Team den eigentlichen Anbieter nicht bestimmen, meist weil vorgeschaltete Sicherheitslösungen die Infrastruktur verdeckten. Die Forschenden gehen deshalb davon aus, dass ihre Methode die tatsächliche Cloud-Nutzung eher unterschätzt als überschätzt.

Übrigens: Wie Gemeinden Microsoft 365 datenschutzkonform einsetzen können, zeigt ein Leitfaden der Zürcher Datenschutzbeauftragten - mehr dazu lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.