Schweizer Justizminister legt Veto gegen Amazon-Rolle in E-ID-Vertrauensregistern ein: Souveränität wird zum Beschaffungsfaktor

Die Schweizer Stimmberechtigten haben die staatliche E-ID mit 50,39 Prozent Ja-Stimmenanteil angenommen. Die beiden Bundesämter, die sie aufbauen, waren kurz davor, einen Teil ihrer Vertrauensinfrastruktur in die Amazon-Cloud zu verlagern. Bundesrat Beat Jans, Vorsteher des Eidgenössischen Justiz- und Polizeidepartements (EJPD), stoppte den Plan Mitte Februar 2026. Das Online-Magazin Republik berichtete am 1. September 2026 darüber; heise online, Blick und Swiss IT Magazine folgten.

Kurzantwort: Das Bundesamt für Justiz (BJ) und das Bundesamt für Informatik und Telekommunikation (BIT) wollten Amazon Web Services in diesem Frühjahr zusätzliche Kapazitäten für den Betrieb der E-ID-Vertrauensinfrastruktur bereitstellen. Jans legte sein Veto ein, bevor ein Zuschlag erfolgte, und begründete dies mit dem US Cloud Act, dem Lock-in-Effekt und einem politischen "Kill Switch"-Risiko. Das BIT soll die Register in zwei Bundesrechenzentren betreiben. Für IT-Anbieter geht es darum, wie Schweizer und EU-Käufer beginnen, "digitale Souveränität" zu bewerten.

Die Geschichte in fünf Zahlen

• 50,39 Prozent: der Ja-Anteil bei der Abstimmung über das E-ID-Gesetz am 28. September 2025.
• Mitte Februar 2026: Zeitpunkt, zu dem Jans den Plan stoppte; der Zuschlag war für Frühjahr 2026 vorgesehen.
• 90 Tage: das Zeitfenster, um Bundesdaten nach Beendigung des Amazon-Cloud-Vertrags abzuziehen, gemäss der Lesart der Republik.
• Fünf Anbieter: Amazon Web Services, Microsoft, Alibaba, IBM und Oracle halten die Rahmenverträge "Public Clouds Bund" (WTO-20007), verlängert bis 2031.
• Erstes Halbjahr 2027: voraussichtlicher Start der Vertrauensinfrastruktur, gemäss BJ. Die E-ID selbst hat keinen festen Starttermin.

Was geplant war

Der Plan war eine Notlösung. Die Republik beschreibt "zusätzliche Kapazitäten für den Betrieb der sogenannten Vertrauensinfrastruktur": Das System muss rund um die Uhr verfügbar sein, und falls die Bundesrechenzentren ausfallen sollten, hätte sich der Bund schnell auf Amazon zurückgreifen können. Die Republik nennt dies technisch nachvollziehbar; das Bundesamt für Grenzsicherheit betreibt seine Zoll-Apps aus demselben Grund bereits auf Amazon.

Es ging um die beiden Register des Systems: das Basisregister, das den E-ID-Status in anonymisierter Form verwaltet, und das Vertrauensregister, die öffentliche Liste der autorisierten Aussteller und Prüfer. Keines der beiden speichert gemäss der Technologie-Seite des Programms persönliche Daten einzelner Anmeldeinformationen.

Der Zeitplan erklärt, warum die Ämter extern suchten. Die Republik zitiert Insider, die den Plan mit der fehlenden Swiss Government Cloud in Verbindung bringen, die "massiv verspätet und noch nicht einmal ausgeschrieben" sei, weshalb die Bundeskanzlei die Cloud-Rahmenverträge von 2021 um weitere fünf Jahre verlängerte. heise online sagt, die IT-Manager hätten diese bestehenden Rahmenverträge als pragmatischen Ausweg gesehen.

Warum es gestoppt wurde

Es erfolgte kein formeller Zuschlag. Die Republik berichtet, dass das BJ und das BIT "im Frühjahr" den Auftrag vergeben wollten und dass Jans dies Mitte Februar stoppte. Kein Bericht beschreibt einen unterzeichneten Vertrag oder nennt den Beschaffungsweg.

Die gemeldeten Einwände betreffen eher die Kontrolle als die Daten. Die Republik listet drei auf: Amazon unterliegt US-Überwachungsgesetzen wie dem Cloud Act; ein technischer Lock-in würde einen Anbieterwechsel innerhalb von 90 Tagen kaum handhabbar machen; und ein "Kill Switch"-Risiko, falls eine US-Regierung beschliessen würde, den Stecker zu ziehen. Bei Vertragsbeendigung hat die Verwaltung nur 90 Tage Zeit, ihre Daten abzuziehen, bevor Amazon sie löscht.

Niemand hat Jans zum Souveränitätsargument zitiert. Die Republik schreibt, dass ein Zuschlag an Amazon diametral den Plänen des Bundesrates für mehr digitale Souveränität entgegenlaufen würde, "wie Insider aus dem Umfeld des Bundesrates bestätigen".

Die Reaktion

Das BJ dementiert oder verteidigt den Plan nicht. Seine Stellungnahme an die Republik, die auch von Blick wiederholt wurde: In der Projektarbeit "wurden alle Optionen aus technischer Sicht geprüft, unabhängig davon, welche Optionen überhaupt favorisiert oder in Betracht gezogen wurden".

Die Argumentation der Ämter ist nachvollziehbar. Die Weisung der Bundeskanzlei zu den fünf Rahmenanbietern besagt, dass die Fachstelle über die Cloud-Nutzung nach einer Schutzbedarfsanalyse und nach Rücksprache mit ihrem Departement entscheidet. Dies stimmt weitgehend mit dem von der Kanzlei beschriebenen Verfahren überein, obwohl die Berichterstattung nicht feststellt, welche formellen Schritte hier abgeschlossen wurden.

Das Swiss IT Magazine berichtet, dass eine Reihe von Kritikern wenig Verständnis dafür zeigen, dass ein US-Hyperscaler überhaupt in die engere Wahl kam.

Wo die Register jetzt sind

Die veröffentlichte Linie hat sich nicht geändert. Die Mitteilung des EJPD vom 25. Februar 2026 besagt, dass das BIT die Infrastruktur an zwei unabhängigen Bundesstandorten, PRIMUS in Bern und CAMPUS in Frauenfeld, betreiben wird und dass die E-ID voraussichtlich am 1. Dezember 2026 starten sollte.

Dieses Datum ist inzwischen verstrichen. Am 30. Juni 2026 teilte das BJ mit, dass Entwicklungen im Bereich der künstlichen Intelligenz zusätzliche Sicherheit bei der Online-Ausstellung erfordern, der Start verschoben wird und das Datum bekannt gegeben wird, sobald die Arbeiten weitgehend abgeschlossen sind. Die Vertrauensinfrastruktur soll unabhängig davon im ersten Halbjahr 2027 starten.

Was noch offen ist

Niemand hat veröffentlicht, was den Amazon-Fallback ersetzt. Die Mitteilung des BJ vom 30. Juni erwähnt weder Kapazität noch Hosting, und die Beschaffungsseite des E-ID-Programms, die besagt, dass alle Ausschreibungen auf simap.ch veröffentlicht werden, verlinkt nichts Neueres als 2023. Die Ausschreibung für die Swiss Government Cloud-Dienste steht noch aus.

Souveränität als Zuschlagskriterium

Digitale Souveränität ist eine erklärte Bundespriorität für 2026. Die am 12. Dezember 2025 aktualisierte und für die Bundesverwaltung verbindliche Strategie Digitale Schweiz des Bundesrates macht sie zu einem von drei Schwerpunktthemen neben der E-ID selbst, mit dem Ziel, dass die Verwaltung ihre Souveränität und Krisenresilienz erhöht.

Sie ist auch in den nächsten grossen Schweizer Cloud-Einkauf eingeschrieben. Die Swiss Government Cloud, geplant für 2025 bis 2032 mit Gesamtkosten von CHF 319,4 Millionen, hat drei Stufen, und ihre mittlere Stufe, "Public Cloud Schweiz", speichert Daten in der Schweiz "auch um höhere Souveränitätsanforderungen zu erfüllen". Bis dahin überbrückt die Ausschreibung des BIT vom April 2026 "Professional Services Public Cloud", acht Lose mit einer Obergrenze von CHF 130 Millionen bis Ende 2031, die Lücke.

Die EU geht noch weiter. Am 3. Juni 2026 schlug die Europäische Kommission den Cloud and AI Development Act (COM(2026) 502 final) vor. Öffentliche Auftraggeber, die Cloud-Dienste kaufen, müssten mindestens das "Union assurance level 1" beschaffen, und wenn eine Risikobewertung eine "public order relevance" feststellt, nur Dienste, die auf den Stufen 2 bis 4 anerkannt sind. Diese reichen von nachgewiesener Unabhängigkeit von Drittländern bis hin zu EU-Eigentum und vollständiger Kontrolle der Lieferkette. Ein separater Artikel würde die Mitgliedstaaten verpflichten, "Union added value"-Kriterien in öffentliche Beschaffungen für innovative Cloud-Dienste und KI-Systeme aufzunehmen, obwohl diese Kriterien eher unterstützend als entscheidend bleiben müssten. Es handelt sich um einen Vorschlag, nicht um ein Gesetz.

Die eigenen Beschaffungen der Kommission zeigen, wie sich dies auswirkt. Am 17. April 2026 vergab sie einen Auftrag über 180 Millionen Euro für eine souveräne Cloud an vier europäische Anbieter, bewertet nach ihrem Cloud Sovereignty Framework, und erklärte, dass nicht-europäische Technologien, die innerhalb eines strengen Rahmens betrieben werden, das Mindestniveau erreichen können. Ein Gewinnerkonsortium umfasst S3NS, ein Joint Venture von Thales und Google Cloud.

Was jetzt zu tun ist

• Bieten Sie für einen Schweizer öffentlichen Betriebs- oder Hosting-Vertrag? Prüfen Sie, welcher SGC-Tier oder Schutzstufe die Anforderung zugeordnet ist, und bereiten Sie Ihre Ausstiegsbedingungen und Ihre Erklärung zur Exposition gegenüber Drittländern vor der Fragerunde vor.
• Verkaufen Sie an eine EU-Behörde? Lesen Sie jetzt die Definitionen der Sicherungsstufen in COM(2026) 502; selbst als Vorschlag sind sie das Vokabular, das Käufer mit "public order relevance" als Nächstes verwenden werden.
• Beobachten Sie die E-ID selbst? Verfolgen Sie simap.ch und die Beschaffungsseite des E-ID-Programms für Hinweise zum Registerbetrieb oder zur Ausweichkapazität; seit dem Veto ist nichts erschienen.

Öffnen Sie Tendly, um die aktuell offenen Ausschreibungen für Schweizer Betriebe und Rechenzentren zu sehen, oder lassen Sie diese von einem Strategist-Experten für Sie überwachen.