Hosting und Cloud in der Schweiz: Kriterien zur Bewertung von SLAs

SLA für Hosting und Cloud in der Schweiz: Kriterien und Aussagen

Bei der Bewertung von Hosting- und Cloud-SLAs in der Schweiz gilt es, vertragliche Leistungsgarantien von Beschreibungen der Architektur, des Standorts und des Supports zu unterscheiden. Die Informationen zu Swisscom, Hostpoint und UMB ermöglichen einen Vergleich der angegebenen Merkmale, erlauben jedoch keine Ableitung einer Uptime-Prozentsatz oder einer Wiederherstellungszeit (Swisscom; Hostpoint; UMB). Die Entscheidung erfordert daher eine Abstimmung des Leistungsumfangs und eine Überprüfung der Metriken im Vertrag.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) weist auf drei rechtliche Aspekte bei der Cloud-Nutzung hin: Beiziehung von Auftragsverarbeitern und Unterauftragsverarbeitern, Sicherheit der Bearbeitung, Übermittlung personenbezogener Daten in Drittländer. Im Verhältnis zum Nutzer ist der Cloud-Anbieter in der Regel Auftragsverarbeiter oder Unterauftragsverarbeiter gemäss Art. 9 DSG. Der Kunde kann seinerseits Verantwortlicher oder Auftragsverarbeiter sein.

Daraus ergibt sich eine präzise vertragliche Pflicht: Wer als Verantwortlicher handelt, muss vertraglich sicherstellen, dass der Auftragsverarbeiter die gesetzlich vorgeschriebenen Bearbeitungsanforderungen einhält. Der Vergleich der SLAs beginnt somit beim Auftragsverarbeitungsvertrag und der Rolle des Anbieters, nicht nur beim technischen Preisblatt.

Sechs Achsen des Vergleichs namentlich: garantierte Verfügbarkeit, geplante Wartung, Pönalen, Datenstandort, Support, Sicherheit. Für Swisscom, Hostpoint und UMB decken die öffentlichen Informationen Standort, Architektur und Support ab. Verfügbarkeit, Wartung und Pönalen müssen schriftlich angefragt werden.

Der namentliche Vergleich betrifft drei Schweizer Anbieter: Swisscom mit Enterprise Service Cloud, Hostpoint mit Hosting, E-Mail, Domains und Managed Flex Server, UMB mit ihrer eigenen Private-Cloud-Lösung. Jeder führt ein anderes Argument ins Feld: Isolierung und Integration, einheitliches Management, rechtlicher Datenschutz.

Namentlich ist auch der Umfang unterschiedlich. Swisscom positioniert die Enterprise Service Cloud auf Infrastruktur- (IaaS) und Plattformebene (PaaS) für komplexe IT-Umgebungen und sensible Daten. Hostpoint deckt Hosting, Domains, E-Mail und Managed Flex Server über ein einziges Panel ab. UMB liefert die Private Cloud für mehrere Kunden oder für ein einzelnes Unternehmen.

Die konkreten Versprechen sind bereits lesbar. Swisscom knüpft die exklusive Nutzung von Bandbreite und Speicher an maximale Verfügbarkeit und hohe Datensicherheit dank isoliertem Betrieb in der Schweiz. Hostpoint gibt an, die Infrastruktur werde vollständig in der Schweiz verwaltet und sei unabhängig von Drittanbietern.

UMB präsentiert ihre eigene private Schweizer Lösung als die sicherste Option für Schweizer Unternehmer, als Antwort auf das Risiko des Zugriffs durch US-Behörden gemäss dem CLOUD Act. Dies sind qualitative Argumente: Die Verfügbarkeitsmetriken, Reaktionszeiten und Servicegutschriften müssen vertraglich, Anbieter für Anbieter, angefragt werden.

Um den namentlichen Vergleich abzuschliessen, müssen einige Punkte vertraglich angefragt werden: Prozentsätze der garantierten Verfügbarkeit, vertragliche Zeiten für die Erstreaktion und Wiederherstellung, Prozentsätze und Schwellenwerte der Servicegutschriften, Liste der Ausschlüsse, Vorlaufzeit der Wartungsfenster, Rechtssitz, Adresse der Rechenzentren, Liste und Sitz der Unterauftragsverarbeiter.

Das Raster unterscheidet öffentlich deklarierte Punkte von solchen, die im Vertrag zu prüfen sind. Deklariert: Standort in der Schweiz, Architektur und Support. Zu prüfen: Verfügbarkeitsmetriken, Reaktions- und Wiederherstellungszeiten, Gutschriften mit ihren Schwellenwerten. Für die Unterschrift zählen beide: Die aus der öffentlichen Kommunikation nicht ableitbaren Punkte müssen schriftlich, Anbieter für Anbieter, angefragt werden.

Qualitative Formulierungen dürfen nicht per Annahme in Prozentsätze umgerechnet werden. Swisscom beschreibt hochverfügbare Rechenzentren und Georedundanz; Hostpoint spricht von einem zuverlässigen Service; UMB präsentiert eine Private Cloud in der Schweiz (Swisscom; Hostpoint; UMB). Allein beschreiben diese Angaben kein numerisches Uptime-Ziel oder einen Messzeitraum.

Es fehlen die Punkte, die ein SLA definieren: Messzeitraum, vertragliche Zeiten für Erstreaktion und Wiederherstellung, Prozentsätze und Schwellenwerte der Servicegutschriften, Liste der Ausschlüsse. Diese müssen schriftlich, Anbieter für Anbieter, vor der Unterschrift angefragt werden.

Der qualitative Vergleich zeigt Unterschiede in Architektur und Umfang auf. Swisscom gibt Georedundanz für ihre Rechenzentren in der Schweiz an; Hostpoint beschreibt integrierte Produkte und eine vollständig in der Schweiz verwaltete, von Drittanbietern unabhängige Infrastruktur; UMB bietet eine Private Cloud in der Schweiz an (Swisscom; Hostpoint; UMB). Keine dieser Eigenschaften allein definiert die vertraglichen Abhilfemassnahmen bei einer Störung.

Um die Verträge vergleichbar zu machen, ist für jeden Dienst die Definition der Nichtverfügbarkeit, der Messzeitraum und die ausgeschlossenen Unterbrechungen anzufordern. Zudem sind die Vorlaufzeit und Zählweise der Wartungen, die Zeiten für Erstreaktion und Wiederherstellung sowie die Schwellenwerte, Prozentsätze und Antragsmodalitäten für Gutschriften zu präzisieren. Der Sitz der Rechenzentren und der Unterauftragsverarbeiter ist separat zu dokumentieren.

Das Profil jedes Anbieters sollte die beschriebenen Merkmale wie Architektur und Standort von den vertraglich garantierten Levels unterscheiden. Eine Infrastrukturbeschreibung ist nicht gleichbedeutend mit einer SLA-Verpflichtung: Um Garantien zu vergleichen, braucht es eine Metrik, einen Referenzzeitraum und eine definierte Abhilfe.

Zwei Daten rahmen die Aussagen ein. Hostpoint veröffentlicht sein Argument am 27. Februar 2025, unterzeichnet von Claudius Röllin, Co-Founder und CPO. UMB veröffentlicht seine These am 9. September 2025, mit Ansprechpartner Roberto Aliano. Es sind Veröffentlichungsdaten, nicht das Datum der Gültigkeit des SLA.

SLA-Metriken: Verfügbarkeit, Wartung und Gutschriften

Um zwei SLAs zu vergleichen, sind dieselben Punkte zu extrahieren und zu normalisieren: garantierte Verfügbarkeit und Messzeitraum; Vorlaufzeit und Zählweise der Fenster für geplante Wartung; Zeiten für Erstreaktion und Wiederherstellung pro Incident-Klasse; Servicegutschriften, aktivierende Schwellenwerte und Ausschlüsse.

Ein SLA ist nur mit homogenen Metriken und Umfang vergleichbar. Zwei Verträge können ähnliche Prozentsätze deklarieren, aber unterschiedliche Dienste, Zeiträume, Ursachen und Ausschlüsse abdecken, wobei Gutschriften auf unterschiedlichen Basen berechnet werden. Vor dem Vergleich der Prozentsätze sind die Definition von «Nichtverfügbarkeit», die abgedeckten Dienste, der Referenzzeitraum und die Ausnahmen anzugleichen. Dann hat die Zahl dieselbe Bedeutung.

Pönalen sind mit den Schwellenwerten zu lesen. Eine Gutschrift, die erst ab einer bestimmten Dauer der Unterbrechung greift oder auf einen Prozentsatz der monatlichen Gebühr beschränkt ist, bietet weniger Schutz als eine automatische Rückerstattung. Anzufragen ist, wie die Gutschrift berechnet wird, wer sie aktiviert und ob eine formelle Anfrage des Käufers erforderlich ist.

Für den namentlichen Vergleich sind Swisscom, Hostpoint und UMB dieselben Fragen in derselben Form zu stellen. Garantierte Verfügbarkeit und Messzeitraum. Vorlaufzeit und Zählweise der Wartung. Vertragliche Zeiten für Erstreaktion und Wiederherstellung. Schwellenwerte und Prozentsätze der Gutschriften, mit den anwendbaren Ausschlüssen.

Anbieter kommunizieren die Verfügbarkeit meist qualitativ: Swisscom spricht von maximaler Verfügbarkeit, Hostpoint von zuverlässigem Service, UMB vom Datenschutz in der Schweizer Private Cloud. Um sie zu vergleichen, sind diese Formeln in vertragliche Punkte zu übersetzen: garantierte Verfügbarkeit, Zeitraum, Wartung, Reaktions- und Wiederherstellungszeiten, Gutschriften, Schwellenwerte und Ausschlüsse.

Swisscom verbindet die maximale Verfügbarkeit mit der Formel «Maximaler Schutz vor Unterbrechungen bei niedriger Latenz» und verspricht eine exzellente und stabile IT-Performance. Dies sind deklarierte Verpflichtungen, keine vertraglichen Metriken: Der garantierte Prozentsatz und der Messzeitraum bleiben schriftlich festzulegen.

Namentlich unterscheidet sich der Ausgangspunkt. Swisscom deklariert maximale Verfügbarkeit und knüpft sie an die exklusive Nutzung von Bandbreite und Speicher. Hostpoint deklariert einen zuverlässigen Service und kundennahen Support. UMB stellt den Datenschutz in der Schweizer Private Cloud in den Mittelpunkt. Der Messzeitraum und die vertragliche Definition von «Nichtverfügbarkeit» sind für alle drei Anbieter schriftlich anzufragen.

Die vertraglich zu erhaltenden Zahlen sind: Prozentsatz der garantierten Verfügbarkeit und Messzeitraum; Zeiten für Erstreaktion und Wiederherstellung; Prozentsätze der Servicegutschriften. Pönalen, Schwellenwerte und Ausschlüsse bleiben zu verhandelnde Klauseln.

Namentlich sind Formeln keine Metriken. Swisscom knüpft die maximale Verfügbarkeit an die exklusive Nutzung von Bandbreite und Speicher. Hostpoint knüpft die Zuverlässigkeit an den kundennahen Support. UMB knüpft die Sicherheit an die Schweizer Private Cloud. In den vorliegenden Auszügen ist keine der drei ein Prozentsatz.

Um die geplante Wartung zu vergleichen, ist bei Swisscom, Hostpoint und UMB anzufragen, welche Vorlaufzeit sie anwenden, wie sie die Fenster zählen und ob diese die gemessene Verfügbarkeit beeinflussen. Die Antwort ist für alle drei in derselben Form zu erfassen, wobei ordentliche Wartungen und allenfalls dringende Eingriffe zu unterscheiden sind.

Bei den Servicegutschriften ist mit jedem Anbieter zu prüfen, welcher Schwellenwert sie aktiviert, wie der Betrag berechnet wird und ob der Kunde einen Antrag stellen muss. Der Vergleich ist nur nützlich, wenn Prozentsätze, Berechnungsbasis, Ausschlüsse und Verfahren homogen explizit gemacht werden.

Um vergleichbare Antworten zu sammeln, sind bei Swisscom, Hostpoint und UMB der garantierte Prozentsatz, die zeitliche Basis, die ausgeschlossenen Ereignisse und die Messmethode anzufragen. Zu präzisieren ist auch, welcher Dienst gezählt wird und wie der Kunde die Ergebnisse einsehen kann. Ein isolierter Prozentsatz erlaubt keinen homogenen Vergleich.

Die Vergleichstabelle sollte eine Zeile pro Anbieter und separate Felder für Verfügbarkeit, Wartung und Gutschriften haben. Für jeden Wert sind die Definition, der Referenzzeitraum und die Ausschlüsse zu erfassen; für jede Abhilfe sind Schwellenwert und Aktivierungsverfahren anzugeben. So bleiben kommerzielle Formeln von vertraglichen Verpflichtungen getrennt.

Swisscom flankiert die Verfügbarkeitsformeln mit Managed Services, mit «aus der Schweiz erbrachten operativen Diensten», «höchstem Sicherheitsniveau» und «strenger Compliance». Dies ist eine Erklärung des Betriebsmodells. Zeiten für Erstreaktion und Wiederherstellung leiten sich daraus nicht ab: Sie sind im Vertrag festzulegen.

Leistung und Architektur der Hosting- und Cloud-Dienste

Technisch hängt der Vergleich vom Szenario ab. Entscheidend ist die Latenz zu den Endnutzern. Entscheidend ist die in der Infrastruktur vorgesehene Redundanz. Entscheidend ist, ob Rechen- und Speicherkapazität dediziert oder mit anderen Kunden geteilt ist. Entscheidend ist der Isolationsgrad der Umgebung. Entscheidend ist, wie und mit welcher Geschwindigkeit bei Spitzen skaliert wird.

Shared Hosting, dedizierte Server und Private Cloud reagieren auf jeden Punkt unterschiedlich. Die vertraglichen Versprechen variieren entsprechend.

Einige Schweizer Anbieter formulieren explizite technische Verpflichtungen. Swisscom beschreibt die Enterprise Service Cloud als Lösung mit exklusiv dedizierten Ressourcen: Bandbreite und Speicher. Das deklarierte Ziel ist maximale Verfügbarkeit und hoher Schutz dank isoliertem Betrieb in der Schweiz. Swisscom nennt zudem niedrige Latenz, hohe Skalierbarkeit und Integration mit On-Premise-Rechenzentren und Public-Cloud-Infrastruktur.

Swisscom flankiert die Enterprise Service Cloud mit Netzwerk-, Security- und Managed-Services, etwa zur Nutzung der Automatisierung. Die Cloud wird als Instrument zur Verarbeitung sensibler Daten und zur Einhaltung von Compliance-Regeln präsentiert.

Hostpoint gibt an, die Infrastruktur vollständig in der Schweiz und unabhängig von Drittanbietern zu verwalten. Es erklärt, jährlich mehrere Millionen in die Serverinfrastruktur und die Entwicklung der eigenen Software zu investieren.

UMB beschreibt die Private Cloud als lieferbar sowohl für mehrere Kunden als auch für ein einzelnes Unternehmen, stets unter Einhaltung der strengen schweizerischen Datenschutznormen. Dies ist die Variante, die der Anbieter ausländischen Clouds gegenüberstellt.

Im Vergleich ist es hilfreich anzufragen, welche Architektur unter dem SLA liegt. Ob die Kapazität garantiert oder «Best Effort» ist. Ob die Isolierung physisch oder logisch ist. Wo die redundanten Systeme stehen. Ob der Anbieter für kritische Teile von Dritten abhängt. Die Antworten bestimmen, wie realisierbar das SLA ist.

Die drei Anbieter bedienen nicht dieselben Szenarien. Swisscom und UMB richten sich mit der Private Cloud an Unternehmen; Hostpoint deckt auch Webhosting, Domains, E-Mail und Managed Flex Server ab. Swisscom verkauft die Enterprise Service Cloud für komplexe IT-Umgebungen und sensible Daten. UMB präsentiert ihre eigene private Schweizer Lösung als die sicherste Option für Schweizer Unternehmer. Hostpoint setzt auf eigene, vollständig in der Schweiz verwaltete Infrastruktur.

Für ihre Rechenzentren gibt Swisscom an, die Daten würden ausschliesslich in der Schweiz gespeichert und die Georedundanz sei innerhalb der Landesgrenzen gewährleistet (Swisscom). Dies ist eine Information zur Speicherung und Infrastruktur; der Vertrag muss präzisieren, welche Dienste und Workloads abgedeckt sind.

Swisscom erklärt, dass bei Nichtverfügbarkeit eines Rechenzentrums sofort ein anderes aktiviert wird (Swisscom). Diese Angabe beschreibt das Infrastrukturmanagement, während die garantierte Wiederherstellungszeit für den einzelnen Dienst im entsprechenden SLA definiert werden muss.

Infrastrukturredundanz und vertragliche Verfügbarkeit sind unterschiedliche Aspekte. Im Vergleich ist zu prüfen, welche Komponenten redundant sind, welche Ausfälle den Wechsel zu einem anderen System auslösen und ob die Wiederherstellungszeit für den gekauften Dienst garantiert ist. Die Formulierung des SLA muss sich auf den tatsächlichen Umfang beziehen.

Leistungsmässig sind die vertraglichen Zahlen – garantierte Latenz, Mindestkapazität, Wiederherstellungszeiten – vertraglich anzufordern. Swisscom nennt niedrige Latenz, Hostpoint schnelle Ladezeiten; für UMB sind die Leistungsmetriken beim Anbieter anzufragen.

Namentlich bleibt ein Unterschied im Umfang. Swisscom deckt IaaS und PaaS in der Enterprise Service Cloud ab. Hostpoint deckt Webhosting, Domains, E-Mail und Managed Flex Server ab. UMB deckt die Private Cloud ab, für mehrere Kunden oder ein einzelnes Unternehmen. Der Umfang bestimmt, welche Metriken sinnvoll anzufragen sind.

Die Lokalisierungsbeschreibungen haben unterschiedliche Umfänge: Swisscom gibt Georedundanz der Rechenzentren in der Schweiz an; Hostpoint deklariert eine vollständig in der Schweiz verwaltete, von Drittanbietern unabhängige Infrastruktur; UMB gibt an, ihre Private Cloud befinde sich in der Schweiz (Swisscom; Hostpoint; UMB). Diese Aussagen beweisen nicht, dass die drei Dienste dieselben Ressourcen oder dasselbe SLA bieten.

Um architektonische Aussagen zu interpretieren, ist der Speicherort von der Ressourcenisolierung und der Systemredundanz zu unterscheiden. Anzufragen ist, ob die Kapazität dediziert oder geteilt ist, welche Komponenten redundant sind und welche Abhängigkeiten von Dritten im vertraglichen Umfang enthalten sind.

Um die Leistung zu vergleichen, ist jeder Indikator dem betroffenen Dienst und Workload zuzuordnen. Latenz, Mindestkapazität und Wiederherstellungszeiten müssen eine Definition und eine Prüfmethode haben; ohne diese Elemente erlaubt eine architektonische Beschreibung keine Bewertung der messbaren Verpflichtung des Anbieters.

Datenstandort und Verantwortung der Anbieter

Der Datenstandort und die Lieferkette können mehr wiegen als eine Dezimalstelle der Uptime. Der EDÖB zählt Auftrags- und Unterauftragsverarbeiter sowie die Übermittlung personenbezogener Daten in Drittländer zu den relevanten Aspekten. Die Liste der Unterauftragsverarbeiter und deren Sitz anzufordern, ist Teil des Vergleichs, kein formales Detail.

UMB illustriert mit einem Beispiel, warum Standort und Nationalität des Anbieters zählen. Der US-amerikanische CLOUD Act erlaubt es den Behörden der Vereinigten Staaten, amerikanische Unternehmen zur Herausgabe von Daten zu zwingen, auch wenn diese im Ausland gespeichert sind.

Gemäss UMB riskiert ein Schweizer Unternehmer, der einen Cloud-Anbieter mit Sitz in den USA nutzt, dass sensible Daten ohne Vorwarnung oder Rechtsmittel von US-Behörden eingesehen werden. Dies stünde wahrscheinlich im Widerspruch zu den schweizerischen Datenschutzgesetzen.

UMB erinnert daran, dass die Schweiz weltweit führend im Datenschutz ist, eine Primatsstellung, die sich in den Bundesgesetzen widerspiegelt. Es fügt ein zeitliches Element hinzu: Die jüngsten US-Massnahmen, wie die Entlassung einiger Mitglieder des Privacy and Civil Liberties Oversight Board im Januar 2025, haben Kontrollmechanismen geschwächt, die für den EU-USA-Rahmen als entscheidend galten. Sie werfen Zweifel an der langfristigen Nachhaltigkeit auf.

Auf schweizerischer Seite erinnert UMB daran, dass das 2023 aktualisierte Bundesgesetz über den Datenschutz (revDSG) stark an die DSGVO der Europäischen Union angelehnt ist. Es schreibt strenge Regeln für Transparenz, Sicherheit und Verantwortung im Datenmanagement vor. In den USA fehlt ein einheitliches Gesetz; es gilt ein fragmentiertes System sektoraler Normen.

Praktisch ist in der Vergleichstabelle für jeden Anbieter Rechtssitz und Sitz der Rechenzentren einzufügen. Hinzuzufügen sind Liste und Sitz der Unterauftragsverarbeiter. Übermittlungen in Drittländer und deren Grundlage sind anzugeben. Hinzuzufügen ist eine Erklärung, wie der Anbieter auf Zugriffsanfragen ausländischer Behörden reagiert.

Beim Standort argumentieren die drei Anbieter unterschiedlich. Swisscom gibt den isolierten Betrieb in der Schweiz an. Hostpoint deklariert eine vollständig in der Schweiz verwaltete, von Dritten unabhängige Infrastruktur. UMB macht ihre eigene private Schweizer Lösung zur Antwort auf das im CLOUD Act vorgesehene Risiko des Zugriffs durch US-Behörden. Rechtssitz und Sitz der Rechenzentren bleiben die erste auszufüllende Zelle.

Hostpoint fügt ein Argument der territorialen Compliance hinzu: Schweizer Unternehmen können Daten mit EU/EWR-Staaten ohne weitere rechtliche Garantien austauschen. Dies ist eine Aussage, die neben die Analyse von UMB zum CLOUD Act und die Isolationsgarantien in der Schweiz von Swisscom zu stellen ist.

Namentlich ist die Liste der Unterauftragsverarbeiter eine beim Anbieter anzufordernde und dem Vertrag beizufügende Position. Der EDÖB zählt sie zu den relevanten Aspekten der Cloud-Bearbeitung.

Der Standort ist keine Verfügbarkeitsmetrik: Die auszufüllenden Zellen bleiben Rechtssitz, Adresse der Rechenzentren, Liste und Sitz der Unterauftragsverarbeiter, Übermittlungen in Drittländer und deren rechtliche Grundlage.

Swisscom gibt Rechenzentren in Basel, Bern, Genf, Lausanne, Lugano und Zürich (2) an (Swisscom). Hostpoint deklariert eine vollständig in der Schweiz verwaltete Infrastruktur und Unabhängigkeit von Drittanbietern, während UMB angibt, die Private Cloud befinde sich in der Schweiz (Hostpoint; UMB). Die Aussagen unterscheiden spezifische Orte und landesbezogene Garantien.

Hostpoint gibt an, dass Schweizer Unternehmen Daten mit EU/EWR-Staaten ohne weitere rechtliche Garantien austauschen können (Hostpoint). UMB vertritt die Ansicht, dass der CLOUD Act es erlaubt, dass US-Behörden amerikanische Unternehmen zur Herausgabe von Daten zwingen, auch wenn diese im Ausland gespeichert sind, und signalisiert das Risiko für Nutzer eines Anbieters mit Sitz in den USA (UMB). Gerichtsbarkeit und Standort sind separat zu bewerten.

Support und Dienstverwaltung

Der Support ist der Teil des SLA, der nur geprüft wird, wenn etwas nicht funktioniert. Zu vergleichen sind Kanäle, Zeiten, Sprachen, Zeiten der Erstreaktion, Eskalation, technischer Ansprechpartner und einheitliches Management. Wenn Hosting, Domains und E-Mail von verschiedenen Anbietern verwaltet werden, erfordert die Fehlerdiagnose mehrere Gesprächspartner.

Lokale Provider bauen hier ihr kommerzielles Argument auf. Hostpoint vertritt die Ansicht, dass die enge Verbindung zwischen Webhosting, E-Mail und Domains in einem einzigen System grössere Effizienz und geringeren administrativen Aufwand garantiert. Es fügt hinzu, dass die Verwaltung über einen einzigen Login die geeignetste Wahl sei.

Das Control Panel ermöglicht die Verwaltung von E-Mail und Cloud Office, Domains, Webhosting und Managed Flex Server in einer einzigen Umgebung. Hostpoint nennt kundennahen Support und Verwaltung durch einen einzigen Anbieter als relevante Kriterien. Es erinnert daran, dass Serverkosten und -leistung nicht die einzigen Kaufkriterien sind.

Swisscom präsentiert sich als lokaler IT-Partner, der die Cloud in das Unternehmensnetzwerk, die Infrastruktur und die Prozesse integriert. Es bietet Netzwerk-, Security- und Managed-Services. Im Vergleich sind diese Aussagen in überprüfbare Fragen zu übersetzen. Zu welchen Zeiten antwortet der Support, in welcher Sprache, mit welcher vertraglich festgelegten Zeit der Erstreaktion. Wer manages die Eskalation, wenn das Problem mehrere Dienste betrifft.

Auch beim Support ist der Vergleich namentlich. Hostpoint stellt kundennahen Support, Verwaltung durch einen einzigen Anbieter und einen einzigen Login für E-Mail, Cloud Office, Domains, Webhosting und Managed Flex Server in den Vordergrund. Seine Website ist auf Italienisch, Deutsch, Französisch und Englisch publiziert. Zeiten, Sprachen und Kanäle des Supports sind im Vertrag für jeden der drei Anbieter zu prüfen.

Hostpoint unterzeichnet sein Argument für Webhosting in der Schweiz am 27. Februar 2025 mit Claudius Röllin, Co-Founder und CPO. Dies ist der Name, der das Versprechen des kundennahen Supports unterzeichnet.

Ein namentlicher Ansprechpartner oder eine direkte Nummer definiert allein nicht die Support-Abdeckung. Im Vertrag sind Kanäle, Zeiten, Sprachen, Prioritäten der Incidents, Eskalation und Zeiten der Erstreaktion für jeden Dienst anzugeben, wobei zu spezifizieren ist, wer Fälle koordiniert, die mehrere Komponenten betreffen.

Abdeckungszeiten, Support-Sprachen und vertragliche Zeit der Erstreaktion sind im Vertrag von Swisscom, Hostpoint und UMB zu prüfende Punkte.

Um den Support zu vergleichen, sind bei allen Anbietern dieselben Bedingungen anzufragen: Abdeckungszeiten, nutzbare Kanäle, Sprachen, Eskalation und Reaktionszeiten pro Incident-Klasse. Eine Kontaktperson kann die Kommunikation erleichtern, ersetzt aber diese vertraglichen Verpflichtungen nicht.

Hostpoint vereint E-Mail und Cloud Office, Domains, Webhosting und Managed Flex Server in einem einzigen Panel; zudem präsentiert es den kundennahen Support als Vorteil (Hostpoint). Diese Elemente beschreiben Management und Positionierung, nicht die garantierten Zeiten oder Reaktionszeiten. Für Swisscom und UMB sind dieselben vertraglichen Bedingungen zu prüfen.

Support ist auch ein namentliches Verkaufsargument. Swisscom verspricht aus der Schweiz erbrachte operative Dienste und ein Expertenteam. Hostpoint ein einziges Panel und kundennahen Support. UMB einen Ansprechpartner mit direkter Nummer. In den vorliegenden Auszügen enthält keines der drei Versprechen eine vertragliche Zeit.

Sicherheit, Backup und Kontinuität

Backup, Wiederherstellung, Monitoring und Sicherheitsmassnahmen sind im SLA nicht immer detailliert. Sie fallen jedoch unter die Datenschutzpflichten. Der EDÖB nennt die Sicherheit der Bearbeitung als einen der drei zentralen Aspekte der Cloud. Der Nutzer muss vertraglich sicherstellen, dass der Auftragsverarbeiter die in Art. 9 DSG vorgesehenen Bearbeitungsanforderungen einhält. Die Sicherheit ist zu vereinbaren und zu dokumentieren, nicht nur zu deklarieren.

Operativ betrifft die Prüfung die Häufigkeit und Aufbewahrung der Backups. Wo die Kopien liegen. Ziel-Wiederherstellungszeit und Recovery Point. Wer auf die Daten zugreift und mit welchen Credentials. Welche technischen und organisatorischen Massnahmen im Vertrag beschrieben sind. Welche Audit-Berichte oder Zertifizierungen der Anbieter bietet. Wie und innerhalb welcher Frist Incidents gemeldet werden.

Garantien sind in überprüfbarer Form anzufordern. Eine generische Erklärung von «maximaler Sicherheit» erlaubt keinen Vergleich zweier Anbieter. Ein technischer Anhang mit Massnahmen, Wiederherstellungszeiten und Meldeverfahren schon.

Swisscom knüpft dedizierte Ressourcen – Bandbreite und Speicher – an maximale Verfügbarkeit und hohen Schutz dank isoliertem Betrieb in der Schweiz. Es gibt zudem an, die Cloud diene der Verarbeitung sensibler Daten und der Einhaltung von Compliance-Regeln. Dies ist ein Beispiel für Sicherheit, übersetzt in eine im Vertrag zu prüfende architektonische Eigenschaft.

Die drei Anbieter entfalten Sicherheit unterschiedlich. Swisscom übersetzt sie in Architektur: dedizierte Ressourcen und isolierter Betrieb in der Schweiz. Hostpoint übersetzt sie in eigene, in der Schweiz verwaltete und von Dritten unabhängige Infrastruktur mit jährlichen Investitionen von mehreren Millionen. UMB übersetzt sie in eine rechtliche Wahl: Schweizer Private Cloud gegen den CLOUD Act.

Die namentliche Prüfung formuliert sich identisch. Für Swisscom: Ob die dedizierten Ressourcen und der isolierte Betrieb in der Schweiz auch für Backup und Wiederherstellung gelten. Für Hostpoint: Ob die eigene Infrastruktur die Sicherheitskopien abdeckt. Für UMB: Welche technischen Massnahmen die Schweizer Private Cloud begleiten.

Häufigkeit und Aufbewahrung der Backups, Ziel-Wiederherstellungszeit, Recovery Point und Frist der Incident-Meldung sind Punkte, die das SLA oft nicht detailliert; sie sind schriftlich anzufragen und hinsichtlich der vom EDÖB genannten Sicherheitspflichten der Bearbeitung zu prüfen.

Häufigkeit und Aufbewahrung der Backups, Ziel-Wiederherstellungszeit, Recovery Point und Frist der Incident-Meldung sind schriftlich anzufragende Punkte. Swisscom, Hostpoint und UMB entfalten Sicherheit architektonisch oder rechtlich; die Metriken sind vertraglich anzufordern.

Die Beschreibungen der Anbieter betreffen vor allem Architektur und Standort. Swisscom gibt Speicherung in der Schweiz und Georedundanz an; Hostpoint deklariert eine vollständig in der Schweiz verwaltete, von Drittanbietern unabhängige Infrastruktur; UMB präsentiert eine Private Cloud in der Schweiz (Swisscom; Hostpoint; UMB). Diese Eigenschaften spezifizieren nicht die Backup-Häufigkeit oder Wiederherstellungszeiten.

Eine Erklärung zur Datenlokalisierung klärt nicht, wie Backups, Zugriffe oder Incidents verwaltet werden. Um Sicherheitsgarantien zu vergleichen, sind dokumentierte Verfahren, operative Verantwortlichkeiten und Wiederherstellungsnachweise anzufragen, wobei deklarierte Massnahmen von den Ergebnissen zu unterscheiden sind, zu denen sich der Anbieter verpflichtet.

Im Vertrag sind Häufigkeit und Aufbewahrung der Backups, Ziel-Zeit und -Punkt der Wiederherstellung sowie die Frist der Incident-Meldung zu präzisieren. Auch anzugeben ist, wer die Operationen ausführt, wie sie dokumentiert werden und welche Dienste abgedeckt sind. Dies sind separat für Swisscom, Hostpoint und UMB zu vergleichende Punkte.

Hosting und Cloud bedarfsgerecht wählen

Dasselbe SLA passt nicht für alle. Für eine Unternehmenswebsite und ein Postfach dominieren Dienstkontinuität, einheitliches Management von Hosting, Domains und E-Mail sowie Schnelligkeit des Supports. Für eine Enterprise-Umgebung mit sensiblen Daten werden Isolierung, dedizierte Kapazität, Integration in die bestehende IT, Compliance und Klauseln zu ausländischen Zugriffen zentral. Für den öffentlichen Sektor kommen Transparenz, Interoperabilität und Zuverlässigkeit digitaler Dienste hinzu.

Für eine Unternehmenswebsite, Postfächer und Domains schlägt Hostpoint die Verwaltung von E-Mail und Cloud Office, Domains, Webhosting und Managed Flex Server in einem einzigen Panel vor (Hostpoint). Im SLA-Vergleich sind die Verfügbarkeit jedes Dienstes und der vorgesehene Support separat zu prüfen, wenn ein Problem mehrere Komponenten betrifft.

Für eine Umgebung mit sensiblen Daten reicht es nicht, den Standort des Rechenzentrums zu bewerten. Es ist zu klären, wer auf die Daten zugreifen kann, welche Systeme und Kopien abgedeckt sind, wie die Kontinuität verwaltet wird und welche Reaktions- und Wiederherstellungszeiten der Anbieter garantiert. Der Umfang muss den tatsächlichen Workloads entsprechen.

Für diejenigen, die eine Schweizer Private Cloud evaluieren, gibt UMB an, ihre Private Cloud befinde sich in der Schweiz und könne für mehrere Kunden oder ein einzelnes Unternehmen bereitgestellt werden (UMB). Die Wahl erfordert dennoch, Zugriffe, Verantwortlichkeiten, Kontinuität und Servicelevels im Vertrag zu definieren.

Die Anforderungen an Kontinuität und Datenschutz sind in überprüfbare Klauseln zu übersetzen. Für jeden Anbieter sind die abgedeckten Dienste, die Messmethode der Verfügbarkeit, die zugelassenen Ausnahmen und die Abhilfen bei Nichteinhaltung zu spezifizieren. So können die Angebote auf derselben Basis verglichen werden.

Für eine Organisation, die mit mehreren Anbietern arbeitet, ist auch die Kette der Unterauftragsverarbeiter, die Datenübermittlungen und das Management von Zugriffsanfragen zu prüfen. Diese Informationen sind den SLA-Metriken beizustellen, ohne den rechtlichen Datenschutz mit der Verfügbarkeit oder den Wiederherstellungszeiten zu verwechseln.

In Namen übersetzt: Für eine Unternehmenswebsite, Postfächer und Domains ist der typische Umfang der von Hostpoint, mit Hosting, E-Mail, Domains und Managed Flex Server in einem einzigen Panel. Für komplexe IT-Umgebungen und sensible Daten richtet Swisscom die Enterprise Service Cloud aus. UMB positioniert ihre eigene private Schweizer Lösung als die sicherste Option für Schweizer Unternehmer.

Wenn das Kriterie die garantierte Uptime ist, ist der Prozentsatz bei jedem Anbieter vertraglich anzufragen. Die Entscheidung spielt sich dann auch auf Architektur, Datenstandort und Support ab. Für den öffentlichen Sektor wiegen Transparenz, Standards und Interoperabilität.

Die Übereinstimmung zwischen Dienst und Szenario hilft, die Fragen zu stellen: Hostpoint vereint Hosting, E-Mail, Domains und Managed Flex Server in einem Panel; Swisscom beschreibt Dienste für Rechenzentren in der Schweiz; UMB bietet eine in der Schweiz gehostete Private Cloud an (Hostpoint; Swisscom; UMB). Für alle sind Verfügbarkeit und Zeiten im Vertrag zu prüfen.

Für den öffentlichen Sektor erweitert sich das Raster auf Transparenz digitaler Angebote, Nutzung von daten- und standardbasierten Lösungen, Interoperabilität zwischen Anwendungen und elektronische Identität mit spezifischen Zugriffsrechten. Dies sind strategische Ziele der Bundesverwaltung. Ein Anbieter, der dies dokumentiert, reduziert das Abhängigkeitsrisiko.

Checkliste zum Vergleich der SLAs der Anbieter

Eine praktische Methode gliedert sich in sechs Schritte. Erstens: Prioritäten basierend auf dem Szenario definieren (Kontinuität, Leistung, Standort, Sicherheit, Support, Kosten) und jedem ein Gewicht zuweisen.

Zweitens: Metriken normalisieren. Für jeden Anbieter sind garantierte Verfügbarkeit, Messzeitraum, Behandlung der Wartung, Reaktions- und Wiederherstellungszeiten, Servicegutschriften, Schwellenwerte und Ausschlüsse in derselben Form neu zu formulieren. Drittens: Referenzen und Dokumentation prüfen, einschliesslich verfügbarer Zertifizierungen und Audit-Berichte.

Viertens: Klauseln zu Pönalen und Austritt lesen. Wie Gutschriften aktiviert werden, mit welcher Vorlaufzeit gekündigt wird, wie Daten exportiert werden und in welchen Formaten, was am Ende des Vertrags mit den Daten geschieht.

Fünftens: Support und Wiederherstellung testen. Technische Fragen dem Support zu verschiedenen Zeiten stellen und einen Wiederherstellungstest oder zumindest die dokumentierte Beschreibung des Verfahrens anfordern. Sechstens: Die Gesamtkosten berechnen, nicht nur die Grundgebühr. Backup, Managed Services, Migration, Schulung und administrative Kosten im Zusammenhang mit dem Management mehrerer Anbieter einbeziehen.

Für die endgültige Entscheidung ist eine Tabelle mit den Anbietern in den Zeilen und den Kriterien in den Spalten nützlich. Garantierte Verfügbarkeit (mit Zeitraum und Definition der Nichtverfügbarkeit). Leistung (Latenz, Redundanz, dedizierte oder geteilte Kapazität, Isolierung, Skalierbarkeit).

Standort (Sitz der Rechenzentren, Liste der Unterauftragsverarbeiter, Übermittlungen in Drittländer, Management von Anfragen ausländischer Behörden). Sicherheit (Backup, Wiederherstellungszeiten, Monitoring, Audit, Incident-Meldung). Support (Kanäle, Zeiten, Sprachen, Eskalation, einheitliches Management). Gesamtkosten (Grundgebühr plus Zusatzdienste und Verwaltungskosten).

In der Tabelle sind mindestens drei Namen zu vergleichen: Swisscom mit Enterprise Service Cloud, Hostpoint mit Hosting, Domains, E-Mail und Managed Flex Server, UMB mit ihrer eigenen privaten Schweizer Lösung. Bleibt eine Zelle leer, fehlt die Angabe und ist vor der Unterschrift schriftlich beim Anbieter anzufragen.

In Zeilen und Spalten übertragen, hat die namentliche Tabelle drei Zeilen: Swisscom mit Enterprise Service Cloud, Hostpoint mit Hosting, Domains, E-Mail und Managed Flex Server, UMB mit der privaten Schweizer Lösung. Die Spalten sind Verfügbarkeit, Leistung, Standort, Sicherheit, Support und Gesamtkosten.

Einige Spalten lassen sich bereits mit den Angaben der Anbieter füllen. Swisscom: Dedizierte Ressourcen – Bandbreite und Speicher –, isolierter Betrieb in der Schweiz, Integration mit On-Premise-Rechenzentren und Public-Cloud-Infrastruktur. Hostpoint: Eigene, vollständig in der Schweiz verwaltete, von Dritten unabhängige Infrastruktur, einziges Panel und Website auf Italienisch, Deutsch, Französisch und Englisch. UMB: Schweizer Private Cloud gegen den CLOUD Act.

Vor der Unterschrift sind schriftlich die Punkte anzufordern, die der Vertrag präzisieren kann: Garantierte Verfügbarkeit mit Messzeitraum, Vorlaufzeit und Zählweise der Wartungsfenster, vertragliche Zeiten für Erstreaktion und Wiederherstellung.

Ebenfalls anzufordern sind Schwellenwerte und Prozentsätze der Servicegutschriften, Liste der Ausschlüsse, Rechtssitz und Sitz der Rechenzentren, Liste und Sitz der Unterauftragsverarbeiter. Jede Zelle ist mit der vertraglichen Angabe des Anbieters zu füllen, nicht mit dem kommerziellen Eindruck. So treten die Unterschiede vor der Unterschrift und nicht während eines Incidents zutage.

Vor der Unterschrift sind bei jedem der drei Namen schriftlich beim Anbieter anzufordern: Prozentsatz der garantierten Verfügbarkeit und Messzeitraum; Zeiten für Erstreaktion und Wiederherstellung; Servicegutschriften mit Schwellenwerten und Ausschlüssen; Vorlaufzeit und Zählweise der Wartungsfenster; Rechtssitz und Adresse der Rechenzentren; Liste und Sitz der Unterauftragsverarbeiter.

Drei Zellen erfordern die vertragliche Angabe: Prozentsatz der garantierten Verfügbarkeit mit Messzeitraum, Zeiten für Erstreaktion und Wiederherstellung, Prozentsätze und Schwellenwerte der Gutschriften mit Ausschlüssen. Diese sind bei jedem der drei Namen schriftlich anzufragen.

Die Tabelle unterscheidet dokumentierte Merkmale von zu prüfenden SLA-Klauseln. Für Swisscom können die Rechenzentren in der Schweiz und die Georedundanz erfasst werden; für Hostpoint die vollständig in der Schweiz verwaltete, von Drittanbietern unabhängige Infrastruktur und das einzige Panel; für UMB die Private Cloud in der Schweiz (Swisscom; Hostpoint; UMB). Verfügbarkeit, Wartung und Gutschriften sind mit den vertraglichen Bedingungen zu füllen.

Als Leitfaden für die Klauseln verweist der EDÖB auf deutschsprachige Instrumente: die «Checkliste zur Auswahl eines Cloud-Dienstes» (2022) des deutschen Bundesamts für Sicherheit in der Informationstechnik und das aktualisierte Merkblatt von privatim «Cloud-spezifische Risiken und Massnahmen» (2022). Sie listen die abzuhakenden Punkte auf; die Werte sind von den Anbietern einzuholen.

Drei Fragen schliessen die leeren Zellen. Welcher Prozentsatz der Verfügbarkeit ist garantiert und über welchen Zeitraum wird er gemessen? Welche Unterbrechungen und welche Wartungsfenster sind ausgeschlossen? Welche Servicegutschrift greift, mit welchem Schwellenwert und mit welchem Verfahren? Die Antworten sind dem Vertrag beizufügen.