Erläuternder Bericht

Rechtmässiger Zugriff einer ausländischen Behörde: Das hybride Zustellsystem wird auf einer Cloud-Infrastruktur eines europäischen Unternehmens betrieben, das Teil ei- nes US-Konzerns ist. Trotz Datenstandort in der Schweiz könnten Gesetze mit extra- territorialer Wirkung fallbezogene Datenauslieferungsbefehle an ausländische Behör- den auslösen. Die Plattform ist durch die Verschlüsselung der Daten gegen Zugriffe geschützt. Inhalte können nur mit Nutzerschlüsseln entschlüsselt und lesbar gemacht werden. Ein rechtmässiger Zugriff ausländischer Behörden auf elektronische Sendun- gen gilt als sehr unwahrscheinlich.

Verlust der Schweizer Cloud-Souveränität: Die Betreiberin der Cloud-Infrastruktur, auf der die Plattform betrieben wird, könnte von ausländischen Behörden zur Einschrän- kung oder Einstellung des Betriebs gezwungen werden. Dies könnte mit einer massi- ven und möglicherweise irreversiblen Beeinträchtigung der Persönlichkeits- und Grund- rechte der betroffenen Personen einhergehen. Zur Reduktion systemischer Abhängig- keiten werden administrative Zugriffe technisch und organisatorisch strikt begrenzt, rol- lenbasiert gesteuert und vollständig protokolliert. Die Schlüsselhoheit verbleibt aus- schliesslich bei den Absenderinnen und Absendern, den Empfängerinnen und Emp- fängern sowie der Post. Die Cloud-Betreiberin hat keinen Zugriff auf die Schlüssel. Diese technischen Massnahmen werden durch vertragliche Zusicherungen der Cloud-Betreiberin und organisatorische Kontrollmechanismen ergänzt. Der Verlust der Schweizer Cloud-Souveränität gilt als sehr unwahrscheinlich.

Identitätsdiebstahl und Übernahme des Benutzerkontos: Unbefugte könnten Benutzer- konten übernehmen und unter falscher Identität als Absenderin oder Absender auftre- ten. Der Versand elektronischer Sendungen im falschen Namen und die Täuschung von Empfängerinnen und Empfängern kann zu erheblichen Persönlichkeits- und Ver- mögensschäden führen. Um dies zu verhindern, setzt die Post starke Authentifizie- rungsmechanismen ein. Bei Auffälligkeiten können Benutzerkonten temporär gesperrt und weitere Verifikationsschritte ausgelöst werden. Identitätsdiebstähle und die Über- nahme von Benutzerkonten gelten aufgrund dieser Massnahmen als unwahrscheinlich.

Systemisches Risiko: Die Ausweitung des Grundversorgungsauftrags auf die elektro- nische und hybride Zustellung schafft neue strukturelle Risiken für das Post- und Brief- geheimnis: vertrauliche Korrespondenz wird auf einer zentralen digitalen Plattform kon- zentriert; im Rahmen der technischen Verarbeitung liegen die Daten kurzzeitig in Klar- text vor; die Abhängigkeit von ausländischen Cloud-Betreiberinnen nimmt zu; eine zentrale Plattform mit postalischen Inhalten erhöht das Angriffspotenzial. Zur Mitigation der systemischen Risiken wurden folgende Massnahmen umgesetzt: Inhaltsdaten lie- gen nur in einer gehärteten, isolierten und zugriffsgesicherten Umgebung sowie für eine technisch unumgänglich kurze Dauer im Klartext vor; die Plattform ist so gestaltet, dass Angreiferinnen oder Angreifer, die Zugriff auf einen Teil der Infrastruktur erlangen, keine entschlüsselten Inhalte lesen können; die Abhängigkeit von ausländischen Rechtsordnungen wird durch den Betrieb in der Schweiz und eine logische Trennung der Schlüsselverwaltung von der Cloud-Betreiberin minimiert; aufgrund der zentralen Bedeutung der Plattform für die Grundversorgung wird ein erweitertes Security Moni- toring betrieben und es erfolgen regelmässig Penetrationstests sowie externe Sicher- heitsaudits; wesentliche Änderungen an der Systemarchitektur, die das Post- und Brief-