Der Ruf der Schweiz als Datenschutz-Hafen, der Grund, warum ProtonVPN, Threema und andere datenschutzorientierte Unternehmen dort ihren Sitz wählten, wird durch eine geplante Revision des Schweizer Überwachungsrechts auf die Probe gestellt. Mitte 2026 bleibt der Ausgang offen, aber allein die Unsicherheit hat Proton bereits dazu bewegt, Infrastruktur aus dem Land zu verlagern.
Warum die Schweiz für Datenschutzunternehmen so wichtig war
Die Schweiz hat sich ihren Ruf als Datenschutz-Hafen über Jahrzehnte aufgebaut, durch starke gesetzliche Schutzmechanismen, eine bankähnliche Vertraulichkeitstradition, die sich kulturell auf den Umgang mit digitalen Diensten übertrug, und vor allem durch die Nichtmitgliedschaft in jeder großen Geheimdienst-Allianz. Genau diese Kombination brachte ProtonVPN, Threema und eine Reihe anderer datenschutzorientierter Unternehmen dazu, sich dort niederzulassen statt in den USA, Großbritannien oder der EU, keiner dieser Standorte bietet die gleiche Kombination aus rechtlichem Schutz und Allianzfreiheit. Der aktuelle Verordnungsentwurf ist bedeutsam, gerade weil er genau das bedroht, was diese Unternehmen ursprünglich in die Schweiz zog.
Was das geplante Gesetz tatsächlich verlangen würde
Der Schweizer Bundesrat brachte im Januar 2025 eine Revision der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) auf den Weg. Die Revision würde Überwachungspflichten, bisher auf Telekom- und Internetanbieter beschränkt, auf eine deutlich breitere Kategorie ausweiten, die die Verordnung als Anbieter “abgeleiteter Kommunikationsdienste” bezeichnet: VPNs, verschlüsselte Messenger-Apps und soziale Netzwerke.
Laut Entwurf müssten betroffene Anbieter mit mehr als 5.000 Nutzern ihre Kunden identifizieren, Kommunikationsmetadaten sechs Monate nach Kontoschließung aufbewahren, und, sofern der Anbieter über die Verschlüsselungsschlüssel verfügt, Inhalte auf behördliche Anfrage entschlüsseln. Größere Anbieter, solche mit über einer Million Nutzern oder mehr als 100 Millionen Franken Jahresumsatz, würden strengeren Echtzeit-Abhörpflichten unterliegen.
Warum Proton bereits handelt
Proton, das Proton Mail, Proton VPN, Proton Drive und Proton Pass von Genf aus betreibt, ist der lautstärkste Gegner des Vorschlags. Das Unternehmen hat erklärt, dass sich seine Optionen bei einer Verabschiedung des Zusatzes in einer der aktuellen Form nahekommenden Fassung darauf reduzieren, entweder die No-Logs- und Ende-zu-Ende-Verschlüsselungsversprechen zu kompromittieren oder die Jurisdiktion zu verlassen. Proton-Gründer Andy Yen hat gesagt, das einzige europäische Land mit einem einigermaßen vergleichbaren Überwachungsgesetz sei Russland.
Statt eine endgültige Entscheidung abzuwarten, hat Proton bestätigt, schrittweise Teile seiner physischen Infrastruktur aus der Schweiz zu verlagern, beginnend mit dem KI-Assistenten Lumo, während Hauptsitz, Führungsteam und politisches Lobbying in Genf bleiben. Das Unternehmen hat Deutschland und Norwegen als wahrscheinliche Ziele für die weitere Infrastruktur genannt und verweist auf die DSGVO der EU sowie norwegische Datenschutzstandards als vergleichbare Absicherung.
Wo der Prozess tatsächlich steht
Anders als ein vom Schweizer Parlament verabschiedetes Gesetz ist die VÜPF-Revision eine Verordnung des Bundesrats, die dieser ohne Parlamentsabstimmung erlassen kann und, entscheidend, ohne das übliche Schweizer Referendumsverfahren auszulösen. Kritiker, darunter Datenschutzunternehmen und zivilgesellschaftliche Gruppen, haben genau diesen verfahrensrechtlichen Weg als Mittel benannt, die öffentliche Prüfung zu umgehen, die eine Änderung dieses Ausmaßes normalerweise erfahren würde.
Die öffentliche Vernehmlassung zum Vorschlag endete Mitte 2025 mit erheblichem Widerstand von datenschutzorientierten Unternehmen, Organisationen für digitale Rechte und politischen Parteien. Mitte 2026 hat der Bundesrat noch keine endgültige Fassung der Verordnung veröffentlicht, und es wurde kein Umsetzungstermin festgelegt. Der Vorschlag bleibt in einem rechtlichen Schwebezustand: weder zurückgezogen noch finalisiert noch für eine öffentliche Abstimmung terminiert.
Warum das Schweizer Referendumssystem das ungewöhnlich macht
Die Schweiz ist international für ihre direkte Demokratie bekannt: Bürger können durch das Sammeln ausreichend vieler Unterschriften eine öffentliche Abstimmung über ein Gesetz erzwingen, gegen das sie sich wenden, ein Mechanismus, der Schweizer Wählern historisch echten Einfluss auf große politische Veränderungen gab. Eine direkt vom Bundesrat erlassene Verordnung statt eines vom Parlament verabschiedeten Gesetzes löst diesen Referendumsmechanismus nicht aus, genau die Kritik, die Datenschutzbefürworter äußern: Eine Überwachungsausweitung dieses Ausmaßes sei genau die Art von Entscheidung, die das Referendumssystem eigentlich der Öffentlichkeit überlassen soll, und der Verordnungsweg umgehe das nicht zufällig, sondern konstruktionsbedingt.
Wie andere Schweizer Datenschutzunternehmen reagieren
Proton ist nicht das einzige Schweizer Datenschutzunternehmen, das sich äußert. Threema, der verschlüsselte Messenger, und NymVPN haben sich beide öffentlich aus ähnlichen Gründen gegen die Verordnung ausgesprochen und gewarnt, dass verpflichtende Entschlüsselung und Nutzeridentifikation genau das rechtliche Umfeld untergraben würden, das die Schweiz für datenschutzorientierte Unternehmen ursprünglich attraktiv machte. Nicht jeder Schweizer Anbieter teilt diese Reaktion allerdings: Manche Schweizer Cloud- und Hosting-Unternehmen haben während der Vernehmlassung eine versöhnlichere Haltung eingenommen und argumentiert, Compliance sei machbar und eine Verlagerung der Infrastruktur eine Überreaktion auf einen noch nicht finalisierten Vorschlag. Diese Spaltung innerhalb der Schweizer Datenschutzbranche ist selbst Teil der Geschichte: Sie zeigt echte Unsicherheit darüber, wie die Verordnung ausfallen wird, keine einheitliche Branchenreaktion.
Was Nutzer außerhalb der Schweiz daraus mitnehmen sollten
Auch wer nie einen Schweizer Dienst genutzt hat, sollte diesen Fall im Auge behalten, weil er ein wiederkehrendes Muster in der Datenschutzregulierung veranschaulicht: Ein Land mit starkem historischem Ruf für Privatsphäre erwägt eine Änderung, die diesen Ruf grundlegend infrage stellt, meist mit dem Argument, Strafverfolgung und nationale Sicherheit erforderten es. Nutzer, die einen Anbieter speziell wegen seines Gerichtsstands wählen, sollten sich bewusst sein, dass sich Gesetze ändern können, selbst in Jurisdiktionen mit langer Datenschutztradition, und dass die technische Architektur eines Dienstes, echte Ende-zu-Ende-Verschlüsselung ohne serverseitigen Zugriff auf Schlüssel, langfristig oft ein verlässlicherer Schutz ist als der Gerichtsstand allein.
Was passieren würde, wenn die Verordnung wie vorgeschlagen verabschiedet wird
Verabschiedet der Bundesrat die VÜPF-Revision in der aktuellen Form, müssten in der Schweiz ansässige VPN-Anbieter mit mehr als 5.000 Nutzern die technische und rechtliche Infrastruktur aufbauen, um Kunden zu identifizieren und Metadaten zu speichern, ein grundlegender Wandel für jeden Anbieter, dessen gesamtes Produkt darauf beruht, genau das nicht zu tun. Für ein No-Logs-VPN ist das keine Frage der Anpassung eines Richtliniendokuments, es würde einen strukturellen Umbau der Handhabung von Nutzerdaten erfordern, genau deshalb hat Proton seine Wahl als Compliance oder Weggang formuliert statt als kleineren Mittelweg.
Was sich dadurch noch nicht ändert
Proton hat klargestellt, dass die bisherigen Infrastrukturänderungen vorsorglich und gezielt sind, kein vollständiger Rückzug aus der Schweiz, und dass No-Logs-Richtlinien und Ende-zu-Ende-Verschlüsselung unabhängig vom physischen Serverstandort unverändert bleiben. ProtonVPN bleibt eine unserer bestbewerteten Optionen für datenschutzorientierte Nutzer, während sich das entwickelt. Der SOC-2-Typ-II-Audit und das vierte aufeinanderfolgende No-Logs-Audit von ProtonVPN, beide 2026 abgeschlossen, sind von diesem Verordnungsprozess unberührt und spiegeln die aktuelle operative Realität wider, keine Absicherung gegen ein noch nicht in Kraft getretenes Gesetz.
Dieses Dossier reiht sich auch in ein breiteres regulatorisches Muster ein, das bereits anderswo in Europa sichtbar ist: Unsere Berichterstattung zur EU-Datenspeicherungspflicht spiegelt dieselbe Spannung zwischen Zugriff der Strafverfolgung und Ende-zu-Ende-verschlüsselten, logfreien Diensten. Die Schweizer Verordnung nutzt dabei einen noch weniger sichtbaren verfahrensrechtlichen Weg als diese europäischen Prozesse.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Die geplante VÜPF-Revision bleibt Mitte 2026 ungeklärt, gefangen in einem verfahrensrechtlichen Schwebezustand, der sowohl eine Parlamentsabstimmung als auch ein öffentliches Referendum vermeidet. Protons Entscheidung, Infrastruktur zu verlagern, noch bevor das Gesetz überhaupt finalisiert ist, ist ein Signal, das man im Auge behalten sollte: Es deutet darauf hin, dass das Unternehmen eine reale Chance sieht, dass die Verordnung in einer mit seinen Datenschutzversprechen unvereinbaren Form verabschiedet wird. Vorerst bleiben No-Logs-Richtlinie und Audit-Historie von ProtonVPN intakt, aber der Schweizer Gerichtsstand als Datenschutz-Verkaufsargument ist weniger sicher als noch vor einem Jahr.
Falls Sie die Unsicherheit um den Schweizer Gerichtsstand beunruhigt, bleibt NordVPN mit Sitz in Panama eine gut auditierte Alternative ohne vergleichbare gesetzliche Bedrohung am Horizont.
Weiterlesen: ProtonVPN Test 2026: Der beste VPN für Datenschutz? und Five Eyes, Nine Eyes, 14 Eyes: Was bedeutet das für VPNs?.