PostgreSQL und Souveränität: mehr als "in der Schweiz gehostet"
Die grossen verwalteten PostgreSQL-Dienste, also Amazon RDS, Google Cloud SQL und Azure Database for PostgreSQL, laufen alle auf Infrastruktur in US-Besitz und unter US-Recht. Anwendungsdaten, Finanzunterlagen und Kundendaten sind über den CLOUD Act ohne Schweizer Gerichtsverfahren zugänglich.
PostgreSQL auf Schweizer Infrastruktur zu betreiben löst die Frage des Datenstandorts. Souveränität ist aber mehr als die Frage, wo die Daten liegen: das EU Cloud Sovereignty Framework beschreibt acht Dimensionen, die zusammen entscheiden, ob ein Anbieter tatsächlich souverän ist.
PostgreSQL und die Lizenzfrage
PostgreSQL steht unter der PostgreSQL License, einer freizügigen quelloffenen Lizenz, die BSD und MIT ähnelt und kommerzielle Nutzung, Weitergabe und Änderung nicht einschränkt. Es gibt kein Risiko einer Lizenzänderung, keine Falle über eine kommerzielle Zweitlizenz und keinen Anbieter, der die Roadmap kontrolliert.
Als eine der freizügigsten quelloffenen Lizenzen im produktiven Einsatz bedeutet die PostgreSQL License: volle Portabilität der Daten über Standard-SQL und pg_dump, keine Bindung über Lizenzbedingungen und die Freiheit, PostgreSQL auf jeder Infrastruktur deiner Wahl zu betreiben.
VSHN betreibt PostgreSQL mit CloudNativePG, einem vollständig quelloffenen Kubernetes-Operator und CNCF-Projekt. Zwischen deinen Daten und der Datenbank-Engine liegt keine proprietäre Dienstschicht.
Souveränität im Vergleich
| Dimension | Amazon RDS | Google Cloud SQL | Azure Database | VSHN Managed PostgreSQL |
|---|---|---|---|---|
| Eigentümer | Amazon (USA) | Google (USA) | Microsoft (USA) | VSHN AG (Schweiz) |
| Anwendbares Recht | US-Recht | US-Recht | US-Recht | Schweizer Recht |
| CLOUD Act | Betroffen | Betroffen | Betroffen | Nicht betroffen |
| Datenstandort | EU- und Zürich-Regionen bei AWS | Region Zürich bei GCP | EU-Regionen bei Azure | Schweiz (cloudscale.ch, Exoscale oder nach deiner Wahl) |
| Quellcode | proprietäre Dienstschicht | proprietäre Dienstschicht | proprietäre Dienstschicht | vollständig quelloffen (CloudNativePG) |
| Betriebsteam | USA | USA | USA und Indien | Schweiz (Option Schweiz-only) |
| Zertifizierungen | SOC 2, ISO 27001 | SOC 2, ISO 27001 | SOC 2, ISO 27001 | ISO 27001, ISAE 3402 Type II |
Souveränitäts-Selbstbewertung von VSHN
Wir haben das Cloud Sovereignty Framework der EU (v1.2.1, Oktober 2025) auf unsere eigenen Dienste angewendet. Nach diesem Rahmenwerk wurden im April 2026 die Anbieter in der EU-Ausschreibung für souveräne Cloud über EUR 180 Mio. bewertet. Drei rein europäische Anbieter erreichten SEAL-3, ein Konsortium unter Beteiligung von Google Cloud kam auf SEAL-2.
Das ist eine Selbstbewertung und keine formelle SEAL-Zertifizierung. Wir veröffentlichen sie, damit Kunden unser Souveränitätsprofil anhand derselben strukturierten Kriterien beurteilen können, die auch die EU anlegt.
| # | Dimension | Gewicht | Bewertung | Belege |
|---|---|---|---|---|
| SOV-1 | Strategisch | 15% | Stark | Schweizer AG, keine ausländische Muttergesellschaft, alle Aktionäre Schweizer Staatsangehörige (Handelsregister) |
| SOV-2 | Rechtlich | 10% | Stark | Schweizer Recht (AGB), kein CLOUD Act, Angemessenheitsbeschluss der EU |
| SOV-3 | Daten und KI | 10% | Stark | Schweizer Rechenzentren als Standard. Souveräne Schlüsselverwaltung über Managed OpenBao und Schweizer HSM |
| SOV-4 | Betrieblich | 15% | Stark | Betrieb rund um die Uhr aus der Schweiz, Option Schweiz-only. Alle Dienste auf unverändertem Kubernetes |
| SOV-5 | Lieferkette | 20% | Stark | Infrastrukturunabhängig, der Kunde wählt den Anbieter. Quelloffene Software |
| SOV-6 | Technologie | 15% | Stark | 100 Prozent quelloffen. VSHN trägt zu K8up (CNCF), Crossplane-Providern und Project Syn bei |
| SOV-7 | Sicherheit | 10% | Stark | ISO 27001, ISAE 3402 Type II, Schweizer SOC. FINMA-regulierte Kunden |
| SOV-8 | Umwelt | 5% | Mittel | Rechenzentrumsbetreiber: Green Datacenter AG (ISO 22301/27001/27701), Nachhaltigkeit bei Exoscale. CSR-Politik von VSHN |
Gesamt: entspricht SEAL-3, derselben Stufe wie die Gewinner der EU-Ausschreibung. SEAL-4 hat weltweit kein Anbieter erreicht: dafür brauchte es Hardware-Lieferketten und quelloffene Grundlagen vollständig aus der EU oder dem EWR, und diese strukturelle Lücke teilen alle Cloud-Anbieter.
Schweizer Infrastruktur ausprobieren: Servala (Managed Services, kostenlos testen), Exoscale (Schweizer IaaS). Unsicher, was passt? Melde dich.
Souveränitätsbewertung für deine Datenbankschicht
Läuft bei dir Amazon RDS oder Google Cloud SQL, und beschäftigt dich das rechtliche Risiko? Wir beurteilen dein Souveränitätsprofil nach dem EU-Rahmenwerk und planen die Migration auf PostgreSQL in der Schweiz.