Schweizerform vs. LimeSurvey

LimeSurvey ist an einem grossen Teil der Schweizer Universitäten, Spitäler und kantonalen Verwaltungen das Standard-Umfragetool, und der Grund ist simpel: freie Software mit einer Fragenlogik, die in diesem Markt nichts erreicht, keine Kosten pro Antwort und eine Installation, die Ihnen durchgehend gehört. Wenn Ihre Anforderung ein Instrument mit 200 Fragen samt Verzweigungen, Quoten, Randomisierung und mehrsprachigen Versionen ist, kann LimeSurvey das und wir nicht.

Der sinnvolle Vergleich lautet deshalb nicht «was ist besser», sondern «was macht jedes von beiden unmöglich». LimeSurvey macht es unmöglich, dass ein externer Anbieter Ihre Daten hält — weil es keinen externen Anbieter gibt. Schweizerform macht es unmöglich, dass irgendwer eine Antwort liest, uns eingeschlossen und eine an uns gerichtete Anordnung eingeschlossen, weil die Entschlüsselung in Ihrem Browser mit einem Schlüssel passiert, den wir nie erhalten. Das sind verschiedene Garantien, und die ehrliche Wahl beginnt bei LimeSurveys eigener Verschlüsselungsfunktion, die häufiger vorausgesetzt als gelesen wird.

Wie sich beide Produkte positionieren

LimeSurvey — die quelloffene Umfrage-Engine

Die LimeSurvey Community Edition ist GPL-Software, die Sie auf Ihrem eigenen Server installieren; LimeSurvey Cloud ist die gehostete kommerzielle Variante der LimeSurvey GmbH in Hamburg. Der Funktionsumfang ist wirklich tief: Dutzende Fragetypen, komplexe Bedingungslogik und Ausdrücke, Quoten, Randomisierung, Teilnahme-Tokens und Einladungen, Panelanbindung, mehrsprachige Umfragen, Statistik und Export in jedem Format, nach dem eine Statistikstelle fragt. Für akademische Forschung ist es die Referenzimplementierung eines Online-Umfragetools, und eine Seite, die etwas anderes behauptete, wäre für Sie wertlos.

Schweizerform — verschlüsselter Eingang, Zero-Knowledge als Standard

Schweizerform ist eine verschlüsselte Eingangsschicht und keine Forschungsplattform. Jede Einreichung wird im Browser der teilnehmenden Person mit AES-256-GCM verschlüsselt, der Einreichungsschlüssel wird an den öffentlichen Schlüssel des Formulars gebunden, und der Server speichert Chiffrat, das er nicht öffnen kann. Entschlüsselt wird in Ihrem Browser mit dem Tresorschlüssel, der clientseitig abgeleitet und nie an uns gesendet wird. Verschlüsselte Einreichungen werden in der Schweiz bei Infomaniak gespeichert, eine Formulardefinition publiziert in DE, FR, IT und EN, und die öffentliche Formularseite lädt keine Tracker Dritter. Ihre Fragetexte sehen wir — sie liegen im Klartext auf dem Server, damit das Formular dargestellt werden kann. Keine einzige Antwort sehen wir.

LimeSurveys Verschlüsselungsoption — was sie leistet und was nicht

Dieser Abschnitt entscheidet den grössten Teil dieses Vergleichs, denn «LimeSurvey unterstützt Verschlüsselung» ist technisch wahr und wird breit missverstanden. Die Funktion verschlüsselt Personendaten in der zentralen Teilnehmendendatenbank, Daten in den Teilnehmendentabellen der Umfrage sowie einzelne Antworten dort, wo das Fragenattribut «Verschlüsselt» aktiviert ist. Sie setzt die PHP-Sodium-Bibliothek voraus. Es ist eine echte, nützliche Funktion, die ernsthafte Institutionen einsetzen.

Was die Analyse verändert, ist der Ort des Schlüssels. Laut LimeSurvey-Handbuch liegen der öffentliche und der geheime Schlüssel in /application/config/security.php und werden bei der ersten Nutzung der Verschlüsselungsfunktion automatisch erzeugt. Anders gesagt: Der Schlüssel liegt in einer Datei auf demselben Server wie die Datenbank, die er schützt — das ist für den Zweck dieser Funktion die richtige Bauweise und heisst zugleich, dass sie gegen einen gestohlenen Datenbankabzug schützt, nicht gegen Personen mit Serverzugriff. Das Handbuch ist auch bei der Konsequenz eines Schlüsselverlusts deutlich: Legen Sie Backups der Schlüssel an, denn ohne sie werden die Daten unbrauchbar und sind nicht wiederherstellbar. Und einmal erzeugt, dürfen die Schlüssel nie geändert werden, sonst werden bestehende Daten unlesbar.

• Es ist At-Rest-Verschlüsselung mit betreibereigenem Schlüssel. Wer das Dateisystem des Servers lesen kann, liest den Schlüssel und damit die Daten. Das schliesst Ihre Administration ein, Ihren Hoster bei Managed Hosting und Angreifende, die Serverzugriff und nicht nur Datenbankzugriff erlangt haben.
• Es kostet Sie die Suche. Das Handbuch hält fest, dass Teilstring-Suche in verschlüsselten Datenbankspalten nicht möglich ist — nur exakte Übereinstimmung. Verschlüsseln Sie ein Freitextfeld, können Sie nicht mehr darin suchen.
• Es ist pro Frage und opt-in. Antwortverschlüsselung ist ein Fragenattribut, das jemand aktivieren muss, Umfrage für Umfrage und Frage für Frage. Der Standard ist aus, genau wie bei der Anonymisierung.
• Schlüsselverlust ist unwiederbringlich, und Schlüsselwechsel ist im üblichen Sinn nicht vorgesehen. Das ist derselbe Handel, den eine Zero-Knowledge-Plattform eingeht — und man sollte ihn kennen, bevor man ihn im Ernstfall entdeckt.

Die Sicherheitsmodelle nebeneinander

Ohne Funktionslisten bleiben zwei Fragen: Wer kann eine Antwort technisch lesen, und was muss schiefgehen, damit sich das ändert?

LimeSurvey — Sie sind der Betrieb, und die Vertrauensgrenze ist Ihr Server

Bei Selbstbetrieb sieht kein Anbieter Ihre Daten — ein echter und oft entscheidender Vorteil. Im Gegenzug ruht die Vertraulichkeit jeder Antwort auf Ihrer Serverhärtung, Ihrem Patch-Rhythmus, Ihrer Datenbank-Zugriffssteuerung und Ihrem Backup-Handling. Antworten liegen in Ihrer MySQL-Datenbank, im Klartext, solange keine Verschlüsselung pro Frage aktiv ist, und sind für alle mit Datenbank- oder Dateisystemzugriff lesbar. Für eine institutionelle Umfrage einer Forschungsgruppe unter derselben Governance wie die Forschenden ist das völlig angemessen. Für eine Umfrage über die Institution — Belästigung, Führungsverhalten, Meldungen — sitzen die Personen mit Datenbankzugriff häufig genau in der Gruppe, vor der die Umfrage die Teilnehmenden schützt.

Schweizerform — der Schlüssel erreicht den Server nie

Wir halten Chiffrat und verpackte Schlüssel. Es gibt keine Konfiguration, kein Support-Werkzeug und kein administratives Override, das auf unserer Seite eine lesbare Antwort erzeugt, weil das nötige Material aus einem Tresorschlüssel abgeleitet wird, den wir nie erhalten. Diese Eigenschaft hängt nicht davon ab, dass wir uns anständig verhalten, wie wir Personal prüfen oder welche Behörde fragt. Sie schneidet auch in die andere Richtung: Geht der Tresorschlüssel verloren, können wir nicht helfen, und die Antworten sind weg. Der Mechanismus steht in Zero-Knowledge-Architektur erklärt.

Direkter Funktionsvergleich

Hosting und Jurisdiktion — inklusive der Regionen von LimeSurvey Cloud

Hier entdecken Schweizer Institutionen am häufigsten eine Lücke zwischen Annahme und Gekauftem. LimeSurvey Cloud bietet über die Tarife hinweg eine Regionenwahl, und die publizierte Auswahl umfasst Deutschland, Finnland, Grossbritannien, die USA, Kanada, Australien und Singapur. Die Schweiz ist nicht dabei, und Vertragspartnerin ist die LimeSurvey GmbH in Hamburg. Eine Schweizer Hochschule, die LimeSurvey mit Schweizer Datenhaltung will, hat genau einen Weg: die Community Edition selbst auf Schweizer Infrastruktur installieren — Infomaniak bietet Ein-Klick-Installationen von LimeSurvey in seinen Schweizer Rechenzentren, und Hostpoint betreibt sein Hosting auf Schweizer Servern.

Verarbeitet Ihre Umfrage Daten unter Berufsgeheimnis oder kantonalem Datenschutzrecht, ist die Residenzfrage nur die halbe Analyse; die andere Hälfte ist, wer die Daten dort lesen kann. Unsere anbieterweise Schweizer Residenzliste steht in Formular- und Umfrage-Tools mit Serverstandort Schweiz, die Kategoriensicht in Datenschutzkonforme Umfragetools im Vergleich.

Was der Selbstbetrieb von LimeSurvey tatsächlich kostet

«Gratis» beschreibt die Lizenz, nicht den Betrieb. Eine LimeSurvey-Installation, auf die man eine sensible Umfrage tatsächlich stellen darf, verlangt laufend und von einer verantwortlichen Person:

• Upgrades von PHP, Datenbank und LimeSurvey inklusive der brechenden, in einem Rhythmus, der mit publizierten Schwachstellen Schritt hält
• TLS-Zertifikatslebenszyklus, HTTP-Sicherheits-Header und eine gehärtete Webserver-Konfiguration
• Datenbank- und Dateisystem-Backups, die durch Rückspielen getestet werden — plus sichere, vom Server getrennte Aufbewahrung der Verschlüsselungsschlüssel, falls die Funktion genutzt wird
• Zugriffssteuerung und periodische Zugriffsprüfung — wer hat Shell, wer hat Datenbank-Zugangsdaten, wer hat die Institution letztes Quartal verlassen
• Log-Aufbewahrung, Monitoring und ein tatsächlicher Erkennungspfad für Kompromittierungen, denn Art. 24 DSG verlangt, den EDÖB bei Verletzungen mit voraussichtlich hohem Risiko so rasch als möglich zu benachrichtigen
• Aufbewahrungs- und Löschroutinen, denn Antworten sammeln sich in einer Datenbank, die nach Studienende niemand mehr anschaut

Nach Art. 8 DSG sind die technischen und organisatorischen Massnahmen Pflicht der verantwortlichen Person, und Selbstbetrieb bündelt jede einzelne bei Ihnen. Institutionen mit professioneller IT-Abteilung absorbieren das mühelos — dafür ist sie da. Eine vierköpfige Forschungsgruppe, eine Praxis oder eine Schulverwaltung oft nicht, und der Fehlerfall ist unspektakulär: eine ungepatchte Instanz, die drei Jahre später noch eine geschlossene Umfrage ausliefert. Die allgemeine Fassung dieses Handels steht im Vergleich zu selbst gehosteten Formularen, die Bestandssicht in Digitale Formularverwaltung für Schweizer Organisationen.

Preise

Das Modell von LimeSurvey

Die Community Edition ist freie Software: keine Lizenzgebühr, keine Kosten pro Antwort; Ihre Kosten sind Hosting plus Personalzeit. LimeSurvey Cloud ist ein Abonnement und wird nach Antworten und Speicher bemessen — Stand Juli 2026: Basic zu CHF 44 pro Monat für 1'000 Antworten pro Monat und 250 MB, Expert zu CHF 40 pro Monat bei Jahresrechnung für 10'000 Antworten pro Jahr und 1 GB, Business zu CHF 70 pro Monat bei Jahresrechnung für 50'000 Antworten pro Jahr und 3 GB sowie Corporate auf Anfrage. Beachten Sie die Form: Die Cloud-Tarife zählen Antworten, eine einzelne grosse Studie kann also ein Jahreskontingent aufbrauchen.

Das Modell von Schweizerform

Gratis, Pro zu CHF 19 pro Monat und Business zu CHF 49 pro Monat. Ende-zu-Ende-Verschlüsselung und Schweizer Speicherung der verschlüsselten Einreichungen sind keine Stufe — sie sind die Funktionsweise des Produkts in jedem Tarif, auch im Gratis-Tarif, weil es keinen unverschlüsselten Modus zu verkaufen gibt. Die Tarife unterscheiden sich bei Volumen, Plätzen und erweiterten Funktionen; die aktuellen Limiten stehen auf der Preisseite.

Welches Werkzeug zu welchem Fall passt

LimeSurvey, wenn

• das Instrument komplex ist: Verzweigungen, Ausdrücke, Quoten, Randomisierung, Messwiederholungen, mehrere Sprachversionen mit unterschiedlicher Logik
• Sie Teilnahme-Tokens, Einladungs- und Erinnerungsverwaltung oder Panelanbindung brauchen
• die Auswertung im Tool stattfinden muss, mit serverseitiger Statistik und Kreuztabellen
• Sie institutionelle IT haben, die den Stack ohnehin betreibt, oder ein Hosting-Arrangement mit klarer Verantwortung
• die Umfrage Forschung mit einwilligenden Teilnehmenden ist und kein Kanal, den jemand unter persönlichem Risiko nutzt

Schweizerform, wenn

• eine wahrheitsgemässe Antwort die teilnehmende Person etwas kosten könnte — Mitarbeitendenbefragungen zu namentlich bekannten Führungskräften, Meldekanäle, Patientenfragebögen, Befragungen von Lernenden oder vulnerablen Gruppen
• Sie dem Berufsgeheimnis nach Art. 321 StGB unterstehen, das die Berufsperson und ihre Hilfspersonen bindet
• Sie verschlüsselte Einreichungen in der Schweiz wollen, ohne Infrastrukturbetrieb zu übernehmen
• das Formular Eingang statt Forschung ist: Anmeldungen, Zuweisungen, Meldungen, Onboarding, Dokumenteneingang
• Sie dasselbe Formular in DE, FR, IT und EN live brauchen, ohne vier Instrumente zu pflegen

Wann beides zusammen sinnvoll ist

Das ist an Schweizer Institutionen der häufige Ausgang, und ein vernünftiger. LimeSurvey bleibt, wo es seinen Platz verdient — Forschungsinstrumente, Lehrveranstaltungsevaluationen, Längsschnittstudien mit Panels und Quoten. Eine verschlüsselte Eingangsplattform übernimmt die schmale Menge an Kanälen, bei denen der Inhalt sensibel ist und die Bereitschaft zur Ehrlichkeit davon abhängt, dass niemand zurückverfolgen kann: die Ethik-Meldestelle, die Belästigungsumfrage, der Rekrutierungsfragebogen, das Feedback-Formular des Prüfzentrums. Zwei nach Sensibilität abgegrenzte Tools sind kein Konsolidierungsversagen, sondern die richtige Antwort auf zwei verschiedene Probleme. Wo die Grenze speziell in der Forschung liegt, steht in Datenschutz in der klinischen Forschung — inklusive der ehrlichen Feststellung, dass eine Zero-Knowledge-Plattform für ein reguliertes eCRF das falsche Werkzeug ist, weil Monitoring, Audit und Inspektion die Aufzeichnungen lesen können müssen.

Eine sensible Umfrage von LimeSurvey wegziehen

Sie werden kaum Ihren gesamten LimeSurvey-Bestand migrieren, und Sie sollten es nicht versuchen. Der realistische Schritt ist, die Handvoll Umfragen zu identifizieren, die nie in einer lesbaren Datenbank hätten liegen dürfen, und nur diese zu verlagern.

Das Fazit

LimeSurvey ist das bessere Umfragetool als Schweizerform und wird es bleiben: tiefere Logik, echte Panelverwaltung, serverseitige Statistik und eine Lizenzgebühr von null. Ist Ihre Arbeit Umfrageforschung, installieren Sie es, stellen Sie es auf Schweizer Infrastruktur, wenn Residenz zählt, setzen Sie «Anonymisierte Antworten» bewusst auf Ja und aktivieren Sie das Verschlüsselungsattribut bei den Feldern, die es brauchen.

Was LimeSurvey Ihnen nicht geben kann — in keiner Konfiguration, wegen des Orts des Schlüssels —, ist die Garantie, dass die Betreiberinnen und Betreiber des Servers die Antworten nicht lesen können. Ist das die Anforderung, geht es nicht um die Wahl zwischen zwei Umfragetools. Es geht um die Wahl zwischen einem Umfragetool und einer Architektur.