|
08.08.2026
09:00 Uhr
|
Die Bundes-Office-Suite für Behörden ist zwar souverän – aber der Eigenbetrieb klappt wohl nur mit eigenem Plattformteam.
Wer Microsoft 365 aus seinem Unternehmen oder seiner Behörde entfernen will, stößt seit den letzten Jahren immer wieder auf openDesk: der Versuch des Bundes, sich aus der Abhängigkeit von Microsoft zu lösen. Hinter dem Projekt steht das ZenDiS (Zentrum für Digitale Souveränität der Öffentlichen Verwaltung), eine Gesellschaft in staatlichem Eigentum. openDesk macht dabei das – große – Versprechen, eine fast vollwertige Alternative zu M365 zu sein, nur halt souverän, sprich mit deutscher, am besten noch einsehbarer Software, die sich im Fall des Falles nicht per „Kill Switch“ aus den USA abschalten ließe.
Zur Einordnung: Es handelt sich hier um keine Neuentwicklung, sondern ein Bündel bestehender Open-Source-Programme unter einer gemeinsamen Oberfläche und Nutzerverwaltung. Dazu gehören Nextcloud für Dateien, Open-Xchange für Mail und Kalender, Collabora Online für die Dokumentbearbeitung, Element für Chat und Videokonferenzen, OpenProject, XWiki, CryptPad, Jitsi sowie Univention Nubus als Identitätsverwaltung. Und es erscheint in zwei Varianten: der Community Edition (CE) und der Enterprise Edition. Der Unterschied klingt erstmal nach Budget, denn die Community-Version könnte man laut openDesk selbst aufsetzen, selbst betreiben und dabei die volle Kontrolle über die Daten behalten. Kein Vendor-Lock-in, kein Abo, alles machbar.
heise sammelt Erfahrungsberichte und Stimmungsbilder zum Einsatz von openDesk, um zu beleuchten, wie sich openDesk im echten Betrieb schlägt. Verfügen Sie über Praxiserfahrung? Dann schreiben Sie doch einfach der Redaktion – gerne auch anonymisiert – unter fo@ix oder kki@ix. Wir behandeln selbstverständlich alle Zusendungen vertraulich.
Betreiben Sie openDesk selbst – Community oder Enterprise, On-Premises oder als SaaS? Wie läuft der Alltag mit dem Kubernetes-Unterbau, mit Patches, mit der Nutzerverwaltung über Nubus? Verantworten Sie openDesk in einer öffentlichen Behörde? Haben über openDesk in Betracht gezogen – und sich dagegen entschieden?
Und auf dem Papier deckt die Community Edition auch die Kernfunktionen ab, die eine Behörde oder ein Unternehmen von einer Office-Umgebung erwartet. Für einen Test, ein Pilotprojekt oder eine kleine Einheit mit eigenem IT-Know-how ist das ein tragfähiger Einstieg. Und was bringt nun die Enterprise Edition, wenn doch schon alles mit Admin-Muskelkraft, aber dafür ohne Vertragskosten läuft?
Die Enterprise Edition nutzt dieselbe Grundarchitektur, ergänzt sie aber an mehreren Stellen um Komponenten, die für den Produktivbetrieb gedacht sind – Hochverfügbarkeit, zentrale Administration, Support und Sicherheitspatches als eingebauter, vertraglich zugesicherter Bestandteil statt als Eigenleistung. ZenDiS empfiehlt sie ausdrücklich für den produktiven Einsatz – als Richtwert werden Organisationen ab rund 500 Mitarbeitern genannt – weil sie Support und Sicherheitspatches für die enthaltenen Produktabonnements mitbringt.
Und Sicherheitspatches, die hätte man ja wirklich ganz gerne. Genau hier liegt ein zentraler Unterschied: Die Enterprise-Security-Patches für Nextcloud stammen aus Nextcloud Enterprise. Die CE bekommt sie nicht als supporteten, priorisierten Kanal, sondern ist auf die öffentliche Community-Version angewiesen, in der Fixes teils gar nicht oder erst später ankommen. Dazu kommt die Guard-App, die öffentlich nicht verfügbar ist und Leistung sowie Stabilität der Nextcloud-Server überwacht
Eine Admin-Übersicht zeigt Informationen zur Cloud, etwa Synchronisationsprobleme, veraltete Clients, volle Speicherkontingente, Nutzer ohne Zwei-Faktor-Authentifizierung, unsichere Passwörter, den Status der LDAP-Serververbindung sowie eine Übersicht, wer von wo auf Nextcloud zugreift und welche Freigabelinks bestehen. Das lässt sich mit der CE zwar prinzipiell nachbilden, aber eben nicht als fertig integriertes Paket – das muss man dann schon selbst zusammenbauen. Nextcloud Enterprise stellt Patches und Sicherheitsinformationen außerdem vorab bereit.
Und auch beim Mailsystem trennt sich schnell die Spreu vom Weizen. Die Community Edition nutzt das quelloffene Dovecot in der Version 2. Die Enterprise Edition setzt Dovecot Pro in Version 3 ein, erweitert um Module für Clustering, einen Cluster-Controller und S3-Anbindung. Ein einzelner Dovecot-Server aus der Community Edition trägt zwar auch viele tausend Postfächer – wäre nur schade, wenn der gewartet werden muss oder ausfällt.
Redundanz ist also praktisch unverzichtbar, und die liefert Dovecot Pro mit seiner Palomar-Architektur, die skalierbare und ausfallsichere Cluster bietet. Dank des zustandslosen Designs soll jede einzelne Komponente ausfallen können, für Wartung offline genommen oder aktualisiert werden, ohne die Gesamtverfügbarkeit zu beeinträchtigen. Wartung und Updates sind so ohne Downtime möglich.
Community-Dovecot lässt sich theoretisch auf mehrere Knoten ummodeln, unterstützt dann aber keine Cluster-Funktionen. Admins müssten sich dem mit Funktions- und Lasttests Marke Eigenbau annähern. Hochverfügbarkeit und Standortredundanz kommen also nur in der Enterprise Edition als integrierten, supporteten Bestandteil – wer sie ohne haben möchte, muss sie selbst konzipieren, aufbauen und im Betrieb verantworten, inklusive der Frage, wie ein einzelner Server überhaupt ohne Ausfallzeit gepatcht werden soll.
Für die Kommunikationsplattform Element gibt es in der Enterprise Edition Verwaltungswerkzeuge, darunter AdminBot, GroupSync und die Admin Console. Denn so löblich es ist, dass mit Matrix ein offenes Protokoll hinter Element steht: Die Administration ist anspruchsvoll. Matrix erzeugt zunächst dezentrale Räume, und deren Föderations- und Berechtigungslogik will beherrscht werden.
In Matrix erhält außerdem zunächst der Raum-Ersteller die höchste Berechtigungsstufe (Power Level). Homeserver-Admins können unter bestimmten Voraussetzungen administrative Kontrolle über lokale Räume wiederherstellen – bei Ende-zu-Ende-Verschlüsselung können sie deren Inhalte aber nicht einfach entschlüsseln. Der Server kann die in einem solchen Raum gesendeten Nachrichten nicht lesen, und auch die dort geteilten Dateien bleiben für den Homeserver unlesbar. Der Serverbetrieb allein verschafft also weder automatisch Moderationsrechte noch Leseeinblick in verschlüsselte Räume.
GroupSync bildet den Verzeichnisdienst der Organisation – höchstwahrscheinlich Active Directory oder LDAP – auf die Rechtestruktur in Element ab und regelt Ein- und Austritte sowie Wechsel automatisch. Ohne GroupSync lassen sich Nutzer, Räume und Rechte durchaus manuell anlegen und verwalten – man muss dann aber jeden Personalvorgang händisch nachziehen. Neue Beschäftigte muss man einzeln den richtigen Räumen zuordnen, Abteilungswechsel manuell umhängen und ausscheidende Personen manuell entfernen. Das ist bei zweistelligen Mitarbeiterzahlen vielleicht noch machbar, aber kaum mehr im Hunderter- oder Tausenderbereich. Erst GroupSync macht daraus ein automatisches Provisioning und Deprovisioning entlang des Personalverzeichnisses. Das verhindert dann auch, dass ein längst ausgeschiedener Mitarbeiter noch in sensiblen Räumen sitzt.
Ohne den AdminBot käme zu den Adminaufgaben außerdem die Kontrolle der Räume hinzu, die andernfalls nach dem Verlassen verwaisen und mit ihren Inhalten einfach auf dem System liegen bleiben. Die grafische Oberfläche dafür – die Admin Console – ist hier auch mehr als Komfort: Fällt sie weg, verlagert sich jede Berechtigungsänderung, jede Raum-Recherche und jeder Nachweis in selbstgeschriebene Skripte und direkte API-Aufrufe. Wer prüfen will, welche Räume existieren, wer worin welche Rechte hat oder wann welche Änderung erfolgte, muss sich also wieder auf Marke Eigenbau verlassen. Das ist im besten Fall umständlich, im schlechtesten Fall lassen sich Auflagen zur Revisionssicherheit so schlicht nicht sauber einhalten.
Eine Behörde haftet für ihre Systeme und schuldet der Aufsicht Rechenschaft. Verspätete Patches sind für sie ein Verstoß gegen ihre Sorgfaltspflicht. Unternehmen müssen hier ihre Risikobereitschaft ausloten, Mitleid gibt es aber keins, und eventuelle Versicherungen werden im Schadensfall genau nachschauen. Und wer nicht zufällig einen Überschuss an unausgelasteten Admins im Haus hat, kommt um – essentielle – Funktionen wie zentrale Rechte- und Lastverwaltung kaum herum.
Es ist natürlich keine Überraschung, dass man für den Enterprise-Betrieb die Enterprise Edition braucht. Der Name sagt es bereits, und das ZenDiS schreibt selbst, dass man sie für den Produktivbetrieb empfiehlt. Für den ernsthaften Verwaltungsbetrieb ist die Community Edition ohne eigenes Plattformteam oder Dienstleister deshalb ein riskanter Weg. Für wen ist sie dann gedacht? Die ehrliche Antwort lautet wohl: für Erprobung, Machbarkeitsstudien und winzige Einheiten mit eigener IT-Kompetenz, die den Betrieb selbst schultern. Das ist insofern schade, weil es gerade die Community Edition ist, die mit völliger Einsehbarkeit des Codes wirbt, mit der Unabhängigkeit, sie selbst zu betreiben – und damit eigentlich mit dem, wofür digitale Souveränität steht.
Apropos Souveränität: Die Wahl der Edition ist nur die halbe Entscheidung. openDesk ist kein Programm, das man auf einen Server spielt, sondern eine Sammlung von Container-Images. Es ist als On-Premises- oder als SaaS-Angebot erhältlich und läuft ausschließlich auf Kubernetes. Das verlangt eine Mannschaft, die einen Kubernetes-Cluster im Produktivbetrieb beherrscht, rund um die Uhr, mit Bereitschaft und Vertretung. Solche Fachkräfte sind knapp und teuer. Hinzu kommt, dass die Auslieferung nicht produktionsreif ist. Datenbanken und Objektspeicher liegen nur zu Evaluationszwecken bei und müssen von der Behörde selbst produktionstauglich bereitgestellt werden.
Wer keine Kubernetes-Administratoren einstellen will, wählt also SaaS. Dann betreibt ein Anbieter die Plattform samt Cluster, und die Behörde nutzt nur den Browser. Für einen Zeitraum von zunächst zwei Jahren wird die B1 Systems GmbH die Weiterentwicklung koordinieren sowie Service und Wartung übernehmen. Dabei arbeitet der Dienstleister eng mit StackIT zusammen, dem Cloud-Provider der Schwarz Gruppe, aus dessen souveränen Rechenzentren openDesk als Software-as-a-Service angeboten wird. Man hängt also schon noch an einem Anbieter, weil man es selbst schlicht nicht stemmen kann – so völlig souverän klingt das ja nun auch nicht. Immerhin: Der sitzt dann in Europa.
(kki)