openDesk in der Verwaltung: Souveräner Open-Source-Arbeitsplatz für KRITIS

Über Jahrzehnte hinweg bildeten proprietäre Bürosoftware-Pakete aus den Vereinigten Staaten das unangefochtene Rückgrat der deutschen und europäischen Verwaltung. In Bundesministerien, Landesbehörden, Kommunen und kommunalen Versorgungsbetrieben wurden Textverarbeitung, Tabellenkalkulation, E-Mail-Verkehr und Verzeichnisdienste beinahe ausschließlich um Microsoft Office, Exchange und Active Directory herum errichtet.

Mit dem erzwungenen Übergang von lokalen Kauflizenzen zu cloudbasierten Abonnement-Modellen wie Microsoft 365 E3 und E5 hat sich diese historische Standardisierung jedoch in ein schwerwiegendes strategisches und rechtliches Klumpenrisiko verwandelt. Behördenleiter und IT-Verantwortliche sehen sich gleichzeitig mit drastischen Preiserhöhungen, dem angekündigten Support-Ende klassischer On-Premises-Serverlinien und verschärften Auflagen der Datenschutzaufsicht konfrontiert.

Als Antwort auf diese strukturelle Verwundbarkeit hat das Bundesministerium des Innern und für Heimat (BMI) den Aufbau eines souveränen Verwaltungsarbeitsplatzes initiiert, der heute durch das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) als openDesk weiterentwickelt und bereitgestellt wird. Dieser Leitfaden analysiert die technische Container-Architektur, vergleicht die Fünfjahres-Vollkosten mit proprietären Hyperscaler-Suiten und beschreibt den vierstufigen Migrationspfad für Behörden und KRITIS-Betreiber.

Das strukturelle Dilemma der Verwaltung: CLOUD Act, Lizenzinflation und Telemetrie-Abfluss

Die Abhängigkeit des öffentlichen Sektors von einem einzigen außereuropäischen Softwarekonzern berührt längst nicht mehr nur Fragen der Beschaffungsökonomie, sondern die verfassungsrechtliche Handlungsfähigkeit des Staates. Wenn ein Hersteller durch einseitige Änderungen seiner Lizenzmetriken, das Bündeln von Zusatzdiensten oder das Abschalten lokaler Schnittstellen ganze Ressorts unter Zugzwang setzt, verliert die öffentliche Hand ihre planerische Hoheit.

Besonders schwer wiegt die rechtliche Kollision zwischen US-amerikanischem Sicherheitsrecht und europäischem Geheimschutz. US-Hyperscaler unterliegen ungeachtet des physischen Serverstandorts in Frankfurt, Dublin oder Berlin dem Clarifying Lawful Overseas Use of Data Act (CLOUD Act) sowie Section 702 des Foreign Intelligence Surveillance Act (FISA). Diese Gesetze verpflichten US-Mutterkonzerne, auf behördliche Anordnung auch solche Daten herauszugeben, die auf europäischen Servern liegen.

Für Behörden, die dem Sozialgeheimnis (§ 35 SGB I), dem Steuergeheimnis (§ 30 AO), dem richterlichen Beratungsgeheimnis oder den Vorschriften für Verschlusssachen (VS-NfD) unterliegen, entsteht dadurch ein unauflösbarer Zielkonflikt. Selbst wenn primäre Nutzdaten verschlüsselt werden, fallen beim Betrieb proprietärer Cloud-Suiten permanent diagnostische Telemetrie- und Verbindungsmetadaten an, die Rückschlüsse auf behördliche Kommunikationsstrukturen und Organisationsabläufe zulassen.

Hinzu tritt die kaufmännische Belastung der öffentlichen Haushalte. Statt Steuermittel in den Ausbau kommunaler Rechenzentren, offene Standards und europäische Entwicklungsarbeitsplätze zu lenken, binden wiederkehrende Pro-Kopf-Mieten für E3- und E5-Pläne zweistellige Millionenbeträge pro Bundesland. Wie stark sich diese Kostenkurve von eigenbetriebenen Infrastrukturen entkoppelt hat, zeigt unser 5-Jahres-TCO-Vergleich zwischen Rechenzentrums-Eigenbetrieb und Hyperscalern.

Ergänzende Architektur-Analysen und technische Entscheidungsmatrizen für Ihre IT-Planung finden Sie in unseren weiterführenden Leitartikeln zu Sovereignty by Design im Enterprise-Einsatz, zu Microsoft EA Verhandlung im Enterprise-Einsatz sowie zu Dual-Vendor-Entflechtung im Enterprise-Einsatz.

Technischer Deep-Dive: Die modulare Kubernetes-Architektur von openDesk

Im Gegensatz zu monolithischen Softwarepaketen verfolgt openDesk das Prinzip einer kuratierten, cloud-nativen Verbundarchitektur. Das ZenDiS entwickelt dabei keinen eigenen Texteditor und keinen neuen Mailserver von Grund auf, sondern orchestriert führende europäische Open-Source-Applikationen über deklarative Kubernetes-Helm-Charts und GitOps-Pipelines (FluxCD/ArgoCD) auf dem öffentlichen Entwicklungsportal openCode.

Dieser Aufbau trennt die Anwendungslogik strikt von der darunterliegenden Rechenzentrums-Infrastruktur. Jedes funktionale Modul läuft in gehärteten, zustandslosen Linux-Containern (Pods), während persistente Nutzdaten in hochverfügbaren PostgreSQL- oder MariaDB-Datenbankclustern sowie auf S3-kompatiblem Objektspeicher (beispielsweise Ceph RGW) abgelegt werden. Ein zentrales Web-Portal samt einheitlicher Navigationsleiste sorgt dafür, dass Sachbearbeiter zwischen E-Mail, Dateiablage und Videokonferenz wechseln, ohne Systemgrenzen wahrzunehmen.

Zentrales Identity & Access Management mit Univention Nubus und Keycloak

Das sicherheitstechnische Rückgrat von openDesk bildet Univention Nubus als zentrale Identity- und Access-Management-Schicht (IAM). In großen Behördenumgebungen scheiterten frühere Open-Source-Pilotprojekte häufig daran, dass jede Einzelanwendung eigene Benutzerdatenbanken pflegte. Univention Nubus beseitigt diese Fragmentierung durch einen zentralen Verzeichnisdienst, der über einen leistungsfähigen Provisioning-Bus (UDM HTTP REST API und NATS-Messaging) alle angeschlossenen Fachmodule in Echtzeit mit Rollen- und Gruppenrechten versorgt.

Für die Authentifizierung integriert Nubus einen vorkonfigurierten Keycloak-Identity-Provider, der konsequent auf offene Standards wie OpenID Connect (OIDC) und SAML 2.0 setzt. Behörden können ihr bestehendes Active Directory oder LDAP-Verzeichnis im Read-Only- oder Bidirektional-Modus über den Active Directory Connector synchronisieren und gleichzeitig moderne Zwei-Faktor-Authentifizierung mittels FIDO2/WebAuthn-Hardware-Sicherheitsschlüsseln oder behördlichen Smartcards durchsetzen.

„Digitale Souveränität am Behördenarbeitsplatz entsteht nicht durch den bloßen Nachbau einzelner Desktop-Programme, sondern durch eine offene, containerbasierte Verbundarchitektur, in der Identitäten, Dokumente und Kommunikationskanäle vollständig unter der kryptografischen Hoheit der Verwaltung verbleiben.“

Für den ausfallsicheren Basisbetrieb solcher Kubernetes-Umgebungen auf europäischer Ebene empfiehlt sich der Einsatz standardisierter Unterbauten. Wie Behörden und kommunale Zweckverbände ihre Container- und Speicher-Plattformen herstellerunabhängig aufbauen, erläutern wir im Referenzleitfaden zum Sovereign Cloud Stack (SCS) als offenem Infrastruktur-Standard.

Kollaboration, Groupware und föderierte Echtzeit-Kommunikation

Auf der Anwendungsebene kombiniert openDesk sechs perfekt aufeinander abgestimmte Kernmodule. Die Dokumentenverwaltung und der behördenübergreifende Dateiaustausch basieren auf Nextcloud Enterprise, das über das Web Application Open Platform Interface (WOPI) direkt mit Collabora Online gekoppelt ist. Collabora rendert Dokumente auf Basis des LibreOffice-Kerns serverseitig und überträgt lediglich verschlüsselte Bildkacheln an den Browser, sodass vertrauliche Akten niemals unkontrolliert auf lokale Endgeräte heruntergeladen werden müssen.

Den E-Mail-, Kalender- und Adressbuchbetrieb übernimmt die Open-Xchange (OX) App Suite in Verbindung mit Dovecot und Postfix. Über Standardprotokolle wie IMAP, JMAP, CalDAV und CardDAV lassen sich sowohl der moderne Web-Client als auch klassische Desktop-Clients wie Mozilla Thunderbird inklusive komplexer Stellvertreter-Regelungen, geteilter Funktionspostfächer und Ressourcenbuchungen für Sitzungsräume betreiben.

Für Sofortnachrichten und Audio-/Videokonferenzen setzt openDesk auf das offene Matrix-Protokoll (Synapse/Element) sowie Jitsi bzw. LiveKit für WebRTC-Videoräume. Da Matrix konsequent föderiert arbeitet und Ende-zu-Ende-Verschlüsselung (Olm/Megolm) erzwingt, können Bundesbehörden, Landesministerien und Kommunen über den BundesMessenger-Standard sicher miteinander kommunizieren, obwohl jede Körperschaft ihren eigenen Matrix-Homeserver in eigener Hoheit betreibt. Ergänzt wird das Portfolio durch OpenProject für klassisches und agiles Projektmanagement sowie XWiki für strukturierte Wissensdatenbanken.

Architektur- und Lizenzvergleich: Microsoft 365 E3/E5 versus openDesk Enterprise

Um im IT-Planungsrat, im Kreistag oder im Vorstand eines KRITIS-Unternehmens eine fundierte Richtungsentscheidung herbeizuführen, müssen Lizenzmechanik, Sicherheitsarchitektur und Rechtsrahmen systematisch gegenübergestellt werden. Während proprietäre Public-Cloud-Suiten mit schnellen Onboarding-Prozessen werben, offenbaren sie bei näherer Betrachtung erhebliche Risiken hinsichtlich Datenabfluss, Formatbindung und Preisgleitklauseln.

Die nachfolgende Bloomberg-Radar-Matrix vergleicht das marktbeherrschende Microsoft-365-Cloud-Modell mit der souveränen openDesk-Enterprise-Architektur entlang der fünf wichtigsten Prüfungskriterien für den öffentlichen Sektor:

Der direkte Vergleich zeigt deutlich, dass openDesk das Problem der Herstellerabhängigkeit an der Wurzel löst. Weil alle sieben Teilkomponenten über dokumentierte REST-Schnittstellen, WOPI und den Nubus-Provisionierungsbus miteinander gekoppelt sind, bleibt selbst innerhalb des openDesk-Stacks jedes einzelne Modul austauschbar.

Verwaltungen vermeiden damit das Risiko, ein proprietäres Monopol lediglich durch ein neues geschlossenes System zu ersetzen. Gleichzeitig erfüllt die Architektur sämtliche Interoperabilitätsanforderungen des europäischen Data Act sowie die Vorgaben der Datenschutzkonferenz (DSK) zur weisungsgebundenen Auftragsverarbeitung ohne Drittstaatentransfer.

Vollkostenrechnung über 60 Monate: Warum openDesk den Haushalt dauerhaft entlastet

Um die haushaltswirtschaftlichen Auswirkungen für Kämmerer, Haushaltsausschüsse und kaufmännische Vorstände präzise zu beziffern, betrachten wir ein reales Referenzszenario einer größeren Landesbehörde oder Stadtverwaltung mit 5.000 Bildschirmarbeitsplätzen über einen Fünfjahreszeitraum (60 Monate).

Beim Einsatz von Microsoft 365 E3 inklusive der für Behörden regelmäßig erforderlichen Sicherheits- und Compliance-Erweiterungen (oder eines E5-Äquivalents) liegen die monatlichen Lizenzkosten im Behörden-Rahmenvertrag bei durchschnittlich 42 Euro pro Nutzer. Bei 5.000 Beschäftigten entstehen dadurch jährliche Lizenzabflüsse von 2,52 Millionen Euro. Über fünf Jahre summiert sich dies unter Berücksichtigung moderater Preisanpassungen auf rund 12,8 Millionen Euro reine Softwaremiete.

Demgegenüber fallen bei openDesk keinerlei nutzerbasierte Lizenzgebühren für das geistige Eigentum an. Kalkuliert man für 5.000 Arbeitsplätze die offizielle openDesk-Enterprise-Subscription (inklusive 24/7-Herstellersupport, Sicherheits-Patches und SLA-Garantien über den Rahmenvertrag) mit durchschnittlich 11 Euro pro Arbeitsplatz und Monat sowie die anteiligen Infrastrukturkosten für Kubernetes-Worker-Nodes und Ceph-Storage mit 4 Euro pro Nutzer, ergeben sich jährliche Gesamtkosten von 900.000 Euro.

Selbst wenn man im ersten und zweiten Projektjahr ein großzügiges Transformationsbudget von insgesamt 1,4 Millionen Euro für das Makro-Audit, die Fachverfahrens-Anbindung, den Aufbau des Kubernetes-Clusters und die Mitarbeiterschulung einrechnet, belaufen sich die Fünfjahresgesamtkosten auf 5,9 Millionen Euro. Die Behörde erzielt über 60 Monate eine Netto-Haushaltsentlastung von 6,9 Millionen Euro (rund 54 Prozent Gesamtersparnis) und behält die geschaffene Infrastruktur dauerhaft im eigenen Anlagevermögen.

Die Make-or-Buy Sourcing-Weiche und BSI-Compliance nach TR-03185 und VS-NfD

Da nicht jede Kommune und jedes Amt über eigene Kubernetes-Systemarchitekten verfügt, lässt sich openDesk über drei klar strukturierte Bereitstellungsmodelle beziehen. Entscheidend ist hierbei, die Betriebsverantwortung passend zur eigenen Organisationsgröße zu schneiden.

Erstens (Kommunaler Eigenbetrieb): Bundes- und Landesministerien, große Städte sowie KRITIS-Leitstellen mit eigenem Rechenzentrum installieren openDesk über die offiziellen Helm-Charts direkt auf ihren internen Kubernetes-Clustern (etwa auf Basis von Rancher, OpenShift oder Vanilla Kubernetes über Proxmox VE). Die persistente Datenhaltung erfolgt auf eigenen hochverfügbaren Ceph-Storage-Clustern, abgesichert durch Enterprise-Support-Verträge für den Third-Level-Support.

Zweitens (Föderierte Behörden-Cloud): Landkreise, mittelgroße Kommunen und nachgeordnete Behörden beziehen openDesk als mandantenfähige Instanz über ihre öffentlich-rechtlichen IT-Dienstleister wie Dataport, IT.NRW, AKDB, ekom21 oder ITEBO. Durch die Vergabe zentraler Rahmenverträge an Konsortien um BWI, Bechtle und führende Open-Source-Hersteller profitieren Kommunen von sofort abrufbaren Kontingenten ohne eigenes EU-Vergabeverfahren.

Drittens (Managed Sovereign Service): Stadtwerke, kommunale Kliniken, Universitäten und öffentlich-rechtliche Körperschaften ohne eigenen Rechenzentrumsbetrieb nutzen schlüsselfertige openDesk-SaaS-Angebote zertifizierter europäischer Cloud-Provider. Dabei garantieren vertragliche Exit-Klauseln und offene Datenbank-Exporte, dass sämtliche Dokumente, E-Mails und Benutzerstrukturen jederzeit verlustfrei in ein anderes Rechenzentrum migriert werden können.

Unabhängig vom gewählten Bereitstellungspfad wurde die Sicherheitsarchitektur von openDesk eng an den Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) ausgerichtet. Die Plattform adressiert sowohl die Anforderungen des IT-Grundschutz-Kompendiums (insbesondere Baustein APP.4.3 Groupware sowie CON.1 Kryptokonzept) als auch die Technische Richtlinie BSI TR-03185 für den sicheren Einsatz von Cloud-Diensten.

Durch strikte Netzwerksegmentierung über Kubernetes Network Policies, durchgängige TLS-1.3-Verschlüsselung zwischen allen Microservices (Service Mesh mTLS), verschlüsselte Datenträger (LUKS/dm-crypt) und das Fehlen jeglicher externer Telemetrie-Endpunkte bildet openDesk eine belastbare Grundlage für die Verarbeitung von Verschlusssachen des Geheimhaltungsgrads VS-NfD (Verschlusssache, Nur für den Dienstgebrauch).

Der 4-Phasen-Umsetzungsfahrplan: Schrittweise Ablösung ohne Betriebsstillstand

Ein Wechsel der behördlichen Arbeitsplatz-Infrastruktur darf niemals im Hauruck-Verfahren über Nacht erfolgen. Bewährt hat sich in Ministerien und Großverwaltungen eine koexistenzfähige Vier-Phasen-Migration über neun bis zwölf Monate, bei der openDesk zunächst parallel zur Bestandsumgebung aufgebaut und schrittweise zur führenden Plattform ausgebaut wird.

Phase 1 (Monat 1 bis 3): Vorlagen-Inventur, VBA-Makro-Audit und Fachverfahrens-Triage

Vor der ersten technischen Installation analysiert das Projektteam sämtliche im Umlauf befindlichen Dokumentvorlagen, Formulare und Schnittstellen zu kommunalen Fachverfahren (etwa E-Akte, DMS, HKR-Systeme oder Meldewesen). Standard-Dokumente (DOCX, XLSX, PPTX) lassen sich problemlos in Collabora Online weiterbearbeiten, während kritische VBA-Makros identifiziert und in zentrale Web-Formulare oder dokumentenunabhängige Python- und REST-Services überführt werden.

Phase 2 (Monat 4 bis 6): Aufbau des Kubernetes-Clusters und IAM-Kopplung via Nubus

In der zweiten Phase stellt der Infrastruktur-Bereich (oder der beauftragte Landesdienstleister) den gehärteten Kubernetes-Cluster inklusive S3-Objektspeicher, Ingress-Controllern und Backup-Pipelines bereit. Über Univention Nubus und Keycloak wird eine Synchronisationsbrücke zum bestehenden Active Directory geschlagen, sodass alle Beschäftigten sich sofort mit ihren gewohnten behördlichen Anmeldedaten per Single Sign-On an openDesk anmelden können.

Phase 3 (Monat 7 bis 9): Koexistenz-Betrieb für Kollaboration, Chat und Videokonferenzen

Um die Veränderung für die Belegschaft sanft zu gestalten, starten die ersten Pilot-Abteilungen im Koexistenz-Modus: Nextcloud, Collabora Online, Matrix/Element und OpenProject werden für die tägliche Projektarbeit, den sicheren Dateiaustausch mit externen Partnern und Videokonferenzen freigeschaltet, während die Altsysteme übergangsweise noch für spezielle Alt-Vorlagen lesend bereitstehen. Begleitende Multiplikatoren-Schulungen in den Referaten sichern eine hohe Akzeptanz.

Phase 4 (Monat 10 bis 12): Postfach-Migration nach Open-Xchange und Lizenz-Rückbau

Im letzten Schritt werden die E-Mail-Postfächer, Kalender und Adressbücher über automatisierte Imapsync- und CalDAV/CardDAV-Migrationspipelines im Hintergrund von Exchange nach Open-Xchange übertragen. Nach erfolgreicher Abnahme durch den Personalrat und den Datenschutzbeauftragten werden die proprietären Cloud-Abonnements fristgerecht abgemeldet und die Altsysteme revisionssicher archiviert.

Fünf Kontrollfragen für Behördenleitung und CIOs zur openDesk-Einführung

1. Welche Fachverfahren erzwingen heute noch lokale Microsoft-Office-Installationen über COM-Add-ins?

Fordern Sie von allen Fachreferaten und Ihren Software-Lieferanten eine verbindliche Liste der eingesetzten Schnittstellen an. Moderne E-Akte- und Fachverfahren bieten fast durchgängig browserbasierte WOPI- oder REST-Schnittstellen an, die lediglich in der Konfiguration freigeschaltet werden müssen, um Medienbrüche zu beseitigen.

2. Wie hoch ist der Anteil geschäftskritischer VBA-Makros in den Haushalts- und Personalabteilungen?

Vermeiden Sie den Fehler, ungetestete Makro-Tabellen eins zu eins in eine Browser-Umgebung zu kopieren. Nutzen Sie automatisierte Scanner-Werkzeuge in Phase 1, um echte Berechnungslogik von bloßen Formatierungshilfen zu trennen und komplexe Datenbank-Tabellen in saubere Web-Anwendungen zu überführen.

3. Ist die bestehende Verzeichnisstruktur im Active Directory sauber genug für eine OIDC-Synchronisation?

Ein reibungsloses Single Sign-On über Univention Nubus und Keycloak setzt voraus, dass Gruppenberechtigungen, Funktionspostfächer und Organisationsrollen konsistent gepflegt sind. Bereinigen Sie verwaiste Benutzerkonten und historisch gewachsene Berechtigungsschleifen vor der ersten Synchronisation.

4. Können Sie bestehende Rahmenverträge von Bund, Ländern oder kommunalen IT-Dienstleistern nutzen?

Prüfen Sie gemeinsam mit Ihrer Zentralen Vergabestelle, ob Ihre Körperschaft direkt aus den geschlossenen openDesk-Rahmenverträgen des ZenDiS, der BWI oder Ihres kommunalen Zweckverbands abrufen kann. Dies erspart Ihnen ein langwieriges europaweites Vergabeverfahren und sichert sofortige Enterprise-SLAs.

5. Wie sind Personalrat, Schwerbehindertenvertretung und Datenschutzbeauftragte in den Rollout eingebunden?

Binden Sie die Personalvertretung und die Beauftragten für Barrierefreiheit bereits bei der Auswahl der Pilotreferate aktiv ein. Da die Web-Oberflächen von openDesk nach den Vorgaben der Barrierefreien-Informationstechnik-Verordnung (BITV 2.0) kontinuierlich optimiert werden und keine Verhaltens-Telemetrie aufzeichnen, gelingt der Abschluss von Dienstvereinbarungen erfahrungsgemäß deutlich schneller als bei US-Cloud-Suiten.

Strategisches Fazit: Vom Lizenzmonopol zur dauerhaften Verwaltungs-Autonomie

Die Entscheidung für openDesk ist weit mehr als der Austausch eines Textverarbeitungs- oder E-Mail-Programms. Sie markiert den überfälligen Übergang der öffentlichen Verwaltung von einer passiven Mieter-Rolle in den globalen Public Clouds hin zu echter technologischer und rechtlicher Gestaltungsfreiheit im europäischen Rechtsraum.

Behörden, Kommunen und KRITIS-Betreiber, die ihre Arbeitsplatz-Architektur jetzt strukturiert auf den modularen ZenDiS-Stack umstellen, schützen sensible Bürger- und Geschäftsdaten dauerhaft vor dem Zugriff nach dem US CLOUD Act, senken ihre laufenden Lizenzkosten um mehr als die Hälfte und schaffen ein offenes digitales Fundament für die kommenden Jahrzehnte.

Häufig gestellte Fragen (FAQ) zu openDesk in der Verwaltung