Wie souverän ist die Software, auf die Sie sich verlassen?
Jeder Eintrag beantwortet dieselben 19 Fragen zu Rechtsraum, Datenhoheit, Quellcode, Betrieb und Exit, jede Antwort mit Quelle. Orientierung statt Rangliste.
Alle 19 Prüffragen und wie der Befund entsteht
- Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?
- Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?
- Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?
- Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?
- Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?
- Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?
- Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?
- Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?
- Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?
- Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?
- Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?
- Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?
- Öffentlicher Prozess für Sicherheitslücken?
- Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?
- Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?
- Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?
- Export in offenen, dokumentierten Formaten?
- Offene Standards für Anmeldung und Schnittstellen?
- Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?
Je Prüffeld ergibt sich aus drei bis fünf Antworten der Befund: erfüllt (alle Punkte), eingeschränkt (mindestens die Hälfte) oder nicht erfüllt (weniger als die Hälfte). Eine Gesamtnote gibt es bewusst nicht. Die Fragen 1.4, 2.4, 4.4 und 4.5 sind seit Methodik v1.1 (November 2026) dabei, die Fragen 2.1 und 4.5 seit Methodik v1.2 neu gefasst. Mehr in der Methodik.
Alle geprüften Einträge
62 Einträge3CX
3CX Ltd, Nikosia (Zypern)
Die Software-Telefonanlage läuft unter Debian oder Windows auf eigener Hardware und nutzt SIP, TLS und SRTP.
Aareon Wodis Yuneo
Aareon Deutschland GmbH, Mainz
Das ERP für die Wohnungswirtschaft läuft in der Private Cloud von Aareon mit Rechenzentren in Mainz und Wiesbaden, der Betrieb ist nach ISO 27001 und ISAE 3402 geprüft.
Amazon Web Services (AWS)
Amazon Web Services, Inc., Seattle (USA)
Die Cloud-Plattform von Amazon hat eine Region in Frankfurt, C5- und ISO-Nachweise und Schlüssel auf Wunsch außerhalb von AWS.
baramundi Management Suite
baramundi software GmbH, Augsburg
Die Endgeräteverwaltung eines deutschen Herstellers läuft im eigenen Haus, der Hersteller ist nach ISO 27001 zertifiziert und vereinbart deutsches Recht.
BigBlueButton
Open-Source-Projekt der BigBlueButton Inc., Ottawa (Kanada)
Das freie virtuelle Klassenzimmer für Unterricht und Webkonferenzen läuft auf einem eigenen Ubuntu-Server.
CGM Praxissoftware
CompuGroup Medical SE & Co. KGaA, Koblenz
Die Arztinformationssysteme des Koblenzer Herstellers laufen lokal in der Praxis und exportieren über die Wechselschnittstelle der KBV.
Citrix Virtual Apps and Desktops
Cloud Software Group, Inc., Fort Lauderdale (USA)
Virtuelle Desktops und Anwendungen laufen im eigenen Rechenzentrum.
Claude
Anthropic, PBC, San Francisco (USA)
Anthropic schließt das Training mit Kundendaten vertraglich aus und nennt Zertifikate nach ISO 27001 und ISO 42001.
d.velop documents
d.velop AG, Gescher
Das Dokumentenmanagement aus dem Münsterland ist für revisionssichere Archivierung geprüft und speichert Inhalte der Basisdienste in Deutschland.
DATEV
DATEV eG, Nürnberg
Die Genossenschaft aus Nürnberg betreibt eigene Rechenzentren in Deutschland, ist nach ISO 27001 zertifiziert und unterliegt deutschem Recht.
Delos Cloud
Delos Cloud GmbH, Walldorf
Die SAP-Tochter betreibt Microsoft Azure und Office 365 in eigenen Rechenzentren in Deutschland, mit deutschem Personal und Zugriffskontrolle.
Doctolib
Doctolib SAS, Frankreich
Die französische Plattform für Termine und Praxisverwaltung speichert Gesundheitsdaten in Frankfurt, ist nach ISO 27001 zertifiziert und hat ein C5-Testat.
Element (Matrix)
Element Creations Ltd, London (Vereinigtes Königreich)
Die Element Server Suite bringt den Matrix-Server Synapse, die Anmeldung und den Web-Client Element in den eigenen Kubernetes-Cluster.
Fabasoft eGov-Suite
Fabasoft AG, Linz (Österreich)
Die E-Akte eines österreichischen Herstellers läuft im eigenen Rechenzentrum oder beim öffentlichen IT-Dienstleister und bietet offene Schnittstellen wie CMIS und WebDAV.
Fortinet FortiGate
Fortinet, Inc., Sunnyvale (USA)
Die Firewall läuft als Hardware oder virtuelle Maschine im eigenen Rechenzentrum, FortiGuard-Abfragen lassen sich auf EU-Server begrenzen.
Google Workspace
Google LLC, Alphabet Inc., Mountain View (USA)
Die Cloud-Suite für E-Mail, Dateien, Office und Meet hat ein C5-Testat und bietet Speicherort EU und clientseitige Verschlüsselung.
Infoma Finanzwesen
Axians Infoma GmbH, Ulm
Das kommunale Finanzwesen eines Ulmer Herstellers im französischen VINCI-Konzern lässt sich im eigenen Haus oder im kommunalen Rechenzentrum betreiben.
IONOS Cloud
IONOS Cloud GmbH, Montabaur
Die Cloud-Plattform der IONOS Group hat Sitz und Konzernmutter in Deutschland, ein C5-Testat und offene Schnittstellen wie S3 und Kubernetes.
IServ
IServ GmbH, Braunschweig
Die Schulplattform eines Braunschweiger Herstellers läuft auf Servern in der Schule oder beim Schulträger, ist nach ISO 27001 zertifiziert und spricht SAML, OpenID Connect und LDAP.
Jira
Atlassian Pty Ltd, Sydney (Australien)
Jira Cloud hat ein C5-Testat, lässt Daten in der EU oder Deutschland speichern und bietet Schlüssel im Kundenkonto.
Jitsi Meet
Open-Source-Projekt der 8x8, Inc., Campbell (USA)
Die freie Videokonferenzsoftware läuft im Browser und lässt sich mit Paketen oder Docker auf eigenen Servern betreiben.
Keycloak
Open-Source-Projekt der Cloud Native Computing Foundation
Die Identitäts- und Zugriffsverwaltung steht unter Apache 2.0, läuft vollständig im eigenen Betrieb und nutzt offene Standards wie OIDC und SAML.
Langdock
Langdock GmbH, Berlin
Der Berliner Anbieter arbeitet nach deutschem Recht, hostet in der EU und erlaubt eigene oder selbst betriebene Modelle.
Mattermost
Open-Source-Projekt der Mattermost, Inc., Palo Alto (USA)
Der Team-Chat lässt sich unter offener Lizenz vollständig selbst betreiben, die Telemetrie ist dokumentiert und abschaltbar.
Microsoft 365
Microsoft Corporation, Redmond (USA)
Der Cloud-Dienst für Office, E-Mail, Dateien und Teams ist bei Nachweisen und Schnittstellen breit aufgestellt.
Microsoft 365 Copilot
Microsoft Corporation, Redmond (USA)
Copilot gilt für EU-Kunden als Dienst der EU Data Boundary, und Eingaben fließen laut Microsoft nicht ins Training.
Microsoft Active Directory
Microsoft Corporation, Redmond (USA)
Der Verzeichnisdienst läuft vollständig auf eigenen Domänencontrollern und arbeitet mit LDAP und Kerberos.
Microsoft Azure
Microsoft Corporation, Redmond (USA)
Die Cloud-Plattform von Microsoft hat Regionen in Deutschland, C5- und ISO-Nachweise und eine externe Schlüsselverwaltung.
Microsoft Entra ID
Microsoft Corporation, Redmond (USA)
Entra ID unterstützt offene Anmeldestandards wie SAML, OpenID Connect und SCIM und ist nach ISO 27001 zertifiziert.
Microsoft Hyper-V
Microsoft Corporation, Redmond (USA)
Der Hypervisor ist Teil von Windows Server 2025 und läuft vollständig im eigenen Rechenzentrum; virtuelle Festplatten liegen im offen spezifizierten VHDX-Format.
Microsoft Intune
Microsoft Corporation, Redmond (USA)
Intune speichert Daten europäischer Mandanten in der EU Data Boundary, ist nach ISO 27001 zertifiziert und über Microsoft Graph automatisierbar.
Microsoft Teams
Microsoft Corporation, Redmond (USA)
Teams hat ISO-27001-Nachweise, dokumentierte Export-Schnittstellen und Ende-zu-Ende-Verschlüsselung für Anrufe und Besprechungen.
Microsoft Windows Server
Microsoft Corporation, Redmond (USA)
Das Server-Betriebssystem läuft mit unbefristeter Lizenz im eigenen Rechenzentrum, Diagnosedaten lassen sich abschalten.
Mistral AI
Mistral AI, Paris (Frankreich)
Der französische Anbieter unterliegt EU-Recht, verarbeitet standardmäßig in Europa und veröffentlicht einen Teil seiner Modelle unter Apache 2.0.
Moodle
Open-Source-Projekt der Moodle Pty Ltd, West Perth (Australien)
Die Lernplattform steht unter GPL v3, lässt sich vollständig selbst betreiben und wird von Partnern in Deutschland gehostet.
NEVARIS
NEVARIS Bausoftware GmbH, Bremen
Die AVA- und Kalkulationssoftware aus Bremen läuft im eigenen Haus, tauscht Leistungsverzeichnisse über GAEB aus und ist über die Nemetschek-Gruppe nach ISO 27001 zertifiziert.
Nextcloud Hub
Nextcloud GmbH, Stuttgart
Dateien, Chat, Groupware und Online-Office laufen vollständig im Selbstbetrieb oder beim Hoster der eigenen Wahl, unter offener Lizenz.
Open-Xchange App Suite
Open-Xchange AG, Köln (Deutschland)
Die Groupware aus Köln bietet Mail, Kalender, Kontakte und Aufgaben im Browser und läuft ab Version 8 auf Kubernetes im eigenen Rechenzentrum.
openDesk
ZenDiS GmbH, Bochum
Die Arbeitsplatz-Suite aus Open-Source-Komponenten lässt sich vollständig selbst betreiben und unterliegt deutschem Recht.
OpenProject
OpenProject GmbH, Berlin (Deutschland)
Die freie Projektmanagement-Software für Aufgaben, Gantt-Pläne, Agile Boards und Zeiterfassung läuft im eigenen Rechenzentrum.
OpenTalk
OpenTalk GmbH, Berlin (Deutschland)
Die Videokonferenzsoftware aus Berlin steht unter der EUPL und lässt sich mit Docker auf eigenen Servern betreiben.
OPNsense
Deciso B.V., Middelharnis (Niederlande)
Freie Firewall- und Routing-Plattform auf FreeBSD-Basis, die auf eigener Hardware oder als VM läuft.
OVHcloud Public Cloud
OVH GmbH, Köln (Deutschland); Konzernmutter OVH Groupe SA (Frankreich)
Die Public Cloud des französischen Anbieters bietet virtuelle Server, Speicher, Kubernetes und Datenbanken in Regionen u. a. in Frankfurt, Frankreich, Mailand und Warschau.
Passbolt
Passbolt SA, Belvaux (Luxemburg)
Der Passwortmanager für Teams aus Luxemburg verschlüsselt jedes Geheimnis Ende-zu-Ende mit OpenPGP.
Proxmox Backup Server
Proxmox Server Solutions GmbH, Wien (Österreich)
Der freie Backup-Server für VMs, Container und Linux-Hosts läuft im eigenen Rechenzentrum, mit Deduplizierung und Verschlüsselung schon beim Client.
Proxmox Virtual Environment
Proxmox Server Solutions GmbH, Wien
Die freie Virtualisierungsplattform für VMs und Container läuft vollständig im eigenen Rechenzentrum, auch ohne Internet.
RA-MICRO
RA-MICRO Software AG, Berlin
Die Kanzleisoftware eines Berliner Herstellers lässt sich vollständig in der eigenen Kanzlei betreiben, die Akten bleiben dann vor Ort.
SAP S/4HANA
SAP SE, Walldorf
Das ERP-System eines deutschen Herstellers hat ein C5-Testat und lässt sich in SAP-Rechenzentren in Deutschland betreiben.
ServiceNow
ServiceNow, Inc., Santa Clara (USA)
ServiceNow hat ISO-27001-Nachweise, offene Anmeldestandards und mit Private Stack und Partner-Clouds Wege zum Betrieb außerhalb der eigenen Rechenzentren.
Shopify
Shopify Inc., Ottawa (Kanada)
Der Shop-Dienst bietet eine dokumentierte API, SOC-2-Berichte und einen irischen Vertragspartner für Europa.
Shopware
Open-Source-Projekt der shopware AG, Schöppingen
Die Shopsoftware eines deutschen Herstellers steht unter MIT-Lizenz und lässt sich vollständig selbst betreiben.
Siemens Opcenter
Siemens Digital Industries Software
Das MES von Siemens läuft im Rechenzentrum des Kunden, und Siemens veröffentlicht Sicherheitshinweise über ein eigenes CERT.
Slack
Slack Technologies, LLC (USA), ein Unternehmen von Salesforce
Slack bietet Datenresidenz in Frankfurt, eigene Schlüssel im Enterprise-Plan, ISO-27001-Zertifikate und ein C5-Testat.
Sophos Firewall
Sophos Limited, Abingdon (Vereinigtes Königreich)
Die Firewall läuft auf eigener Appliance oder als virtuelle Maschine beim Kunden.
STACKIT
Schwarz Digits Cloud GmbH & Co. KG, Bad Friedrichshall
Die Cloud-Plattform der Schwarz Gruppe unterliegt deutschem Recht, betreibt ihre Regionen in Deutschland und Österreich und hat ein C5-Testat.
STARFACE
STARFACE GmbH, Karlsruhe
Die Telefonanlage aus Karlsruhe läuft als Appliance oder virtuelle Maschine im eigenen Haus und nutzt SIP, SRTP und LDAP.
TOPdesk
TOPdesk, Delft (Niederlande)
Die Servicedesk-Software eines niederländischen Herstellers läuft in wählbaren EU-Regionen, darunter Deutschland, und wird jährlich nach SOC 2 geprüft.
Unify OpenScape Business
Unify Software and Solutions GmbH & Co. KG, München
Die Telefonanlage für den Mittelstand läuft als Hardware oder als Software auf eigenen Servern und spricht SIP, LDAP und CSTA.
Univention Corporate Server
Univention GmbH, Bremen (Deutschland)
Der Linux-Server aus Bremen verwaltet Benutzer, Gruppen und Rechner zentral über ein LDAP-Verzeichnis, mit Active-Directory-Kompatibilität und Single Sign-on.
Veeam Backup & Replication
Veeam Software, Seattle (USA)
Die Backup-Software läuft vollständig im eigenen Rechenzentrum, verschlüsselt Sicherungen und hält sie auf Wunsch unveränderbar.
VMware Cloud Foundation
Broadcom Inc., Palo Alto (USA)
Die Virtualisierungsplattform läuft im eigenen Rechenzentrum, auch ohne Internetanschluss.
Zoom Workplace
Zoom Communications, Inc., San José (USA)
Zoom Workplace bietet eine EU-Infrastruktur, Ende-zu-Ende-Verschlüsselung für Meetings, eigene Schlüssel bis zum eigenen HSM und Hybridbetrieb mit Zoom Node.
erfüllt eingeschränkt nicht erfüllt
Nach Kategorie stöbern
Der Software-Index ersetzt keine Prüfung im Einzelfall. Verträge, Zertifikate und Konfiguration sind vor einer Entscheidung beim Anbieter zu prüfen. Wie wir prüfen, steht in der Methodik.