Was Citrix Virtual Apps and Desktops ist

Citrix Virtual Apps and Desktops stellt Anwendungen und ganze Desktops aus dem Rechenzentrum bereit, die Nutzer über die Citrix Workspace-App erreichen. Zur Umgebung gehören Delivery Controller, StoreFront, Lizenzserver und auf den Maschinen der Virtual Delivery Agent. Langzeitversionen (LTSR) werden drei Jahre gepflegt; aktuell ist 2607 LTSR vom August 2026.

Citrix gehört seit 2022 zur Cloud Software Group mit Sitz in Fort Lauderdale, die Finanzinvestoren gehört. Unbefristete Lizenzen werden nicht mehr verlängert, lizenziert wird im Abonnement. Seit dem 15.04.2026 aktivieren Lizenzserver Produkte nur noch über den License Activation Service in Citrix Cloud.

Wofür es eingesetzt wird

Unternehmen und Verwaltungen nutzen die Software für zentral verwaltete Arbeitsplätze, Fachanwendungen, Fernzugriff und Homeoffice. Daten und Anwendungen bleiben im Rechenzentrum, auf dem Endgerät kommt nur die Bildschirmausgabe an.

Der Betrieb liegt im eigenen Haus, die Lizenzierung hängt aber an einer Verbindung zu Citrix Cloud und an der täglichen Lizenztelemetrie. Ein Wechsel bedeutet, Images, Richtlinien und Anmeldung auf einer anderen Plattform neu aufzubauen.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz der selbst betriebenen Software im Unternehmen; Fragen zum Rechtsraum sind für eine im eigenen Haus betriebene Software sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Citrix ist ein Geschäftsbereich der Cloud Software Group, Inc., die das ISO-Zertifikat mit Hauptsitz in Fort Lauderdale (Florida, USA) ausweist. Die Gruppe entstand 2022 aus der Übernahme von Citrix durch die Finanzinvestoren Vista Equity Partners und Evergreen Coast Capital und dem Zusammenschluss mit TIBCO (Sekundärquelle). Beleg: ISO/IEC 27001:2022 Zertifikat Nr. ISMS-CI-110524… · Cloud Software Group
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Im Selbstbetrieb liegen Sitzungen, Images und Benutzerdaten beim Kunden; eine Anordnung gegen den Hersteller erfasst sie nicht unmittelbar. Der Lizenzserver muss aber bei Citrix Cloud registriert sein und überträgt täglich Lizenzdaten einschließlich Benutzer- und Gerätedaten an Citrix. Der Auftragsverarbeitungsvertrag erlaubt Übermittlungen in die USA; diese Daten unterliegen damit US-Recht. Beleg: Citrix Licensing data collection programs (Licen… · CTX695107 License Activation Service: Get starte… · Data Processing Addendum (Version 13.01.2023)
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	ja	Im Selbstbetrieb laufen Delivery Controller, StoreFront, VDAs und Datenbanken im eigenen Rechenzentrum; ein dokumentierter Zugriffsweg des Herstellers auf Sitzungen besteht ohne Supportzugang nicht. Die Lizenzaktivierung braucht eine Verbindung zu Citrix Cloud; für Umgebungen ohne diese Verbindung verweist Citrix auf eine Offline-Aktivierung über den Vertrieb. Beleg: License Activation Service · CTX695107 License Activation Service: Get starte…
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Cloud Software Group (Fort Lauderdale, USA) ist nicht börsennotiert; Eigentümer sind laut Pressemitteilung vom 29.09.2022 Gesellschaften von Vista Equity Partners und Evergreen Coast Capital (Elliott), beide USA. Ein Register- oder Geschäftsberichtsnachweis der Beteiligungen liegt nicht vor. Im Juni 2025 hat Vista seine Beteiligung laut Fachpresse (Sekundärquelle) in einen Fortführungsfonds mit neuen Investoren übertragen; ein Wechsel zu einem neuen Kontrolleur ist daraus nicht erkennbar, die Kontrollverhältnisse sind aber nicht öffentlich belegt. Beleg: Completion of the Transaction to Acquire Citrix… · Vista raises $5.6bn for Cloud Software continuat…

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Im Selbstbetrieb bestimmt der Kunde den Speicherort von Images, Profilen, Konfiguration und Backups. An Citrix gehen verpflichtend Lizenztelemetrie (Nutzungs-, Benutzer- und Gerätedaten, Systeminformationen) sowie optional Diagnosedaten; diese zählen nach v1.2 nicht zu dieser Frage (siehe 2.3 und 4.5). Beleg: Citrix Licensing data collection programs (Licen…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Citrix Virtual Apps and Desktops wird mit Lizenzserver im eigenen Rechenzentrum oder bei einem Dienstleister betrieben. Voraussetzung ist seit 2026 die Registrierung des Lizenzservers beim License Activation Service in Citrix Cloud. Beleg: License Activation Service · CTX695107 License Activation Service: Get starte…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Customer Experience Improvement Program und Installationsanalyse sind standardmäßig eingeschaltet und per Studio, Registry oder Setup-Option abschaltbar; Call Home ist optional, und die Google-Analytics-Erfassung in Studio lässt sich abschalten. Die Lizenztelemetrie ist dagegen verpflichtend: Sie lässt sich nur auf manuelles Hochladen umstellen, und mehr als 90 Tage ohne Upload gelten als Vertragsverstoß, für den Citrix den Support aussetzen kann. Beleg: Citrix Insight Services (Citrix Virtual Apps and… · Citrix Licensing data collection programs (Licen…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nein	Die End User Agreement (Version 2.5) und das Data Processing Addendum (Januar 2023) schließen das Training von KI-Modellen mit Kundendaten nicht aus. Das DPA erlaubt, personenbezogene Daten im Rahmen der Dienste zu aggregieren (Ziff. 4). Die Lizenz-Telemetrie ist verpflichtend und soll laut Doku auch das Produkterlebnis verbessern. Beleg: End User Agreement (Version 2.5) · Data Processing Addendum (Version 13.01.2023) · Citrix Licensing data collection programs (Licen…

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Citrix Virtual Apps and Desktops ist proprietäre Software unter den Endkundenbedingungen der Cloud Software Group; der Quellcode ist nicht öffentlich. Beleg: End User Agreement (Version 2.5)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt die proprietären Citrix-Komponenten und eine über den License Activation Service aktivierte Lizenz voraus; seit dem 15.04.2026 werden dateibasierte Lizenzen nicht mehr unterstützt. Beleg: License Activation Service · CTX695107 License Activation Service: Get starte…
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Lizenziert wird im Abonnement; Verlängerungen der Wartung unbefristeter Lizenzen wurden im März 2023 eingestellt (Sekundärquelle). Aktivierungen enden mit dem Ablaufdatum der Berechtigung, und nach Vertragsende ist die Nutzung laut Endkundenbedingungen sofort einzustellen; auf Verlangen ist die Deinstallation zu bestätigen. Beleg: Product specific terms (Licensing) · Citrix Universal Subscription & End of Perpetual… · License Activation Service · End User Agreement (Version 2.5)

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Die Cloud Software Group hat ein ISO/IEC-27001:2022-Zertifikat (A-LIGN, gültig bis 5.11.2027); der Geltungsbereich nennt Citrix DaaS und Citrix Platform einschließlich CVAD sowie die Produktentwicklung am Standort Fort Lauderdale. Ein BSI-C5-Testat ist im Trust Center nicht aufgeführt. Beleg: ISO/IEC 27001:2022 Zertifikat Nr. ISMS-CI-110524… · Trust Center – Certifications
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Schwachstellen werden an das PSIRT (secure@cloud.com) oder über ein Bug-Bounty-Programm bei HackerOne gemeldet; der Prozess folgt ISO/IEC 29147. Security Bulletins für selbst betriebene Produkte erscheinen auf der Citrix-Supportseite, in der Regel am zweiten Dienstag des Monats. Eine feste Frist bis zur Veröffentlichung sagt der Hersteller nicht zu. Beleg: Vulnerability Response (Trust Center)
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Für Kunden in der EU gilt laut Endkundenbedingungen irisches Recht mit ausschließlicher Zuständigkeit irischer Gerichte. Vertragspartner ist die im Bestelldokument genannte Gesellschaft der Cloud Software Group; eine Gesellschaft in Deutschland und der Supportstandort sind nicht belegt. Beleg: End User Agreement (Version 2.5)
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Cloud Software Group veröffentlicht im Trust Center Listen der Unterauftragsverarbeiter für Cloud- und Supportdienste und der Konzerngesellschaften nach Land; Änderungen werden über einen RSS-Feed gemeldet, das DPA sieht mindestens 14 Tage Vorankündigung vor (Ziff. 6). Die Liste für Supportdienste nennt je Eintrag nur den Hauptsitz (alle USA), nicht den Verarbeitungsort; als Stand ist der 26.03.2025 angegeben. Beleg: Data Processing Addendum (Version 13.01.2023) · Sub-Processors and Affiliates for Cloud & Suppor… · Citrix Sub-processors Used for Providing Support…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	teilweise	Auslegung: Betrieb und Administration liegen beim Kunden; Diagnosepakete erhält Citrix im Supportfall, wenn der Kunde sie über Citrix Insight Services hochlädt. Die Lizenztelemetrie mit Benutzer- und Gerätedaten geht dagegen verpflichtend und täglich an cis.citrix.com, ohne Freigabe im Einzelfall; ersatzweise ist nur manuelles Hochladen möglich. Bewertet als „teilweise“, weil die Freigabe je Fall nur einen Teil der Datenflüsse zu Citrix abdeckt. Beleg: Citrix Insight Services (Citrix Virtual Apps and… · Citrix Licensing data collection programs (Licen…

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Benutzerprofile, Images und Datenbanken liegen in der eigenen Infrastruktur und im Format der jeweiligen Plattform. Die Citrix-Richtlinien lassen sich per PowerShell nur als Binärdatei und nur in dieselbe Site exportieren; ein offenes Austauschformat für die Site-Konfiguration ist nicht dokumentiert. Beleg: CTX136646 How to Export and Import XenDesktop Po…
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	StoreFront unterstützt die Anmeldung über SAML 2.0, etwa mit AD FS oder Microsoft Entra ID; für Single Sign-on an den VDAs braucht es den Federated Authentication Service. Für die Verwaltung gibt es ein PowerShell SDK und REST-APIs. Beleg: StoreFront 2507 LTSR – SAML authentication · Citrix Virtual Apps and Desktops REST APIs (2311) · CTX136646 How to Export and Import XenDesktop Po…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Im Selbstbetrieb hat der Betreiber Zugriff auf Datenbanken, Images und Profile und kann sie ohne Mitwirkung des Herstellers sichern. Eine vollständige Exportfunktion für die Site gibt es nicht, und nach Vertragsende ist die Nutzung der Software einzustellen. Beleg: CTX136646 How to Export and Import XenDesktop Po… · End User Agreement (Version 2.5)

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wie die Offline-Aktivierung für Umgebungen ohne Verbindung zu Citrix Cloud funktioniert. Die Doku verweist dafür nur auf den Vertrieb.
Welche Benutzer- und Gerätedaten die Lizenztelemetrie im Einzelnen enthält. Die Doku nennt nur Kategorien.
Wohin Telemetrie- und Supportdaten übermittelt werden. Der Auftragsverarbeitungsvertrag von 2023 nennt dafür keinen Standort.
Welche Gesellschaft für Kunden in Deutschland Vertragspartner ist und wo der Support sitzt. Die Endkundenbedingungen verweisen auf das Bestelldokument.
Wie sich die Software nach Ablauf eines Abonnements technisch verhält. Belegt ist nur das Ende der Aktivierung und die Pflicht zur Einstellung der Nutzung.
Wer Vista-Fortführungsfonds und Elliott-Beteiligung an Cloud Software Group heute kontrolliert, weil dazu nur Presseberichte und keine Register- oder Geschäftsberichtsangaben vorliegen.
Ob das Data Processing Addendum vom Januar 2023 noch die gültige Fassung ist, weil die End User Agreement 2.5 von 2026 stammt und Anlagen ohne Ankündigung ändern darf (Ziff. 15.4).
Ob die Benutzer- und Gerätedaten der Lizenztelemetrie im Klartext oder pseudonymisiert übertragen werden, weil die Citrix-Doku das nicht angibt; bei pseudonymisierter Übertragung wäre 4.5 neu zu prüfen.
Ob Citrix Fernsitzungen im Support nur auf Einladung des Kunden führt, weil dazu keine Citrix-Richtlinie gefunden wurde.

Fragen vor einer Entscheidung

Ist eine ständige ausgehende Verbindung des Lizenzservers zu Citrix Cloud mit den eigenen Sicherheitsvorgaben vereinbar?
Welche Benutzer- und Gerätedaten dürfen als Lizenztelemetrie an den Hersteller gehen, und ist das datenschutzrechtlich geprüft?
Was geschieht mit dem Zugriff der Nutzer, wenn ein Abonnement ausläuft oder die Verbindung länger als 30 Tage gestört ist?
Welche Images, Richtlinien und Anmeldeverfahren müssten bei einem Wechsel der Plattform neu aufgebaut werden?

Citrix Virtual Apps and Desktops