Was Open-Xchange App Suite ist

OX App Suite ist eine webbasierte Groupware mit Mail, Kalender, Kontakten, Aufgaben und optional Dateiablage, Dokumentenbearbeitung und Verschlüsselung. Seit Version 8 läuft sie in Containern auf Kubernetes und wird mit Helm installiert; neue Versionen erscheinen etwa monatlich, ergänzt um Versionen mit Langzeitpflege. Version 8.52 erschien im August 2026.

Entwickelt wird die App Suite von der Open-Xchange-Gruppe, die unter der Marke OX auftritt und auch die Mailserver Dovecot und den DNS-Server PowerDNS anbietet. Muttergesellschaft ist die Open-Xchange AG in Köln. Der Code von Oberfläche und Middleware ist unter der AGPL v3 öffentlich gespiegelt.

Wofür es eingesetzt wird

Telekommunikations- und Hostinganbieter nutzen OX App Suite als Oberfläche für ihre Mail- und Groupwaredienste. Unternehmen und Verwaltungen setzen sie im eigenen Rechenzentrum als Alternative zu Exchange oder Microsoft 365 ein, angebunden an einen eigenen IMAP-Server.

Für den Betrieb werden ein Kubernetes-Cluster, MariaDB, Redis, eine Dateiablage und ein Mailserver gebraucht. Wer bisher die klassische Version 7 betreibt, etwa als App auf Univention Corporate Server, muss bis Ende 2026 auf Version 8 und damit auf Kubernetes umstellen.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird OX App Suite 8 im Selbstbetrieb; Fragen zu Anbieter und Vertrag sind sinngemäß gelesen und beziehen sich bei Subskription auf den Vertrag mit Open-Xchange.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Anbieter ist die Open-Xchange AG, Erftstraße 15–17, Köln, eingetragen beim Amtsgericht Köln (HRB 95366); Vorstand sind Andreas Gauger und Dirk Valbert. Die Entwicklung liegt laut Zertifikat bei der Open-Xchange GmbH in Olpe. Eine Konzernmutter über der AG wird nicht genannt. Beleg: Legal notice · ISO/IEC 27001 Zertifikat 74 250 0010 für Open-Xc…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Im Selbstbetrieb liegen Postfächer, Kalender und Kontakte beim Betreiber, nicht bei Open-Xchange. Zur Unternehmensgruppe gehören aber Gesellschaften in den USA (Open-Xchange Inc., Palo Alto; PowerDNS.com Inc.) und Japan. Ob US-Gesellschaften an Support oder Wartung beteiligt sind, ist nicht dokumentiert. Beleg: Contact us (Standorte) · App Suite 8 Deployment Guide
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Im Selbstbetrieb gibt es keine Pflichtverbindung zum Anbieter; die Daten liegen in der Umgebung des Betreibers. Einen dokumentierten technischen Schutz, der Zugriff auch auf behördliche Anordnung verhindert (etwa Ende-zu-Ende-Verschlüsselung oder Schlüssel nur beim Kunden), beschreibt der Hersteller nicht. Daher „teilweise“ (Regel 1.3 für Selbstbetrieb, Entscheidung 05.11.2026). Beleg: App Suite 8 Deployment Guide · App Suite 8 Requirements
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Sitz, Registernummer, Vorstand und Aufsichtsratsvorsitz der Open-Xchange AG sind im Impressum belegt. Die Aktionärsstruktur ist nicht veröffentlicht; laut PitchBook (Sekundärquelle) ist das Unternehmen von Finanzinvestoren gestützt, genannt werden u. a. IRIS, United Internet und die Bayerische Beteiligungsgesellschaft. Hinweise auf einen Kontrollwechsel in den letzten 24 Monaten wurden nicht gefunden. Beleg: Legal notice · Open-Xchange Overview

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Im Selbstbetrieb bestimmt der Betreiber den Speicherort selbst. Datenbank (MariaDB), Dateiablage (NFS oder S3-kompatibler Objektspeicher) und Mailspeicher betreibt er außerhalb oder innerhalb seiner Kubernetes-Umgebung; Sicherungen liegen in seiner Verantwortung. Beleg: App Suite 8 Requirements
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	OX App Suite 8 wird mit Helm in einem eigenen Kubernetes-Cluster installiert, im eigenen Rechenzentrum oder bei einem frei gewählten Dienstleister. Laut Univention-Forum (Sekundärquelle) ist OX 8 nicht auf Cloud-Betrieb festgelegt, aber nicht mehr als klassische Installation ohne Kubernetes verfügbar. Beleg: App Suite 8 Deployment Guide · What is the future of Open-Xchange (OX) on UCS a…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Die Betriebsdoku zu App Suite 8 beschreibt keine Telemetrie oder Übertragung von Nutzungsdaten an Open-Xchange. Für Version 7 war ein Report-Client dokumentiert, der Nutzerzahlen an Open-Xchange sendete; ob es in Version 8 eine vergleichbare Meldung gibt, ist nicht belegt.
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	ja	Auslegung: Open-Xchange betreibt keine eigenen KI-Modelle für App Suite. Der optionale AI-Service ist standardmäßig abgeschaltet und bindet vom Betreiber gewählte Fremdmodelle an (OpenAI, Anthropic über AWS Bedrock oder lokale Modelle); Daten gehen dann an diesen Dritten, nicht an Open-Xchange. Für die Fremdanbieter gelten deren eigene Bedingungen. Beleg: AI-Service documentation 4.1.3

Quellcode & Lizenz eingeschränkt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	ja	Der Code von Oberfläche (appsuite-frontend) und Middleware (appsuite-middleware) ist auf GitHub gespiegelt und steht dort unter der GNU AGPL v3. Das Original-Repository liegt auf code.open-xchange.com. Beleg: open-xchange (GitHub-Organisation) · appsuite-middleware (GitHub-Spiegel)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	teilweise	Kernfunktionen wie Mail, Kalender, Kontakte und Aufgaben lassen sich mit öffentlich freigegebenen Helm-Charts und Images betreiben. Laut Betriebsdoku können Module und Funktionen von Paketierung oder gesonderten Gebühren im Lizenzvertrag abhängen; der AI-Service setzt eine Provider-Edition-Subskription voraus, geplanter Mailversand Dovecot Pro. Ein Mailserver wird zusätzlich benötigt. Beleg: App Suite 8 Deployment Guide · App Suite 8 Operations Guide (Product Guide) · AI-Service documentation 4.1.3
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	teilweise	Der Kerncode steht unter AGPL v3 und bleibt nach Vertragsende nutzbar. Welche lizenzierten Module und Updates nach Ende einer Subskription wegfallen, ist in den eingesehenen Dokumenten nicht beschrieben; ein Lizenzvertrag wurde nicht eingesehen. Beleg: appsuite-middleware (GitHub-Spiegel) · App Suite 8 Operations Guide (Product Guide)

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Die Open-Xchange GmbH, Olpe, hat ein ISO/IEC-27001-Zertifikat von TÜV Rheinland of North America, gültig bis 11.12.2026. Es umfasst Entwicklung, Betrieb, Support, Professional Services und Vertrieb von OX Cloud, OX App Suite, OX Dovecot und OX PowerDNS. Die Standorte stehen in einem Anhang, der nicht eingesehen wurde. Beleg: ISO/IEC 27001 Zertifikat 74 250 0010 für Open-Xc…
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Open-Xchange veröffentlicht eine Vulnerability Disclosure Policy und Security Advisories zu App Suite, u. a. im Format CSAF, mit Zeitachse von Entdeckung, Behebung und Veröffentlichung. Sicherheitsupdates werden als Public Patches angekündigt. Beleg: Vulnerability Disclosure Policy · App Suite Security Advisories · Open-Xchange releases OX App Suite v8.52
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist in Deutschland die Open-Xchange AG in Köln, die Entwicklung und Support laut Zertifikat bei der Open-Xchange GmbH führt. Welches Recht der Lizenz- und Supportvertrag vorsieht und von welchen Standorten Support geleistet wird, wurde nicht eingesehen; die Gruppe hat auch Standorte in den USA und Japan. Beleg: Legal notice · Contact us (Standorte) · ISO/IEC 27001 Zertifikat 74 250 0010 für Open-Xc…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	nicht belegbar	Eine öffentliche Liste der Unterauftragsverarbeiter für Support an selbst betriebenen Installationen wurde nicht gefunden. Die Datenschutzhinweise gelten nur für Website, Kontaktformulare und Apps und nennen dort Dienstleister in den USA.
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nicht belegbar	Auslegung: Im Selbstbetrieb greift Open-Xchange nur im Supportfall zu. Wo das Supportpersonal sitzt und ob Fernzugriffe einer Freigabe je Fall bedürfen, ist in den eingesehenen Dokumenten nicht beschrieben.

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	ja	Mails liegen auf einem IMAP-Server, Kalender und Kontakte sind per CalDAV und CardDAV abrufbar; die Doku nennt außerdem iCal (ICS) und vCard. Mails lassen sich einzeln speichern, etwa für die Archivierung. Beleg: App Suite 8 Operations Guide (Product Guide)
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	App Suite 8 unterstützt Single Sign-on über OpenID Connect; die Doku verweist zusätzlich auf SAML 2.0. Benutzer lassen sich per SCIM 2.0 aus Identitätsanbietern bereitstellen, Geräte synchronisieren über IMAP, CalDAV und CardDAV. Für die Provisionierung gibt es SOAP- und REST-Schnittstellen. Beleg: Middleware – OpenID Connect 1.0 SSO · App Suite 8 Operations Guide (Product Guide)
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Gegenprüfung an der Quelle: Product Guide nennt Standardprotokolle (IMAP, CalDAV, CardDAV, ICS, vCard) und Einzel-Download von Mails; ein vollständiger Export ist nirgends dokumentiert. Beleg: App Suite 8 Requirements · App Suite 8 Operations Guide (Product Guide)

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob OX App Suite 8 Nutzungs- oder Lizenzdaten an Open-Xchange meldet, weil die Betriebsdoku zu Version 8 dazu keine Angabe macht.
Welche Unterauftragsverarbeiter Open-Xchange im Support einsetzt, weil keine öffentliche Liste gefunden wurde.
Wo das Supportpersonal sitzt und ob Fernzugriffe eine Freigabe je Fall brauchen, weil die eingesehenen Dokumente das nicht regeln.
Wie die Aktionärsstruktur der Open-Xchange AG aussieht, weil sie nicht veröffentlicht ist und nur eine Sekundärquelle Investoren nennt.
Welches Recht der Lizenz- und Supportvertrag vorsieht und welche Module nach Vertragsende wegfallen, weil kein Vertragsdokument abrufbar war.

Fragen vor einer Entscheidung

Ist ein Kubernetes-Betrieb mit Istio, MariaDB und Redis im eigenen Haus oder bei einem Dienstleister leistbar?
Welcher Mailserver soll angebunden werden, und werden Funktionen gebraucht, die Dovecot Pro voraussetzen?
Welche optionalen Module wie Dateiablage, Dokumente oder Verschlüsselung werden gebraucht, und sind sie im Vertrag enthalten?
Wie wird eine bestehende Installation von Version 7 bis Ende 2026 auf Version 8 umgestellt?

Open-Xchange App Suite