Was OpenTalk ist

OpenTalk ist eine Videokonferenzsoftware mit Web-Oberfläche, Bildschirmfreigabe, Protokoll-Editor, Abstimmungen, Breakout-Räumen sowie optional Telefoneinwahl, Aufzeichnung und Streaming. Der Controller ist in Rust geschrieben, die Medien laufen über einen LiveKit-Server, die Anmeldung über Keycloak. Version 26.3.0 erschien im Oktober 2026.

Entwickelt wird OpenTalk von der OpenTalk GmbH in Berlin, die 2021 als Heinlein Video GmbH gegründet wurde und zur Heinlein Gruppe um Peer Heinlein gehört. Der Code steht seit Februar 2023 unter der EUPL 1.2. Das Unternehmen bietet zusätzlich eine Cloud und eine Enterprise Edition mit Support an.

Wofür es eingesetzt wird

Behörden, Bildungseinrichtungen und Unternehmen nutzen OpenTalk für Besprechungen, Schulungen und Veranstaltungen, bei denen Ton, Bild und Protokolle auf eigenen Servern bleiben sollen. Für den Selbstbetrieb gibt es OpenTalk Compose, eine Docker-basierte Installation für Linux-Server.

Wer keinen eigenen Server betreiben will, kann die Cloud des Herstellers nutzen, die laut Hersteller in zwei Berliner Rechenzentren läuft und das IT-Sicherheitskennzeichen des BSI trägt. Diese Ausprägung ist hier nicht bewertet.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz des freien Projekts im Selbstbetrieb; Fragen zu Anbieter und Vertrag sind für ein Open-Source-Projekt sinngemäß gelesen, optionale Support-Verträge der OpenTalk GmbH sind einbezogen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Auslegung: Beim freien Projekt im Selbstbetrieb gibt es keinen Anbieter im Vertragssinn; bewertet wird der Projektträger. Das ist die OpenTalk GmbH, Berlin (HRB 225352 B, Amtsgericht Charlottenburg). Laut Registerveröffentlichung besteht seit 2022 ein Beherrschungs- und Gewinnabführungsvertrag mit der Heinlein Support GmbH, ebenfalls Berlin (Sekundärquelle North Data). Beleg: Impressum · OpenTalk GmbH, Berlin, HRB 225352 B (Registeraus… · Heinlein Support GmbH, Berlin, HRB 93818 B (Seku…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	ja	Auslegung: Im Selbstbetrieb hat die OpenTalk GmbH keinen Zugriff auf Konferenzen, Aufzeichnungen oder Konfiguration. Projektträger und Muttergesellschaft sitzen in Deutschland; eine Konzernmutter in einem Drittstaat ist nicht bekannt. Beleg: Impressum · OpenTalk GmbH, Berlin, HRB 225352 B (Registeraus… · OpenTalk Compose – Quickstart Installation (26.3)
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Im Selbstbetrieb gibt es keine Pflichtverbindung zum Anbieter; die Daten liegen in der Umgebung des Betreibers. Einen dokumentierten technischen Schutz, der Zugriff auch auf behördliche Anordnung verhindert (etwa Ende-zu-Ende-Verschlüsselung oder Schlüssel nur beim Kunden), beschreibt der Hersteller nicht. Daher „teilweise“ (Regel 1.3 für Selbstbetrieb, Entscheidung 05.11.2026). Beleg: OpenTalk Compose – Quickstart Installation (26.3) · Administrationsdokumentation 26.3
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Die OpenTalk GmbH wurde 2021 als Heinlein Video GmbH gegründet; seit 30.11.2022 besteht ein Beherrschungsvertrag mit der Heinlein Support GmbH, Berlin. Zwischen 05.11.2024 und 05.11.2026 sind nur Jahresabschlüsse und Personalien (Ausscheiden eines Geschäftsführers 2025) veröffentlicht, kein Kontrollwechsel. Die Gesellschafter der Heinlein Support GmbH waren in den abgerufenen Quellen nicht einsehbar (Sekundärquelle North Data). Beleg: OpenTalk GmbH, Berlin, HRB 225352 B (Registeraus… · Heinlein Support GmbH, Berlin, HRB 93818 B (Seku…

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Im Selbstbetrieb bestimmt der Betreiber den Speicherort von Datenbank, Objektspeicher, Aufzeichnungen und Backups selbst; alle Dienste laufen auf seinem Server. Beleg: OpenTalk Compose – Quickstart Installation (26.3) · Administrationsdokumentation 26.3
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	OpenTalk wird mit OpenTalk Compose auf einem eigenen Linux-Server mit Docker installiert; die Installation ist für Administratoren dokumentiert. Der Betrieb ist im eigenen Rechenzentrum oder bei einem frei gewählten Dienstleister möglich. Beleg: OpenTalk Compose – Quickstart Installation (26.3) · OpenTalk-Dokumentation 26.2 (Benutzer)
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Der Controller stellt Metriken lokal am Endpunkt /metrics bereit, der standardmäßig alle Verbindungen ablehnt und über eine Allowlist freigegeben wird. Eine Übertragung an den Hersteller beschreibt die Doku nicht; eine ausdrückliche Aussage, dass keine Nutzungsdaten an OpenTalk gehen, wurde aber nicht gefunden. Beleg: Controller – Metrics (26.3)
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nicht belegbar	Gegenprüfung an der Quelle: Weder Admin-Doku noch Preisseite äußern sich zu KI-Funktionen oder KI-Training; Abwesenheit von KI nicht belegt.

Quellcode & Lizenz erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	ja	Der Quellcode von Frontend, Rust-Backend und Server steht seit Februar 2023 unter der EUPL 1.2 (OSI-anerkannt). Er liegt auf git.opentalk.dev und wird auf OpenCoDE gespiegelt. Beleg: OpenTalk now Open Source under EU public licence · OpenTalk Developer Documentation
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	ja	Die Quickstart-Installation richtet Controller, Web-Frontend, Keycloak, LiveKit-Server, Etherpad, Objektspeicher, RabbitMQ und Recorder ein; ein Lizenzschlüssel wird nicht erwähnt. Daneben gibt es eine Enterprise Edition mit Zusatzfunktionen und Support; ob deren Zusatzcode offen ist, wurde nicht geklärt. Beleg: OpenTalk Compose – Quickstart Installation (26.3) · OpenTalk now Open Source under EU public licence
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	ja	Auslegung: Beim freien Projekt gibt es kein Vertragsende. Die Software bleibt unter der EUPL nutzbar; nach Ende eines Support- oder Enterprise-Vertrags entfallen Support und gegebenenfalls Zusatzfunktionen der Enterprise Edition. Beleg: OpenTalk now Open Source under EU public licence · OpenTalk Compose – Quickstart Installation (26.3)

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	nicht belegbar	Die Seite „About us“ zeigt ein Logo ISO/IEC 27001:2022 ohne Angabe von Geltungsbereich und Zertifizierer; das Glossar bezieht die Zertifizierung auf das Rechenzentrum der Cloud. Der Cloud-Dienst OpenTalk Standard trägt das IT-Sicherheitskennzeichen des BSI, das weder ISO 27001 noch C5 ist. Auslegung: Für den Selbstbetrieb sind Nachweise für die eigene Umgebung zu erbringen.
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	OpenTalk veröffentlicht Security Reports mit betroffenen und korrigierten Versionen, zuletzt im Mai 2024, und bittet Meldende, vor einer Veröffentlichung das IT-Sicherheitsteam zu kontaktieren. Eine eigene Meldeadresse oder ein PGP-Schlüssel steht nicht auf der Seite. Für den Cloud-Dienst sagt der Hersteller im Rahmen des BSI-Kennzeichens ein Schwachstellenmanagement zu. Beleg: Security Reports · IT-Sicherheitskennzeichen OpenTalk Standard (SIK…
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	ja	Auslegung: Beim freien Projekt gibt es keinen Vertragspartner. Support- und Betriebsverträge schließt man mit der OpenTalk GmbH, Berlin, nach den AGB der Heinlein Gruppe; diese sehen deutsches Recht unter Ausschluss des UN-Kaufrechts vor. Administrationsleistungen erbringt der Anbieter laut AGB von seinem Sitz aus. Beleg: Allgemeine Geschäftsbedingungen (Stand 26.08.2025) · Impressum
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Auslegung: Ohne Vertrag verarbeitet die OpenTalk GmbH keine Kundendaten. Bei Support- oder Server-Management-Verträgen erlauben die AGB den Einsatz Dritter als Erfüllungsgehilfen, ohne Liste, Standorte oder Ankündigung von Änderungen. Eine Liste der Unterauftragsverarbeiter für diese Leistungen wurde nicht gefunden. Beleg: Allgemeine Geschäftsbedingungen (Stand 26.08.2025)
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Im Selbstbetrieb administriert der Betreiber; die OpenTalk GmbH greift nur zu, wenn sie mit Server-Management oder Administration beauftragt ist. Diese Zugriffe erfolgen laut AGB per SSH oder VPN vom Sitz des Anbieters in Deutschland aus. Zugriffe von außerhalb der EU sind nicht beschrieben. Beleg: Allgemeine Geschäftsbedingungen (Stand 26.08.2025)

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Protokolle aus dem Meeting-Minutes-Editor lassen sich als PDF erzeugen; Dokumente können über die Editorleiste importiert und exportiert werden. Format und Download von Aufzeichnungen sind in den eingesehenen Seiten nicht beschrieben. Beleg: Handbuch – Die Protokoll-Funktion · Administrationsdokumentation 26.3
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Die Anmeldung läuft über einen OpenID-Connect-Anbieter, standardmäßig Keycloak; der Controller prüft Tokens per Introspection oder JWT-Signatur. Für Integrationen sind eine REST-API und die Signaling-Schnittstelle dokumentiert. Beleg: Controller – OIDC-Authentifizierung (26.3) · Entwicklerdokumentation Controller (26.3)
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Im Selbstbetrieb hat der Betreiber vollen Zugriff auf Datenbanken, Objektspeicher und Aufzeichnungen und kann sie ohne Mitwirkung oder Kosten des Herstellers sichern und übertragen; die Doku enthält Hinweise zur Wiederherstellung. Beleg: OpenTalk Compose – Quickstart Installation (26.3)

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob die OpenTalk GmbH selbst ein ISO-27001-Zertifikat hat und für welchen Geltungsbereich, weil die Website nur ein Logo ohne Zertifikat zeigt.
Wer die Gesellschafter der Heinlein Support GmbH sind, weil die Gesellschafterliste in den abgerufenen Quellen nicht einsehbar war.
Wie Sicherheitslücken gemeldet werden, weil die Seite Security Reports keine Adresse und keinen Schlüssel nennt und seit Mai 2024 keine Meldung zeigt.
Ob OpenTalk im Selbstbetrieb Daten an den Hersteller sendet, weil die Doku dazu keine ausdrückliche Aussage enthält.
In welchem Format Aufzeichnungen gespeichert und exportiert werden, weil die eingesehenen Seiten es nicht beschreiben.

Fragen vor einer Entscheidung

Reicht die freie Version für den geplanten Einsatz, oder werden Funktionen oder Support der Enterprise Edition gebraucht?
Wer im eigenen Haus oder bei einem Dienstleister betreibt die Docker-Umgebung mit Keycloak, LiveKit und Objektspeicher?
Welche Anbindungen an Kalender, Telefonie oder Dateiablage werden benötigt, und sind sie für den Selbstbetrieb dokumentiert?
Soll statt des Selbstbetriebs die Cloud des Herstellers genutzt werden, und welche Verträge gelten dann?

OpenTalk