Was Univention Corporate Server ist

Univention Corporate Server (UCS) ist ein Serverbetriebssystem auf Basis von Debian mit integriertem Identitätsmanagement. Kern ist ein LDAP-Verzeichnis für Benutzer, Gruppen und Rechner, das über die Weboberfläche Univention Management Console verwaltet wird. Samba stellt Active-Directory-kompatible Domänendienste bereit, Keycloak dient als Anbieter für Single Sign-on über SAML und OpenID Connect. Version 5.2-7 erschien im September 2026.

Entwickelt wird UCS von der Univention GmbH in Bremen, die seit 2002 besteht. Die eigenen Entwicklungen stehen unter der GNU AGPL v3. Die Core Edition ist kostenlos; Subskriptionen bringen Support, Produkthaftung und erweiterte Wartung.

Wofür es eingesetzt wird

Unternehmen, Verwaltungen und Schulträger nutzen UCS als zentrale Benutzerverwaltung im eigenen Rechenzentrum, oft als Ersatz für ein Windows-Active-Directory. Über das App Center lassen sich weitere Dienste wie Groupware oder Dateiablage anbinden, die Benutzer aus dem Verzeichnis übernehmen.

Mit UCS@school gibt es eine Variante für die Verwaltung von Schul-IT. Die Identitätsmanagement-Komponenten bietet Univention unter dem Namen Nubus auch für Kubernetes an; diese Ausprägung ist hier nicht bewertet.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird UCS im Selbstbetrieb; Fragen zu Anbieter und Vertrag sind für die Core Edition sinngemäß gelesen und beziehen sich bei Subskription auf den Vertrag mit der Univention GmbH.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Anbieter ist die Univention GmbH, Mary-Somerville-Str. 1, Bremen, eingetragen beim Handelsregister Bremen (HRB 20755). Geschäftsführer sind Peter H. Ganten und Stefan Gohmann. Eine Konzernmutter wird weder im Impressum noch auf der Unternehmensseite genannt. Beleg: Imprint · About us
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	ja	Auslegung: Im Selbstbetrieb liegen Verzeichnis- und Anmeldedaten beim Betreiber, Univention hat ohne Freigabe des Kunden keinen Zugriff. Der Anbieter sitzt in Deutschland, eine Konzernmutter oder Muttergesellschaft in einem Drittstaat ist nicht bekannt. Laut AVV findet die Verarbeitung im Support in Deutschland, der EU oder dem EWR statt. Beleg: Imprint · Auftragsverarbeitungsvereinbarung (Stand 01.12.2…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Im Selbstbetrieb gibt es keine Pflichtverbindung zum Anbieter; die Daten liegen in der Umgebung des Betreibers. Einen dokumentierten technischen Schutz, der Zugriff auch auf behördliche Anordnung verhindert (etwa Ende-zu-Ende-Verschlüsselung oder Schlüssel nur beim Kunden), beschreibt der Hersteller nicht. Daher „teilweise“ (Regel 1.3 für Selbstbetrieb, Entscheidung 05.11.2026). Beleg: Auftragsverarbeitungsvereinbarung (Stand 01.12.2… · Release Notes UCS 5.2-7
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Sitz, Registernummer und Geschäftsführung der Univention GmbH sind im Impressum belegt; Peter Ganten wird als Gründer genannt. Die Gesellschafterstruktur ist auf den Herstellerseiten nicht veröffentlicht und wurde im Handelsregister nicht eingesehen. Hinweise auf einen Kontrollwechsel in den letzten 24 Monaten wurden nicht gefunden. Beleg: Imprint · About us · Firmenprofil Univention GmbH

Datenhoheit erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Im Selbstbetrieb bestimmt der Betreiber den Speicherort von Verzeichnisdaten und Backups selbst. Das LDAP-Verzeichnis wird nachts lokal nach /var/univention-backup gesichert; den Ablageort der Kopien legt der Betreiber fest. Beleg: Backup and Recovery of UCS Systems · Release Notes UCS 5.2-7
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	UCS wird als ISO- oder VM-Abbild bereitgestellt und auf eigener Hardware, virtualisiert oder bei einem frei gewählten Dienstleister installiert. Der Quellcode ist zusätzlich öffentlich gespiegelt. Beleg: univention-corporate-server (GitHub-Spiegel) · Univention Corporate Server
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	ja	Laut Release Notes 5.2-7 sammelt nur die Core Edition anonyme Nutzungsstatistiken zu geöffneten UMC-Modulen und sendet sie an eine Matomo-Instanz von Univention; mit Enterprise-Subskription entfällt das. Die Erfassung lässt sich unabhängig von der Lizenz über die UCR-Variable umc/web/piwik abschalten. Verbindungen zu Update-Servern und App Center sind dort nicht als Telemetrie beschrieben. Beleg: Release Notes UCS 5.2-7
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	ja	Auslegung: In den Release Notes 5.2-7 ist keine KI-Funktion beschrieben, die Kundendaten an Univention überträgt. Im Selbstbetrieb gehen an Univention nur die abschaltbaren Nutzungsstatistiken und, falls beauftragt, Supportdaten; laut AVV werden diese nur zur Fehleranalyse genutzt und nach Abschluss gelöscht. Ein ausdrücklicher vertraglicher Ausschluss von KI-Training besteht nicht. Beleg: Release Notes UCS 5.2-7 · Auftragsverarbeitungsvereinbarung (Stand 01.12.2…

Quellcode & Lizenz erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	ja	Die von Univention entwickelten Teile von UCS stehen unter der GNU AGPL v3, sofern im Quellcode nichts anderes angegeben ist; das Repository ist REUSE-konform. Der Code ist öffentlich auf GitHub gespiegelt. Univention gibt an, die Produkte seien vollständig Open Source. Beleg: univention-corporate-server (GitHub-Spiegel) · About us
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	ja	Die kostenlose Core Edition ist seit 2015 für Unternehmen ohne Nutzergrenze freigegeben. Sie unterscheidet sich laut Univention und Wikipedia (Sekundärquelle) von den Subskriptionen nur bei Support, Produkthaftung und erweiterter Wartung, nicht im Funktionsumfang. Einzelne Apps im App Center von Drittanbietern sind davon getrennt zu betrachten. Beleg: Univention Corporate Server now available as a f… · Univention Corporate Server
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	ja	Laut Vertragsbedingungen wird die Software unbefristet überlassen, die Nutzungsrechte an den Binärdateien gelten dauerhaft. Pflege und Support sind an die Vertragslaufzeit gebunden. Ohne Subskription bleibt die Core Edition mit vollem Funktionsumfang nutzbar. Beleg: Allgemeine Vertragsbedingungen für Überlassung,… · Univention Corporate Server now available as a f…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	nicht belegbar	Ein ISO-27001-Zertifikat oder BSI-C5-Testat der Univention GmbH wurde auf den Herstellerseiten nicht gefunden. Auslegung: Für selbst betriebene Software sind Nachweise ohnehin für die eigene Betriebsumgebung zu erbringen.
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Univention beschreibt einen Meldeweg für Sicherheitslücken in UCS, UCS@school und den eigenen Onlinediensten an security@univention.de, verschlüsselt mit einem per Web Key Directory abrufbaren PGP-Schlüssel, und verweist auf eine security.txt. Behobene Sicherheitslücken werden in Errata und Release Notes aufgeführt. Beleg: Sicherheitslücken melden · Release Notes UCS 5.2-7
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	ja	Vertragspartner für Subskription, Support und Pflege ist die Univention GmbH in Bremen; laut Vertragsbedingungen gilt deutsches Recht unter Ausschluss des UN-Kaufrechts, Erfüllungsort ist der Sitz des Anbieters. Support leistet Univention laut AVV von den Standorten Bremen, Berlin und Leipzig. Ein Gerichtsstand ist in den Bedingungen nicht genannt. Beleg: Allgemeine Vertragsbedingungen für Überlassung,… · Auftragsverarbeitungsvereinbarung (Stand 01.12.2…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Gegenprüfung an der Quelle: AVV (öffentliches PDF von 2022) nennt IONOS und PlusServer mit Adressen und 3 Wochen Vorabankündigung, ist aber widersprüchlich (§6 Abs. 6 'keine weiteren', Anhang 3 'keine Auftragsverarbeiter', Briteline Bremen fehlt in der Liste); Vollständigkeit nicht gesichert. Beleg: Auftragsverarbeitungsvereinbarung (Stand 01.12.2…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Laut AVV erfolgt die Verarbeitung in Deutschland, der EU oder dem EWR; eine Verarbeitung in Drittstaaten braucht die vorherige dokumentierte Zustimmung des Kunden. Jede Fernwartungsverbindung muss der Kunde vorher technisch freigeben und selbst per SSH aufbauen; er kann sie jederzeit beenden. Beleg: Auftragsverarbeitungsvereinbarung (Stand 01.12.2…

Exit & Interoperabilität erfüllt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	ja	Das Verzeichnis basiert auf LDAP; UCS sichert die LDAP-Daten standardmäßig jede Nacht als komprimierte LDIF-Datei, einem offenen, dokumentierten Format. Die Angabe stammt aus einem Beitrag im Univention-Forum, der Autor ist nicht als Mitarbeiter gekennzeichnet. Beleg: Backup and Recovery of UCS Systems
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	UCS stellt Anmeldung per LDAP sowie Single Sign-on über SAML und OpenID Connect bereit; die Keycloak-App dient als SAML-IdP und OIDC-Provider. Die Konfiguration ist im Handbuch zu UCS 5.2 beschrieben. Beleg: UCS 5.2 Manual – Single sign-on · Keycloak App – Architecture
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Im Selbstbetrieb hat der Betreiber vollen Zugriff auf Verzeichnis, Konfiguration und Sicherungen und kann sie ohne Mitwirkung oder Kosten von Univention exportieren. Die nächtlichen LDIF-Sicherungen liegen lokal auf dem Primary Directory Node. Beleg: Backup and Recovery of UCS Systems · univention-corporate-server (GitHub-Spiegel)

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wer die Gesellschafter der Univention GmbH sind. Die Herstellerseiten nennen nur Geschäftsführung und Gründer, ein Handelsregisterauszug wurde nicht eingesehen.
Ob die Univention GmbH ein ISO-27001-Zertifikat oder ein vergleichbares Testat hat. Auf den Herstellerseiten wurde keines gefunden.
Ob die Liste der Unterauftragsverarbeiter in der AVV vom Dezember 2022 noch aktuell ist, weil keine neuere Fassung gefunden wurde.
Welche Daten UCS außer den abschaltbaren Nutzungsstatistiken bei Update- und App-Center-Abfragen an Univention überträgt. Die Release Notes beschreiben dazu nichts.

Fragen vor einer Entscheidung

Reicht die Core Edition für den geplanten Einsatz, oder werden Support, Produkthaftung und Reaktionszeiten einer Subskription gebraucht?
Welche bestehenden Anwendungen setzen Active Directory voraus, und lassen sie sich an die Samba-Domänendienste von UCS anbinden?
Soll UCS als klassischer Server oder Nubus auf Kubernetes betrieben werden?
Wer im eigenen Haus oder bei einem Dienstleister betreut Linux, LDAP und Samba im Betrieb?

Univention Corporate Server