Digitale Souveränität durch Migration weg von MS 365 - ein Erfahrungsbericht

War­um digi­ta­le Sou­ve­rä­ni­tät wich­tig ist

Digi­ta­le Sou­ve­rä­ni­tät – das klingt nach poli­ti­schem Grund­satz­pa­pier oder euro­päi­schem Groß­pro­jekt mit vie­len Logos, aber wenig prak­ti­scher Rele­vanz. Und doch ist sie mitt­ler­wei­le ein rea­ler, hand­fes­ter Impe­ra­tiv für jede Orga­ni­sa­ti­on, die sich ernst­haft mit Daten­schutz, Infor­ma­ti­ons­si­cher­heit und lang­fris­ti­ger stra­te­gi­scher Resi­li­enz beschäf­tigt. Unser Team hat genau des­halb den Aus­stieg aus der Micro­soft-365-Welt gewagt. War­um? Weil wir wis­sen, dass „alter­na­tiv­los“ meis­tens nur ein ande­res Wort für „nicht aus­rei­chend durch­dacht“ oder „hab ich gera­de kei­ne Lust, etwas zu ändern“ ist.

Die Abhän­gig­keit von US-ame­ri­ka­ni­schen Tech-Gigan­ten ist kein hypo­the­ti­sches Risi­ko mehr, son­dern spä­tes­tens seit den Sank­tio­nen gegen den Inter­na­tio­na­len Straf­ge­richts­hof real und beleg­bar. Micro­soft deak­ti­vier­te die E‑Mail-Kon­ten des Chef­an­klä­gers – wohl — so wird ver­mu­tet — auf Basis poli­ti­scher Vor­ga­ben. Für uns war bzw. ist klar: Wenn so etwas einer inter­na­tio­na­len Insti­tu­ti­on pas­sie­ren kann, sind deut­sche Mit­tel­ständ­ler und Behör­den erst recht nicht geschützt.

Dazu kommt: Unter ande­rem mit dem CLOUD Act, dem Patri­ot Act und der Exe­cu­ti­ve Order 12333 haben US-Behör­den umfas­sen­de Zugriffs­mög­lich­kei­ten auf Daten – auch dann, wenn die­se rein for­mal in einem deut­schen oder euro­päi­schen Rechen­zen­trum lie­gen. Kurz gesagt: Die Nut­zung von Micro­soft-Cloud-Diens­ten kann im Zwei­fel bedeu­ten, dass man frem­der Rechts­ord­nung unter­liegt, ohne es kon­trol­lie­ren zu kön­nen. Wer möch­te schon, dass ein Tweet aus dem Wei­ßen Haus bestimmt, ob der eige­ne Mail­ser­ver mor­gen noch erreich­bar ist?

Und was, wenn Micro­soft auch lokal den Ste­cker zieht?

Digi­ta­le Abhän­gig­keit endet nicht bei der Cloud. Selbst bei lokal instal­lier­ten Sys­te­men wie Win­dows-Ser­vern oder Office-Cli­ents hängt vie­les an der Ver­bin­dung zu Micro­softs Akti­vie­rungs- und Lizenz­ser­vern. Soll­te Micro­soft – etwa durch geo­po­li­ti­sche Span­nun­gen, Sank­tio­nen oder stra­te­gi­sche Ent­schei­dun­gen – die­se Diens­te für bestimm­te Regio­nen ein­schrän­ken, wären nicht nur ein­zel­ne Anwen­dun­gen betrof­fen. Gan­ze Arbeits­um­ge­bun­gen könn­ten lahm­ge­legt wer­den: Betriebs­sys­te­me ver­wei­gern den Start, Office-Pro­gram­me star­ten nur noch im ein­ge­schränk­ten Modus, selbst Ser­ver- und Daten­bank­diens­te könn­ten aus­fal­len. Mit ande­ren Wor­ten: Ein Knopf­druck aus Red­mond, und die Infra­struk­tur in deut­schen Unter­neh­men und Ver­wal­tun­gen steht still – selbst ohne Cloud.

Unse­re Moti­va­ti­on für digi­ta­le Sou­ve­rä­ni­tät: Nicht nur reden, son­dern handeln

Als exter­ne Daten­schutz­be­auf­trag­te müs­sen und muss­ten wir regel­mä­ßig die Kon­for­mi­tät von MS 365 bewer­ten – und tun uns dabei oft schwer, den berühm­ten „Segen des DSB“ zu geben. Gleich­zei­tig nutz­ten wir selbst eini­ge Jah­re Exch­an­ge Online, One­Dri­ve, Share­Point und Co. Zwar abge­si­chert, zusätz­li­che Ver­schlüs­se­lungs­lö­sun­gen, doku­men­tiert und nach bes­tem Wis­sen kon­fi­gu­riert – aber eben den­noch auf Gedeih und Ver­derb an Micro­soft gebunden.

Der sprich­wört­li­che Trop­fen, der das Fass zum Über­lau­fen brach­te, war ein Vor­fall im Früh­jahr 2023, als ein Sicher­heits­to­ken bei Micro­soft ver­lo­ren­ging – mit unkla­rem Aus­maß und völ­lig chao­ti­scher Kom­mu­ni­ka­ti­on sei­tens des Kon­zerns. „Ihr Ten­ant ist wahr­schein­lich sicher, viel­leicht aber auch nicht, aber dan­ke der Nach­fra­ge“ – war unge­fähr der Stand der Kom­mu­ni­ka­ti­on. Wir hat­ten end­gül­tig genug.

Pla­nung und Vor­be­rei­tung: Was brau­chen wir wirk­lich für digi­ta­le Souveränität?

Die wohl wich­tigs­te Pha­se vor jedem Sys­tem­wech­sel ist – Trom­mel­wir­bel – die Vor­be­rei­tung. Hier ent­schei­det sich, ob man spä­ter stolz durch die Ziel­ge­ra­de trabt oder mit qual­men­den Schuh­soh­len im Migra­ti­ons­sumpf ste­cken bleibt.

Wir began­nen mit einer sys­te­ma­ti­schen Funk­ti­ons­in­ven­tur. Das klingt tro­cken, war aber bit­ter nötig. In meh­re­ren Ses­si­ons haben wir alle Tools, Work­flows und Pro­zes­se auf­ge­lis­tet, die bei uns im Ein­satz waren – egal ob täg­lich oder nur beim jähr­li­chen Früh­jahrs­putz. Jeder im Team hat­te die Auf­ga­be, sei­ne Arbeits­wei­se ehr­lich zu reflek­tie­ren. Ergeb­nis: Eini­ge Tools wur­den als unver­zicht­bar ent­larvt, ande­re als kaum genutz­te „Zom­bie-Anwen­dun­gen“ mit Ablauf­da­tum. Kuri­os: Die kamen oft von unse­rem Chef 🙂

Dar­auf folg­te eine Rele­vanz­klas­si­fi­zie­rung: Was ist kri­tisch, was nice-to-have, was kann weg? Dabei half uns ein simp­les Ampel­sys­tem – rot = kri­tisch, gelb = wich­tig, grün = ersetz­bar oder ganz über­flüs­sig. Das mach­te Ent­schei­dun­gen trans­pa­rent und dis­ku­tier­bar. Spoi­ler: Lieb­ge­won­nen bedeu­tet nicht alternativlos.

Par­al­lel leg­ten wir die Anfor­de­run­gen an die neue Umge­bung fest. Die­se reich­ten von tech­ni­schen Basics (Syn­chro­ni­sa­ti­on, dezen­tra­les Arbei­ten, VPN, 2FA) über Daten­schutz­kri­te­ri­en (Stand­ort EU, AVV, kein CLOUD Act-Risi­ko) bis hin zur Fra­ge: „Wie vie­le Klicks braucht es, um eine Datei frei­zu­ge­ben, und wird dabei jemand aus Ver­se­hen aus dem Sys­tem gewor­fen?“ – Auch Usa­bi­li­ty zählt zur digi­ta­len Souveränität!

Wir nutz­ten das Open Source Tool Draw​.io (dia​grams​.net) (aller­dings in der loka­len Vari­an­te, ver­füg­bar für macOS, Linux und Win­dows) für die Pro­zess­vi­sua­li­sie­rung, ein­fa­che Tabel­len­kal­ku­la­ti­on für die Tool-Matrix und ein geteil­tes Notiz­board in einer pro­vi­so­ri­schen Next­cloud als unser ope­ra­ti­ves Gehirn. Zusätz­lich führ­ten wir eine „Schat­ten­in­ven­tur“ durch: Wel­che Schat­ten-IT hat sich eta­bliert? Wer nutzt pri­va­te Tools (Ever­no­te, Drop­box, Whats­App Web), weil es die offi­zi­el­len Tools von den Funk­tio­nen nicht her­ge­ben? Eine Erkennt­nis, die oft schmerz­haf­ter war als die Aus­sicht auf eine Woche Powerpoint-Vorlagendesign.
Abschlie­ßend gab es einen „Rea­dy-Check“: Wel­che Sys­te­me sind migrier­bar, wel­che Daten lie­gen in For­ma­ten vor, die por­tiert wer­den kön­nen? Wer braucht wel­che Schu­lung? Wer hat über­haupt Zeit für das Pro­jekt – und wer macht es „neben­bei“ ? (Spoi­ler: Nie­mand soll­te das!!)

Die­se Vor­be­rei­tungs­pha­se war arbeits­in­ten­siv, aber unver­zicht­bar. Sie hat uns Klar­heit ver­schafft, Erwar­tun­gen abge­gli­chen und die Migra­ti­ons­pla­nung auf ein soli­des Fun­da­ment gestellt. Denn wie heißt es so schön: Wer kei­ne Zeit für Pla­nung hat, muss sich spä­ter viel mehr Zeit für Pro­blem­lö­sung neh­men. Beim Bund hieß es dazu frü­her “Ein­zel­schick­sal! Kön­nen wir kei­ne Rück­sicht drauf neh­men.” Heu­te wür­de man viel­leicht auch sagen “Ler­nen durch Schmerz”.

Unse­re Lösung als Alter­na­ti­ve zu MS 365: Next­cloud + Zim­bra + Open Source Tools

Wir ent­schie­den uns für eine „mana­ged“ Next­cloud bei einem deut­schen Anbie­ter – mit Talk (für Chat & Video), Files (für Datei­ab­la­ge & Sha­ring), Col­la­bo­ra Online (für Office) und Kol­lek­ti­ve (für unser Wiki). Ergänzt wur­de das Set­up über­gangs­wei­se durch IMAP-Post­fä­cher bei unse­rem Hos­ter und spä­ter Zim­bra als Group­ware-Kom­po­nen­te für E‑Mail, Kalen­der und Kon­tak­te. Natür­lich mit vor­ge­schal­te­tem Secu­ri­ty-Gate­way und Ver­schlüs­se­lungs­ser­ver. Auch Noti­zen (Jop­lin), Auf­ga­ben (Kan­ban-Modul in Next­cloud) und Pro­zess­be­ar­bei­tung und Visua­li­sie­rung (draw​.io) fan­den Platz in unse­rer neu­en Umgebung.

Tipp: Kom­bi­niert gezielt – nicht alles muss aus einem Guss sein. Unter­schied­li­che Tools für unter­schied­li­che Zwe­cke sind kein Makel, son­dern ein stra­te­gi­scher Vorteil.

Migra­ti­on: In drei Pha­sen zur digi­ta­len Souveränität

Wir haben unse­re Migra­ti­on bewusst in drei klar struk­tu­rier­te Pha­sen unter­teilt – nicht weil wir beson­ders büro­kra­tisch sind, son­dern weil Plan­bar­keit gegen Panik hilft. Und sei­en wir ehr­lich: Ein chao­ti­scher IT-Wech­sel ist schlim­mer als Mon­tag­mor­gen mit Excel und Kaf­fee ohne Koffein.

Pha­se 1: Ana­ly­se und Testmigration

• Nut­zer­be­dar­fe erfas­sen (wer nutzt was, wofür?)
• Mail­kon­ten und Kalen­der migrie­ren (Test­da­ten!)
• Rech­te- und Rol­len­kon­zep­te vorbereiten
• Pilot­teams defi­nie­ren und einbinden

Pha­se 2: Pro­duk­ti­vum­stel­lung Datei­ab­la­ge und Kommunikation

• One­Dri­ve auf­räu­men (Und das war echt nötig, gell lie­ber Chef?)
• Next­cloud-Struk­tur fest­le­gen, Rol­len setzen
• Talk-Räu­me und Chat­grup­pen vorbereiten
• Mail-Umstel­lung auf Produktivbetrieb

Pha­se 3: Wis­sens­ma­nage­ment und Pro­zes­se umziehen

• Noti­zen in Jop­lin transferieren
• Kol­lek­ti­ve-Struk­tur definieren
• Wikis aus SharePoint/​OneNote migrieren
• Pro­zes­se abbil­den, Ver­ant­wort­lich­kei­ten klären

Tipp: Lie­ber drei klei­ne Schrit­te mit sau­be­rer Doku­men­ta­ti­on als ein gro­ßer mit Bauch­lan­dung. Und nein – „Wir machen das irgend­wann neben­bei“ funk­tio­niert nie.

Inof­fi­zi­el­le Pha­se 4: Hin­ter­fra­gen und Aus­tausch wei­te­rer Tools

Gegen Ende der Pha­se 3 merk­ten wir immer häu­fi­ger, dass Next­cloud in den letz­ten Jah­ren rie­si­ge Ent­wick­lungs­sprün­ge getan hat. Wer Next­cloud auf etwas File­sha­ring und Col­la­bo­ra­ti­on redu­ziert, hat es sich ein­fach nicht rich­tig ange­schaut – oder das liegt so lan­ge her wie 4 Kan­nen kal­ter Kaffee.

Wir stell­ten fest, dass wir uns auch von eini­gen ande­ren euro­päi­schen und US-Dienst­leis­tern wei­ter unab­hän­gig machen kön­nen. Unser Ticket­sys­tem (bis­her ein US-Ser­vice) ist nun ein Kan­ban-Board in Next­cloud. Eben­so die Ver­trags­ver­wal­tung und auch das gan­ze IT-Ser­vice­ma­nage­ment, bei­des Cloud-Anwen­dun­gen bis­her, sind als Kan­ban-Board umge­setzt. Draw​.io fügt sich naht­los in die Next­cloud-Ober­flä­che ein. Die Doku­men­ta­ti­on unse­res Infor­ma­ti­ons­si­cher­heits­ma­nage­ment­sys­tems (ISMS) fühlt sich in der Wiki-Funk­ti­on (Kol­lek­ti­ve) eben­so wohl wie in der bis­he­ri­gen ISMS-Soft­ware, wenn nicht sogar wohler.

So haben wir mit der Zeit wei­te­re exter­ne Ser­vices und Abhän­gig­kei­ten auf­ge­löst und unter ein zen­tra­les Dach gebracht. Mis­si­on erfolgreich.

Her­aus­for­de­run­gen & Lösungen

Egal wie gut geplant, jede Migra­ti­on bringt ihre klei­nen und gro­ßen Kata­stro­phen mit sich. Und natür­lich lief nicht alles glatt – sonst wäre das hier kein Erfah­rungs­be­richt, son­dern eine Werbebroschüre.

• Per­for­man­ce­pro­ble­me? Anbie­ter wech­seln. Unser ers­ter Next­cloud-Hos­ter ver­sprach viel Per­for­mance (gera­de für Talk als Teams-Ersatz), lie­fer­te da lei­der jedoch wenig. Die Lade­zei­ten erin­ner­ten an DSL-Light auf dem Dorf. Nach zahl­rei­chen Sup­port­ti­ckets und einem hal­ben Ner­ven­zu­sam­men­bruch war klar: Anbie­ter­wech­sel. Was bei einer Next­cloud-Instanz kei­ne gro­ße Sache ist (Vor­teil von Open Source). Danach – als hät­te jemand den Tur­bo angeschaltet.
• Tech­ni­sche Stol­per­stei­ne? Durch­at­men. Kalen­der­da­ten lie­ßen sich nicht ein­le­sen, weil Out­look mein­te, sei­ne .ics-Datei­en müss­ten „krea­tiv inter­pre­tiert“ wer­den kön­nen. Jop­lin woll­te manch­mal par­tout kei­ne Syn­chro­ni­sa­ti­on, wenn ein Son­der­zei­chen im Datei­na­men auf­tauch­te. Die Lösung: Geduld, Logs lesen, Foren wäl­zen, Plug­in-Kon­flik­te auf­lö­sen. Mit ande­ren Wor­ten: Open Source ist mäch­tig – aber nicht fehlerverzeihend.
• Mit­ar­bei­ten­de mit­neh­men? Kom­mu­ni­ka­ti­on und Ein­bin­dung sind das A und O.

Die größ­te Her­aus­for­de­rung war nicht der Wech­sel selbst, son­dern die Beglei­tung und Ein­bin­dung aller Betei­lig­ten. Man­che begrüß­ten die Umstel­lung, ande­re beäug­ten die­se skep­tisch. Unse­re Lösung: Humor, Geduld und viel Erklärma­te­ri­al. Und dann: Ein­fach mal machen. Wer die 100%-Lösung für den ers­ten Anlauf anstrebt, wird nie begin­nen. Und dabei wird ver­ges­sen, dass die der­zei­ti­ge Umge­bung meist auch nur bei 65% per­formt — wenn überhaupt. 😉

Beson­ders bewährt haben sich:

• täg­li­che „Ask-me-any­thing“-Sprech­stun­den wäh­rend der hei­ßen Phase
• ein „Umzugshelfer:innen“-Team mit Power-Usern aus ver­schie­de­nen Berei­chen mit unter­schied­li­chen Kennt­nis­sen und Fertigkeiten
• Check­lis­ten und Anlei­tun­gen, die auch Nicht-ITler ver­ste­hen konnten

Klei­ne Kata­stro­phen mit Lerneffekt:

• Die Ter­min­pla­nung für das Mail-Umzugs­da­tum kol­li­dier­te mit dem Quar­tals­ab­schluss. Doof, dass genau da das Buch­hal­tungs­post­fach off­line war. Tipp: Pro­jekt­ka­len­der mit den diver­sen Betei­lig­ten wie dem Finanz­team abgleichen.
• Der Chef stell­te fest, dass sein Kalen­der leer war – weil er ver­se­hent­lich den Kalen­der unse­rer Fell­trä­ge­rin syn­chro­ni­siert hat­te. Sie ken­nen Fell­trä­ge­rin nicht? Hier ent­lang. Tipp: Klar benann­te Kalen­der hel­fen – auch digital.

Nichts davon war unlös­bar, aber alles hät­te uns ohne gute Vor­be­rei­tung deut­lich mehr Zeit (und Ner­ven) gekos­tet. Und ganz ehr­lich – ein biss­chen Cha­os gehört zu jedem guten Pro­jekt dazu. Haupt­sa­che, man kann danach drü­ber lachen. Oder einen Blog­ar­ti­kel schreiben.

Digi­ta­le Sou­ve­rä­ni­tät bei a.s.k.: Les­sons Learned

• Erwar­te kei­ne Wun­der. Auch Open Source macht nicht auto­ma­tisch alles bes­ser. Aber: Es macht vie­les möglich.
• Pla­ne Schu­lun­gen mit ein – und zwar für ALLE. Nicht nur für die „IT-Freaks“. Auch Tan­te Erna aus der Buch­hal­tung muss wis­sen, wie sie jetzt ihre Rei­se­kos­ten­ab­rech­nung hochlädt.
• Akzep­tie­re, dass man­che Din­ge weg­fal­len. Doch oft­mals sind die Alter­na­ti­ven sogar bes­ser. Man kann­te sie bis­her nur noch nicht.

Fazit

War es ein­fach? Nein. War es nötig? Ja. Wür­den wir es wie­der tun? Sofort.

Wir arbei­ten heu­te mit mehr Kon­trol­le, mehr Trans­pa­renz und ohne Lizenz­druck oder poli­ti­sche Unwäg­bar­kei­ten. Unse­re Umge­bung ist nicht nur DSGVO-kon­form – sie ist auch ein Beleg dafür, dass digi­ta­le Sou­ve­rä­ni­tät im All­tag mach­bar ist. Nicht mit Ideo­lo­gie, son­dern mit Prag­ma­tis­mus, Humor und der Bereit­schaft, Din­ge zu verändern.

Und ganz neben­bei sind wir in Bezug auf unse­re End­ge­rä­te, egal ob sta­tio­när oder mobil, voll­kom­men anbie­ter- und betriebs­sys­tem­un­ab­hän­gig geworden.

Die­ser Erfah­rungs­be­richt basiert auf eige­nen Pra­xis­er­fah­run­gen, Doku­men­ta­tio­nen und Test­pro­to­kol­len von uns, der a.s.k. Daten­schutz, 2023–2025.