Digitale Souveränität im Mittelstand: Was Unternehmen von der Verwaltung lernen können

Digitale Souveränität bedeutet für ein Unternehmen, dass es selbst bestimmt, wo seine Daten liegen, welchem Recht sein IT-Anbieter unterliegt und ob es den Anbieter wechseln kann, ohne den Betrieb zu gefährden. Das Thema nimmt gerade Fahrt auf, weil Behörden in den Niederlanden, in Deutschland und in der Schweiz im Herbst 2026 konkrete Schritte zu mehr Unabhängigkeit von US-Cloudanbietern unternommen haben.

Eine Firma mit 30 oder 150 Beschäftigten kann diese Entscheidungen nicht kopieren, dafür fehlen ihr Vergaberecht und Migrationsbudgets in Millionenhöhe. Lesenswert sind die Berichte trotzdem, weil die Behörden beim Testen auf dieselben Lücken gestoßen sind, die auch im Mittelstand auftauchen.

Was bedeutet digitale Souveränität für Unternehmen?

Gemeint ist Handlungsfähigkeit. Ein Unternehmen kann Microsoft 365 nutzen und trotzdem souverän sein, wenn es weiß, was ein Wechsel kosten würde, und ihn im Ernstfall umsetzen kann. In vielen Betrieben liegen die Projektordner in SharePoint, Angebote entstehen aus Excel-Vorlagen mit Makros, Freigaben laufen über Teams, und die Anmeldung an all dem hängt an einem einzigen Microsoft-Konto. Steigen die Lizenzpreise oder ändern sich die Bedingungen, bleibt wenig Spielraum.

Festmachen lässt sich Souveränität an vier Punkten: am Speicherort der Daten, am Rechtsraum des Vertragspartners, an offenen Formaten und Exportwegen und am Wissen im eigenen Haus, mit dem Sie Entscheidungen über Ihre IT selbst treffen können.

Welche Rolle spielt der Cloud Act?

Der US-amerikanische CLOUD Act von 2018 verpflichtet US-Anbieter, Daten herauszugeben, die sich in ihrem Besitz oder unter ihrer Kontrolle befinden, auch wenn die Server außerhalb der USA stehen (18 U.S.C. § 2713). Ein Rechenzentrum in Frankfurt ändert daran wenig, solange der Vertragspartner ein US-Konzern oder dessen Tochter ist.

Zulässig bleibt die Nutzung von Microsoft 365 trotzdem. Für Datenübermittlungen in die USA gilt seit Juli 2023 das EU-U.S. Data Privacy Framework. Das Gericht der EU hat es im September 2025 bestätigt, ein Rechtsmittel beim EuGH ist eingelegt. Die Vorgänger Safe Harbor und Privacy Shield hat der EuGH 2015 und 2020 gekippt. Wer seine Kernprozesse ganz auf diese Grundlage stellt, trägt ein Risiko, auf das er keinen Einfluss hat. Wie groß es für Ihre Daten ist, klären Sie mit Ihrem Datenschutzbeauftragten.

Was hat die Verwaltung im Herbst 2026 entschieden?

Niederlande: eine gemeinsame Absichtserklärung

Am 1. Oktober 2026 haben die niederländischen Provinzen, der Gemeindeverband VNG, die Zentralregierung und SURF, die IT-Kooperative der Hochschulen, in Middelburg eine gemeinsame OSPO-Vereinbarung unterzeichnet (Binnenlands Bestuur). Darin erklären die Partner ihre Absicht, Open Source in der Verwaltung zu stärken, und die Provinzen bauen ein gemeinsames Open Source Programme Office auf. Budgets oder verbindliche Pflichten nennen die Berichte nicht. Die zuständige Staatssekretärin Willemijn Aerdts räumte laut IO+ ein, dass Open Source nicht automatisch die einfachste oder günstigste Lösung sei, die Verwaltung aber unabhängiger mache. Diesen Satz würde ich jeder Geschäftsführung mitgeben, die über einen Umstieg nachdenkt.

Ein solches Programmbüro ist vor allem eine zuständige Stelle. Auch ein Betrieb mit 50 Leuten braucht jemanden, der das Thema verantwortet und dafür Arbeitszeit bekommt.

Deutschland: openDesk für Länder und Kommunen

Das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) und die Genossenschaft govdigital bieten openDesk seit dem 13. Oktober 2026 als Pilotpaket über den Marktplatz Deutschland Digital an, der Produktivbetrieb ist ab Januar 2027 geplant (ZenDiS). Länder und die meisten Kommunen können die Suite damit ohne eigene Ausschreibung beziehen, gehostet zunächst bei STACKIT. Nach Angaben des ZenDiS arbeiten bereits rund 100.000 Arbeitsplätze mit openDesk.

Wenige Tage vorher, am 10. Oktober, hat das ZenDiS die Kriterien für Digitale Souveränität in Version 1.0 veröffentlicht, überarbeitet nach rund 70 Stellungnahmen. Der Katalog taugt auch als Vorlage für Unternehmen.

Schweiz: zwei nüchterne Tests

Die Stadt Zürich hat zusammen mit der Berner Fachhochschule untersucht, ob openDesk Microsoft 365 ablösen könnte (Stadt Zürich). E-Mail, Chat, interne Videokonferenzen und Dateiablage decken den Grundbedarf, allerdings nur im Browser. Hürden sehen die Autoren bei Automatisierung, Telefonie und den Abhängigkeiten zu Fachanwendungen. Laut heise fehlen etwa externe Telefonie mit Rufnummernanzeige, reibungslose Videokonferenzen mit Externen und native Apps, und openDesk sei mehr als doppelt so teuer wie vergleichbare Microsoft-Pakete. Zürich bleibt vorerst bei Microsoft 365 und plant einen Praxistest.

Die Schweizerische Bundeskanzlei kam im September 2026 nach einem Test mit 172 Personen zu einem ähnlichen Urteil (Bundeskanzlei). Für zentrale Standardprozesse sei die Browserlösung grundsätzlich geeignet, für einen breiten Einsatz gebe es noch Hürden. Ab Ende 2027 sollen rund 3.000 Mitarbeitende in kritischen Abläufen eine souveräne Arbeitsplatzsoftware nutzen, parallel zu Microsoft 365.

Schleswig-Holstein: wo der Umstieg schon läuft

Am weitesten ist Schleswig-Holstein. Die Landesverwaltung hat im Oktober 2025 nach sechs Monaten mehr als 40.000 Postfächer von Exchange und Outlook auf Open-Xchange und Thunderbird umgestellt (Landesregierung). LibreOffice läuft außerhalb der Steuerverwaltung auf fast 80 Prozent der Arbeitsplätze, der Rest hängt wegen Fachverfahren teilweise noch an Microsoft Office. Das Land beziffert die eingesparten Lizenzkosten auf mehr als 15 Millionen Euro, plant für 2026 aber zugleich rund 9 Millionen Euro einmalig für Migration und Weiterentwicklung ein (Landesregierung).

Ist openDesk eine Microsoft-365-Alternative für Unternehmen?

Seit dem 23. September 2026 dürfen auch privatwirtschaftliche Cloud-Anbieter und IT-Dienstleister openDesk anbieten. Die ersten zugelassenen Partner, die das ZenDiS am 13. Oktober benannt hat, sprechen ausdrücklich auch Unternehmen an (ZenDiS). Die Suite bündelt bekannte Bausteine wie Nextcloud für Dateien, Collabora für Dokumente, Element für Chat und Open-Xchange für E-Mail. Die Lücken aus Zürich gelten für ein Unternehmen genauso, und ein Betrieb mit 40 Arbeitsplätzen braucht selten alle Module auf einmal. Ich halte den Wechsel auf eine komplette Suite für die meisten Firmen dieser Größe für den falschen ersten Schritt. Sinnvoller ist es, einzelne Bausteine nacheinander einzuführen und mit dem Bereich zu beginnen, der am wenigsten an anderen Systemen hängt.

Welche Open-Source-Alternativen sind heute alltagstauglich?

Die Einschätzungen in der rechten Spalte beziehen sich auf den Alltag in Betrieben mit 10 bis 200 Arbeitsplätzen. Spezielle Branchenanforderungen sind darin nicht berücksichtigt.

Wie lässt sich digitale Souveränität messen?

Der ZenDiS-Katalog bewertet zwei Ebenen, die Organisation selbst und ihre geschäftskritischen IT-Dienste. Zu jedem Kriterium gibt es eine Prüffrage, eine Antwortskala und die nötigen Nachweise. Für Unternehmen sind pro Dienst diese Fragen die wichtigsten:

• Wo werden die Daten gespeichert und verarbeitet, einschließlich Backups? Die höchste Stufe gibt es nur, wenn vertraglich zugesichert ist, dass alles in der EU bleibt.
• Wer ist Ihr Vertragspartner? Die Kontrolle sollte bei einer Gesellschaft in EU oder EWR liegen, ohne Muttergesellschaft außerhalb. Die deutsche Tochter eines US-Konzerns erfüllt das nicht.
• Wer hält die Schlüssel? Verschlüsselung schützt wenig vor dem Anbieter, wenn der Anbieter die Schlüssel verwaltet.
• Kommen Sie mit Ihren Daten wieder heraus? Der Katalog fragt, ob sich Daten innerhalb von 30 Tagen verlustfrei zu einem anderen Anbieter übertragen lassen. Offene Standards wie ODF, CalDAV und IMAP helfen dabei.
• Läuft der Dienst weiter, wenn der Hersteller wegfällt? Bei Open Source kann ein anderer Dienstleister übernehmen, bei proprietärer Software entscheidet der Vertrag.

Auf Ebene der Organisation fragt der Katalog, ob Souveränität in Strategie und Beschaffung verankert ist. Im Mittelstand ist viel gewonnen, wenn jemand diese Fragen stellt, bevor ein Softwarevertrag unterschrieben wird. Für die Bewertung reicht eine Tabelle mit den Diensten in den Zeilen, den fünf Fragen in den Spalten und einer Ampelfarbe in jeder Zelle. Rote Zellen zeigen das größte Risiko. Anfangen sollten Sie trotzdem dort, wo der Wechsel am einfachsten ist.

Wie fangen mittelständische Unternehmen am besten an?

Der Ablauf passt für Betriebe zwischen 10 und 200 Mitarbeitenden. Je kleiner die Firma, desto schneller geht es.

1. Machen Sie eine Bestandsaufnahme. Listen Sie alle Cloud-Dienste auf, auch die von Abteilungen selbst gebuchten, mit Ampelbewertung und der Angabe, wer sie wofür nutzt.
2. Markieren Sie Abhängigkeiten. Welche Branchensoftware, welches ERP-System oder welche Buchhaltung greift auf Word, Excel oder Outlook zu? Davon hängt ab, was vorerst bleibt.
3. Fangen Sie mit einer Anwendung an. Gute Kandidaten sind die Dateiablage mit Nextcloud oder ein gemeinsamer Passwortmanager. Beide hängen kaum an anderen Systemen, und die Mitarbeitenden merken schnell, ob es im Alltag funktioniert.
4. Bilden Sie eine Pilotgruppe. Fünf bis zehn Personen aus verschiedenen Abteilungen arbeiten einige Wochen mit dem neuen Werkzeug, während das alte weiterläuft. So zeigen sich Probleme, bevor alle betroffen sind.
5. Schulen Sie kurz und konkret. Eine Stunde an den eigenen Ordnern bringt mehr als ein allgemeiner Kurs. Klären Sie, wen die Leute bei Fragen anrufen.
6. Ziehen Sie um und schalten Sie den alten Dienst ab. Legen Sie dafür ein festes Datum fest. Ohne Stichtag arbeiten manche Abteilungen dauerhaft in beiden Systemen, und Sie zahlen doppelt.
7. Nehmen Sie sich die nächste Anwendung vor. Die Tabelle aus Schritt 1 prüfen Sie einmal im Jahr, spätestens vor jeder Vertragsverlängerung.

Liegen die Dateien in Nextcloud, lässt sich die Bearbeitung im Browser mit Collabora oder OnlyOffice direkt anschließen. Dann zeigt sich, für welche Dokumente die Desktop-Version von Word noch nötig ist.

Wo dürfen Microsoft und Co. vorerst bleiben?

Ein vollständiger Ausstieg dauert auch bei den Behörden Jahre, und selbst dann bleiben Reste. Einzelne Dienste bewusst zu behalten ist in Ordnung, solange ein Ausweg dokumentiert ist. Vorerst bleiben dürfen in der Regel:

• Branchen- und Fachsoftware, die über Add-ins mit Word, Excel oder Outlook arbeitet. Daran hängt auch in Schleswig-Holstein der letzte Teil der Arbeitsplätze.
• Excel-Mappen mit VBA-Makros, an denen die Kalkulation hängt. Sie umzuschreiben ist ein eigenes Projekt.
• Telefonie über Teams, wenn sie gut läuft. Externe Telefonie gehörte auch in Zürich zu den Lücken.
• Exchange und Outlook, solange Dateien, Chat und Passwörter noch nicht umgezogen sind.
• Teams-Einladungen von Kunden. An solchen Terminen nehmen Sie weiter über den Browser teil.

Die Schweizer Bundeskanzlei sieht ihre Lösung auch als Rückfallebene, falls Microsoft 365 ausfällt. Für ein Unternehmen ist das ein vernünftiges Zwischenziel. Wer Dateien und Zugangsdaten schon bei einem Anbieter ohne US-Mutter in Deutschland hat, besitzt davon bereits einen guten Teil.

ACONA Softwares aus Waldshut-Tiengen betreibt Nextcloud, Collabora und OnlyOffice, Mattermost, Jitsi, Vaultwarden und Keycloak in deutschen Rechenzentren und übernimmt Einrichtung, Umzug, Updates, Backups und die Schulung Ihrer Mitarbeitenden. Sie können mit einer einzigen Anwendung beginnen, einen Überblick gibt die Seite Digitale Souveränität. Welcher Dienst bei Ihnen der richtige Anfang wäre, klären wir gern in einem kostenlosen Erstgespräch von 20 Minuten.

Häufige Fragen

Quellen

1. Binnenlands Bestuur: Provincies richten gezamenlijk open source-kantoor op (2. Oktober 2026)
2. ZenDiS: openDesk über govdigital flächendeckend als SaaS beziehbar (12. Oktober 2026)
3. ZenDiS: Kriterien für Digitale Souveränität, Version 1.0
4. Stadt Zürich: Digitale Souveränität: Alternative zu Microsoft 365 erfüllt noch nicht alle Anforderungen (Mai 2026)
5. Schweizerische Bundeskanzlei: Machbarkeitsstudie PoC BOSS
6. Land Schleswig-Holstein: Open-Source-Strategie. Digitale Souveränität ist möglich und wirtschaftlich (Dezember 2025)