Microsoft 365 verlassen: Ein Leitfaden für ein souveränes Open-Source-Büro-Stack
Microsoft 365 Vendor Lock-in ist ein dokumentiertes Risiko, keine Theorie. Dieser Leitfaden zeigt den vollständigen Open-Source-Ersatz-Stack, reale Migrationskosten und wie man alles auf EU-souveräner Infrastruktur betreibt.
Von runtiq Team
Anton Carniaux, Rechtsdirektor von Microsoft Frankreich, sagte im Juni 2025 vor dem französischen Senat: „Nein, ich kann nicht garantieren, dass französische Daten nicht von US-Behörden beschlagnahmt werden.” Wenige Monate später wechselte der Internationale Strafgerichtshof zu OpenDesk. Zuvor war Chefankläger Karim Khan nach US-Sanktionen aus Microsoft Outlook ausgesperrt worden. Solche Fälle machen aus einem abstrakten Risiko eine praktische Betriebsfrage.
Die wichtigsten Risiken für Unternehmen
Microsoft 365 bündelt Dateien, Kommunikation und Identität bei einem Anbieter. Besonders kritisch ist Entra ID: Viele Organisationen binden darüber 20 bis 80 externe Anwendungen per SAML oder OIDC an. Bei Plattformausfällen wie im Juli 2023 und November 2024 waren deshalb nicht nur Microsoft-Dienste betroffen. Auch CRM, HR-Systeme und interne Anwendungen konnten ausfallen.
Hinzu kommen steigende Kosten. Die Lizenzpreise sind seit 2022 kumuliert um mehr als 40 % gestiegen; für Juli 2026 wurde eine weitere Erhöhung angekündigt. Backup, Archivierung und Compliance-Funktionen kosten oft zusätzlich.
Auch der Rechtszugriff bleibt relevant. Der CLOUD Act erlaubt US-Behörden, US-Anbieter zur Herausgabe von Daten zu verpflichten. Entscheidend ist der Anbieter, nicht der physische Speicherort. Im Januar 2026 lieferte Microsoft auf einen US-Gerichtsbeschluss hin BitLocker-Schlüssel aus seinem Azure Key Vault aus.
Ein praxistauglicher Ersatz-Stack
Open-Source-Alternativen laufen längst im großen Maßstab. Île-de-France betreibt 550.000 Studierende und Mitarbeiter auf Nextcloud. Die französische Regierungsplattform Tchap erreicht mit Matrix mehr als 600.000 Nutzer im öffentlichen Sektor. Die folgende Übersicht zeigt, was heute gut funktioniert und wo Lücken bleiben:
Technisch besteht der Ersatz nicht aus einer einzigen Suite. Nextcloud übernimmt Dateien, Kalender und Zusammenarbeit. ONLYOFFICE oder Collabora bearbeiten Dokumente im Browser. Mailcow stellt E-Mail bereit, während Keycloak oder Authentik Identitäten und SSO verwalten. Die Komponenten nutzen offene Protokolle und können getrennt aktualisiert oder ersetzt werden.
| Microsoft 365-Komponente | Open-Source-Ersatz | Status |
|---|---|---|
| Word / Excel / PowerPoint (Browser, Co-Bearbeitung) | ONLYOFFICE Document Server oder Collabora Online | ✅ Produktionsreif |
| Word / Excel / PowerPoint (Desktop) | LibreOffice | ✅ Produktionsreif |
| OneDrive / SharePoint (Dateien & Sync) | Nextcloud Files (Desktop + Mobile Clients) | ✅ Produktionsreif |
| Microsoft Teams (Video & Chat) | Nextcloud Talk, Element/Matrix | ✅ Gut für ≤50 Personen-Meetings |
| Exchange / Outlook (E-Mail) | Mailcow + Nextcloud Mail (Client) | ✅ Produktionsreif |
| Outlook-Kalender | Nextcloud Calendar (CalDAV) | ✅ Produktionsreif |
| Azure Active Directory / Entra ID | Keycloak oder Authentik | ✅ Produktionsreif |
| Planner / Projektboards | Nextcloud Deck (Kanban) | ✅ Gut |
| Microsoft Forms | Nextcloud Forms | ✅ Gut |
| Power Automate (einfache Datei-Trigger) | Nextcloud Flow | ⚠️ Nur einfache Trigger |
| Power Automate (komplexe Workflows) | n8n (selbst gehostet) | ⚠️ Separates Setup erforderlich |
| VBA-Makros in Excel/Word | ONLYOFFICE 9.x verbesserte Unterstützung | ⚠️ Makro-Inventar zuerst prüfen |
| Power BI / Dashboards | Grafana, Metabase | ⚠️ Kein Drop-in-Ersatz |
| Teams Live Events (große Webinare) | Noch kein direkter Ersatz | ❌ Lücke bleibt |
| Microsoft Intune (Geräteverwaltung) | ManageEngine, Jamf | ⚠️ Separate Tooling erforderlich |
Für viele Organisationen ist ein schrittweiser Aufbau sinnvoll. Dateien und gemeinsame Dokumente können zuerst wechseln, während E-Mail und Identität vorübergehend bei Microsoft bleiben. So lässt sich die neue Umgebung mit echten Teams testen, ohne alle Abhängigkeiten gleichzeitig umzuschalten. Die Architektur muss diese Übergangsphase ausdrücklich unterstützen.
Dabei sollten offene Standards die Verbindung zwischen den Bausteinen sichern. CalDAV und CardDAV decken Kalender und Kontakte ab, SAML oder OIDC die Anmeldung. Für Dateien und Office-Dokumente sind Versionierung, Freigaben und gleichzeitige Bearbeitung früh zu testen. So bleibt ein einzelnes Produkt austauschbar, ohne den gesamten Stack neu aufzubauen.
Was die Migration schwierig macht
Die Anwendungen sind selten das größte Problem. Aufwendig sind die Abhängigkeiten, die vor dem Umzug oft nicht vollständig erfasst sind.
Entra ID und SSO: Keycloak oder Authentik können die technische Funktion übernehmen. Zuerst muss aber jede verbundene Anwendung erfasst und umgestellt werden. In der Übergangszeit sind oft zwei Identitätssysteme nötig.
Das Verzeichnis sollte nicht nur Anwendungen auflisten. Für jede Integration braucht es Protokoll, verantwortliches Team, Rollenmodell und einen geplanten Umschalttermin. Besonders wichtig sind Dienste, die Entra-Gruppen direkt für Berechtigungen verwenden. Die technische SAML- oder OIDC-Verbindung ist meist schnell ersetzt; die Abstimmung über Zugriffsrechte dauert länger.
Power Automate: Aktive Flows brauchen einen Eigentümer und einen Ersatzplan. Nextcloud Flow deckt einfache Datei-Trigger ab; komplexere Abläufe können zu n8n wechseln. Verwaiste oder überholte Flows sollten nicht ungeprüft migriert werden.
SharePoint: Dokumentenablage, Intranet und Workflows sind häufig vermischt. Manche Inhalte gehören in Nextcloud Files, andere in ein Intranet. Veraltete Sites und Prozesse können entfallen.
Vor der Übertragung sollten Teams aktive Bibliotheken, Metadaten und Aufbewahrungsregeln prüfen. Eine reine Kopie übernimmt sonst auch verwaiste Sites und uneinheitliche Strukturen. Für gemeinsam bearbeitete Office-Dateien ist außerdem ein Test mit den tatsächlich verwendeten Vorlagen entscheidend. Formatkompatibilität im Alltag ist wichtiger als ein allgemeiner Produktvergleich.
Teams-Verläufe: Nextcloud Talk importiert Kanalverläufe nicht im großen Maßstab. Meist ist ein schreibgeschütztes Archiv sinnvoller als der Versuch einer vollständigen Live-Migration.
Verbleibende Spezialfälle: Große Webinare, Power-BI-Modelle, komplexe VBA-Makros und Geräteverwaltung brauchen eigene Lösungen. Diese Lücken sollten vor der Entscheidung getestet und budgetiert werden.
Die Migration braucht deshalb klare Wellen statt eines einzigen Stichtags. Eine Pilotgruppe prüft Dateiformate, Freigaben und mobile Clients. Danach folgen weniger kritische Teams und erst später zentrale Prozesse. Für jede Welle sollten Rückfallweg, Support und Abnahmekriterien feststehen. Schulungen müssen sich an konkreten Arbeitsabläufen orientieren, nicht nur an neuen Oberflächen.
Auch E-Mail verdient einen eigenen Plan. Postfächer, Kalender, Verteiler, gemeinsame Adressen und Aufbewahrungsregeln müssen zusammen betrachtet werden. Ein zeitlich begrenzter Parallelbetrieb reduziert das Risiko, verlangt aber klare Regeln für Zustellung und Kalenderbuchungen. Erst wenn diese Tests bestanden sind, sollte der alte Dienst nur noch als Archiv dienen.
Kosten und Lehren aus realen Migrationen
Der Vergleich muss Backup, Compliance-Funktionen, E-Mail-Archivierung, Infrastruktur und Support einbeziehen. Dann ergibt sich über drei Jahre folgendes Bild:
| Organisationsgröße | MS365 reale 3-Jahres-Kosten* | Open-Source-Stack 3-Jahres-Kosten | Ersparnis |
|---|---|---|---|
| 15 Nutzer | ~21.000 € | ~8.000 € | ~13.000 € |
| 50 Nutzer | ~68.000 € | ~22.000 € | ~46.000 € |
| 200 Nutzer | ~188.000 € | ~75.000 € | ~113.000 € |
MS365 reale Kosten beinhalten Backup, Compliance-Add-ons und E-Mail-Archivierung. Open-Source-Kosten beinhalten EU-gehostete Infrastruktur und Support.
Schleswig-Holstein liefert die ausführlichste öffentliche Fallstudie. Rund 30.000 Mitarbeiter verursachten Microsoft-Lizenzkosten von 15 Millionen Euro pro Jahr. Die einmalige Migration kostete 9 Millionen Euro und amortisierte sich bei der tatsächlichen Einsparungsrate in weniger als zwölf Monaten. Bis Dezember 2025 liefen 80 % der Workstations mit LibreOffice; 44.000 Exchange-Postfächer waren zu Open-Xchange und Thunderbird migriert.
Die Zahlen zeigen zugleich, warum Lizenzkosten allein nicht reichen. In die Rechnung gehören Projektarbeit, Datenübertragung, Schulung, Parallelbetrieb und laufender Support. Beim Open-Source-Stack entfallen die Pro-Seat-Lizenzen, nicht aber Betrieb und Pflege. Zusätzliche Nutzer verursachen vor allem mehr Rechenleistung und Speicher. Das macht die Kosten planbarer, ersetzt jedoch keine belastbare Kapazitätsplanung.
Für die eigene Kalkulation empfiehlt sich eine Trennung zwischen einmaligen und laufenden Kosten. Einmalig fallen Bestandsaufnahme, Anpassungen, Migration und Schulung an. Laufend zählen Infrastruktur, Updates, Backups, Monitoring und Support. Außerdem sollte die Rechnung denselben Funktionsumfang vergleichen: Ein günstiger Grundtarif ohne Archivierung oder Wiederherstellung ist kein fairer Maßstab für einen vollständig betriebenen Open-Source-Stack.
Der Vergleich mit München zeigt den organisatorischen Hebel. Dort blieben Microsoft-Systeme parallel bestehen, die Unterstützung der Führung war nicht dauerhaft und Nutzer konnten zu alten Abläufen zurückkehren. Im erfolgreicheren Projekt waren LibreOffice als Standard, Schulungsbudget, politische Rückendeckung und ein fester Zeitplan verbindlich. Nicht allein die Software entschied, sondern die Umsetzung.
Auch die niederländische Zentralregierung migriert 120.000 Staatsbeamte. Nach Abschluss werden jährliche Lizenzeinsparungen von 45 Millionen Euro erwartet. Zum Stack gehören Nextcloud, Matrix/Element und Keycloak.
Compliance kompakt eingeordnet
Die EU-Datengrenze sowie Partnerangebote wie Delos Cloud und Bleu verbessern die Datenresidenz. Sie beseitigen aber nicht alle Abhängigkeiten von Microsoft-Software, Identität und Schlüsselverwaltung.
Diese Angebote sind operativ relevant, weil Kunden mit europäischen Unternehmen arbeiten und Daten in der EU bleiben können. Für eine Risikobewertung reicht der Serverstandort trotzdem nicht aus. Unternehmen sollten auch Betreiber, Muttergesellschaft, Zugriff auf Schlüssel und technische Abhängigkeiten betrachten. Verträge können Schutzmaßnahmen festlegen, aber die zugrunde liegenden gesetzlichen Pflichten des Anbieters nicht aufheben.
Für Unternehmen sind drei Pflichten besonders relevant. Die DSGVO-Artikel 44–49 begrenzen Datenübermittlungen in Drittländer. NIS2-Artikel 21 verlangt, Risiken in der Lieferkette und Konzentrationsrisiken zu steuern. Finanzunternehmen müssen nach DORA außerdem Prüfungsrechte, Vorfallmeldungen und Exit-Strategien absichern.
Damit ist Microsoft 365 nicht pauschal unzulässig. Unternehmen müssen jedoch dokumentieren, welche Daten und kritischen Prozesse betroffen sind, welche Schutzmaßnahmen gelten und wie ein Ausstieg funktioniert. Containerisierte Open-Source-Software und offene Formate vereinfachen diese Exit-Planung.
Ein belastbarer Exit-Plan beschreibt mehr als einen Datenexport. Er hält fest, in welchen Formaten Dateien, Identitäten und Protokolle vorliegen, wie lange die Übertragung dauert und welche Anwendungen währenddessen weiterlaufen müssen. Regelmäßige Export- und Wiederherstellungstests zeigen, ob der Plan praktisch funktioniert. Das reduziert nicht nur Rechtsrisiken, sondern auch die Folgen von Ausfällen oder Vertragsänderungen.
Die Bewertung sollte nach Schutzbedarf differenzieren. Öffentliches Material, interne Dokumente und besonders sensible Daten stellen unterschiedliche Anforderungen an Verschlüsselung, Protokollierung und Zugriff. So entsteht keine pauschale Entscheidung für oder gegen einen Anbieter, sondern eine nachvollziehbare Zuordnung von Daten und Diensten. Genau diese Dokumentation hilft später bei Audits und bei der Priorisierung der Migration.
Den Stack auf runtiq betreiben
Nextcloud, ONLYOFFICE, Collabora, Keycloak und Mailcow laufen als getrennte Container. runtiq betreibt diesen Stack als österreichischer PaaS unter EU-Jurisdiktion und ohne Abhängigkeit von US-Infrastruktur.
Die Trennung schafft klare technische Grenzen. Der Document Server kann nur intern mit Nextcloud kommunizieren, Datenbanken müssen nicht öffentlich erreichbar sein und Identität bleibt ein eigener Dienst. Dadurch lassen sich Komponenten unabhängig betreiben und aktualisieren. Gleichzeitig bleiben Monitoring, Secrets, DNS und Deployment an einer Stelle verwaltbar.
Auto-detect CI/CD: Nach dem Push übernimmt die Pipeline Build und Deployment. Gepflegte Images gibt es direkt von den Projekten.
Private Networking: Nextcloud, ONLYOFFICE und Datenbanken kommunizieren intern. Nur notwendige Dienste sind öffentlich erreichbar.
Managed DNS und Ingress: DNS, TLS-Zertifikate und Routing für office.yourcompany.com, docs.yourcompany.com und auth.yourcompany.com werden verwaltet.
Vault-kompatible Secrets: Passwörter und OAuth/OIDC-Schlüssel lassen sich sicher speichern und ohne Neudeployment rotieren.
Observability: Logs, Metriken und Alerts stehen für jeden Container ab dem ersten Deployment bereit.
Compliance-Dokumentation: AVV, NIS2/DORA-Berichte und Workflows für Vorfallmeldungen sind von Anfang an enthalten.
Auf der Preisseite findest du alle Details. Wenn du eine Migration evaluierst, ist der richtige erste Schritt ein Audit deiner aktuellen Microsoft 365-Abhängigkeitskarte — dabei können wir helfen.