Mails und Videokonferenzen ohne Abhängigkeit von Big Techs

Ob E-Mail, Dokumentenverwaltung oder Kalender: Für viele Banken und Versicherungen sind heutige Digital-Workplace-Plattformen das digitale Nervensystem der täglichen Arbeit. Kommunikation, Kollaboration, Wissensaustausch und Informationsmanagement laufen in einer Umgebung zusammen, die Mitarbeitende über Standorte, Abteilungen und Zeitzonen hinweg verbindet.

Chats und Videokonferenzen, Dateiablage, Workflows, Automatisierungen, Projektbereiche und interne Informationsportale – all diese Funktionen sind heute in einigen wenigen Plattformen gebündelt und unterstützen unzählige Geschäftsprozesse.

Entsprechend abhängig von diesen wenigen Anwendungen sind Banken, Versicherungen und Co. – viele Institute beziehen Services von außerhalb der EU und suchen angesichts der jüngsten geopolitischen Entwicklungen nach Wegen zu einer größeren digitalen Unabhängigkeit.

Mehr als sechs von zehn Finanzdienstleistern in Deutschland führten vor diesem Hintergrund 2025 eine umfangreiche Risikobewertung durch, hat der KPMG Cloud Monitor für Financial Services ergeben – und viele suchen nach größerer digitaler Souveränität – also nach Wegen, ihre Prozesse eigenverantwortlich, sicher und autonom zu gestalten, unabhängig von der eingesetzten Technologie und von den beauftragten Cloud-Dienstleistern.

Mit der zunehmenden Integration von KI-Funktionen – etwa für Automatisierung, kontextbezogene Informationsaufbereitung oder Unterstützung bei Entscheidungsprozessen – steigt die Bedeutung von Plattformen weiter, und damit auch die Abhängigkeit von ihnen.

Ist ein Ausstieg oder Wechsel also überhaupt möglich? Schließlich betrifft er nicht nur die Technologie und die Datenarchitektur, sondern auch Prozesse, Rollen, die Kultur sowie Routinen Die Hürden für einen Ausstieg sind hoch – und machen das Thema zu einer strategischen Herausforderung, die weit über reine IT-Fragen hinausgeht.

Hinzu kommt eine häufig unterschätzte Dimension: Lösungen von nicht-europäischen Anbietern unterliegen in der Regel auch außereuropäischen Rechts- und Zugriffsbefugnissen. Der daraus entstehende Zielkonflikt mit europäischen Vorgaben ist seit Jahren Gegenstand regulatorischer Debatten und verstärkt die strategische Relevanz eines Anbieterwechsels.

Digitale Souveränität bedeutet nicht weniger, als die Kontrolle über die eigenen Systeme, Daten und Prozesse zu behalten – und sie nicht in die Hände einzelner Anbieter oder geopolitischer Spieler zu legen.

Der Digital Operational Resilience Act (DORA) verpflichtet Finanzunternehmen dazu, Abhängigkeiten von kritischen IKT-Dienstleistern zu analysieren, Risiken zu minimieren und Ausstiegsszenarien aktiv vorzuhalten und zu testen. Ein Monopol im Unternehmen ist vor diesem Hintergrund nicht nur ein organisatorisches Risiko, sondern kann regulatorisch zum Problem werden.

Die entscheidenden Fragen lauten also, was passiert, wenn eine Plattform für den digitalen Arbeitsplatz für Mitarbeitende nicht mehr verfügbar ist – sei es durch Sanktionen, Datenschutzkonflikte oder technische Ausfälle. Und: Wie lassen sich im Ernstfall Geschäftsprozesse nahtlos fortführen – ohne tagelangen Stillstand?

Gerade für Finanzunternehmen, die unter DORA adressiert werden, ist diese Frage heute keine theoretische Überlegung mehr, sondern auch ein integraler Bestandteil der Compliance-Pflichten. Dabei ist es nicht zwingend notwendig, eine komplett souveräne technische Alternative zu wählen. Denn Souveränität ist als Ziel nicht ausdrücklich durch den Regulator vorgegeben – sie sollte aber angestrebt werden.

Ein zentrales Dilemma bei der Ablösung einer Digital-Workplace-Plattform ist der Zielkonflikt zwischen Funktionsumfang und Souveränität. Die Plattformen bieten eine nahtlose Integration, hohe Benutzerfreundlichkeit und eine beeindruckende Resilienz – also die Fähigkeit, auch bei Störungen stabil zu bleiben.

Souveräne Alternativen aus Europa sind dagegen oft modularer aufgebaut, weniger integriert und erfordern mehr Aufwand in der Administration und im Betrieb. Es gilt also, Prioritäten zu setzen: Ist maximale Funktionalität das Ziel – oder ist es die Kontrolle über Daten und Prozesse?

In vielen Fällen ist ein hybrider Ansatz sinnvoll: Kritische Prozesse werden herausgelöst und souverän betrieben, während weniger sensible Bereiche weiter über etablierte Cloud-Dienste laufen. Wichtig ist, dass Unternehmen diese Entscheidungen bewusst in die langfristige Strategie zur Souveränität aufnehmen – und nicht aus Gewohnheit oder Bequemlichkeit.

Zudem gibt es End-User-Workplace-Suiten (zum Beispiel Zendis oder Open Desk), die Open-Source-Applikationen für eine Vielzahl der Funktionen bündeln und einen Betrieb auf der eigenen Infrastruktur ermöglichen. Es sollte im Einzelfall geprüft werden, ob solche Suiten als Alternative infrage kommen.

Bei der Auswahl geeigneter Ersatzlösungen sind vier Kriterien besonders relevant:

1. Souveräner Charakter: Hosting in Europa, DSGVO- und DORA-konform, unabhängig von US-Rechtsräumen
2. Funktionsumfang: Die Lösung muss die Anforderungen des jeweiligen Teams vollständig abdecken.
3. Interkonnektivität: Die neue Lösung muss sich gut in die bestehende IT-Landschaft integrieren lassen, sowohl technisch als auch organisatorisch.
4. Migrationsfähigkeit: Lösungen müssen so aufgebaut sein, dass sie bei Bedarf auch wieder austauschbar sind.

Mithilfe dieser Kriterien lassen sich die Anbieter identifizieren, welche die eigenen Anforderungen erfüllen und als hybride Option genutzt werden können.

Ein Ausstieg aus einer bestehenden Workplace-Suite ist anspruchsvoll, weil die Bausteine in sich und andere Systeme stark integriert sind. Genau diese starke Bündelung erzeugt jedoch ein Konzentrationsrisiko, das in DORA ja ausdrücklich adressiert wird. Aus aktueller Risikolage betrachtet ist daher das hybride Vorgehen sinnvoll.

Im Mittelpunkt stehen dabei nicht nur die Alternativen, sondern auch die Herausforderungen, die ein tatsächlicher Wechsel mit sich bringt. Dazu zählen vor allem die operativen und technischen Migrationspfade (Mails, Kontakte, Terminserien, Dokumentenerstellung und mehr, die häufig unterschätzt werden.

Erste Alternativen – wie die On-Premise-Angebote der etablierten Dienstleister – scheinen naheliegend. Doch auch diese haben ihren Hauptsitz in der Regel nicht in der EU und sind damit nicht frei von regulatorischen oder geopolitischen Abhängigkeiten.

Will man echte digitale Souveränität erreichen, muss man europäische oder zumindest souveräne Alternativen prüfen – auch wenn diese stärker fragmentiert sind und es eine potenziell starke Einschränkung von Funktionalität bedeutet.

Der erste Schritt ist eine gründliche Analyse: Welche Prozesse laufen über die Workplace-Suite? Welche Funktionen sind kritisch? Diese lassen sich unter mehreren Überschriften bündeln, zum Beispiel Kommunikation, Kollaboration, Dokumentenmanagement, Wissensmanagement –, die jeweils durch spezialisierte Applikationen ersetzt werden können.

Das Identity and Access Management (IAM) bildet das Rückgrat moderner digitaler Arbeitsplattformen. Ein souveräner Wechsel bedeutet dabei vor allem, die eigene Zielarchitektur für Identitäten, Zugriffe und Vertrauensbeziehungen neu zu definieren und damit die Grundlage für einen langfristig tragfähigen, unabhängigen digitalen Arbeitsplatz zu schaffen.

Diese Neuausrichtung ist fachlich wie organisatorisch anspruchsvoll. In der Praxis sind Identitäts- und Berechtigungsstrukturen tief in Fachanwendungen, Verzeichnisdienste, Cloud-Services und hybride Betriebsmodelle integriert. IAM ist daher kein isoliertes IT-Migrationsprojekt, sondern ein zentraler architektonischer und governance-bezogener Gestaltungshebel für den Plattformwechsel und die Stärkung der digitalen Souveränität.

Auch Conditional-Access-Policys und Multi-Faktor-Mechanismen sind häufig eng an etablierte Workplace-Plattformen gekoppelt und lassen sich nicht ohne Weiteres auf alternative IAM-Systeme übertragen. Darüber hinaus vertrauen zahlreiche Drittanbieter-Integrationen – von CRM-Systemen über Dokumentenmanagementlösungen bis hin zu Cloud-Plattformen – auf den etablierten zentralen Identity Provider, was den Migrationsaufwand zusätzlich erhöht.

Der Knackpunkt einer Wechselstrategie liegt nicht im Austausch einzelner Werkzeuge, sondern im strategischen Aufbau einer konsistenten Zielarchitektur für Identitäten, Endgeräte und Zugriffssteuerung. IAM und Mobile Device Management (MDM) werden damit zu entscheidenden Komponenten eines souveränen Digital Workplace – und zugleich zu einem Schlüsselfaktor für regulatorische Konformität, etwa im Kontext von Datenschutz-, Aufsichts- und Resilienzanforderungen.

Dabei gilt, dass jedes Unternehmen für sich prüfen sollte, welche Systeme und Standards zur eigenen Architektur, zu den Compliance-Anforderungen und zum Betriebskonzept passen. Offene Schnittstellen und standardisierte Protokolle sind dabei zentrale Erfolgsfaktoren, insbesondere bei föderierten Identitäten, hybriden Setups und der Integration von Drittanwendungen.

Beispielhaft lassen sich im Bereich IAM Lösungen wie Zimbra, OpenIAM, Shibboleth oder Evolveum nennen. Diese Systeme setzen stark auf offene Standards und lassen sich flexibel in bestehende IT-Landschaften integrieren.

Auch im MDM-Umfeld entwickelt sich der Markt weiter: Es existieren zunehmend leistungsfähige Open-Source-Alternativen wie FleetMD, MicroMD oder Relution, die moderne Verwaltungs- und Inventarisierungsfunktionen bieten.

Der Weg zu einer souveränen Lösung besteht deshalb nicht in der vollständigen Nachbildung der Funktionen aus der bestehenden Umgebung, sondern in einer bewussten Auswahl solcher Werkzeuge, die funktional, organisatorisch und sicherheitstechnisch geeignet sind, einen souveränen Digital Workplace zu schaffen.

Die Auswahl ist also eng verknüpft mit der Frage, welche Funktionen man bereit ist aufzugeben, während gleichzeitig betriebliche Stabilität, Skalierbarkeit und regulatorische Konformität sichergestellt werden.

In einer Welt, in der digitale Abhängigkeiten zunehmend kritisch hinterfragt werden, kann die digitale Souveränität ein strategisches sowie regulatorisches Ziel sein – und nicht nur ein Selbstzweck. Unternehmen, die ihre digitale Souveränität stärken wollen, müssen individuelle Anforderungen identifizieren, geeignete Alternativen evaluieren und diese in einem strukturierten Prozess verproben.

Dabei gilt: Es gibt keine allgemeingültige Lösung – der Weg für das eigene Unternehmen leitet sich aus den strategischen Leitlinien ab und sollte frühzeitig auf eine schnell realisierbare Variante angepasst und um eine souveräne Variante erweitert werden.

Einen vorschnellen Wechsel anzustoßen ist nicht sinnvoll. Die aktuell vorhandenen Workplace-Suiten sind nicht grundlos Marktführer und bieten ein so nicht vorhandenes Funktionsportfolio an. Eine Hybridisierung kann unter Risikoaspekten sinnvoll sein und ist in jedem Institut als Einzelfallentscheidung zu sehen.

Dieser Text entstand unter Mitwirkung von Christian Wächter.