Fallstudie: Wie ein technischer Dienstleister mit 180 Mitarbeitern die Datenhoheit zurückgewann

Die Diskussion über digitale Souveränität, den US CLOUD Act und IT-Compliance wird oft auf einer sehr theoretischen Ebene geführt. Wie konkret jedoch der Handlungsdruck im Mittelstand werden kann, zeigt die strukturierte Analyse eines Transformationsprojekts bei einem technischen Dienstleister für Anlagenwartung und Instandhaltung.

Mit rund 180 Mitarbeitern in der DACH-Region - ein Großteil davon im mobilen Außeneinsatz bei verschiedenen Industrieunternehmen - stand der Betrieb vor der Herausforderung, gewachsene Strukturen fit für die verschärften Anforderungen des Marktes zu machen. Diese Fallstudie dokumentiert den Weg von einer fragmentierten US-SaaS-Landschaft hin zu einer integrierten, souveränen Business-Plattform.

Die Ausgangslage: Funktional stabil, strategisch angreifbar

Das Unternehmen betrieb über Jahre hinweg ein IT-Setup, wie es in vielen mittelständischen Betrieben zu finden ist. Da keine große, interne IT-Abteilung für die Anwendungsentwicklung existierte, setzte man auf schnell verfügbare Standard-Werkzeuge vom Markt:

• Kommunikation & Office: Microsoft 365 (Teams, SharePoint, OneDrive)
• Kundenservice & Support: Zendesk für das Ticketing der eingehenden Störungsmeldungen
• Verträge & Protokolle: DocuSign für die digitale Signatur von Wartungsberichten im Außendienst

Aus operativer Sicht funktionierte diese Struktur. Die Mitarbeiter kannten die Oberflächen, und der administrative Aufwand schien minimal, da Updates und Wartung direkt von den Cloud-Anbietern übernommen wurden.

Der Wendepunkt: Regulatorischer Druck durch KRITIS-Kunden

Die Risikobewertung änderte sich grundlegend, als mehrere Schlüsselkunden aus der Energie- und Wasserwirtschaft (KRITIS-Umfeld) im Zuge ihrer jährlichen Sicherheits-Audits detaillierte Lieferanten-Fragebögen vorlegten.

Die Kernfragen der Auditoren trafen den wunden Punkt der gewachsenen IT-Struktur:

1. In welchem konkreten Rechtsraum werden die auftragsbezogenen Wartungsprotokolle und Netzinfrastruktur-Skizzen verarbeitet?
2. Wie wird technisch und rechtlich ausgeschlossen, dass ausländische Behörden (z. B. über den US CLOUD Act) Zugriff auf die internen Daten der kritischen Infrastruktur erhalten?
3. Welche dokumentierte und erprobte Exit-Strategie existiert, falls ein SaaS-Anbieter kurzfristig ausfällt oder die regulatorischen Bedingungen nicht mehr erfüllt?

Die pauschale Antwort, dass die Daten in den europäischen Rechenzentren der US-Anbieter liegen, wurde von den Auditoren nicht mehr akzeptiert. Ein Großkunde knüpfte die anstehende Verlängerung eines millionenschweren Rahmenvertrags explizit an die Bedingung, dass geschäftskritische Projektdaten vollständig aus US-Cloud-Strukturen abgezogen werden müssen. Als zeitgleich der betreuende IT-Infrastruktur-Partner eine Preiserhöhung von 25 % ankündigte, wurde aus der Compliance-Frage eine strategische Kernentscheidung.

Die Transformation: Plattformdenken statt Logo-Tausch

Das Ziel des Projekts war nicht, einzelne Software-Logos eins zu eins zu ersetzen. Stattdessen sollte eine konsistente, tief integrierte Gesamtarchitektur entstehen, die vollständig im europäischen Rechtsraum betrieben wird, aber den gewohnten Komfort moderner Cloud-Systeme beibehält.

Das neue Architektur-Fundament wurde auf Basis von Managed Open Source auf einer souveränen Plattform-Infrastruktur in deutschen Rechenzentren hochgezogen:javascript [Altes Setup: US-SaaS-Silos] –> Microsoft 365 | Zendesk | DocuSign v [Neues Setup: Souveräne Plattform] –> Nextcloud / Mattermost / Zammad / Docuseal Orchestriert über ein zentrales IAM (Authentik)

1. Konsolidierung der Kernprozesse

• Kommunikation & Austausch: Anstelle von MS Teams und SharePoint wurde Mattermost für die Echtzeit-Absprache des Außendienstes und Nextcloud für die versionierte Dokumentenablage eingeführt.
• Service-Desk: Zammad übernahm das vollständige Ticketing inklusive SLA-Tracking und Eskalationslogik.
• Digitale Signatur: Docuseal wurde direkt in den Workflow integriert, um Wartungsprotokolle direkt vor Ort medienbruchfrei und rechtssicher digital zu unterzeichnen.

2. Tiefe Prozess-Integration

Der entscheidende Schritt weg vom reinen Werkzeug-Tausch war die Verknüpfung der Systeme über standardisierte APIs. Wenn ein neuer Wartungsauftrag in Zammad eingeht, erstellt die Plattform im Hintergrund vollautomatisch einen passenden Projektordner in Nextcloud und öffnet einen temporären Absprache-Kanal für das Techniker-Team in Mattermost. Sobald der Kunde das Protokoll via Docuseal signiert, wandert das Dokument ohne manuelles Zutun direkt in das revisionssichere Archiv.

3. Zentraler Schutz durch eine IAM-Schicht

Über alle Anwendungen hinweg wurde Authentik als zentrales Identitätsmanagement (Single Sign-On) geschaltet. Mitarbeiter nutzen nur noch einen einzigen, per Multi-Faktor-Authentifizierung (MFA) geschützten Zugang für alle Werkzeuge. Verlässt ein Mitarbeiter den Betrieb, lässt sich der Zugriff systemübergreifend mit einem Klick sperren.

Die Ergebnisse: Messbarer Erfolg auf allen Ebenen

Die vollständige Migration der Kernanwendungen wurde innerhalb eines engen Zeitfensters von sechs Monaten realisiert. Die Auswirkungen auf das Unternehmen waren tiefgreifend:

• Vertragssicherheit & Compliance: Das Sicherheits-Audit der KRITIS-Kunden wurde fehlerfrei bestanden. Die lückenlose Datensouveränität ist nun technisch und rechtlich belegbar, was zur sofortigen Verlängerung des gefährdeten Rahmenvertrags führte.
• Drastische Kostensenkung: Durch den Wegfall der pro-Kopf-lizenzierten US-SaaS-Modelle und die Konsolidierung der Infrastruktur sanken die jährlichen Software- und Betriebskosten um rund 40 %. Die Kostenentwicklung ist nun entkoppelt von der Mitarbeiterzahl und rein an die tatsächlich genutzte Rechenleistung gebunden.
• Hohe Mitarbeiterakzeptanz: Da die Systembrüche und das permanente Eingeben unterschiedlicher Passwörter entfielen, wurde die neue Plattform vom Team, insbesondere im mobilen Außendienst, schnell akzeptiert. Der Workflow läuft flüssiger als in der alten Struktur.

Fazit: Souveränität als Business-Enabler

Diese Fallstudie zeigt exemplarisch, dass der Ausstieg aus der Abhängigkeit globaler US-SaaS-Monopole für den Mittelstand keine rein defensive Schutzmaßnahme ist. Wer den Wandel nicht als lästige Pflicht, sondern als Chance für echtes Plattformdenken begreift, gewinnt nicht nur die volle Kontrolle über seine Daten zurück. Er steigert seine Prozesseffizienz, senkt nachhaltig die Betriebskosten und schafft ein unumstößliches Argument im B2B-Vertrieb mit anspruchsvollen, regulierten Kunden.

FAQ: Best Practices aus dem Migrationsprojekt

Wie wurde die Migration der historischen Daten gelöst?

Für den Projekterfolg war es entscheidend, dass keine historischen Projektdaten verloren gingen. Die Migration wurde phasenweise durchgeführt: Über standardisierte API-Skripte wurden die Ticket-Historien aus Zendesk exportiert und strukturiert in Zammad eingepflegt. Die Dokumente aus SharePoint wurden automatisiert in die neue Nextcloud-Ordnerstruktur überführt, wobei die bestehenden Dateiversionen und Metadaten erhalten blieben.

Musste das Unternehmen für den Betrieb neue IT-Spezialisten einstellen?

Nein. Das war eine Grundvoraussetzung der Geschäftsführung. Der gesamte Betrieb, das Monitoring, die Backups und das Patch-Management der Open-Source-Plattform wurden als Managed Service an einen spezialisierten europäischen Partner übertragen. Für die internen IT-Verantwortlichen fühlt sich das System im Alltag genauso wartungsfrei an wie eine herkömmliche SaaS-Lösung - jedoch mit dem Unterschied, dass die Datenhoheit komplett im eigenen Unternehmen verbleibt.

Gab es während der Umstellungsphase Ausfallzeiten im Betrieb?

Durch den Einsatz moderner Container–Architekturen konnte die neue Plattform parallel zur bestehenden SaaS-Struktur aufgebaut und getestet werden. Die eigentliche Umschaltung der Live-Systeme erfolgte an einem Wochenende. Am darauffolgenden Montag konnten die Mitarbeiter nahtlos in der neuen Umgebung weiterarbeiten, ohne dass der laufende Kundenservice oder die Einsätze im Außendienst unterbrochen wurden.