Checkliste Behörden und KMU
In drei Sätzen verstanden
Fünf Phasen für institutionelle Migration: Phase 0 Datenklassifizierung (3-6 Monate), Phase 1 Pilot in einer Abteilung (6-12 Monate), Phase 2 Identity-Migration (12-24 Monate), Phase 3 Office-Workflow-Migration (24-48 Monate), Phase 4 Vollausbau (48-60 Monate). Realistisch: 4-5 Jahre für vollständige Microsoft-365-Ablösung.
Mechanik
Phase 0 — Datenklassifizierung (3–6 Monate)
- Inventar aller Daten der Verwaltung
- Klassifizierung in drei Tiers:
- Tier 1 — Klassifiziert (z. B. Geheim, Vertraulich, GEHEIM/CH)
- Tier 2 — Hochrisiko (Gesundheits-, Anwalts-, kritische Infrastruktur-Daten)
- Tier 3 — Normal (sonstige Verwaltungsdaten)
- Definition der Schutzziele je Tier (Vertraulichkeit, Integrität, Verfügbarkeit, Rechtsraum)
- Konsultation EDÖB und ggf. EFD/BIT
Phase 1 — Pilot (6–12 Monate)
- Eine Abteilung (20–50 Personen) migriert vollständig auf den souveränen Stack
- Kernkomponenten:
- Nextcloud (Files, Calendar, Contacts, Talk)
- Collabora Online (Office-Suite)
- LLDAP (Identitätsverzeichnis)
- Erfahrungs-Logbuch führen
- Schulungsmaterial und Helpdesk-Prozesse entwickeln
Phase 2 — Identity-Migration (12–24 Monate)
- Zentrale Identitäts-Infrastruktur ablösen
- Von Entra ID / Active Directory → zu Keycloak + LLDAP
- Identitäts-Sync für Übergangszeit (beide Systeme parallel)
- SAML-/OIDC-Anbindungen für Drittanwendungen migrieren
- MFA-/Hardware-Token-Rollout (YubiKey / Nitrokey)
Phase 3 — Office-Workflow-Migration (24–48 Monate)
| Microsoft-Produkt |
Souveräner Ersatz |
| Word, Excel, PowerPoint |
LibreOffice via Collabora |
| Teams |
Mattermost oder Nextcloud Talk |
| OneDrive, SharePoint |
Nextcloud Files |
| Outlook / Exchange Online |
Roundcube / Thunderbird mit Schweizer Mail-Provider |
| Power BI |
Apache Superset / Metabase |
- Pro Anwendungs-Domäne Schulung und Übergangsbegleitung
- Migrationswelle pro Direktion / Departement
- Datenmigration mit Integritätsprüfung
Phase 4 — Vollausbau (48–60 Monate)
- Microsoft-Lizenzen kündigen
- Telemetrie- und Cloud-Verbindungen abschalten
- Hybrid-Schichten dokumentieren für unvermeidbare Spezial-Workloads (z. B. branchenspezifische Fachanwendungen)
- Souveränitäts-Audit durch unabhängige Stelle (EDÖB oder neue Aufsicht gemäss BGDS-Vorschlag)
Beispiel — Migration einer mittleren Schweizer Kantonsverwaltung
Fiktives Anwendungs-Beispiel zur Illustration der Phasen — konkrete Zahlen
und Zeitpunkte sind illustrativ.
Ausgangslage
- Kantonsverwaltung mit 2'400 Mitarbeitenden in zwölf Direktionen
- Aktuelle Plattform: Microsoft 365 E5 (Switzerland-North-Region), Entra ID,
Azure-AD-gekoppelte Fachanwendungen
- Lizenzkosten heute: rund CHF 1.8 Mio/Jahr (geschätzt)
- Cloud-Service-Vereinbarung 2021, Verlängerung 2026 zur Disposition
Phasenverlauf
| Phase |
Zeitraum |
Konkrete Massnahme |
Beteiligte |
| 0 |
2026 Q3–Q4 |
Datenklassifizierungs-Projekt mit EDÖB; Identifikation Tier-1 (~5 %), Tier-2 (~25 %), Tier-3 (~70 %) |
Datenschutzbeauftragte:r, Direktions-IT, EDÖB |
| 1 |
2027 Q1–Q4 |
Pilot in der Direktion für Justiz und Sicherheit (35 Mitarbeitende): Nextcloud + Collabora + LLDAP statt M365 |
IT-Abteilung, Pilot-Direktion |
| 2 |
2028 Q1–Q4 |
Identity-Migration: Keycloak + LLDAP als zentrale Identitäts-Plattform; Entra ID parallel für Übergangs-Apps |
IT-Architektur, alle Direktionen |
| 3 |
2029 Q1 – 2030 Q4 |
Welleweise Direktions-Migration: pro Quartal eine Direktion wechselt auf souveränen Stack |
Direktions-Champions, Schulungsteam |
| 4 |
2031 Q1–Q2 |
Restdirektionen + Microsoft-Lizenz-Kündigung; Aufrechterhaltung Hybrid für 3 Spezial-Workloads (z.B. Fachanwendung mit Microsoft-Abhängigkeit) |
IT-Leitung, Beschaffung |
Erwartete Kennzahlen am Ende
- Tier-1-Daten: 100 % auf souveränem Stack (Schweizer Hosting, Schweizer Verträge)
- Tier-2-Daten: ~95 % auf souveränem Stack
- Tier-3-Daten: ~80 % auf souveränem Stack, ~20 % Hybrid für branchenspezifische Fachapps
- Lizenzkosten Jahr 5: geschätzt CHF 0.4 Mio/Jahr (eigene Infrastruktur + Schweizer SaaS) gegenüber CHF 1.8 Mio/Jahr Microsoft heute
- Investitionskosten kumuliert über 5 Jahre: geschätzt CHF 6–8 Mio (Software, Hardware, Schulung, externe Beratung)
- Break-even der laufenden Kosten: typischerweise im 5.–7. Betriebsjahr
Kritische Erfolgsfaktoren (Erfahrungswerte aus EU-Beispielen)
- Regierungsrats-Mandat mit Mehrheitsentscheid vor Beginn — sonst stockt der Prozess in Phase 2/3
- Pilot-Direktion mit motivierter Leitung — Vorbild für die anderen
- Schulungsbudget mind. 5–10 % der Migrationskosten
- Externe Beratung mit OSS-Migrationserfahrung (z. B. CH-Open-Netzwerk)
Quellenhinweis: Diese Beispiel-Kennzahlen sind illustrativ und basieren auf
öffentlich dokumentierten Migrationen in EU-Verwaltungen (Stadt München
2003–2017, französische Gendarmerie, niederländische Gemeinden). Konkrete
Schweizer Vergleichswerte sind in einzelnen kantonalen Erfahrungsberichten
(Waadt, Genf) teilweise dokumentiert.
Was das für die Schweiz bedeutet
Beispiele: Stadt Bern (LibreOffice-Tests), Kanton Waadt (OSS-Strategie), Kanton Genf (eingeschränkter LibreOffice-Einsatz). Schweizer KMU-Pioniere im Beratungs-, Anwalts- und Gesundheitsbereich. Hauptbarriere: politische Priorität und Schulungs-Budget.
Logische Schlussfolgerung
Institutionelle Migration ist machbar, aber sie kostet Geld und politische Energie. Ohne klares Mandat von oben endet sie in Pilotprojekten.
Was sich daraus für die Gesetzgebung ergibt
Hinweis: Die folgenden Punkte sind Empfehlungen aus dem BGDS-Entwurf (Sektion 6) — kein geltendes Recht, sondern Vorschläge für eine künftige Schweizer Gesetzgebung.
Kein direkter Bezug zum BGDS-Empfehlungsentwurf — geltendes Recht oder Reisepraxis sind hier ausreichend.
Weiterlesen
Quellen
- BIT, Open-Source-Strategie — Link
- Stadt Bern, Kanton Waadt — Erfahrungsberichte — Link
- EU-Kommission FOSS Maturity Model — Link