openDesk macht die Software souverän. Dieser Leitfaden zeigt, wer die Dokumente entschlüsseln kann, was Community und Enterprise unterscheidet und wie Schlüssel im eigenen HSM bleiben.
openDesk bündelt quelloffene Software für den Arbeitsplatz der öffentlichen Verwaltung: Nextcloud für Dateien, Collabora Online für Office-Dokumente, dazu Mail, Kalender, Chat, Videokonferenz und Projektmanagement. Herausgeber ist das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS), im Auftrag des Bundesministeriums des Innern [1]. Eingesetzt wird openDesk unter anderem beim Robert Koch-Institut, beim Bundesamt für Seeschifffahrt und Hydrographie (BSH) und bei der FITKO; die BWI hat einen Rahmenvertrag zur Bereitstellung für die Bundeswehr unterzeichnet [2].
Damit ist die Software souverän: Quellcode offen, Betrieb in Deutschland oder bei der Verwaltung selbst, keine Abhängigkeit von einem einzelnen Hersteller. Die Frage nach den Schlüsseln ist damit noch nicht beantwortet. Dieser Leitfaden zeigt, wer in openDesk Dokumente entschlüsseln kann, was die Community- und die Enterprise-Edition unterscheidet, und wie eine Verwaltung die Hauptschlüssel ihrer Dateien in ihrem eigenen HSM behält, ohne openDesk zu verändern.
Datensouveränität hat drei Ebenen:
Die dritte Ebene entscheidet, was eine Lücke in der Webplattform kostet. Der IT-Grundschutz-Baustein CON.1 des BSI verlangt, langlebige Schlüssel außerhalb der Systeme aufzubewahren, die sie nutzen [4]. In einer Standardinstallation von Nextcloud liegt der Schlüssel der serverseitigen Verschlüsselung jedoch auf dem Server, der die Dokumente anzeigt [5].
Die öffentliche openDesk-Dokumentation nennt eine Ende-zu-Ende-Verschlüsselung für den Chat und OpenPGP für E-Mails, aber keine Dateiverschlüsselung mit Schlüsseln, die von der Verwaltung gehalten werden [3]. Für Dateien gelten die Möglichkeiten der enthaltenen Nextcloud: die serverseitige Verschlüsselung, bei der der Server entschlüsseln kann, und die Ende-zu-Ende-Verschlüsselung, die eine Bearbeitung im Browser ausschließt. Den Vergleich dieser Modelle beschreibt der Artikel Nextcloud-Verschlüsselung im Vergleich.
openDesk gibt es als Community Edition und als Enterprise Edition. Beide enthalten dieselben Datei- und Office-Komponenten, Nextcloud 33 und Collabora Online 26.04 [1]. Der Unterschied liegt im Support und in den Sicherheitskorrekturen.
| openDesk Community | openDesk Enterprise | openDesk mit DuoKey SecureFolder | |
|---|---|---|---|
| Herausgeber | ZenDiS, im Auftrag des BMI [1] | ZenDiS | ZenDiS und DuoKey |
| Datei- und Office-Komponenten | Nextcloud 33 und Collabora Online 26.04 [1] | Ebenso | Ebenso: die Versionen, auf denen das Gateway validiert ist |
| Support | Community, ohne Servicezusage [6] | Support mit SLA, Korrekturen, 2nd und 3rd Level [6] | DuoKey-Support für SecureFolder |
| Nextcloud-Sicherheitskorrekturen | Öffentlich | Einschließlich der Nextcloud Enterprise vorbehaltenen Korrekturen [6] | Abhängig von der openDesk-Edition |
| Von der Verwaltung gehaltene Schlüssel für Dateien | In der öffentlichen Dokumentation nicht erwähnt [3] | In der öffentlichen Dokumentation nicht erwähnt | Ja: KEK im HSM der Verwaltung |
| Gemeinsame Bearbeitung verschlüsselter Dokumente | Nicht dokumentiert | Nicht dokumentiert | Ja |
| SaaS-Hosting | Nicht zutreffend | Partner, die den BSI-C5-Katalog erfüllen [3] | Gateway bei der Verwaltung oder bei DuoKey (EU oder Schweiz) |
Die Enterprise Edition verkürzt das Zeitfenster, in dem eine bekannte Lücke offen bleibt. Sie ändert nicht, wer die Dateien entschlüsseln kann. Kundengehaltene Schlüssel sind deshalb kein Ersatz für Enterprise, sondern eine Ergänzung: Enterprise senkt die Wahrscheinlichkeit einer Kompromittierung, ein Schlüssel außerhalb der Plattform begrenzt ihre Folgen.
DuoKey SecureFolder wurde auf openDesk Community Edition v1.20.0 validiert (Nubus, Nextcloud 33.0.9, Collabora Online 26.04.4), über die offiziellen Anpassungsmöglichkeiten und ohne Änderung an openDesk. Die Anmeldung läuft per OpenID Connect über den Keycloak von openDesk; das Gateway greift mit dem Token des Benutzers auf Nextcloud zu.
Das Prinzip:
Für die Benutzer ändert sich wenig: ein neuer Menüeintrag, dieselbe Oberfläche, dieselbe gemeinsame Bearbeitung.
Abbildung 1. Betriebsmodelle. In Rot: die Bearbeitungszone, die einzige, die Klartext sieht.
Im SaaS-Modell ist die Architektur definiert und eine Demo-Umgebung in Arbeit. Hosting in der Schweiz ist ebenfalls geplant. Wer heute startet, beginnt mit dem On-Premises- oder Hybridbetrieb.
Abbildung 2. Rollentrennung.
Ein Dokument öffnet sich nur, wenn zwei Prüfungen bestehen: Die Nextcloud-Freigabe muss vorhanden sein, und das Cockpit muss das Recht auf den Ordnerschlüssel bestätigen. Wenn der Nextcloud-Administrator nicht zugleich das Cockpit verwaltet, kann kein einzelnes Team allein auf vertrauliche Ordner zugreifen. Auf Wunsch gilt für Rechte das Vier-Augen-Prinzip.
Quellen geprüft am 8. bis 10. November 2026.
Geschrieben von
DuoKey Team
Verwandte Ressourcen
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.
