© Piotr Adamski / 123RF.com

Seit Jahrzehnten dominiert Microsoft Exchange den Groupware-Markt in Unternehmen. Mögliche Alternativen erwiesen sich als zu sperrig und ließen häufig vergleichbare Features und Skalierbarkeit vermissen. Grommunio will das ändern und präsentiert sich als Open-Source-basierter Drop-in-Ersatz für Exchange.

Ob auf dem Desktop, mobil oder als reine Webanwendung: Kein Konkurrent konnte sich bisher dauerhaft gegen Microsoft Exchange durchsetzen. Dabei weist das Produkt des Marktführers zahlreiche Schwächen auf und eröffnet damit eine riesige Marktchance. Administratoren haben ein gespaltenes Verhältnis zu Exchange und setzen es nur zähneknirschend ein, Microsoft spürt wachsenden Unmut bei den Nutzern.

Zu den Gründen dafür gehören die starke Herstellerbindung, die allgemein mangelnde Datenschutz-Compliance und die Anfälligkeit von Microsofts Produkten für Malware. Erst vor wenigen Wochen musste Microsoft erneut eine Schwachstelle in Exchange beheben, die die Benutzerdaten der Clients offenbart [1]. Viele Admins fühlen sich von Microsoft alleingelassen: Richtlinien, Strategien und Antworten auf Kundenbeschwerden adressieren meist eher große Installationen.

Für Fans von Open Source bringt Exchange ein weiteres Problem mit sich: Es ist kein Mailserver, der auf offenen Standards basiert. Für die interne Kommunikation verwendet es proprietäre Protokolle und APIs wie MAPI (Messaging Application Programming Interface [2]). Clients dafür sind zwar auf allen Windows-, Android- und Apple-Geräten vorinstalliert, dennoch hat Exchange einen schlechten Ruf, wenn es um die Kommunikation mit externen Diensten oder Clients von Drittanbietern geht. Microsoft verspricht zwar, freie Standards wie SMTP oder IMAP zu emulieren, lässt aber für die Kompatibilität notwendige Funktionen vermissen.

Vor allem mit dem Vormarsch Cloud-basierter Lösungen stehen viele Unternehmen unter Druck, ihre Daten an Konzerne wie Google, Apple oder Microsoft zu übergeben. Auch der Kurs der Microsoft-Flaggschiffe weist in Richtung eines reinen Cloud-Angebots. Exchange und andere Produkte wie MS Office gehen immer mehr darin auf. Zwar gibt es Exchange bislang noch On-Premises, aber auch hier setzt Redmond zunehmend auf Cloud-Produkte [3].

Europäische Unternehmen können ihre Daten nicht in eine Cloud eines Drittanbieters übertragen, erst recht nicht, wenn sie in einer anderen Rechtsregion oder von einem dort ansässigen Unternehmen gehostet wird. DSGVO, Haftungs- und Datenschutzerwägungen verbieten das. Wenn es um Daten der öffentlichen Verwaltung oder beispielsweise besonders sensible Gesundheitsdaten geht, sind die Grenzen noch enger gesteckt. Es gibt also einen wachsenden Markt, der eine Alternative zu Microsoft Exchange benötigt. Die muss sich weiterhin lokal auf eigenen Servern hosten lassen, transparent und nachweislich unter der Kontrolle des Unternehmens selbst.

Mit Grommunio [4] ist 2021 ein neuer Mitspieler am Markt aufgetaucht, der sich als weitgehend vollständiger Ersatz für Microsoft Exchange präsentiert. Darüber hinaus verspricht das Wiener Startup Funktionen wie die Unterstützung des MAPI-over-HTTP-Protokolls, Dateisynchronisation (Owncloud), Chat (Mattermost) und Videokonferenzen mit einem eigenen Jitsi-Fork (Abbildung 2).

Abbildung 1: Video, Chat, Notizen, Aufgaben: Grommunios ursprünglicher Name leitet sich vom Claim “groupware and much, much more” ab. Quelle: Grommunio.com

Für Clients transparent

Seinen Entwicklern zufolge unterstützt Grommunio sowohl das 2017 von Microsoft eingestellte Protokoll RPC-over-HTTP als auch das neuere MAPI-over-HTTP [5] und bietet ActiveSync für mobile Geräte. Im Gegensatz zu Exchange lockt die quelloffene Groupware zusätzlich mit Standardprotokollen für andere Clients. Hier reicht die Palette von CalDAV (Kalender) und CardDAV (Adressbuch) bis hin zu einer Vielzahl von Microsoft Exchange-Protokollerweiterungen.

Laut Hersteller lässt sich eine Grommunio-Instanz problemlos in eine bestehende Windows-Active-Directory-Domäne integrieren. Dabei dient Linux als Betriebssystem (OpenSuse, Ubuntu, Red Hat, RasPi OS), was die Lösung deutlich robuster gegen Malware und Hacker macht. Wie seine Konkurrenten bringt Grommunio eine Reihe typischer Zusatzdienste mit. Die Anwender können individuelle Notizen und Aufgaben verwalten, über Chat, Video- und Audio-Telefonie kommunizieren und Dateien über ein Sync-Tool austauschen. Durch die modulare Komponentenarchitektur lässt sich beispielsweise der Chat mit einem einfachen Befehl wie »zypper in Grommunio-chat« einbinden. Seit der Version 2021.08.1 steht in der Setup-Routine ein Menü bereit, über das der Admin Module an- oder abwählt.

Grommunio wirbt für die Basisfunktionen mit nahezu freier Client-Auswahl – die offenen Standards machen es möglich. Über das Angebot von Exchange hinausgehende Features jedoch sind fürs Erste nur über die Weboberfläche verfügbar. Apps für mobile Geräte stehen auf der Roadmap, für Chat und Meet (Jitsi) liegen sei Kurzem bereits welche im Playstore vor (Abbildung 2). Als Client akzeptiert Grommunio jeden (mobilen) Exchange-Client, der sich über Active Sync oder andere Protokolle verbindet. Die Benutzer bemerken dabei nicht, ob sie das neue Konto auf einem echten Exchange oder auf Grommunio hinzufügen. Nach der Eingabe von Benutzernamen und Passwort verrichtet der Client wie gewohnt seinen Dienst. Nicht durch die Microsoft-API oder Herstellerprotokolle unterstützte Funktionen wie Dateisynchronisation, Anrufe, Chat oder Videokonferenzen will Grommunio über separate Apps bereitstellen.

Abbildung 2: Grommunio wird stetig und schnell weiterentwickelt: Die Version vom August 2021 brachte viele Neuerungen, darunter einen Migrationsassistenten sowie zwei Apps im Playstore für Meetings und Chats.

Skalieren per Sharding

Wie Exchange nutzt Grommunio Sharding, um nahtlos zu skalieren. Im Wesentlichen steckt dahinter ein Verteilen horizontal partitionierter Datenbanken auf mehrere Hosts. Grommunio kann – für den Nutzer transparent – mehrere, auf verschiedene Server abgelegte Shards verwenden. Admins fügen im Speicher-Backend bei Platzmangel einfach einen weiteren Server oder ein Konto in einer Cloud hinzu.

Anders als seine Mitbewerber setzt Grommunio eine MySQL-Datenbank nur für die Metadaten ein, während es Content-Daten wie Mail- und Groupware-Objekte in einer SQLite-Datenbank pro Benutzer speichert (Abbildung 3). Die Plattform erlaubt Multi-Domain- und Multi-Tenant-Setups und läuft laut Herstellerangaben mit jedem POSIX-konformen Storage-Backend.

Abbildung 3: Grommunios Service-Architektur basiert auf Sharding.

Einstieg

Die Software beziehen Sie über Github [6] oder als gepackte Distribution von Grommunios Kunden-Repository-Service [7] oder Community-Repository-Service [8]. Intern verwendet Grommunio einen OpenSuse Build Server [9].

Initial stellt Grommunio eine ISO-Datei zur Verfügung, die direkt in die Installationsroutine bootet. Nach einem Neustart wartet der Setup-Assistent auf die erste Konfiguration der neuen Grommunio-Instanz. Als Erstes importieren Sie ein bestehendes SSL-Zertifikat oder erstellen eines über ein mitgeliefertes Skript via Let’s Encrypt.

Installation, Konfiguration und Fehlersuche finden auf der Grommunio-Konsolenoberfläche statt (Abbildung 4). Der Installationsassistent fragt, ob er die Daten auf der ersten gefundenen Festplatte löschen darf. Anschließend zeigt Grommunio den Admin-Login und die getroffenen Entscheidungen an (Abbildung 5).

Abbildung 4: Vor der Installation gilt es, sich via [F2]+ anzumelden und mittels [F5] die Tastatursprache auszuwählen.

Abbildung 5: Vor Ende des Setups informiert Grommunio Sie über die gewählten Einstellungen.

Im nächsten Schritt legen Sie weitere Installationsparameter wie die korrekte(n) Mail-Domain(s) fest. Unabhängig davon, auf welcher Plattform Grommunio installiert ist, arbeiten Sie dabei auf der Grommunio-CLI, dem Admin-GUI oder im Web-Interface. Sowohl im Browser (Abbildung 6) als auch auf der Shell (Abbildung 7) stehen viele Möglichkeiten bereit. Die Anwender können im Web-Interface beispielsweise einzelne Module für sich an- oder abschalten (Abbildung 8).

Abbildung 6: Das Web-Interface des Grommunio-Servers bringt für den Administrator umfangreiche Monitoring-Funktionen mit.

Abbildung 7: Auch an der Linux-Befehlszeile kann der Admin zahlreiche Einstellungen setzen und Module installieren.

Abbildung 8: Ob Desktop Notifications oder Dateivorschau: Die Anwender konfigurieren ihre Module im Web-Interface.

Um die Mail-Domain mit Benutzern anzureichern, wechseln Sie im Web-Interface in den Bereich Domains (Abbildung 9) und bearbeiten dort die Domain list (Abbildung 10).

Abbildung 9: Domänen, Accounts, Benutzer und Rollen verwaltet …

Abbildung 10: … der Administrator ebenfalls vom Webbrowser aus.

Da das ISO-Image auf OpenSuse aufbaut, nutzt es dessen Standardwerkzeuge. Das beinhaltet auch YaST für die Netzwerkkonfiguration und Zypper für die Paketverwaltung: Der Befehl »zypper ref« gefolgt von »zypper up« aktualisiert die RPM-Pakete, »gromox-dbop -U« das Datenbankschema. Anschließend empfiehlt sich ein Neustart.

Performance

Je näher eine Software beim Anwender liegt, desto wichtiger ist die Performance für die Akzeptanz des gewählten Tools. Dass bei Diensten wie E-Mail und Kalender die positive Benutzererfahrung massiv von der Reaktionsfähigkeit und Geschwindigkeit abhängt, mussten bereits zahlreiche gescheiterte Open-Source-Groupware-Systeme erfahren. Dauert das Empfangen einer E-Mail zu lange, dann macht sich schnell Unzufriedenheit breit. Komponenten, die eine Verzögerung verursachen, würde man aufgrund von Architekturentscheidungen verwerfen, da sie massive Hardwareanforderungen für große Setups implizieren. Gut gecodete Software ist immer billiger als neue Hardware.

Das weiß man auch bei Grommunio: Die Wiener sprechen von bis zu 50 000 aktiven Postfächern auf einem High-End-Server. Ob das stimmt, müssen Tests noch beweisen. Funktionstests liefern derzeit vielversprechende Ergebnisse, was laut der Entwickler auch an der Eleganz von MAPI over HTTP liegt: Microsoft habe hier gute Arbeit geleistet, und davon profitiere auch Grommunio. MAPI over HTTP ist lastverteilbar, Proxy-fähig und hat sich als sehr praktisch in Sachen Skalierbarkeit erwiesen – eine Aufgabe, an der viele Open-Source-Groupware-Projekte bereits scheiterten.

Löcher schließen

Mail- und Groupware-Server im Microsoft-Kosmos sind häufig Hauptschauplatz des Cyberschlachtfelds. In der Vergangenheit erfolgten die größten Malware-Angriffe stets über diese Infrastruktur, ein vollständiger Schutz scheint unmöglich. Obwohl Outlook und Office 365 als Angriffsvektoren bei Grommunio erhalten bleiben, lassen sich zwei der Haupteinfallstore für Hacker erheblich besser sichern: der Groupware-Server selbst und sein Betriebssystem. Kein Windows mehr, kein Warten auf Firmen-Patches und zudem eine Open-Source-Community, die bei der Behebung von Fehlern und Sicherheitslücken hilft – das klingt vielversprechend.

Standardmäßig läuft Grommunio unter vielen Linux-Distributionen auf Plattformen vom Z-Series-Mainframe bis zum Raspberry Pi. Über eine entsprechend Anbindung dienen Active-Directory- oder LDAP-Verzeichnisse bei der Authentifizierung als automatische Quelle für Benutzernamen. Da der Server die in Linux verbauten Pluggable Authentification Modules (PAMs) integriert, funktionieren auch Tokens und alle anderen bekannten PAM-Lösungen, sofern der Client Challenge-Response unterstützt. Dasselbe gilt für Clients wie Outlook, Thunderbird, Apple Mail, Gmail oder Evolution: Was auch immer deren Betriebssysteme für die Authentifizierung erlauben, funktioniert mit dem Grommunio-Server analog zu Microsoft Exchange.

Mobiler Einsatz

Grommunios Mobile Device Management (MDM) basiert auf den in Microsoft Exchange enthaltenen Funktionen. Zusammen mit Grommunio Sync kümmert es sich um die Freigabe und Synchronisation von Postfächern und ermöglicht, auf freigegebene Ordner je nach Berechtigung des Benutzers zuzugreifen. Daneben gibt es eine Unterstützung für Remote Wipe, Device Policies sollen laut Hersteller folgen. Remote Wipe und einige andere Funktionen lassen sich im Administrator-Panel in der Web-GUI ohne Benutzerinteraktion konfigurieren.

Es gibt keine gesonderte App für MDM, denn Grommunio nutzt genau wie Exchange die Funktionen der Microsoft-Exchange-Clients, die durch Provisionierung in mobilen Geräten als “Konten” getarnt werden. Nach deren Einrichtung kann der Administrator das Telefon per Remote Wipe löschen. Auch die Benutzer können löschen und sich wieder verbinden, genauso wie beim Verwenden eines Exchange-Servers. Darüber hinaus speichert das auf Owncloud basierende Grommunio Files Daten auf den Geräten der Anwender und ermöglicht so das gemeinsame Nutzen, die Synchronisierung, die Offline-Nutzung und viele weitere Funktionen einschließlich Suchmaschine, Versionierung und automatischem Bild-Upload.

Datenmigration

Eine einfache Definition digitaler Souveränität lautet: “Zuerst muss die Exit-Strategie stehen”. Das IT-Management muss also vor Vertragsabschluss die Frage beantworten, wie man seine Daten von einem neuen Server-Produkt später wieder wegmigriert. Grommunio erscheint hier mit seinen offenen Standards vielversprechend: E-Mails kann man beispielsweise mit jedem standardkompatiblen Mail-Client auslesen. Da es sich um Open-Source-Groupware handelt, lassen sich Server-Zustände nachvollziehen, Datenmodelländerungen analysieren und Maßnahmen einleiten.

Das klappt mit Microsoft Exchange nicht immer so nahtlos. Exchange-Admins wissen, dass in der Vergangenheit selbst Migrationen von einer Version zur nächsten mühsam und gefährlich sein konnten, manchmal sogar scheiterten. Zwar haben die Upgrades von Microsoft durchaus an Qualität und Stabilität gewonnen, aber spätestens die Migration zu Groupware-Lösungen von Drittanbietern machte fast immer Turnschuhadministration erforderlich, also die physische Präsenz des Admins am Client.

Abhilfe schafften da Skripte, etwa für Microsofts Powershell, die auch die Grommunio-Entwickler als Basis verwenden. Sie statten ihr Produkt mit dem Tool »gromox-pffimport« aus und liefern Skripte für den Import von Exchange-Daten pro Benutzer und Konto. Listing 1 zeigt ein Powershell-Skript, das sich mit dem Server verbindet und die Migration übernimmt.

foreach ($Mailbox in (Get-Mailbox)) {
  New-MailboxExportRequest -Mailbox $Mailbox \
  -FilePath \\<server FQDN>\<shared folder name>\
  $($Mailbox.PrimarySmtpAddress.ToString()).pst
while($nTimeout -le 180 -And (Get-\MailboxExportRequest -Name $nRequest).Status -ne\ "Completed")
Start-Sleep -s 2
$nTimeout += 2
continue;
}
$nRequest++;
Plink.exe -ssh root@<Grommunio_Appliance> gromox-\pffimport -t -u \
  $($Mailbox.PrimarySmtpAddress.ToString()) /\
  <mountpoint\ to server FQDN shared folder name>/$($Mailbox.PrimarySmtpAddress.ToString()).pst
}

Migrationswerkzeuge

Bisher mangelt es schlicht an einem alternativen Weg zur Datenmigration. Wie der Großteil der Groupwares auf dem Markt verwendet auch Microsoft Exchange eigene Formate zum Speichern von Nutzerdaten wie Postfächern, Kalendereinträgen oder Kontakten. Um Informationen zwischen verschiedenen Instanzen besser austauschen zu können, erlaubt es den Export von Dateien in kompatible Formate. Grommunio funktioniert analog und importiert aus Exchange exportierte Benutzerdaten in seine Benutzerdatenbank Gromox.

Die Grommunio-Entwickler sind sich der Bedeutung eines Migrationswerkzeugs bewusst, insbesondere angesichts ihres ehrgeizigen Anspruchs, als Drop-in-Ersatz für Exchange aufzutreten. Grommunio unterstützt Microsofts PST-, OST- und PAB-Formate und integriert die Open-Source-Tools Imapsync und Fetchmail. Beide dienen dazu, Daten anderer Server zu importieren. Ein Server-seitiges Migrationswerkzeug befindet sich bereits in der Entwicklung.

Ausblick

Nur wenige Monate alt, ist Grommunio auf dem Weg zu einem echten Drop-in-Ersatz für Exchange schon ziemlich weit vorangekommen. Im Gegensatz zu seinen Vorgängern bündelt es Open-Source- und Open-Standards-Dienste und verspricht, einen Weg aus der Herstellerabhängigkeit zu weisen. Bislang dürften Admins jedoch eine ausführlichere Dokumentation [10] und einen vollwertigen, automatisierten Migrationsassistent vermissen. Bei Grommunio weiß man um diese Mängel und arbeitet bereits intensiv an beiden Themen, wie die jüngsten Aktualisierungen auf der Website bestätigen.

Die Outlook-Anbindung (Abbildung 11) klappt problemlos (Abbildung 12), muss sich aber in den nächsten Monaten noch beweisen. Die vergleichsweise niedrigen Preise (siehe Kasten “Editionen”) und der Open-Source-Charakter des noch jungen Produkts dürften die Hemmschwelle senken, die Groupware auszuprobieren.Noch stehen ausführliche unabhängige Tests aus, die die Behauptungen des Anbieters in Bezug auf Geschwindigkeit, Stabilität, Skalierbarkeit und Migrationsmöglichkeiten belegen. Hält Grommunio dem stand und liefern die Entwickler fehlende Features noch nach, dann könnte sich Grommunio zum echten Game Changer im Groupware-Markt mausern. Der Ansatz scheint jedenfalls vielversprechend. (jlu)

Abbildung 11: Nach dem Anlegen von Benutzern und Domänen gelingt die Anbindung von Outlook-Usern problemlos. Microsofts E-Mail-Client glaubt, mit einem Exchange-Server zu sprechen.

Abbildung 12: Das Anbinden von Outlook-Benutzern erfolgt in Grommunio nativ und klappt daher ganz ohne ein Client-seitiges Plugin.