© alonesdj / 123rf.com

OpenDesk zielt darauf ab, Behörden mit einem modernen, digital souveränen Arbeitsplatz auf Grundlage freier Software zu versorgen. Kürzlich erschien OpenDesk in Version 1.0, bringt ein SaaS-Angebot und erhielt eine neue Führungsetage. Wir haben der Lösung auf den Zahn gefühlt, das Deployment in Kubernetes getestet und bewerten, wie weit es mit der echten digitalen Souveränität her ist.

Es sind hektische politische Zeiten, in denen die Menschen in der Bundesrepublik Deutschland sich gerade wiederfinden. Der 5. November 2024, so viel steht schon fest, war zweifelsohne ein Tag für die Geschichtsbücher: Während die Amerikaner Donald Trump zu einer zweiten Amtszeit verhalfen, schaltete die Bundesampel auf Dauerstörung und das politische Berlin begann stehenden Fußes, sich auf Neuwahlen vorzubereiten. Seither herrschen noch mehr Zank und Streit im Bundestag als zuvor. Ein permanenter Streitpunkt beispielsweise war die Frage, wie Deutschland seinen Beitrag zum Thema digitale Souveränität auf europäischer Ebene sinnvoll leisten und bezahlen kann.

Unter dem Label digitale Souveränität kreuchen und fleuchen seit vielen Jahren etliche auf nationaler und EU-Ebene ins Leben gerufene Projekte. Sie alle wollen digitale Lösungen entwickeln, die Europa eigenständig sein lassen und die Abhängigkeit etwa von Hyperscalern und einschlägigen Herstellern reduzieren. Medienwirksam tauchte für eine ganze Weile Gaia-X [1] im öffentlichen Diskurs auf, und allen Spöttern zum Trotz hat das Projekt gerade im medizinischen Fachsektor tatsächlich brauchbare Resultate geliefert.

In Summe aber muss sich Europas Politik den Vorwurf gefallen lassen, in Sachen digitaler Souveränität vor allem viel Papier und wenig konkreten Output produziert zu haben. Während man auf hoher politischer Ebene von Konzepten und Lösungen sowie offenen Standards spricht, sieht die Realität zum Beispiel in deutschen Amtsstuben deutlich anders aus: Wahlweise werkelt uralte Infrastruktur von Microsoft & Co. vor sich dahin, oder man hat sich mit Haut und Haaren einem Hyperscaler verschrieben.

So tat es zum Beispiel die Bundesagentur für Arbeit (BA) vor einigen Monaten, als sie zu Microsoft Teams migrierte. Schlimm genug, dass damit ein zentrales Werkzeug der deutschen Arbeitsmarktpolitik praktisch arbeitsunfähig wird, sollte der künftige US-Präsident Trump dem Teams-Zugang der BA den Stecker ziehen. Noch schlimmer, dass die BA das der Öffentlichkeit ernsthaft als bahnbrechenden Erfolg verkaufen wollte.

Wohltuend andere Töne schlägt das Zentrum für digitale Souveränität der öffentlichen Verwaltung (ZenDiS [2]) des BMI an. Das im Jahr 2022 von Innenministerin Faeser ins Leben gerufene ZenDiS hatte von Anfang an den klaren Auftrag, freie Standards und Open-Source-Software zusammenzustellen, mit der sich sämtliche Arbeiten des Behördenalltags gut und zuverlässig abwickeln lassen, vor allem aber digital unabhängig. Das dabei entstandene Produkt wirkt gut strukturiert, klar und übersichtlich, firmiert heute unter der Bezeichnung OpenDesk [3] und feiert international Erfolge.

OpenDesk

Ende 2024 erschien die Version 1.0, also die erste offiziell als stabil markierte, für den produktiven Einsatz freigegebene Version. Gleichzeitig mit ihr stellte das ZenDiS eine Roadmap für die Zukunft des Produkts vor: Um dessen Weiterentwicklung sollen sich künftig vorrangig die Ingolstädter Linux-Experten von B1 Systems kümmern. Ende August 2024 hatte B1 eine Ausschreibung gewonnen und wird nun für einen Zeitraum von zunächst zwei Jahren die Weiterentwicklung koordinieren sowie Service und Wartung übernehmen.

Bald gibt es OpenDesk außerdem als in Europa gehostete SaaS-Lösung, betrieben von B1 im Tandem mit Stackit, dem Cloud-Provider der Schwarz-Gruppe, zu der auch Lidl gehört. Das ZenDiS will das Projekt selbst zwar weiter im Auge behalten, steht wie im Politkontext üblich gerade allerdings vor ganz eigenen Herausforderungen budgetärer und personeller Art. Immerhin: Zwischenzeitlich hat das ZenDiS eine offizielle Nachfolgerin für Interims-CEO Andreas Reckert-Lodde gefunden: Jutta Horstmann ist die neue Geschäftsführerin. Die Open-Source-Expertin, die seit über 20 Jahren “daran arbeitet, im Open Source Kontext […] Nutzungshürden abzubauen und Nutzende durch attraktive Lösungen zu überzeugen” wird unterstützt durch Alexander Pockrandt als Chief Financial Officer. Pockrandt wechselt von der Hessischen Zentrale für Datenverarbeitung (HZD) in Wiesbaden zum ZenDiS.

Bis Redaktionsschluss war die SaaS-Variante von OpenDesk noch nicht offiziell fertig. Gerade von ihr versprechen sich viele Beobachter einen großen Schub für freie Software und digitale Souveränität in Deutschland. Das geplante SaaS-Angebot löst ein zentrales Problem, vor dem Behörden und staatliche oder kommunale Institutionen stehen: Es wird sich ohne große technische Vorkenntnisse nutzen lassen, während sein Anbieter es aktiv pflegt und weiterentwickelt.

Bisher gleicht der IT-Betrieb bei Bund, Ländern und Kommunen eher einem Flickenteppich: Manche Stellen vertrauen sich direkt einem Hersteller an. Andere beauftragen Dienstleister wie die klassischen Systemhäuser. Wieder andere bauen das nötige Wissen intern auf und stemmen den Betrieb der Infrastruktur selbst. Die ersten beiden Varianten sind digital wenig souverän, für die dritte Option fehlt vielerorts schlicht das nötige Kleingeld. Insofern ruhen große Hoffnungen auf B1 und Stackit: Das OpenDesk-SaaS-Angebot soll, so hört man, einerseits erschwinglich bleiben, andererseits aber vollständig in Deutschland beheimatet und unabhängig von Konzernen aus den USA sein.

Interessierte Admins müssen jedoch nicht warten, bis OpenDesk-SaaS komplett vollendet ist. Wer keinen Test-Account vom ZenDiS selbst bekommt, kann – einen eigenen Kubernetes-Cluster und ein kleines Rechenzentrum vorausgesetzt – bereits seit Monaten OpenDesk herunterladen und testen. Anders als beim Vorgänger dPhoenix-Suite liegen sämtliche notwendigen Komponenten in einem vom Staat betriebenen Repository, nach bester Open-Source-Lesart und mit gängigen Best Practices umgesetzt.

Jung, aber ausgereift

Mehrere Dinge stechen sofort ins Auge, wenn man mit OpenDesk und seinen Quellen in Open CoDE [4], einer Art Bundes-Gitlab, zum ersten Mal in Berührung kommt. Wer in der IT Erfahrung hat, erwartet von IT-Projekten der öffentlichen Hand im Regelfall wenig.

OpenDesk und Open CoDE bieten da eine angenehme Überraschung: Einerseits veröffentlichte das damals noch zuständige ZenDiS OpenDesk tatsächlich in einem waschechten Git-Verzeichnis, das allen technischen Standards genügt. Andererseits enthält das Git-Verzeichnis von OpenDesk tatsächlich sämtliche zu OpenDesk gehörenden Teile. So lässt sich allein auf Grundlage des Git-Verzeichnisses ein OpenDesk-Cluster aus der Taufe heben und untersuchen. Fast noch bemerkenswerter: Das ZenDiS hat sich bei der OpenDesk-Entwicklung von Anfang an dafür entschieden, auf moderne Technologien wie Linux-Container und Kubernetes zu setzen.

Dafür, dass sich OpenDesk noch immer in einem recht frühen Stadium seiner Entwicklung befindet – daran vermag letztlich auch die Version 1.0 nichts zu ändern – und erst in den vergangenen Monaten massiv Fahrt aufgenommen hat, begeistern die Funktionen der flugs ausgerollten Trial-Variante mit Helm. Die meisten versprochenen Features stehen selbst in der Quick-and-dirty-Testinstallation zur Verfügung und funktionieren. Wer sich einen Eindruck von OpenDesk verschaffen möchte, hat dazu dementsprechend umfassend Gelegenheit.

Ein Open-Source-Ersatz für Exchange, Teams, OneDrive und Confluence, gehostet und koordiniert vom Staat, Zielgruppe öffentliche Verwaltung – die Liste der OpenDesk-Komponenten liest sich wie ein Who’s who der Open-Source-Komponenten in Sachen Kollaboration und Groupware. Mit an Bord ist beispielsweise eine komplette Umgebung für den Versand und Empfang von E-Mails auf Grundlage von Postfix, dem Virenscanner ClamAV [5] sowie der E-Mail-Lösung OX App Suite, die manchen eher als Open-Xchange [6] geläufig sein dürfte. Für IMAP findet Dovecot [7] Verwendung.

Element [8] (Matrix) dient in OpenDesk fürs Instant Messaging, den Fans von Audio- und Videotelefonaten steht ein fertiges Jitsi [9] zur Verfügung. Klassische Weboffice-Anwendungen liefert in OpenDesk Collabora [10], für das Teilen von Dateien kommt Nextcloud zum Einsatz. Auch an Projektmanager hat man beim ZenDiS gedacht: Dafür liegt OpenProject [11] bei (Abbildung 1), eines der derzeit leistungsstärksten Projektmanagementwerkzeuge am Markt. Für die zentrale Verwaltung von Wissen im Unternehmen liefert OpenDesk zudem XWiki [12], das als eine Art Confluence-Ersatz gelten darf.

Abbildung 1: Auch für Projektmanager haben die OpenDesk-Entwickler in Form von OpenProject passende Software eingebunden.

Rückgrat Nubus

Das Rückgrat der Lösung bildet der Univention Management Stack, vom Univention Corporate Server her bekannt und mit umfassender Nutzer- und Rechteverwaltung. Dessen IAM-Schicht Nubus bietet das Bremer Unternehmen jetzt auch als eigenständige, in Kubernetes lauffähige Version an. Auf Wunsch lässt sich Nubus mit einem bestehenden Benutzerverzeichnis koppeln und mithilfe diverser grafischer Oberflächen administrieren, zum Beispiel mit einem eigenen Portal fürs Zurücksetzen des eigenen Passworts für die Benutzer. Frei nach dem Cloud-Motto “we hate wait” macht OpenDesk auch in Sachen Nutzerfreundlichkeit also einiges richtig.

Ein Selbstläufer ist Nubus als Teil von OpenDesk aber nicht. Das gilt umso mehr, wenn Sie es in ein bestehendes Benutzerverzeichnis integrieren möchten. Immerhin: Die in den ersten Versionen von OpenDesk noch recht spärliche Dokumentation, die die Integration von Nubus mit Active Directory oder LDAP beschreibt, hat Hersteller Univention zwischenzeitlich deutlich aufgemöbelt. Anhand der nun zur Verfügung stehenden Dokumentation für Nubus 0.5 dürften erfahrene IAM-Admins es problemlos hinbekommen, den IAM-Teil von OpenDesk mit dem des eigenen Unternehmens sinnvoll zu verheiraten. An einigen Stellen ist die Nubus-Dokumentation mittlerweile so gut, dass sie fast schon als Referenz dafür gelten darf, wie man ein Handbuch zu sperrigen Themen wie IAM sinnvoll strukturiert und verfasst. Im Git dokumentieren die Entwickler beispielsweise, wie man externe Identity Provider anbindet. Das klappt in beide Richtungen mit OpenDesk als IDP oder einem externen IDP.

Auch hier zeigen sich die Vorteile der Kooperation, die Open Source erlaubt: Umgesetzt wurde das im Rahmen einer 100-Tage-Challenge mit der französischen DINUM. ZenDiS-Mitarbeitende können sich jetzt mit ihrem OpenDesk-Login bei Frankreichs Verwaltungs-IDP ProConnect [13] (ehemals AgentConnect) einloggen und auf La-Suite-Tools zugreifen. Umgekehrt können sich die DINUM-Kollegen mit ihrem ProConnect-Login bei der OpenDesk-Instanz anmelden, was tatsächlich permanent geschieht. Quasi im Vorbeigehen leistet OpenDesk mithin einen Beitrag zur europäischen Integration und eröffnet die Möglichkeit, dass europäische Amtswege absehbar besser funktionieren können als bisher.

Unter der Haube

Wer OpenDesk selbst installieren möchte, sollte über ein kleines Rechenzentrum verfügen. Ein technisch solides OpenDesk-Setup benötigt mindestens fünf, besser sechs physische Server. Drei davon kümmern sich um die zu Kubernetes gehörenden Infrastrukturdienste des Clusters, also die Kubernetes-API, den Scheduler, den Cluster-Manager sowie den Cluster-Konsens-Algorithmus und so weiter. Zwei, idealerweise sogar drei weitere Systeme bilden die Compute-Knoten, also die Systeme, auf denen die eigentlichen Anwendungen später als Container laufen.

Eingebürgert hat sich allerdings eher der Ansatz, auf eine der am Markt verfügbaren fertigen Distributionen zu setzen. Wer kommerziellen Support möchte, greift zu Red Hat OpenShift oder Suse Rancher. Auf Knopfdruck gibt es Kubernetes jedoch auch als EKS und AWS oder AKS bei Azure, zumindest für Testzwecke. Gleichwohl werden sich nicht alle Details des Setups direkt übertragen lassen. Der Vorteil der digitalen Souveränität ist dann ebenfalls wieder dahin.

OpenDesk verlangt übrigens neben Kubernetes in Version 1.24 oder höher, idealerweise in einer von der CNCF zertifizierten Distribution, noch einige weitere Komponenten: Einen Domain- und DNS-Dienst, einen Ingress-Controller in Form von Nginx sowie die Möglichkeit, persistente Speicher-Volumes anzulegen. Wer Let’s Encrypt für seine Zertifikate verwenden möchte, benötigt zudem eine korrekt aufgesetzte Instanz von Cert-manager.

Dem Administrator mit funktionierendem K8s-Cluster spendiert das ZenDiS ein Deployment-Handbuch, das detailliert auf die einzelnen Varianten der OpenDesk-Installation eingeht. Die Suite bringt einerseits Konfigurationsdateien auf Best-Practices-Basis für eine Vielzahl gängiger Open-Source-Komponenten wie Nextcloud oder Jitsi mit. Andererseits verbindet sie die offiziellen Container-Abbilder der jeweiligen Hersteller mit Helm-Charts, um das Deployment zu erleichtern. Das hilft bei anderen administrativen Aufgaben wie dem Update einzelner oder aller Komponenten.

Das OpenDesk-Setup macht einige erkennbare, dokumentierte und verständliche Kompromisse. Sie sind meist von dem Wunsch getrieben, der potenziellen Nutzerschaft das Testen zu erleichtern. OpenDesk bietet dem Administrator etwa die Möglichkeit, Datenbanken wie PostgreSQL oder MariaDB in vereinfachter Form selbst auszurollen. Die Autoren weisen aber ausdrücklich darauf hin, dass solche Setups nicht für den produktiven Einsatz dienen sollten. Darum muss man sich also selbst kümmern, ebenso um Redis oder Memcached. Der geübte Administrator weiß da schon, was er tun muss; der ungeübte jedoch steht vor einer ordentlichen Herausforderung.

Gute Doku spart Arbeit

Immerhin bietet OpenDesk eine Übersicht der notwendigen Dienste sowie der darin von den einzelnen Services benötigten Features an [1]. Auch ansonsten machen es die Entwickler dem Administrator leicht: In den Helm-Charts ist bereits die Möglichkeit vorgesehen, eine lokale Site zu errichten, die sich mit maßgeschneiderten Werten für die meisten Konfigurationsparameter ausstatten lässt. Da kann der Administrator einfach die Domäne bestimmen, die OpenDesk für den Versand und den Empfang von E-Mails verwenden soll, oder im Detail festlegen, welcher der OpenDesk-Dienste Teil der Installation werden soll.

Sind alle nötigen Parameter für die lokale Installation im YAML-Format hinterlegt, folgt das Deployment per Helm, angestoßen durch ein paar CLI-Befehle. Ein paar Minuten später steht der Kubernetes-Cluster bereit, die OpenDesk-Instanz ist einsatzfähig. Die Befehle finden sich allesamt in der Deployment-Dokumentation, etwa im Getting Started Guide. Beispielsweise installiert das Kommando aus der ersten Zeile von Listing 1 eine einzelne App, hier das Weboffice-Tool Collabora. Auch umgekehrt klappt das: Der zweite Befehl deinstalliert alles wieder.

$ helmfile apply -e dev -n Namespace -l component=collabora
$ helmfile destroy -n Namespace

Echte Souveränität

Unschön fällt lediglich auf, dass man bei der Suche nach OpenDesk derzeit vor allem Git-Verzeichnisse findet. Das macht die Sache zunächst ein wenig unübersichtlich. Gut, dass die Dokumentation für OpenDesk bereits jetzt überdurchschnittlich nützlich ist. Schnell wird offensichtlich, dass man sich beim ZenDiS nicht damit zufriedengibt, der Welt ein bisschen Code vor die Füße zu werfen, kombiniert mit der Aufforderung, halt so lang zu knobeln, bis es irgendwie passt. Stattdessen ist die OpenDesk-Dokumentation in Summe schon jetzt so erfrischend gut, dass sich aus ihr klare Handlungsanweisungen für verschiedene Szenarien ergeben. Zwar muss sich der Admin auf dem Weg zum Erfolg noch etwas durchbeißen und einlesen, aber wer bereits Kubernetes-Vorerfahrung besitzt, wird sich in OpenDesk schnell zurechtfinden.

Dass OpenDesk die Git-Verzeichnisse seines Werks frei zur Verfügung stellt, ist noch aus einem anderen Grund bemerkenswert. In Zeiten, in denen das Label Open Source als erstrebenswertes Markenzeichen gilt, ist das Stöbern in Git-Verzeichnissen mit Quelltext gewissermaßen aus der Mode gekommen – sehr zum Verdruss jener, die in der FLOSS-Community einen Teil des eigenen Zuhause sehen und die Werte aktiv vertreten, für die Open Source steht. Viele Konkurrenten von OpenDesk setzen auf Openwashing, teilen also Code trotz Open-Source-Lizenz gar nicht mehr öffentlich, was auch die Vorgänger von OpenDesk bei Dataport so hielten. Ganz gleich, wer so vorgeht: Mit echter Open-Source-Software hat das nichts zu tun.

Ganz anders OpenDesk: Hier investiert ein Projekt, das mit völlig offenen Karten spielt, öffentliches Geld in freie Software, die zwar nicht von Grund auf neu entwickelt, wohl aber sinnvoll kompiliert ist. Man will das Rad nicht neu erfinden, aber sinnvolle Bestandteile kombinieren und vor allem alles wieder veröffentlichen und nichts zurückhalten.

Neben der Dokumentation im Git entsteht gerade noch https://docs.opendesk.eu als offizielles Repo für die gesamte OpenDesk-Dokumentation. Bei Redaktionsschluss waren die OpenDesk-Macher noch damit beschäftigt, das Verzeichnis aus verschiedenen Quellen grundlegend aufzubauen (Abbildung 2), inklusive der Markdown-Dateien aus den Repos.

Abbildung 2: Work in Progress: Zu Redaktionsschluss war man beim ZenDiS gerade dabei, vorhandene Dokumentationen auf http://docs.opendesk.eu zusammenzutragen.

Das Portal soll eine Art offizielle Einstiegsseite für jedwede Doku werden, also sowohl für Anwender und Admins als auch Betreiber. Die Inhalte sollen sich dort leichter auffinden lassen als derzeit in Git-Repos. Das Team steht zudem bei Fragen und Problemen in den Gitlab-Issues bereit und freut sich über Unterstützung. Es kann ebenfalls beispielsweise beim Deployment helfen, “falls etwas mal nicht so läuft wie dokumentiert”.

Fazit

Container und Kubernetes sind eindeutig das Deployment-Modell der Zukunft, schon weil Enterprise-Linux-Versionen wie SLES oder RHEL in nicht allzu ferner Zukunft zu reinen Container-Abspielern mutieren werden. Es hätte keinen Sinn ergeben, einem jungen Projekt wie OpenDesk einen riesigen Berg technischer Schuld aufzuladen. Dank der Integration in Helm lässt sich eine vollständige Groupware-Lösung samt E-Mail-Setup und DNS-Integration ebenso flott ausrollen wie eine Online-Office-Umgebung samt eigenem und flexiblem IAM.

Für die noch recht junge Lösung ist die Dokumentation bereits in sehr gutem Zustand. Insgesamt schreitet das Projekt, so scheint es, mit Siebenmeilenstiefeln voran: Neue Chefs, neue Partner, neue Softwareversionen – erstaunlich, was mit Open Source alles geht, selbst in Zeiten klammer Kassen.

OpenDesk ist jedenfalls ein großes Versprechen in einem noch größeren Kontext. Das ZenDiS etwa hebt nicht nur OpenDesk hervor, sondern auch Open CoDE, das OpenDesk aktuell hostet. Derzeit, so scheint es, könnte es weder bei OpenDesk noch bei ZenDiS besser laufen. Im Januar 2025 geht eine komplett neue Website online, Open CoDE als Teil des ZenDiS hostet in absehbarer Zeit die Quellen des Government Site Builder (Abbildung 3).

Abbildung 3: Der Government Site Builder hat ebenfalls seinen Platz in Open CoDE gefunden. In Summe avanciert die Plattform zu einer Art Bundes-Github mit definierten Standards und großem Erfolg.

Dahinter steckt ein auf Typo3 basiertes CMS für Webseiten von Bundesbehörden. Das ZenDiS selbst feiert den eigenen Geburtstag am 15. Januar 2025 beispielsweise durch einen Stand auf der FOSDEM in Brüssel und einen eigenen Dev-Room, für den die CEO höchstpersönlich einfliegt. Auch für das künftig geltende Onlinezugangsgesetz (OZG) und die sich daraus ergebende Plattform des Bundes stellt man sich damit gut auf, hier wird mit Open CoDE sogar ein erheblicher Beitrag zum Hosten etwaiger Projekte geleistet. Überhaupt kommt die Relevanz von Open CoDE medial bisher etwas zu kurz: Ein Quelltextverzeichnis auf Bundesebene, weitgehend automatisiert, transparent und konform mit modernen technischen Standards der Gegenwart ist ein echtes Asset, von dem viele andere Länder Europas augenblicklich nur träumen können.

Heimlich still und leise hat das ZenDiS unter dem Schirm des BMI damit etwas geschaffen, das weit und breit seinesgleichen sucht: einen echten, praktischen, alltagstauglichen Ansatz für digitale Souveränität. So und nur so kann eine sinnvolle europäische Reaktion darauf aussehen, dass die Welt seit Jahren von Krise zu Krise stolpert und digitale Dienste schnell zum Druckmittel, wenn nicht sogar zum Werkzeug der Erpressung werden können. Zu hoffen bleibt, dass das ZenDiS nach der anstehenden Wahl nicht zum politischen Spielball wird oder durch Budgetkürzungen in seinem Wirken Einschränkungen erfährt. Längst ist die Zeit reif für echte, digitale Souveränität – das ZenDiS liefert dafür einen zentralen Baustein. Hier zu sparen wäre nicht nur fatal, sondern auch politisch ausgesprochen unklug. (csi)