Was ist die Bundestags-IT-Strategie 2026 konkret?

Eine im Mai 2026 von einer fraktionsübergreifenden Kommission unter Bundestagsvizepräsidentin Andrea Lindholz vorgelegte Strategie, die die rund 10.000 Arbeitsplätze des Bundestags in Berlin und in den Wahlkreisbüros über mehrere Jahre schrittweise auf europäische und Open-Source-Software umstellt. Sie definiert fünf Säulen – Office-Software, KI-Anwendungen, sichere Cloud, Kollaborations-Dienste und eine durchgehende Sicherheitsarchitektur. Microsoft 365 bleibt zunächst Default, soll aber perspektivisch durch die Phoenix Suite des Dienstleisters Dataport, BSI-zertifizierten Wire-Messenger und weitere souveräne Komponenten ersetzt werden.

Warum hat sich der Bundestag für Wire als Messenger entschieden?

Wire ist im Juni 2026 der einzige vom BSI nach der Technischen Richtlinie für sichere Messenger zertifizierte Dienst. Das BSI prüft dabei Ende-zu-Ende-Verschlüsselung, Metadaten-Sparsamkeit, Schlüsselverwaltung, Server-Lokalisation und Audit-Fähigkeit. Wire erfüllt die TR-03174 nachweislich. Für eine Behörde mit Geheimhaltungs- und Vertraulichkeitspflichten wie den Bundestag ist BSI-Zertifizierung kein Nice-to-have, sondern Voraussetzung für die Beschaffung. Matrix/Element ist technisch ebenfalls zertifizierungsfähig, hat die Prüfung in der gleichen TR aber noch nicht abgeschlossen.

Bleibt Microsoft 365 im Bundestag dauerhaft erhalten?

Nein, aber der Übergang ist mehrjährig. Die Strategie sieht eine schrittweise Ablösung vor, kein Stichtagswechsel. Microsoft 365 bleibt bis auf Weiteres parallel zur Phoenix Suite im Einsatz. Konkret abgekündigt wird zuerst der Microsoft-Teams-Anteil zugunsten von Wire, dann der Outlook-Anteil zugunsten von Open-Xchange-Komponenten der Phoenix Suite. Office und SharePoint folgen mit längerer Vorlaufzeit. Eine Endgültigkeitsklausel hat die Kommission Lindholz nicht beschlossen – die Strategie verpflichtet auf den Pfad, nicht auf ein Enddatum.

Souveränität·23. Juni 2026

Operation Souveränität – Was der Bundestag-Microsoft-Exit für KMU, Schulen und Behörden lehrt

Im Mai 2026 hat der Bundestag eine IT-Strategie für den Microsoft-Exit verabschiedet. Fünf Säulen, Phoenix Suite, Wire – was KMU davon jetzt kopieren können.

europioneer Team

Operation Souveränität – Was der Bundestag-Microsoft-Exit für KMU, Schulen und Behörden lehrt

Im Mai 2026 hat eine fraktionsübergreifende Kommission unter Bundestagsvizepräsidentin Andrea Lindholz die neue IT-Strategie des Deutschen Bundestags verabschiedet. Kernpunkt: Die rund 10.000 Arbeitsplätze in Berlin und in den Wahlkreisbüros werden schrittweise auf europäische und Open-Source-Software umgestellt. Microsoft 365 bleibt zunächst parallel im Einsatz, soll aber perspektivisch durch die Phoenix Suite des öffentlich-rechtlichen IT-Dienstleisters Dataport und den BSI-zertifizierten Messenger Wire ersetzt werden. Das Programm trägt intern den Namen Operation Souveränität.

Für IT-Leitungen in deutschen KMU, Schulträgern und Kommunen ist die Bundestagsentscheidung mehr als ein politisches Signal. Sie liefert eine Fünf-Säulen-Methode, die als Beschaffungsraster und Migrationsplan übertragbar ist – nicht eins zu eins, aber strukturell. Wir ordnen ein, was der Bundestag konkret beschlossen hat, welche Produkte hinter den Säulen stehen und wie die gleiche Logik bei einem 80-Personen-Mittelstand oder einem Schulträger mit fünfzehn Schulen funktioniert.

Was der Bundestag im Mai 2026 entschieden hat

Die Lindholz-Kommission hat sich zwölf Monate Zeit genommen und einen Strategiepfad statt eines Stichtagswechsels beschlossen. Die wichtigsten Punkte:

Fünf Säulen als Beschaffungsraster: Office-Software, KI-Anwendungen, sichere Cloud, Kollaborations-Dienste, durchgehende Sicherheitsarchitektur.
Schrittweise Ablösung statt Big-Bang. Die Reihenfolge ist Messenger zuerst, dann Office, dann Cloud-Migration der Datenbestände.
Phoenix Suite von Dataport als zentrale Office-Komponente parallel zu Microsoft 365.
Wire als Messenger, weil im Juni 2026 der einzige nach der BSI-Technischen-Richtlinie TR-03174 zertifizierte Dienst.
Mehrjähriger Übergang ohne hartes Enddatum. Die Strategie verpflichtet auf den Pfad, nicht auf ein Datum.

Die Entscheidung ist eine direkte Konsequenz aus zwei vorhergehenden Entwicklungen: dem Cloud and AI Development Act, der seit dem 3. Juni 2026 öffentliche Auftraggeber zu Sovereignty-Stufen verpflichtet, und der EuGH-Linie zur DSGVO-Konformität von Microsoft-Cloud-Diensten in der öffentlichen Verwaltung. Der Bundestag ist nicht unter direkter Aufsicht der Datenschutzkonferenz, aber er folgt ihrem Maßstab.

Die fünf Säulen – was hinter jeder steht

Säule 1 – Office-Software. Phoenix Suite ist die Open-Source-basierte Arbeitsplatz-Suite von Dataport. Sie bündelt Nextcloud, Collabora Online, Element/Matrix, Open-Xchange und Keycloak unter einer gemeinsamen Verwaltungs- und Identitätsschicht. Dataport betreibt die Suite aus deutschen Rechenzentren ohne Hyperscaler-Sub-Processor. Für KMU ist Phoenix Suite nicht direkt verfügbar, der vergleichbare Stack ist aber als openDesk oder als Nextcloud Hub 26 Spring mit Euro-Office bei Managed-Hostern beziehbar.

Säule 2 – KI-Anwendungen. Die Kommission hat hier explizit auf einen souveränen LLM-Stack abgestellt – europäische Modelle wie Aleph Alpha und Mistral, gehostet bei europäisch eigentumsrechtlich verfassten Anbietern. Microsoft Copilot ist nicht freigegeben, weil das im April 2026 dokumentierte Flex Routing außerhalb der EU Data Boundary eine BSI-Risikobewertung mit Lastpitzen-Ausnahme erzeugt – ein für Parlamentsdaten nicht tragbarer Zustand.

Säule 3 – sichere Cloud. Hosting in deutschen Rechenzentren, europäische Eigentümerschaft, kein US-Konzern als Sub-Processor. Konkret bedeutet das CADA-Stufe 3 und höher. Der Bundestag arbeitet hier mit den klassischen öffentlich-rechtlichen IT-Dienstleistern und mit kommerziellen Anbietern, die der gleichen Logik folgen.

Säule 4 – Kollaborations-Dienste. Wire als Messenger, weil BSI-zertifiziert. Videokonferenz über Jitsi und BigBlueButton. Element/Matrix bleibt als bestehende Komponente zugelassen, ist aber nicht der Default. Die Microsoft-Teams-Ablösung ist der erste konkrete Liefergegenstand der Strategie.

Säule 5 – Sicherheitsarchitektur. Querschnitt. Identity über Keycloak, MFA verbindlich, BSI-IT-Grundschutz als Prüfmaßstab. Wir haben die relevanten Bausteine in BSI IT-Grundschutz und Microsoft 365 im Detail beschrieben – die Bundestags-Strategie nutzt das gleiche Raster für die Eigenkonfiguration des Stacks.

Phoenix Suite und Wire – die zwei konkreten Komponenten

Phoenix Suite ist seit 2023 produktiv in Schleswig-Holstein, Hamburg, Bremen, Mecklenburg-Vorpommern und Sachsen-Anhalt im Einsatz. Die Trägerorganisation Dataport ist eine Anstalt öffentlichen Rechts der fünf Länder, also strukturell aus dem CLOUD-Act-Geltungsbereich heraus. Die Suite ist nicht direkt von Privatkunden lizenzierbar, weil sie an die Beteiligungsstruktur Dataports gebunden ist. Für KMU und Privatschulen ist der gleiche technische Stack über andere Bezugsquellen erhältlich – siehe Säule 1.

Wire ist ein in Berlin gegründeter, heute schweizerisch-deutsch verfasster Messenger mit Ende-zu-Ende-Verschlüsselung. Die im Juni 2026 vorliegende BSI-Zertifizierung nach Technischer Richtlinie TR-03174 umfasst Schlüsselverwaltung, Metadaten-Sparsamkeit, Server-Standort in Deutschland und Audit-Fähigkeit. Wire ist im Frühsommer 2026 der einzige Messenger mit dieser Zertifizierung. Element/Matrix ist technisch ebenfalls zertifizierungsfähig und für viele Behörden bereits im Einsatz – siehe Microsoft Teams Alternative – Element/Matrix – hat die TR-03174-Prüfung aber noch nicht abgeschlossen.

Warum die Bundestags-Vorlage für KMU eine Chance ist

Drei strukturelle Argumente:

Beschaffungsraster auf Knopfdruck. Die Fünf-Säulen-Methode ist ein Excel-Sheet, kein politisches Manifest. Wer als IT-Leitung in einem 80-Personen-KMU oder als IT-Verantwortliche in einem Schulträger mit fünfzehn Schulen den Bundestags-Pfad in die eigene Organisation übersetzt, hat ein Vergaberaster, das in Aufsichtsrats- und Schulträger-Gesprächen sofort verstanden wird.
BSI-Zertifizierung als Audit-Argument. Eine BSI-zertifizierte Messenger-Komponente wie Wire ist im Audit gegen NIS2 und gegen das BSI-Grundschutz-Kompendium ein einzeiliger Nachweis. Eine Microsoft-Teams-Konfiguration füllt dafür mehrere Seiten – und ist trotzdem angreifbar, wie unsere NIS2-DSGVO-Microsoft-Analyse zeigt.
Konzentrationsrisiko abbauen. Die DORA-Konzentrationsrisiko-Logik gilt formal nur für Banken, das Prinzip aber für jeden Mittelstand. Wer die fünf Säulen auf einen einzigen US-Konzern verlagert, hat ein systemisches Risiko in der eigenen Bilanz – und im Schaden keinen Anspruch auf Wiederherstellung jenseits der Microsoft-Service-Level-Agreements. Der jüngste Exchange-Online-Ausfall EX1331830 am 2. Juni 2026 mit über sechs Stunden Mail-Verzögerung über drei Kontinente hat das exemplarisch gezeigt.

Migration – die Fünf-Säulen-Methode an die KMU-Skala angepasst

Die HowTo-Sektion oben dokumentiert sechs Schritte für die Übersetzung auf KMU-Skala. Wesentlich ist die Reihenfolge: erst das Beschaffungsraster, dann Kollaboration (Messenger und Videokonferenz), dann Office (Nextcloud + Browser-Office), dann Cloud-Migration der Datenbestände, dann Identity-Schicht, zuletzt KI. Wer die KI-Säule zuerst angeht, baut auf wackeligem Boden. Wer die Kollaboration auslässt, behält den teuersten und compliance-rechtlich kritischsten Microsoft-Anteil im Einsatz.

Begriffe – kurz definiert

Operation Souveränität: Interner Name der Bundestags-IT-Strategie von Mai 2026 zur schrittweisen Ablösung proprietärer US-Software, vorgelegt von der Lindholz-Kommission.
Phoenix Suite: Open-Source-basierte Arbeitsplatz-Suite des Dienstleisters Dataport, im produktiven Einsatz in fünf Bundesländern und perspektivisch im Bundestag.
Dataport: Anstalt öffentlichen Rechts der Länder Schleswig-Holstein, Hamburg, Bremen, Mecklenburg-Vorpommern und Sachsen-Anhalt, Betreiberin der Phoenix Suite.
Wire: Ende-zu-Ende-verschlüsselter Messenger, im Juni 2026 der einzige nach BSI-Technischer-Richtlinie TR-03174 zertifizierte Dienst.
TR-03174: BSI-Technische Richtlinie für sichere Messenger-Dienste. Prüft Verschlüsselung, Metadaten-Sparsamkeit, Schlüsselverwaltung, Lokalisation und Audit-Fähigkeit.
BSI-IT-Grundschutz: Methodisches Kompendium des Bundesamts für Sicherheit in der Informationstechnik mit Bausteinen für jede IT-Komponente.

Wo europioneer ansetzt

europioneer betreibt den europäischen Open-Source-Stack als Managed-Hosted-Service – Nextcloud Hub 26 Spring inklusive Euro-Office und Collabora Online, Element auf Matrix für Chat (Wire-Anbindung in Vorbereitung), Open-Xchange für E-Mail, Keycloak für Identity. Hosting in deutschen und EU-Rechenzentren ohne Hyperscaler-Sub-Processor. Für die Übertragung der Bundestags-Fünf-Säulen-Methode auf ein KMU, einen Schulträger oder eine Kommune übernehmen wir das Beschaffungsraster nach Schritt 1, die Pilotierung nach Schritt 2 und 3, sowie die Konfiguration der Sicherheits- und Identity-Schicht nach Schritt 5. Live-Sicht auf die verbleibenden Microsoft-Abhängigkeiten unter /microsoft. Komponentenüberblick zum europäischen Stack unter /alternativen. Pakete und Preise unter /pricing. Pilot-Gespräch unter /contact.

Fazit

Der Bundestag hat im Mai 2026 ein Beschaffungsraster verabschiedet, das jeder deutsche Mittelstand und jeder Schulträger als Vorlage nutzen kann. Die Fünf-Säulen-Methode ist keine Marketing-Geschichte, sondern ein praktikabler Pfad: Kollaboration zuerst, Office als zweites, Cloud und Identity in der Konsequenz, KI bewusst zuletzt. Die konkrete Produktwahl unterscheidet sich pro Organisation – Phoenix Suite für Bundesländer-Beschaffung, openDesk und Nextcloud Hub für KMU, Wire als BSI-zertifizierte Messenger-Komponente überall. Wer den Pfad jetzt anlegt, ist im zweiten Halbjahr 2026 mit der EU-AI-Act-GPAI-Pflicht zum 2. August 2026 nicht unter Zeitdruck – und hat Anfang 2027 eine belastbare Vergabegrundlage gegenüber CADA-Stufe 3.

Operation-Souveränität-Pilot anfragen →

Verwandte Beiträge:

Euro-Office 1.0 – die souveräne Microsoft-365-Alternative im technischen Praxis-Check

Am 9. Juni 2026 startete Euro-Office 1.0 als europäische Microsoft-365-Alternative. Was die Suite technisch kann und für wen sie sich heute lohnt.

EU AI Act – Was deutsche KMU am 2. August 2026 für Microsoft Copilot vorzeigen müssen

Am 2. August 2026 greifen GPAI-Pflichten des EU AI Act. Was KMU jetzt für Microsoft Copilot dokumentieren müssen und welche Alternativen tragfähig sind.