Strategie & Migration

Open Source in Behörden einführen: dein operativer Fahrplan

Der Grundsatzbeschluss ist schnell gefasst, die Umsetzung scheitert an Fachverfahren und Schnittstellen. Wer mit einer ehrlichen Bestandsaufnahme startet und Verfahren nach Ablösbarkeit sortiert, kommt weiter als jedes Strategiepapier.

6 Kapitel mit allen Befehlen

Passende Kurse ansehen Persönlich beraten lassen

IT-Entscheider besprechen eine Infrastruktur-Roadmap im Besprechungsraum

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Seit 1997 am Markt Präsenz & Live-Online 4,9 aus 503 Google-Bewertungen Auch Inhouse für dein Team

Worum es geht

Warum Open-Source-Projekte in der Verwaltung im Betrieb hängenbleiben

Der schwierige Teil einer Open-Source-Einführung ist selten die Technik der Arbeitsplätze. Ein Ubuntu- oder Linux-Mint-Client mit LibreOffice ist in wenigen Wochen paketiert. Aufwendig sind die Ränder: Fachverfahren, die nur mit Internet Explorer, ActiveX oder einer Windows-only-Clientkomponente laufen, Signaturkarten und Kartenleser, Fachanwendungen mit proprietären Druckertreibern, Makro-lastige Excel-Vorlagen aus zwanzig Jahren Verwaltungspraxis sowie Verzeichnisdienst, Gruppenrichtlinien und Dateifreigaben, die auf Active Directory aufsetzen.

Dazu kommt die Betriebsseite. Wer Windows-Clients bisher über ein zentrales Managementsystem verteilt hat, braucht für Linux ein funktionierendes Äquivalent für Imaging, Paketquellen, Patchstände und Konfiguration, typischerweise über eigene Spiegel-Repositories, Konfigurationsmanagement mit Ansible und ein Monitoring, das den neuen Stack auch abbildet. Ohne diese Grundlagen wird der Pilot zwar bunt präsentiert, lässt sich aber nicht auf mehrere hundert Arbeitsplätze skalieren.

Der dritte und meist unterschätzte Punkt ist Personal. In vielen Häusern gibt es zwei bis drei Kolleginnen und Kollegen mit Linux-Erfahrung, aber keine Breite im Team und keine Vertretungsregelung. Typische Fehler sind deshalb: zu früh in die Fläche gehen, den Schulungsaufwand für Anwender und Administration nicht als eigene Position im Projektplan führen, den First-Level-Support nicht mitschulen und externe Dienstleister ohne internen Wissensaufbau beauftragen. Danach hängt der Betrieb an einzelnen Personen, und genau das war das Argument gegen die alte Abhängigkeit.

Miniatur-Szene: Spielbrett, auf dem eine Server-Figur von einer alten auf eine neue Plattform zieht, daneben eine Roadmap

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Sechs Stufen der Open-Source-Einführung

01 Bestandsaufnahme Fachverfahren
02 Zielarchitektur und Betriebsmodell
03 Pilotbereich mit Erfolgskriterien
04 Qualifizierung und Multiplikatoren
05 Rollout in Wellen
06 Regelbetrieb und Nachschulung

Was du mitnimmst

So bringst du den Umstieg Schritt für Schritt ins Laufen

Der Weg, der sich in Verwaltungsprojekten bewährt hat, ist unspektakulär und geht in klar abgegrenzten Stufen vor. Wichtig ist, dass Technik, Beschaffung und Qualifizierung parallel laufen und nicht nacheinander.

Bestandsaufnahme der Fachverfahren

Erfasse jedes Fachverfahren mit Client-Anforderung, Hersteller-Support-Aussage zu Linux oder Browser-Betrieb, Schnittstellen und Datenaustauschformaten. Sortiere in drei Kategorien: läuft im Browser, läuft nativ oder über Remote-Anwendung, blockiert den Umstieg. Nur die dritte Kategorie ist wirklich Projektarbeit, und sie bestimmt, welche Bereiche du zuerst migrierst.

Pilotbereich nach Risiko statt nach Begeisterung wählen

Geeignet ist eine Organisationseinheit mit überschaubarem Verfahrensportfolio, klarer Führung und regelmäßigem Publikumsverkehr, damit du reale Arbeitslast siehst. Definiere vorab messbare Abbruch- und Erfolgskriterien, etwa Ticketaufkommen pro Arbeitsplatz und Woche, Zeit bis zur Wiederherstellung eines Clients und Anteil ungelöster Verfahrensfälle.

Basisinfrastruktur vor dem ersten Client

Verzeichnisdienst-Anbindung, Datei- und Druckdienste über Samba und NFS, DNS und DHCP, Paketspiegel, Zeitsynchronisation und zentrale Logs müssen stehen, bevor Nutzer produktiv arbeiten. In unseren Kursen Linux Infrastrukturdienste (INFS), Linux Netzwerk und Netzwerkdienste sowie Linux Samba und Windows Netzwerke ist genau dieser Unterbau der Inhalt.

Automatisierter Betrieb von Anfang an

Installiere keinen Client von Hand. Setze Provisionierung und Konfiguration von Beginn an über Ansible auf, versioniere die Rollen in Git und definiere den Patch- und Release-Prozess inklusive Testring. Das ist der Unterschied zwischen einem Pilotprojekt und einem Betriebsmodell, und es macht spätere Distributionswechsel beherrschbar.

Multiplikatoren im eigenen Haus aufbauen

Plane pro Fachbereich mindestens eine Person, die Anwenderfragen zu LibreOffice, Dateiformaten und dem neuen Desktop selbst beantworten kann, und im IT-Betrieb ein Team von mehreren Personen mit LPIC-1-Niveau. Anwenderseitig passen der IT-Basiskurs und der Kurs Umstieg auf Linux Mint und LibreOffice, für die Administration die Linux Komplettausbildung zur LPIC-1 Zertifizierung und der Kompaktkurs Linux Systemadministration und Shell-Scripting.

Beschaffung und Rollout mit realistischem Schulungsbudget

Führe Qualifizierung als eigene Position im Projektplan, nicht als Restposten. Bei Ausschreibungen sind offene Schnittstellen, Datenformate und der Verzicht auf clientseitige Windows-Abhängigkeiten die entscheidenden Kriterien. Nach dem Pilot rollst du bereichsweise aus, immer mit Rückfallweg und mit geschultem First-Level-Support, der die häufigsten Fälle ohne Eskalation löst.

Tutorial

Der operative Teil: Bestandsaufnahme, Basisdienste, Client-Baseline

Hier steht, was du in den ersten Monaten tatsächlich tippst: die Bestandsaufnahme mit Werkzeugen statt Fragebogen, die Anmeldung am Verzeichnisdienst, eine automatisiert ausgerollte Client-Baseline, zentrale LibreOffice-Vorgaben und der saubere Umgang mit Fachverfahren, die vorerst Windows bleiben.

Bestandsaufnahme mit Werkzeugen statt Fragebogen

Der Fragebogen an die Fachbereiche liefert dir, was die Leute zu benutzen glauben. Was sie wirklich benutzen, steht auf den Dateiservern und in den Logs. Fang dort an, sonst planst du an der Realität vorbei.

Die teuren Fälle finden: Makros und Datenbanken

cd /srv/fileserver

# Makrohaltige Dokumente und Access-Datenbanken einsammeln
find . -type f \( -name '*.xlsm' -o -name '*.docm' -o -name '*.accdb' -o -name '*.mdb' \) \
  > /root/inventar-makros.txt
wc -l /root/inventar-makros.txt

# Wie viele davon hat im letzten Jahr überhaupt jemand geöffnet?
find . -name '*.xlsm' -atime -365 | wc -l

Das Alter zählt mehr als die Menge. Eine Tabelle mit Makros, die seit vier Jahren niemand geöffnet hat, ist kein Migrationsaufwand, sondern ein Archivfall. Prüf vorher mit findmnt /srv/fileserver, ob das Dateisystem Zugriffszeiten überhaupt führt: relatime reicht dafür aus, bei noatime ist die Auswertung wertlos.

Konvertierbarkeit an einer echten Stichprobe messen

soffice --headless --convert-to ods --outdir /tmp/konv /srv/stichprobe/*.xlsx
soffice --headless --convert-to pdf --outdir /tmp/konv /srv/stichprobe/*.docx

# Differenz zwischen Eingang und Ergebnis ist die Handarbeitsquote
ls /srv/stichprobe | wc -l
ls /tmp/konv       | wc -l

Nimm eine echte Stichprobe aus dem laufenden Betrieb, keine Beispieldateien. Die Probleme stecken in Serienbrieffeldern, verknüpften Tabellen, Formularsteuerelementen und Pivot-Auswertungen, nicht im Fließtext. Die so ermittelte Quote ist die belastbarste Zahl, die du in die Projektplanung mitnehmen kannst.

Basisdienste zuerst: Anmeldung, Laufwerke, Drucker

Der erste Linux-Client, der sich nicht am Verzeichnisdienst anmelden kann, beendet das Projekt in der Wahrnehmung der Fachbereiche. Deshalb kommt die Anmeldung vor dem ersten Rollout, nicht danach.

Client an den Verzeichnisdienst hängen

sudo realm discover behoerde.local
sudo realm join --user=admin.migration behoerde.local

# RHEL / Rocky / Alma
sudo authselect select sssd with-mkhomedir --force
# Debian / Ubuntu
sudo pam-auth-update          # Haken bei "create home directory on login"

id vorname.nachname
sudo realm permit --groups 'behoerde.local\Abteilung-IT'

realm join schreibt /etc/sssd/sssd.conf und /etc/krb5.conf. Setz in der sssd.conf use_fully_qualified_names = False und fallback_homedir = /home/%u, sonst heißen die Heimatverzeichnisse benutzer@behoerde.local und jedes Skript, das mit Pfaden arbeitet, stolpert über das Klammeraffe-Zeichen. Nach jeder Änderung: sss_cache -E und Dienst neu starten, sonst antwortet der Cache mit alten Daten.

Netzlaufwerk und Drucker ohne gespeicherte Passwörter

# CIFS per Kerberos, kein Passwort in einer Datei
sudo mount -t cifs //fs01.behoerde.local/abteilung /mnt/abteilung \
  -o sec=krb5,cruid=$(id -u),uid=$(id -u),gid=$(id -g),vers=3.1.1

klist

# Drucker treiberlos über IPP Everywhere
sudo lpadmin -p abt-kopierer -E -v ipp://drucker01.behoerde.local/ipp/print -m everywhere
lpstat -t

-m everywhere nutzt IPP Everywhere und kommt ohne herstellerspezifischen Treiber aus. Deshalb ist die Druckerlandschaft heute selten das Hindernis, das sie vor zehn Jahren war. Prüf trotzdem die Endverarbeitung wie Heften, Lochen und Kostenstellenabrechnung, dort hört die Standardisierung auf und dort sitzt der Ärger.

Die Client-Baseline automatisiert ausrollen

Ein Client, der von Hand aufgesetzt wurde, ist nach einem halben Jahr ein Einzelstück. In einer Verwaltung mit mehreren Standorten ist das der Punkt, an dem der Betrieb teurer wird als der alte Zustand.

autoinstall für Ubuntu (Auszug aus user-data)

#cloud-config
autoinstall:
  version: 1
  locale: de_DE.UTF-8
  keyboard:
    layout: de
  identity:
    hostname: vw-client-0001
    username: lokaladmin
    password: "$6$..."        # mit: mkpasswd -m sha-512
  ssh:
    install-server: true
  packages:
    - libreoffice
    - sssd-ad
    - cifs-utils
    - ansible-core
  late-commands:
    - curtin in-target -- systemctl enable ansible-pull.timer

In der RHEL-Familie erledigt Kickstart dasselbe. Prüf die Datei vorher mit ksvalidator /srv/tftp/ks/client.ks und übergib sie beim Start als inst.ks=http://install.behoerde.local/ks/client.ks. Beide Wege haben gemeinsam, dass die Installation reproduzierbar ist und keine Handgriffe enthält, die niemand dokumentiert hat.

Konfiguration holen statt schieben

ansible-pull -U https://git.behoerde.local/it/client-baseline.git \
  -i localhost, local.yml \
  --vault-password-file /etc/ansible/vault-pass

systemctl list-timers ansible-pull.timer
journalctl -u ansible-pull.service -n 30 --no-pager

ansible-pull dreht die Richtung um: Der Client holt sich seinen Sollzustand, statt dass ein zentraler Server ihn erreichen muss. In Verwaltungsnetzen mit vielen segmentierten Standorten ist das oft der einzige Weg, der ohne neue Firewall-Freigaben und ohne Ausnahmegenehmigung auskommt.

LibreOffice zentral vorgeben statt am Einzelplatz einstellen

Wenn jeder Arbeitsplatz sein eigenes Standardformat und seine eigenen Vorlagen hat, entstehen genau die Formatprobleme, die anschließend der Migration angelastet werden. Zentrale Vorgaben sind deshalb kein Nachrüstthema.

/usr/lib/libreoffice/share/registry/behoerde.xcd

<oor:data xmlns:oor="http://openoffice.org/2001/registry">
  <oor:component-data oor:name="Setup" oor:package="org.openoffice">
    <node oor:name="Office">
      <node oor:name="Factories">
        <node oor:name="com.sun.star.text.TextDocument">
          <prop oor:name="ooSetupFactoryDefaultFilter" oor:finalized="true">
            <value>writer8</value>
          </prop>
        </node>
      </node>
    </node>
  </oor:component-data>
</oor:data>

Eine eigene .xcd-Datei neben den mitgelieferten gilt für alle Benutzer des Systems und wird bei Paketupdates nicht angefasst, weil sie zu keinem Paket gehört. Ohne oor:finalized=„true“ darf jeder die Vorgabe im Dialog wieder umstellen, und die Änderung landet in ~/.config/libreoffice/4/user/registrymodifications.xcu. Genau dort suchst du auch, wenn eine Vorgabe scheinbar nicht greift.

Vorlagen ausrollen und Profile prüfen

sudo install -d /usr/lib/libreoffice/share/template/common/behoerde
sudo cp briefkopf.ott vermerk.ott \
     /usr/lib/libreoffice/share/template/common/behoerde/

# Greift eine Vorgabe nicht, liegt es fast immer am Benutzerprofil
mv ~/.config/libreoffice/4/user ~/.config/libreoffice/4/user.alt
soffice --headless --terminate_after_init

Das Verschieben des Profils ist der schnellste Test der Frage „liegt es an meiner Vorgabe oder an einer alten Benutzereinstellung“. LibreOffice legt beim nächsten Start ein frisches Profil an, das alte bleibt als Sicherung liegen.

Ablösung nach Aufwand sortiert

Bisher	Offener Ersatz	Worauf du achten musst
Textverarbeitung und Tabellen	LibreOffice Writer und Calc	Serienbriefe, Formularfelder und Makros einzeln prüfen, Fließtext ist unkritisch
Access-Datenbanken	Datenhaltung auf PostgreSQL, Oberfläche neu bauen	Eine Access-Anwendung ist selten nur eine Datenbank, die Fachlogik steckt in den Formularen
Gruppenpostfächer und Kalender	Groupware mit offenen Protokollen	Ressourcenkalender und Vertretungsregelungen sind der Knackpunkt, nicht die Mail selbst
Netzlaufwerk per Laufwerksbuchstabe	CIFS-Einbindung über Kerberos	Skripte und Verknüpfungen mit fest verdrahtetem Buchstaben vorher suchen
Windows-Fachverfahren	bleibt vorerst Windows	Über RemoteApp kapseln statt zu portieren, Ablösung im nächsten Vergabeverfahren fordern

Was nicht portierbar ist: Fachverfahren sauber kapseln

In jeder Verwaltung bleibt ein Rest, der auf absehbare Zeit Windows braucht. Das ist kein Scheitern, solange dieser Rest gekapselt ist und nicht den ganzen Arbeitsplatz diktiert.

Einzelne Anwendung statt ganzem Desktop

# Debian / Ubuntu
sudo apt install -y freerdp2-x11
# RHEL / Rocky / Alma
sudo dnf install -y freerdp

xfreerdp /v:ts01.behoerde.local /d:behoerde /u:"$USER" /sec:tls \
  /app:program:"C:\\Fachverfahren\\start.exe" \
  /dynamic-resolution /drive:home,"$HOME"

RemoteApp zeigt nur das Fenster der Anwendung, nicht den kompletten Windows-Desktop. Für die Beschäftigten ändert sich damit fast nichts, und du sparst dir eine Portierungsdiskussion, die technisch ohnehin ins Leere läuft. Rechne den Terminalserver aber ehrlich in die Kosten ein, inklusive seiner Lizenzen und seines Betriebs.

Reihenfolge, die sich in der Verwaltung bewährt hat

Verfahren ohne Windows-Bindung zuerst, sie liefern schnelle und sichtbare Erfolge
Verfahren mit Weboberfläche als zweite Welle, dort zählt am Ende nur noch der Browser
Verfahren mit Windows-Client über RemoteApp kapseln und die Ablösung mit dem Hersteller terminieren
Verfahren ohne Ablöseperspektive dokumentieren und im nächsten Vergabeverfahren mit einer Anforderung an Plattformunabhängigkeit versehen

Betrieb, Protokollierung und Nachweise

Ein Open-Source-Arbeitsplatz ohne belastbaren Betrieb ist in der Verwaltung nicht genehmigungsfähig. Die gute Nachricht: Wer die Anforderungen von Anfang an in Konfigurationsmanagement gießt, erzeugt die Nachweise nebenbei.

Zentrale Protokollierung einrichten und prüfen

# /etc/rsyslog.d/10-zentral.conf
# *.*  @@log01.behoerde.local:6514;RSYSLOG_SyslogProtocol23Format

sudo rsyslogd -N1            # Syntaxprüfung, bevor der Dienst neu startet
sudo systemctl restart rsyslog
logger -p local0.info "Testeintrag Migration"

# Auf dem Sammler kontrollieren, ob die Meldung ankam
journalctl -t root --since "-2 min" --no-pager

@@ steht für TCP, ein einzelnes @ für UDP. Bei UDP verlierst du Meldungen genau dann, wenn viel passiert, also im Vorfall. Leg die Aufbewahrungsfrist gemeinsam mit dem Datenschutz fest und schreib sie auf, bevor der erste produktive Client steht.

Was vor dem ersten produktiven Arbeitsplatz stehen muss

Zentrale Protokollierung mit abgestimmter AufbewahrungsfristOhne Logs kannst du weder einen Sicherheitsvorfall aufklären noch gegenüber der Aufsicht belegen, wer wann auf welche Daten zugegriffen hat. Zu lange Fristen sind ihrerseits ein Datenschutzproblem, deshalb die Abstimmung.
Automatisierte Datensicherung samt einmal getestetem RückwegEine Sicherung, die nie zurückgespielt wurde, ist eine Annahme. Der erste Ernstfall ist der denkbar schlechteste Zeitpunkt für den ersten Test.
Patchprozess mit Fristen und dokumentierten AusnahmenDer IT-Grundschutz fragt beim Patch- und Änderungsmanagement nach dem Prozess, nicht nach dem Werkzeug. Ohne Fristen gibt es nichts zu prüfen.
Regelmäßiger Schwachstellenscan, etwa mit GreenboneDer Scanner findet die vergessene Testinstanz, die in keiner Inventarliste steht. Genau die wird angegriffen, weil sie niemand pflegt.
Mindestens zwei Personen im Haus, die die Basisdienste selbst betreiben könnenWissen ausschließlich beim Dienstleister bedeutet, dass du für jede Änderung Angebote einholst statt zu arbeiten. Das frisst den Kostenvorteil schneller auf als jede Lizenz.

Passende Kurse

Kurse zu Open Source in Behörden bei cmt

Diese Kurse vertiefen genau das, an echten Systemen statt nur an Folien. Als Präsenz oder Live-Online, auf Wunsch auch Inhouse für dein Team.

Linux Migration - Von Windows zu Linux 2 Tage Präsenz nächster Termin 07.12.2026 Zum Kurs Umstieg auf Linux Mint und LibreOffice 1 Tag Präsenz nächster Termin 25.09.2026 Zum Kurs IT-Basiskurs (Ubuntu, Libre-/OpenOffice, E-Mail) 2 Tage Präsenz nächster Termin 05.11.2026 Zum Kurs Linux Infrastrukturdienste (INFS) 3 Tage Präsenz nächster Termin 26.08.2026 Garantietermin Zum Kurs Linux Netzwerk und Netzwerkdienste - Kompaktkurs 5 Tage Präsenz nächster Termin 21.09.2026 Zum Kurs

Unverbindlich beraten lassen Alle LPI-Kurse ansehen

Gut zu wissen

Häufige Fragen zu Open Source in Behörden

Noch etwas offen? Wir sind ohne Warteschleife für dich da.

Frag uns direkt

Wie lange dauert die Einführung von Open Source in einer Behörde realistisch?

Für die Bestandsaufnahme und den Aufbau der Basisinfrastruktur solltest du je nach Größe des Hauses mehrere Monate ansetzen, für den Pilotbereich mindestens zwei vollständige Quartale, damit auch Jahresabschluss, Urlaubszeiten und Vertretungsfälle einmal durchlaufen. Der Rollout erfolgt danach in Wellen, und die Gesamtdauer hängt vor allem von der Anzahl blockierender Fachverfahren ab, nicht von der Anzahl der Arbeitsplätze.

Was mache ich mit Fachverfahren, die nur unter Windows laufen?

Es gibt drei gangbare Wege: Der Hersteller stellt eine Browser- oder Linux-Variante bereit, das Verfahren wird über eine Remote-Desktop- oder Terminalserver-Lösung bereitgestellt, oder der betroffene Arbeitsplatz bleibt vorerst auf Windows und wird in einer späteren Welle migriert. Eine ehrliche Bewertung gehört in die Bestandsaufnahme, denn ein einzelnes Verfahren kann einen ganzen Fachbereich blockieren.

Welche Distribution eignet sich für Arbeitsplätze in der Verwaltung?

In der Praxis kommen vor allem Ubuntu LTS, Debian stable und Linux Mint zum Einsatz, für Serverdienste zusätzlich RHEL-Derivate und SUSE Linux Enterprise. Entscheidend ist weniger die Distribution selbst als der garantierte Supportzeitraum, die Verfügbarkeit von Sicherheitsupdates, die Paketierbarkeit deiner Fachanwendungen und die Frage, für welche Plattform du intern Know-how aufbauen kannst.

Wie viel Schulung brauchen Anwender wirklich?

Für den reinen Desktopwechsel reicht bei den meisten Beschäftigten ein bis zwei Tage, wenn sie vorher mit Windows und einem Office-Paket gearbeitet haben. Der eigentliche Aufwand liegt bei LibreOffice, insbesondere bei Vorlagen, Serienbriefen und Makros, sowie bei den Personen, die als Ansprechpartner im Fachbereich fungieren. Für den IT-Betrieb solltest du dagegen mit mehreren Wochen verteilter Qualifizierung bis LPIC-1-Niveau rechnen.

Führt cmt die Schulungen auch als Inhouse-Kurs für die Verwaltung durch?

Ja, der Großteil unserer Behördenprojekte läuft als Inhouse-Schulung in deinen Räumen oder Live-Online, mit Inhalten, die auf deine Distribution, deine Verzeichnisdienst-Anbindung und deine Fachverfahren zugeschnitten sind. Sinnvoll ist meist eine Kombination aus Anwenderkursen für die Fachbereiche und einer mehrstufigen Ausbildung für den IT-Betrieb.

Zuletzt geprüft am 26. Juli 2026.

Echte Stimmen aus unseren IT-Kursen

“

Sehr intensiver Lehrgang, hat mich für meine Arbeit ein gutes Stück voran gebracht.

Rückmeldung aus dem Kurs „Monitoring mit Prometheus und Grafana - Grundkurs“

“

Es war eine sehr gute Lernatmosphäre und der Trainer verstand sein Thema sehr gut.

Rückmeldung aus dem Kurs „SELinux Training: Grundlagen und Administration (SEL1)“

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Linux-Programm den passenden Kurs oder Lernpfad zu finden.

0800 71 20000 E-Mail

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die exakt auf eure Systemlandschaft und Distributionen zugeschnitten sind.