Microsoft 365 in der Kommune: Was Sie wirklich entscheiden müssen (und was nicht)

Es gibt einen Moment in fast jedem Microsoft-365-Projekt einer Verwaltung, der sich anfühlt wie ein Déjà-vu. Die Runde sitzt seit anderthalb Stunden zusammen, an der Wand hängt eine Folie mit siebzehn Produktnamen, und jemand fragt, ob man nicht doch erst einmal klären sollte, ob Teams oder eine Alternative genutzt wird. Alle nicken. Und niemand merkt, dass die Verwaltung damit gerade den vierten Termin in Folge über etwas beraten hat, das gar keine Entscheidung ist, sondern eine Konfiguration.

Der eigentliche Schaden solcher Runden ist nicht die verlorene Zeit. Es ist die Verschiebung: Solange über die falschen Fragen gestritten wird, bleiben die richtigen unbeantwortet. Und die richtigen Fragen sind unangenehm, weil sie Zuständigkeit verlangen. Jemand muss sagen, welche Daten in den Tenant dürfen. Jemand muss sagen, was das dauerhaft kostet. Jemand muss mit dem Personalrat sprechen, bevor die erste Lizenz bestellt ist – und nicht danach.

Dieser Artikel eröffnet eine Reihe zu Microsoft 365 in der öffentlichen Verwaltung. Er macht etwas Unspektakuläres, aber Nützliches: Er trennt die fünf Entscheidungen, die eine Verwaltungsspitze wirklich treffen muss, von dem Dutzend Scheinentscheidungen, die in Projektsitzungen gerne aufgeblasen werden. Fünf Entscheidungen. Nicht siebzehn Produktnamen.

Wenn Sie den Gesamtzusammenhang suchen – von der Rechtslage über Betrieb und Sicherheit bis zur Schriftgutverwaltung –, finden Sie ihn auf der Übersichtsseite Microsoft 365 in der öffentlichen Verwaltung. Dieser Beitrag ist der Einstieg: Er ordnet, wer wann was entscheidet, und verweist an den passenden Stellen auf die Vertiefungen.

FAKTENKASTEN: DIE LAGE HAT SICH VERÄNDERT Die Datenschutzkonferenz hatte im November 2022 festgestellt, dass sich der datenschutzkonforme Betrieb von Microsoft 365 auf Basis des damaligen Datenschutznachtrags nicht nachweisen lasse. Diese Bewertung prägte die Diskussion jahrelang – und wird in Verwaltungen bis heute zitiert. Am 14. November 2025 hat der Hessische Beauftragte für Datenschutz und Informationsfreiheit einen rund 137 Seiten starken Bericht mit dem Ergebnis veröffentlicht, dass Microsoft 365 unter bestimmten Bedingungen datenschutzkonform genutzt werden kann. Grundlage waren Verhandlungen mit Microsoft ab Januar 2025; für öffentliche Stellen wurde dabei ein erweiterter Nachtrag zur Auftragsverarbeitung entwickelt. Die Aufsicht bewertet die Einschätzung von 2022 in wesentlichen Teilen als überholt. Parallel hat Microsoft die EU Data Boundary in drei Stufen ausgebaut: Kundendaten der Kerndienste seit Januar 2023, pseudonymisierte Personendaten in systemgenerierten Protokollen seit Januar 2024, Supportdaten aus professionellen Diensten seit Februar 2025 – jeweils mit definierten Ausnahmen, die dokumentiert sind und bleiben. Was das für Sie heißt: Die Frage lautet nicht mehr „Dürfen wir überhaupt?“, sondern „Unter welchen Bedingungen, für welche Verfahren, mit welchem Nachweis?“. Das ist eine deutlich anstrengendere Frage. Sie ist auch die einzige, die weiterführt.

 

Die fünf echten Entscheidungen

Eine echte Entscheidung erkennen Sie an drei Merkmalen. Erstens: Sie ist später nur teuer oder gar nicht revidierbar. Zweitens: Sie hat einen Adressaten, der sie treffen darf – und der nicht das Projektteam ist. Drittens: Andere Arbeitspakete hängen davon ab. Alles, was diese drei Merkmale nicht erfüllt, ist Umsetzung. Umsetzung braucht Fachlichkeit, keine Sitzung mit acht Personen.

Skizze 1: Links steht, was tatsächlich beschlossen werden muss. Rechts steht, worüber trotzdem am längsten geredet wird.

Entscheidung 1: Das Betriebsmodell

Die erste Frage lautet nicht „Cloud oder nicht“, sondern: Welche Teile der Verwaltung arbeiten künftig in einem Microsoft-365-Tenant, welche bleiben in lokal betriebenen Systemen, und wie greifen beide ineinander? Es gibt praktisch keine deutsche Kommunalverwaltung, die vollständig in die Cloud geht, und ebenso wenig eine, die vollständig draußen bleibt. Der Regelfall ist ein Mischbetrieb, und der Mischbetrieb ist die eigentliche Architekturaufgabe.

Dazu kommt die Frage nach der Plattform. Neben dem regulären Microsoft-365-Betrieb in europäischen Rechenzentren gibt es inzwischen abgestufte Souveränitätsangebote: Microsoft hat sein Portfolio 2025 um eine Sovereign Public Cloud mit Funktionen wie externem Schlüsselmanagement und einer Freigabe- und Protokollierungsschicht für Fernzugriffe durch Microsoft-Personal erweitert. Auf der anderen Seite steht die Delos Cloud, eine Plattform der SAP-Tochter gleichen Namens, die auf Microsoft-Technologie aufsetzt, in deutschen Rechenzentren mit sicherheitsüberprüftem Personal betrieben wird und Bestandteil der Deutschen Verwaltungscloud-Strategie ist.

WICHTIG: DELOS CLOUD NÜCHTERN BETRACHTEN Die Delos Cloud ist ein reales Angebot mit realer Zielrichtung. Sie ist aber keine Zeitmaschine. Der Leistungsumfang wird stufenweise aufgebaut, Zulassungen und Zertifizierungen folgen dem Ausbau, und einzelne Dienstgruppen stehen zu unterschiedlichen Zeitpunkten zur Verfügung. Verwaltungen, die auf einen bestimmten Funktionsumfang zu einem bestimmten Termin planen, planen auf Ansage. Die belastbare Umgangsweise: Prüfen Sie das Angebot für Ihre konkreten Verfahren, holen Sie verbindliche Aussagen zu Leistungsumfang und Verfügbarkeit ein und bauen Sie Ihre Entscheidung so, dass sie auch trägt, wenn ein Baustein später kommt als erhofft. Was Sie nicht tun sollten: das gesamte Vorhaben in eine Warteschleife stellen und die Wartezeit als Beschluss verkaufen. › Delos Cloud für Kommunen: Was das Angebot ist, wen es betrifft und was fehlt

 

Die Betriebsmodell-Frage im Detail – Standard-Tenant, Hybrid, Identitätsanbindung, Verfahrensschnitte – behandelt der Beitrag Standard-Tenant oder Hybrid: Die Betriebsmodell-Entscheidung für Verwaltungen. Wenn Sie an ein kommunales Rechenzentrum angebunden sind, gehört dessen Rolle in dieselbe Entscheidung; das ist Thema von Microsoft 365 und das kommunale Rechenzentrum: Rollen, Schnittstellen, Zweitmeinung.

Entscheidung 2: Die Schutzbedarfsgrenze

Das ist die Entscheidung, die am häufigsten umgangen wird, weil sie am meisten weh tut. Sie lautet: Welche Verfahren, welche Datenarten und welche Organisationseinheiten dürfen in den Tenant – und welche unter keinen Umständen? Nicht abstrakt, sondern konkret, mit Namen von Ämtern und Fachverfahren im Protokoll.

Der Grund für die Verdrängung ist psychologisch nachvollziehbar. Wer diese Linie zieht, sagt implizit auch, dass ein Teil der Verwaltung erst einmal nicht mitspielt. Das ist unbequem. Es ist aber deutlich weniger unbequem, als die Linie nicht zu ziehen und sie später von einer Aufsichtsbehörde oder einem Vorfall gezogen zu bekommen.

Skizze 2: Die Schutzbedarfsgrenze wird nicht entlang von Produkten gezogen, sondern entlang von Verfahren und Ämtern.

Methodisch ist die Sache erfreulich unspektakulär: Sie brauchen eine Schutzbedarfsfeststellung, die den Geltungsbereich der genutzten Cloud-Dienste tatsächlich abdeckt. Der IT-Grundschutz des BSI liefert dafür mit dem Baustein zur Cloud-Nutzung die Struktur; Bundesbehörden haben zusätzlich den Mindeststandard zur Nutzung externer Cloud-Dienste zu beachten. Kommunen sind daran nicht unmittelbar gebunden, tun aber gut daran, sich an derselben Systematik zu orientieren – schon deshalb, weil das Rechnungsprüfungsamt später nach einer nachvollziehbaren Methodik fragt und nicht nach Bauchgefühl.

Wie der Abgleich zwischen IT-Grundschutz und den tatsächlichen Konfigurationsmöglichkeiten in Microsoft 365 praktisch aussieht, steht in Schutzbedarf und Microsoft 365: IT-Grundschutz-Abgleich für die Praxis.

Entscheidung 3: Die Lizenzstufe

Lizenzen wirken wie eine Einkaufsentscheidung. Sie sind eine Sicherheitsentscheidung mit Preisschild. Der Unterschied zwischen den Enterprise-Stufen liegt für Verwaltungen weniger in Komfortfunktionen als in den Werkzeugen, mit denen Sie überhaupt nachweisen können, dass Ihr Betrieb kontrolliert ist: erweiterte Bedrohungserkennung, Informationsschutz, Aufbewahrungs- und Auswertungsfunktionen, differenzierte Zugriffssteuerung.

Die typische Fehlbewegung: Man kauft die günstigste Stufe, weil das gegenüber der Kämmerei am leichtesten zu vertreten ist, und beschließt zwei Jahre später ein Sicherheitskonzept, das die Funktionen der teureren Stufe voraussetzt. Die Nachlizenzierung ist dann nicht nur teurer, sie ist auch ein Rechtfertigungstermin. Umgekehrt gilt aber genauso: Wer die höchste Stufe kauft und die Funktionen nie einschaltet, hat eine sehr elegante Methode gefunden, öffentliches Geld in Ruhe altern zu lassen.

Zur Größenordnung: Die Zusatzlizenz für Microsoft 365 Copilot liegt in der Enterprise-Variante bei einem Listenpreis von 26 Euro je Benutzer und Monat im Jahresabonnement – zusätzlich zur berechtigenden Basislizenz. Für eine Verwaltung mit 800 Beschäftigten sind das, wenn alle sie bekämen, ein sechsstelliger Dauerbetrag pro Jahr. Nicht alle brauchen sie. Genau das ist eine Entscheidung und keine Beschaffungsroutine.

TIPP: DIE LIZENZSTUFE RÜCKWÄRTS HERLEITEN Schreiben Sie zuerst auf, welche Schutzmaßnahmen Ihr Sicherheitskonzept verlangt – bedingter Zugriff mit welchen Bedingungen, welche Protokollierung über welchen Zeitraum, welche Klassifizierung, welche Aufbewahrung. Ordnen Sie erst danach zu, welche Lizenzstufe das trägt. Das Ergebnis ist eine Zeile in der Beschlussvorlage, die Sie verteidigen können: „Stufe X, weil Maßnahme Y ohne sie nicht umsetzbar ist.“ Das überzeugt Kämmerei und Rechnungsprüfung deutlich zuverlässiger als ein Produktvergleich. › Microsoft 365 Lizenzen für Verwaltungen: E3, E5, F3 und die Behördenkonditionen

 

Entscheidung 4: Umfang und Zeitpunkt der Mitbestimmung

Die Einführung von Microsoft 365 berührt Mitbestimmungstatbestände – die Einführung und Anwendung technischer Einrichtungen, die zur Verhaltens- oder Leistungskontrolle geeignet sind, ist in den Personalvertretungsgesetzen des Bundes und der Länder abgebildet. Die konkreten Tatbestände und Verfahren unterscheiden sich je nach Landesrecht; prüfen Sie sie für Ihr Bundesland und bei kirchlichen Trägern nach dem jeweiligen Mitarbeitervertretungsrecht.

Die eigentliche Entscheidung ist trotzdem keine juristische, sondern eine strategische: Verhandeln Sie eine große Dienstvereinbarung, die alles regelt, oder eine Rahmenvereinbarung mit Ausbaustufen? Beides ist vertretbar. Die große Vereinbarung dauert länger, hält dafür länger. Die Stufenlösung startet schneller, produziert aber alle achtzehn Monate einen neuen Verhandlungstermin.

Was in beiden Fällen gilt: Der Personalrat gehört an den Tisch, bevor die Architektur steht – nicht, wenn die Lizenzen bestellt und die Pilotgruppen benannt sind. Ein Personalrat, der eine fertige Lösung zur Zustimmung vorgelegt bekommt, hat exakt ein Instrument, um ernst genommen zu werden, und er wird es benutzen. Das ist keine Böswilligkeit, sondern Rollenverständnis.

Für den besonders sensiblen Teil – Auswertbarkeit, Protokollierung und die Frage, was ein KI-Assistent im Tenant sieht – liefert Copilot und Personalrat: Bausteine einer Dienstvereinbarung konkrete Formulierungsbausteine. Die datenschutzrechtliche Seite einschließlich Datenschutz-Folgenabschätzung behandelt Microsoft 365 Copilot in der Verwaltung: Datenschutz, Rechtsgrundlage, DSFA; in kirchlichen Einrichtungen gelten mit DSG-EKD und KDG eigene Regelwerke, siehe Microsoft 365 in Kirche, Diakonie und Caritas: DSG-EKD, KDG und Mitarbeitervertretung.

Entscheidung 5: Der Umgang mit der Aktenführung

Hier wird es unübersichtlich, und zwar aus einem Grund, den man kennen muss: Es gibt zwei Themen, die im Sprachgebrauch ständig ineinanderlaufen, und sie sind rechtlich klar getrennt.

Das eine ist die Dokumentenablage samt Schriftgutverwaltung: strukturierte Ablage nach Aktenplan, Metadaten, Aufbewahrungsbezeichnungen, Aufbewahrungsfristen, Löschung und die Übergabe an das zuständige Archiv. Das lässt sich in Microsoft 365 abbilden, mit einigem konzeptionellen Aufwand und mit klaren Grenzen. Das andere ist die elektronische Aktenführung im Sinne des E-Government-Rechts. Für Behörden des Bundes ist sie im E-Government-Gesetz des Bundes geregelt; für Gemeinden und Gemeindeverbände gilt sie nur, soweit das jeweilige Landesrecht dies anordnet – und die Landesgesetze unterscheiden sich in Zielsetzung, Umfang und Fristen erheblich. Die Aussonderung richtet sich zusätzlich nach den Archivgesetzen von Bund und Ländern.

WARNUNG: DIE GRENZE ZUR E-AKTE NICHT VERWISCHEN „Wir machen die E-Akte mit SharePoint“ ist in dieser Formulierung fast immer falsch – und der Satz hat schon Projekte in eine Prüfsituation gebracht, aus der sie sich zwei Jahre lang herausgearbeitet haben. Was in Microsoft 365 sauber geht: Ablagestruktur entlang des Aktenplans, Metadaten, Aufbewahrungsbezeichnungen und Fristensteuerung, Vernichtungsnachweise, kontrollierte Zusammenarbeit. Was nicht automatisch mitgeliefert wird: die Eigenschaften, die eine elektronische Akte nach dem jeweiligen Landes-E-Government-Recht und den Grundsätzen ordnungsgemäßer Aktenführung ausmachen – etwa Vorgangsbildung, Verfügungen, Zeichnungsverfahren und die belastbare Unveränderbarkeit im Sinne der einschlägigen Vorgaben. Wenn Ihre Verwaltung nach Landesrecht zur elektronischen Aktenführung verpflichtet ist oder sie einführen will, prüfen Sie den Bedarf an einem dedizierten Fachverfahren getrennt von der Frage, wie Ihre Bürokommunikation aussieht. Beides gleichzeitig zu entscheiden, ist die schnellste Methode, beides falsch zu entscheiden. Dies ist keine Rechtsberatung; die maßgebliche Grundlage ist Ihr Landesrecht. › SharePoint als E-Akte? Was geht, was nicht und wo die Grenze nach Landesrecht liegt › Schriftgutverwaltung mit Microsoft 365: Vom Aktenplan zur Aufbewahrungsbezeichnung

 

Die Entscheidung, die Ihnen niemand abnimmt, lautet also: Setzen Sie Microsoft 365 als Ablage- und Zusammenarbeitsplattform ein und führen Sie die Akte separat? Oder wollen Sie beides in einer Plattform zusammenführen, mit allem, was das an Prüfung und Nachweis bedeutet? Das ist eine Entscheidung der Verwaltungsspitze gemeinsam mit der Registratur – nicht der IT allein.

Die fünf Entscheidungen im Überblick

Entscheidung	Wer entscheidet	Bis wann	Typischer Fehler
Betriebsmodell	Verwaltungsspitze auf Vorschlag von IT-Leitung, Informationssicherheit und Datenschutz; Rat oder Kreistag, soweit Mittel betroffen sind	Vor der Leistungsbeschreibung, spätestens Monat 2	Das Modell wird aus einem Angebot abgeleitet statt umgekehrt
Schutzbedarfsgrenze	Verwaltungsspitze auf Vorschlag von Informationssicherheit, Datenschutz und den betroffenen Fachämtern	Vor der ersten Migration, spätestens Monat 2	Wird auf „klären wir im Betrieb“ vertagt und nie beschlossen
Lizenzstufe	IT-Leitung mit Kämmerei; Beschluss über die Mittel im zuständigen Gremium	Nach dem Sicherheitskonzept, vor der Vergabe	Preis zuerst, Sicherheitskonzept später – und dann Nachlizenzierung
Umfang der Mitbestimmung	Dienststellenleitung und Personalrat; bei kirchlichen Trägern die Mitarbeitervertretung	Erstgespräch Monat 1 bis 2, Vereinbarung vor dem Rollout	Personalrat wird erst nach der Architekturentscheidung informiert
Aktenführung	Verwaltungsspitze mit Registratur, Hauptamt und Datenschutz; Archiv wird beteiligt	Vor dem Aufbau der Ablagestruktur, spätestens Monat 3	Ablage und E-Akte werden vermischt und gemeinsam beschlossen

Tabelle 1: Fünf Entscheidungen, fünf Adressaten, fünf typische Fehlbewegungen.

Die Scheinentscheidungen – und warum sie so viel Sitzungszeit fressen

Scheinentscheidungen haben eine Eigenschaft, die sie so beliebt macht: Sie fühlen sich nach Grundsatzarbeit an, verpflichten aber niemanden zu etwas. Man kann sie in jeder Runde neu aufwerfen, jede Position ist vertretbar, und am Ende ist ein Protokoll voll. Für die Beteiligten ist das entlastend. Für das Projekt ist es Gift.

„Cloud ja oder nein“ ist meistens schon beantwortet

Diese Debatte wird geführt, als stünde sie noch offen. In den allermeisten Verwaltungen ist sie faktisch entschieden – durch Fachverfahren, deren Hersteller nur noch Cloud-Varianten weiterentwickeln, durch Bestandsverträge, durch die Haushaltslage, durch Personalmangel im eigenen Rechenzentrum. Die ehrliche Frage lautet nicht, ob Sie Cloud nutzen, sondern welche Teile, unter welchen Bedingungen und mit welcher Rückfalloption. Das ist Entscheidung 1 und 2, und die haben wir oben schon.

„Teams oder eine Alternative“ ist eine Werkzeugfrage

Wenn die Plattformentscheidung gefallen ist, ist die Frage nach dem Kommunikationswerkzeug innerhalb dieser Plattform kein Grundsatzthema mehr. Sie ist eine Frage der Informationsarchitektur: Wie schneiden Sie Teams entlang der Ämter, Sachgebiete und Gremien, wie regeln Sie Gastzugänge für Planungsbüros und freie Träger, wie verhindern Sie den Wildwuchs von 400 Teams in achtzehn Monaten. Das ist anspruchsvolle Arbeit – aber keine Entscheidung für die Verwaltungsspitze.

Zur Informationsarchitektur entlang der Ämter siehe Microsoft Teams in der Verwaltung einführen: Informationsarchitektur entlang der Ämter, zur Einbindung externer Beteiligter Gäste in Teams und SharePoint: Planungsbüros, Träger und Gremienmitglieder sicher einbinden.

„Warten wir, bis die souveräne Plattform fertig ist“

Warten ist eine legitime Option. Sie ist nur keine kostenlose. Wer wartet, betreibt in der Zwischenzeit die vorhandene Umgebung weiter, mit den vorhandenen Sicherheitslücken, dem vorhandenen Personalaufwand und der vorhandenen Schatten-IT – denn irgendwo teilen die Fachämter ihre Dateien trotzdem, notfalls über private Konten. Wenn Sie warten wollen, treffen Sie diese Entscheidung bewusst, benennen Sie den Zeitpunkt der erneuten Prüfung und beschreiben Sie, was Sie in der Wartezeit tun. Ein Wartebeschluss ohne Zwischenmaßnahmen ist kein Beschluss, sondern eine Auslassung mit Aktenzeichen.

Detailfragen, die als Grundsatzfragen auftreten

Welche Apps im Startmenü erscheinen. Ob OneDrive-Ordner „Dokumente“ oder „Ablage“ heißen. Ob die Kachelfarbe des Intranets zum Stadtwappen passt. Ob eine bestimmte Funktion in Version X oder X+1 kommt. Nichts davon ist unwichtig – aber alles davon gehört ins Feinkonzept und in die Hände von Fachleuten, nicht auf die Tagesordnung eines Lenkungskreises.

Klingt nach Grundsatzentscheidung	Ist tatsächlich	Gehört zu
„Cloud oder eigenes Rechenzentrum?“	in weiten Teilen bereits vorentschieden durch Fachverfahren, Verträge und Personallage	Entscheidung 1 und 2, dort konkret machen
„Teams oder ein anderes Werkzeug?“	Informationsarchitektur innerhalb der gewählten Plattform	Feinkonzept, Projektteam
„Wir warten auf die souveräne Plattform“	eine Terminentscheidung mit laufenden Kosten und Risiken	Entscheidung 1, mit Prüfdatum und Zwischenmaßnahmen
„Bekommt jede Person Copilot?“	Folgefrage aus Schutzbedarf, Lizenzstufe und Mitbestimmung	Entscheidung 2 bis 4, danach Rollout-Planung
„Welche Apps zeigen wir an?“	Betriebsdetail mit überschaubarer Tragweite	Betriebshandbuch
„Brauchen wir ein Backup?“	Risikoentscheidung mit Nachweispflicht gegenüber der Rechnungsprüfung	eigene Vorlage, nicht Teil der Grundsatzentscheidung

Tabelle 2: Scheinentscheidungen sind selten sinnlos – sie sind nur an der falschen Stelle.

Der letzte Punkt verdient eine eigene Anmerkung: Die Frage nach Sicherung und Wiederherstellung ist keine Scheinentscheidung, sie ist nur keine Grundsatzentscheidung. Sie braucht eine eigene, sauber begründete Vorlage – siehe Backup und Wiederherstellung in Microsoft 365: Die Risikoentscheidung fürs Rechnungsprüfungsamt und, für die Nachweisseite, Microsoft 365 Audit-Log und Rechnungsprüfung: Nachweise, die Verwaltungen liefern müssen.

Die Reihenfolge: warum sie mehr Geld spart als die Verhandlung

In fast jedem Projekt, das aus dem Ruder läuft, ist nicht eine einzelne Entscheidung falsch getroffen worden. Es ist die Reihenfolge, in der entschieden wurde. Wer zuerst Lizenzen beschafft und danach die Schutzbedarfsgrenze zieht, stellt regelmäßig fest, dass die beschafften Lizenzen die notwendigen Maßnahmen nicht tragen. Wer zuerst die Architektur baut und danach den Personalrat informiert, verhandelt anschließend unter Zeitdruck über eine bereits gebaute Lösung. Wer zuerst die Ablagestruktur aufsetzt und danach über Aktenführung nachdenkt, sortiert 1,2 Millionen Dateien ein zweites Mal.

Skizze 3: Der Entscheidungsbaum. Jede Verzweigung führt weiter – keine führt zurück auf den Anfang, wenn die Reihenfolge stimmt.

Der Gremienkalender schlägt den Projektplan

Eine Besonderheit, die externe Beratungsunternehmen regelmäßig unterschätzen: In der Verwaltung ist der begrenzende Faktor nicht die Arbeitsgeschwindigkeit, sondern der Sitzungsrhythmus. Fachausschuss, Hauptausschuss, Rat oder Kreistag, dazu die Personalratssitzung und gegebenenfalls die Verbandsversammlung eines Zweckverbands – das sind feste Termine mit festen Vorlaufzeiten für Vorlagen. Ein Projektplan, der diese Termine nicht als harte Randbedingung führt, ist Dekoration.

Skizze 4: Ein realistischer Ablauf über die ersten sieben Monate. Die Kästen oberhalb der Achse sind Gremien- und Beteiligungstermine.

TIPP: PARALLELISIEREN, WO ES ZULÄSSIG IST Mitbestimmung, Vergabevorbereitung und Schutzbedarfsfeststellung lassen sich weitgehend parallel führen. Wer sie hintereinander schaltet, verliert mühelos sechs Monate, ohne dass irgendjemand einen Fehler gemacht hätte. Was nicht parallelisierbar ist: die Lizenzentscheidung vor dem Sicherheitskonzept, die Ablagestruktur vor der Aktenführungsentscheidung und die Leistungsbeschreibung vor dem Betriebsmodell. Diese drei Abhängigkeiten sind echt.

 

Wer entscheidet was

Die zweite Quelle für Verzögerung ist die Rollenverwirrung. Datenschutz und Informationssicherheit beraten, prüfen und dokumentieren – sie treffen die Entscheidung nicht und sollen es auch nicht. Die Vergabestelle führt das Verfahren, sie bestimmt nicht die Architektur. Die Kämmerei prüft die Dauerbelastung, sie entscheidet nicht über den Schutzbedarf. Und die IT-Leitung bereitet die Entscheidung vor, trifft sie aber nicht allein – jedenfalls nicht die, die politisch verantwortet werden müssen.

Skizze 5: Zuständigkeitskarte. Jede Rolle hat eine klare Aufgabe – und eine ebenso klare Nicht-Zuständigkeit.

WARNUNG: DAS DELEGATIONSLOCH Der häufigste Grund für ein Projekt, das nach neun Monaten immer noch keine Architektur hat, ist kein Widerstand. Es ist ein Auftrag, der lautet: „Die IT möge einmal einen Vorschlag machen.“ Damit ist die Entscheidung an eine Stelle delegiert, die sie gar nicht treffen darf – und die Stelle liefert dann Vorschläge, die niemand beschließt, weil sich niemand zuständig fühlt. Gegenmittel: Der Auftrag der Verwaltungsspitze benennt die fünf Entscheidungen namentlich, benennt für jede eine entscheidende Stelle und einen Termin, und er benennt eine Person, die den Prozess führt. Das passt auf eine Seite. Es ist die wichtigste Seite des ganzen Projekts.

 

Die Beschlussvorlage: was hineingehört und was nicht

Irgendwann muss aus fünf Entscheidungen ein Papier werden, das ein Gremium beschließen kann. Und hier passiert regelmäßig etwas Merkwürdiges: Aus einer gut vorbereiteten Architekturentscheidung wird eine 40-seitige Vorlage mit Screenshots, Produktvergleichen und einer Anlage „Technisches Konzept“, die niemand liest. Die Ratsmitglieder beschließen dann etwas, das sie nicht verstanden haben, oder sie vertagen, weil sie es nicht verstanden haben. Beides ist ein schlechtes Ergebnis für eine korrekte Vorarbeit.

FAKTENKASTEN: AUFBAU EINER TRAGFÄHIGEN BESCHLUSSVORLAGE 1. Beschlussvorschlag – die fünf Entscheidungen als nummerierte, einzeln abstimmbare Punkte. Ein Gremium beschließt Sätze, keine Präsentation. Faustregel: Wenn ein Punkt nicht in zwei Zeilen passt, ist er noch nicht entschieden. 2. Sachverhalt – Ausgangslage in der eigenen Verwaltung, nicht Marktentwicklung im Allgemeinen. Welche Systeme laufen aus, wo entsteht Schatten-IT, welche Fachverfahren zwingen zur Bewegung. 3. Rechtliche Würdigung – Datenschutz, Informationssicherheit, Mitbestimmung, Vergabe, Aktenführung nach Landesrecht. Jeweils mit dem Stand der Beteiligung, nicht mit einem Gutachten. 4. Finanzielle Auswirkungen – getrennt nach einmalig und dauerhaft, über mindestens fünf Jahre, mit Angabe der Produktgruppe im Ergebnishaushalt. Das ist der Abschnitt, den die Kämmerei zuerst liest und am gründlichsten. 5. Alternativen – mindestens zwei ernsthaft geprüfte, jeweils mit Kosten und Risiko. Eine Vorlage ohne echte Alternative wirkt wie eine Vorentscheidung und provoziert Rückfragen, die den Termin kosten. 6. Was nicht hineingehört – Produktvergleichstabellen, Screenshots, Feature-Listen, Herstellerfolien. Das gehört in die Anlage oder in den Schrank.

 

Die Kostenzeile, die wirklich gelesen wird

Der wunde Punkt jeder Cloud-Vorlage in der Kommunalverwaltung ist die Umstellung von investiven Ausgaben auf dauerhaften Aufwand. Ein Server war eine Investition mit Abschreibung; ein Abonnement ist eine Belastung des Ergebnishaushalts, jedes Jahr, ohne Ende. Kämmereien wissen das. Wenn Ihre Vorlage so tut, als sei das ein Detail, verlieren Sie Glaubwürdigkeit an der Stelle, an der Sie sie am dringendsten brauchen.

Kostenblock	Charakter	Häufig unterschätzt
Lizenzen	dauerhaft, je Benutzer und Monat, mit Preisanpassungsrisiko	Zusatzlizenzen wie Copilot; Konten für Externe und Auszubildende
Migration und Einführung	einmalig, aber über zwei bis drei Haushaltsjahre verteilt	Datenbereinigung vor der Migration; Altdatenbestände ohne Eigentümer
Betrieb und Administration	dauerhaft, teils intern, teils extern	der laufende Konfigurationsaufwand nach dem Rollout
Schulung und Befähigung	einmalig hoch, dann dauerhaft niedriger	Nachschulung nach Funktionsänderungen; Schulung der Führungsebene
Sicherung und Wiederherstellung	dauerhaft, abhängig vom Datenvolumen	wird oft komplett vergessen und später nachgeschoben
Beteiligungs- und Gremienaufwand	einmalig, aber personalintensiv	Arbeitszeit von Personalrat, Datenschutz und Fachämtern

Tabelle 3: Sechs Kostenblöcke. Wer nur den ersten nennt, bekommt die Vorlage zurück.

Wie man die fünf Entscheidungen in einer kompakten Konzeptionsphase erarbeitet und daraus eine beschlussfähige Vorlage macht, beschreibt Microsoft-365-Einführung in der Verwaltung: Konzeptionsphase in 4,5 Tagen und die Beschlussvorlage. Für die vergaberechtliche Seite – Leistungsbeschreibung, Losbildung, Nutzung vorhandener Rahmenverträge – siehe Microsoft 365 rechtssicher beschaffen: Vergabe, Leistungsbeschreibung, Rahmenverträge. Zu Wertgrenzen, Fristen und Verfahrensarten gilt: Das jeweilige Landesvergaberecht und die kommunalen Regelungen sind maßgeblich; Angaben in Fachbeiträgen sind Orientierung, keine Rechtsberatung.

Der Schulungsposten, den niemand streichen sollte

Es gibt eine Position, die in Sparrunden zuverlässig als erste fällt und zuverlässig am teuersten nachwirkt: die Befähigung der Beschäftigten. Nicht die Klickschulung – die kann man weitgehend über Selbstlernangebote abdecken. Gemeint ist die fachliche Einweisung derjenigen, die Strukturen anlegen, Berechtigungen vergeben und Ablagen entwerfen. Wenn die Registratur nicht versteht, wie Aufbewahrungsbezeichnungen wirken, und das Hauptamt nicht versteht, wie Berechtigungsvererbung funktioniert, dann bauen sie in bester Absicht eine Struktur, die Sie drei Jahre später auseinandernehmen.

Wie ein Schulungskonzept für Verwaltungen aussieht, das Registratur, Fachämter und Führungsebene unterschiedlich adressiert, steht auf der Seite Microsoft-365-Schulung für Verwaltungen. Und wenn Sie eine unabhängige Zweitmeinung zu Architektur, Betriebsmodell oder einem vorliegenden Angebot brauchen: Microsoft-365-Beratung für Verwaltungen.

Drei Fälle aus der Praxis

Die folgenden Beispiele sind anonymisiert und in Details verändert. Was daran stimmt, ist das Muster – und das Muster wiederholt sich mit ermüdender Zuverlässigkeit.

Die Stadtverwaltung mit rund 1.000 Rufnummern

Eine Stadtverwaltung mit etwa 1.000 Rufnummern wollte die Telefonanlage ablösen und die Zusammenarbeit modernisieren. Beides wurde in ein Projekt gepackt. Nach sieben Monaten stand fest: Die Telefonie war technisch vorbereitet, aber der Personalrat hatte der Gesamtlösung nicht zugestimmt, weil in derselben Vereinbarung Auswertungsfunktionen der Zusammenarbeitsplattform geregelt werden sollten. Das Telefonieprojekt lag still, obwohl es mit der strittigen Frage nichts zu tun hatte.

Die Korrektur war unspektakulär: Beide Vorhaben wurden getrennt, für die Telefonie wurde eine eigene, eng umrissene Vereinbarung geschlossen, die Zusammenarbeitsplattform folgte später mit eigener Verhandlung. Kosten der Fehlbündelung: gut fünf Monate. Lehre: Ein gemeinsames Projekt ist nicht automatisch eine gemeinsame Entscheidung – und schon gar nicht eine gemeinsame Dienstvereinbarung.

Die Besonderheiten kommunaler Telefonie – von Direct Routing bis zur Vergabeunterlage – behandelt Teams-Telefonie für Kommunen: Direct Routing, Operator Connect und die Vergabeunterlage; die Sonderfälle Notruf, Fax und gebundene Anschlüsse stehen in Notruf, Fax und Sonderanschlüsse: Die Verwaltungsfälle, die Teams Phone lösen muss.

Der große Landschaftsverband

Ein großer Landschaftsverband hatte die Schutzbedarfsfrage sorgfältig bearbeitet – für die Verwaltungsbereiche. Nicht bearbeitet worden waren die angeschlossenen Einrichtungen, die mit deutlich sensibleren Daten arbeiten und organisatorisch anders angebunden sind. Das fiel auf, als die erste Einrichtung selbstverständlich einen Bereich in der neuen Plattform anlegen wollte und die Fachaufsicht Rückfragen stellte.

Was half: eine nachgezogene, differenzierte Schutzbedarfsbetrachtung mit klaren Bereichsgrenzen und getrennten Berechtigungsräumen – und die Entscheidung, bestimmte Verfahren gar nicht erst in den Tenant zu holen. Das hat das Projekt nicht ausgebremst, sondern präzisiert. Lehre: Der Geltungsbereich Ihrer Schutzbedarfsfeststellung muss die gesamte Organisation abdecken, nicht nur den Teil, der das Projekt betreibt. Bei Zweckverbänden und Kreisen mit Eigenbetrieben gilt dasselbe; für Häuser in kommunaler Trägerschaft kommt eigene Fachlichkeit hinzu.

Für Einrichtungen mit besonderen Anforderungen an Datenkategorien und Verfügbarkeit siehe Microsoft 365 im Krankenhaus in kommunaler Trägerschaft: Büro-IT, Zusammenarbeit, Telefonie.

Die Stadtverwaltung mit SharePoint im Sozialbereich

Eine Stadtverwaltung hatte im Sozialbereich eine Ablage in SharePoint aufgebaut – strukturiert, gut gemeint, von engagierten Fachleuten. Nach zwei Jahren stellte sich die Frage nach Aufbewahrung und Aussonderung. Es zeigte sich, dass die Struktur zwar sauber nach Sachgebieten geordnet war, aber nicht nach Aktenplan, dass Aufbewahrungsfristen nirgends technisch hinterlegt waren und dass niemand sagen konnte, welche Unterlagen archivwürdig sind.

Die Sanierung dauerte länger als der ursprüngliche Aufbau. Der eigentliche Fehler war aber früher passiert: Es hatte nie eine Entscheidung darüber gegeben, ob diese Ablage Schriftgut im Sinne der Registratur führt oder nicht. Ohne diese Entscheidung baut jedes Fachamt das, was ihm einleuchtet – und das ist selten dasselbe, was das Archiv später braucht.

Wie Aufbewahrung, Disposition und Vernichtungsnachweis mit den Bordmitteln der Plattform abgebildet werden, steht in Aufbewahrung und Aussonderung mit Purview: Fristen, Disposition, Vernichtungsnachweis. Und wenn Sie planen, Copilot einzusetzen, bekommt die Frage nach Berechtigungen eine neue Dringlichkeit: Ein KI-Assistent findet zuverlässig alles, worauf ein Konto Zugriff hat – siehe Oversharing im Verwaltungs-Tenant: Warum Copilot die Personalakte findet.

WICHTIG: DAS GEMEINSAME MUSTER In allen drei Fällen wurde kein technischer Fehler gemacht. In allen drei Fällen fehlte eine Entscheidung, die jemand hätte treffen müssen und die niemand vermisst hat, solange nichts passierte. Genau das macht diese Fehler so teuer: Sie fallen erst auf, wenn die Struktur schon steht.

 

Häufige Fragen

Dürfen wir Microsoft 365 in der Kommune überhaupt einsetzen?

Die pauschale Antwort „nein“ ist nicht mehr haltbar, und die pauschale Antwort „ja“ war es nie. Der Bericht des Hessischen Beauftragten für Datenschutz und Informationsfreiheit vom November 2025 kommt zu dem Ergebnis, dass ein datenschutzkonformer Einsatz unter bestimmten Bedingungen möglich ist. Diese Bedingungen sind konkret und arbeitsintensiv: Konfiguration, vertragliche Grundlage, Dokumentation, Umgang mit Telemetrie und Protokolldaten, Prüfung der Verarbeitungstätigkeiten. Aufsichtsbehörden bewerten zudem nicht überall identisch; die für Sie zuständige Aufsicht ist maßgeblich. Das ersetzt keine eigene Prüfung und keine Rechtsberatung.

Müssen wir auf die Delos Cloud warten?

Nein, aber Sie sollten das Angebot kennen und für Ihre Verfahren bewerten. Die Plattform wird stufenweise aufgebaut, Leistungsumfang und Zulassungen entwickeln sich weiter. Wenn ein Teil Ihrer Verfahren dort besser aufgehoben wäre, holen Sie verbindliche Aussagen ein und planen Sie entsprechend. Wenn Sie warten, dann mit Prüfdatum und mit Zwischenmaßnahmen für den laufenden Betrieb – nicht als Dauerzustand.

Wer entscheidet die Schutzbedarfsgrenze: IT oder Datenschutz?

Weder noch. Beide bereiten vor, prüfen und dokumentieren. Entscheiden muss die Leitung der Verwaltung, weil die Entscheidung Verfahren betrifft, für die die Verwaltung verantwortlich ist – und weil sie im Zweifel politisch verantwortet werden muss. Ein Datenschutzbeauftragter, der die Entscheidung trifft, verliert seine Beratungs- und Kontrollrolle. Eine IT-Leitung, die sie trifft, steht allein, wenn es unangenehm wird.

Wann muss der Personalrat eingebunden werden?

Früh – und zwar deutlich früher, als es die formalen Beteiligungspflichten verlangen. Formal richtet sich das Verfahren nach dem Personalvertretungsrecht Ihres Landes beziehungsweise des Bundes, bei kirchlichen Trägern nach dem jeweiligen Mitarbeitervertretungsrecht. Praktisch gilt: Wer den Personalrat erst mit einer fertigen Architektur konfrontiert, verhandelt über etwas, das nicht mehr veränderbar ist, und das merkt der Personalrat. Ein Erstgespräch in Monat 1 oder 2 kostet zwei Stunden und spart im Regelfall Monate.

Können wir SharePoint als E-Akte nutzen?

Für Dokumentenablage und Schriftgutverwaltung: ja, mit Konzept. Als elektronische Akte im Sinne des E-Government-Rechts: Das hängt davon ab, was Ihr Landesrecht verlangt und ob Ihre Verwaltung überhaupt darunter fällt – für Gemeinden und Gemeindeverbände gilt die bundesrechtliche Regelung nur, soweit Landesrecht dies anordnet. Die Anforderungen an Vorgangsbildung, Zeichnung, Nachvollziehbarkeit und Unveränderbarkeit sind mit Bordmitteln nicht vollständig abgedeckt. Trennen Sie die beiden Fragen, prüfen Sie das Landesrecht und beziehen Sie Ihr Archiv frühzeitig ein.

Brauchen wir E5, oder reicht E3?

Das entscheidet Ihr Sicherheitskonzept, nicht der Preisvergleich. Schreiben Sie zuerst auf, welche Schutzmaßnahmen Sie umsetzen müssen – Zugriffssteuerung, Protokollierung und Auswertung, Klassifizierung, Aufbewahrung – und ordnen Sie dann zu. In vielen Verwaltungen ist eine gemischte Lizenzierung sinnvoll: höhere Stufen für Verwaltungsbereiche mit erhöhtem Schutzbedarf und für privilegierte Konten, einfachere Stufen für Beschäftigte ohne festen Arbeitsplatz-PC.

Was ist mit Beschäftigten im Bauhof, in Kitas und im Außendienst?

Das ist eine eigene Planungsaufgabe und oft der größte Teil der Belegschaft. Für diese Gruppen sind Gerätefrage, Anmeldeverfahren und Zugriffssteuerung wichtiger als der Funktionsumfang. Eine Kita-Leitung, die sich an einem geteilten Gerät anmelden muss, hat andere Anforderungen als eine Sachbearbeitung im Rathaus – und ein Regelwerk für den bedingten Zugriff, das beide Fälle nicht unterscheidet, produziert entweder Sicherheitslücken oder Hilferufe.

Wie hängt Barrierefreiheit da mit drin?

Sie ist keine der fünf Grundsatzentscheidungen, aber eine Pflicht, die im Feinkonzept auftaucht und dort gerne übersehen wird. Interne Portale, Formulare und Dokumentvorlagen unterliegen den Anforderungen an digitale Barrierefreiheit. Wer Vorlagen zentral bereitstellt, kann das einmal richtig machen; wer es jedem Fachamt überlässt, macht es hundertmal halb.

Wie viel Zeit sollten wir für die fünf Entscheidungen ansetzen?

Die fachliche Erarbeitung ist in wenigen konzentrierten Tagen machbar, wenn die richtigen Personen gleichzeitig im Raum sitzen. Was Zeit kostet, ist der Weg durch die Gremien und die Mitbestimmung. Rechnen Sie mit sechs bis neun Monaten von der ersten Sitzung bis zum tragfähigen Beschluss – und mit deutlich mehr, wenn eine der fünf Entscheidungen unterwegs neu aufgemacht wird.

Fazit

Microsoft 365 in einer Kommunalverwaltung einzuführen ist kein technisches Problem. Die Technik funktioniert weitgehend, die rechtlichen Rahmenbedingungen haben sich seit 2025 spürbar geklärt, und für fast jede Sonderkonstellation gibt es inzwischen einen gangbaren Weg. Was Projekte scheitern lässt, ist etwas anderes: unentschiedene Entscheidungen.

Fünf sind es. Betriebsmodell. Schutzbedarfsgrenze. Lizenzstufe. Umfang und Zeitpunkt der Mitbestimmung. Umgang mit der Aktenführung. Für jede gibt es eine Stelle, die sie treffen darf, und einen Zeitpunkt, bis zu dem sie stehen muss. Alles Weitere ist Fachlichkeit – anspruchsvoll, umfangreich, aber nicht beschlusspflichtig.

Der praktische Rat für Ihre nächste Sitzung ist unbescheiden schlicht: Legen Sie eine Seite mit fünf Zeilen auf den Tisch. Entscheidung, entscheidende Stelle, Termin. Wenn nach der Sitzung in allen fünf Zeilen ein Name und ein Datum steht, war es eine gute Sitzung. Wenn stattdessen wieder über die Frage diskutiert wurde, ob Cloud grundsätzlich das Richtige ist, dann haben Sie immerhin eine sehr präzise Diagnose – und wissen, womit die nächste Sitzung anfängt.

WEITERLESEN Diese Reihe vertieft die fünf Entscheidungen jeweils einzeln. Die passenden Einstiege: › Microsoft 365 in der öffentlichen Verwaltung › Standard-Tenant oder Hybrid: Die Betriebsmodell-Entscheidung für Verwaltungen › Schutzbedarf und Microsoft 365: IT-Grundschutz-Abgleich für die Praxis › Microsoft 365 Lizenzen für Verwaltungen: E3, E5, F3 und die Behördenkonditionen › Copilot und Personalrat: Bausteine einer Dienstvereinbarung › SharePoint als E-Akte? Was geht, was nicht und wo die Grenze nach Landesrecht liegt › Microsoft-365-Einführung in der Verwaltung: Konzeptionsphase in 4,5 Tagen und die Beschlussvorlage

 

FÜR DIE VERTIEFUNG AN DEN RÄNDERN Wenn eine der fünf Entscheidungen bei Ihnen besonders schwer wiegt, führen diese Beiträge weiter: › Delos Cloud für Kommunen: Was das Angebot ist, wen es betrifft und was fehlt › Microsoft 365 rechtssicher beschaffen: Vergabe, Leistungsbeschreibung, Rahmenverträge › ADFS oder Entra ID in der Verwaltung: Die Entscheidung entlang der Fachverfahren › Conditional Access für Verwaltungen: Regelwerk für Rathaus, Bauhof und Homeoffice › Privilegierte Konten in der Verwaltungs-IT: Rollen, PIM und der Fall des einen Admins › Power Platform in der Verwaltung: SharePoint-Listen oder Dataverse für Fachanwendungen? › Barrierefreiheit in Microsoft 365: BITV-Pflichten für interne Portale und Vorlagen › Notfallübung für die Verwaltungs-IT: SharePoint verschlüsselt, Admin-Konto übernommen, Bürgertelefon tot