Standard-Tenant oder Hybrid: Die Betriebsmodell-Entscheidung für Verwaltungen

Es gibt in jeder Verwaltung diesen einen Serverraum. Er liegt meistens im Keller, oft neben der Fernwärmeübergabe, und in ihm steht ein Gerät, das seit Jahren niemand mehr anfasst, weil niemand mehr genau weiß, was passiert, wenn man es anfasst. Auf dem Etikett steht der Name eines Kollegen, der 2019 in den Ruhestand gegangen ist. Wenn Sie in Ihrer Verwaltung über Microsoft 365 entscheiden, entscheiden Sie in Wahrheit über dieses Gerät: Bleibt es, geht es, oder bleibt es und Sie bezahlen ab sofort für beides.

Die Frage, die dabei auf der Tagesordnung steht, klingt technisch, ist es aber nicht. Standard-Tenant, Hybrid oder On-Premises-Weiterbetrieb ist eine Betriebsmodell-Entscheidung, und Betriebsmodell heißt in einer Behörde: Wer hält welchen Dienst am Laufen, wer haftet dafür, wer wird beteiligt, wer prüft es hinterher, und aus welchem Produktkonto wird es bezahlt. Die Technik ist der einfachste Teil. Die Beschlussvorlage ist der schwerste.

Dieser Beitrag ordnet die drei Modelle nüchtern gegeneinander ein, zeigt, was sinnvollerweise lokal bleibt und was nur aus Gewohnheit lokal bleibt, benennt die Stellen, an denen Hybrid dauerhaft Geld kostet, und liefert am Ende eine Entscheidungsmatrix, die Sie in eine Vorlage übernehmen können. Er ist Teil der Serie Microsoft 365 in der öffentlichen Verwaltung, in der die einzelnen Bausteine — Lizenzen, Vergabe, Schriftgut, Identität, Telefonie — jeweils eigene Beiträge haben.

FAKTEN Der Stand, von dem aus Sie entscheiden Microsoft hat die EU Data Boundary in drei Phasen aufgebaut und mit dem letzten Schritt am 26. Februar 2025 abgeschlossen. Seither werden Kundendaten und pseudonymisierte personenbezogene Daten in den Diensten Microsoft 365, Azure, Dynamics 365 und Power Platform innerhalb von EU und EFTA gespeichert und verarbeitet; Daten aus Professional Services werden dort zumindest ruhend gespeichert. Für begrenzte Fälle bleiben Transfers nach außen bestehen, und Microsoft dokumentiert diese Fälle öffentlich. Für Microsoft 365 gilt: Maßgeblich ist das Land der Tenant-Registrierung. Wer Multi-Geo hinzugekauft hat, fällt aus der EU Data Boundary heraus — auch dann, wenn der Tenant auf ein EU-Land eingetragen ist. Das ist eine der wenigen Konstellationen, in denen eine Verwaltung sich den eigenen Rahmen versehentlich zerschießt. Exchange Server 2016 und 2019 sind am 14. Oktober 2025 aus dem Support gefallen. Der Nachfolger ist die Subscription Edition, die keinem festen Enddatum, sondern der Modern Lifecycle Policy folgt. SharePoint Server 2016 und 2019 sind am 14. Juli 2026 gefolgt.

 

Drei Modelle, drei Gebrauchsanleitungen — und eine vierte Tür

Bevor Sie vergleichen, brauchen Sie eine saubere Definition. In Sitzungen wird der Begriff „hybrid“ nämlich für mindestens vier verschiedene Zustände benutzt, und das ist der Grund, warum solche Sitzungen so lange dauern.

Standard-Tenant in der EU Data Boundary

Das ist der Normalfall: ein Microsoft-365-Tenant, angelegt auf Deutschland, Postfächer in Exchange Online, Dateien in SharePoint Online und OneDrive, Zusammenarbeit in Teams, Identitäten in Entra ID. Es gibt keinen eigenen Exchange-Server mehr, keine SharePoint-Farm, keine Serverzertifikate, die im Sommerurlaub ablaufen. Wenn ein Dienst ausfällt, fällt er bei Microsoft aus, und Sie haben genau zwei Aufgaben: Ihre Belegschaft informieren und den Statusbericht lesen.

Das klingt nach Kontrollverlust und ist auch einer. Der Punkt ist nur: Kontrolle über einen Dienst haben Sie nicht dadurch, dass der Server bei Ihnen steht, sondern dadurch, dass Sie ihn tatsächlich betreiben können. In vielen Häusern mit zwei bis vier Personen in der IT ist das genau die Illusion, die durch die Entscheidung platzt.

Hybrid — der Zustand, den niemand plant und alle haben

Hybrid bedeutet: Ein Teil läuft im Tenant, ein Teil läuft lokal, und beide Teile wissen voneinander. Klassisch ist die Exchange-Hybridstellung mit Verzeichnissynchronisation, dazu eine SharePoint-Farm mit hybrider Suche, dazu ein Verbundanmeldedienst, weil ein Fachverfahren das so braucht. Hybrid ist technisch elegant und betrieblich anstrengend, weil Sie beide Welten beherrschen müssen — und zwar dauerhaft, nicht bis zum Projektende.

Wichtig ist die Unterscheidung zwischen Hybrid als Migrationsphase und Hybrid als Zielbild. Das erste ist normal und richtig. Das zweite ist eine Entscheidung, die man bewusst treffen und dann auch bezahlen muss. Die meisten Verwaltungen, die heute hybrid betreiben, haben nie das zweite entschieden — sie sind im ersten steckengeblieben, weil der Restschritt nie priorisiert wurde.

On-Premises-Weiterbetrieb

Das Modell hat weiterhin seine Berechtigung, aber es ist teurer geworden. Exchange Server Subscription Edition und SharePoint Server Subscription Edition folgen der Modern Lifecycle Policy: Es gibt kein festes Support-Ende mehr, aber eine Pflicht, im unterstützten Versionsfenster zu bleiben. Wer stehen bleibt, verliert den Support nicht an einem Stichtag, sondern schleichend. Für Verwaltungen, die ihre Server über ein kommunales Rechenzentrum oder ein Systemhaus betreiben lassen, ist das gut handhabbar — es muss nur im Vertrag stehen und im Haushalt eingeplant sein.

Die vierte Tür: souveräne Varianten

Neben den drei klassischen Modellen gibt es inzwischen ein souveränes Segment, das für Verwaltungen ausdrücklich gedacht ist. Die Delos Cloud ist eine von SAP betriebene Plattform für den öffentlichen Sektor in Deutschland, die Microsoft-Technologie in einem separat betriebenen Umfeld bereitstellt. Was das Angebot heute abdeckt, für wen es sich rechnet und wo die offenen Punkte liegen, gehört in einen eigenen Beitrag — Sie finden ihn unter Delos Cloud für Kommunen: Was das Angebot ist, wen es betrifft und was fehlt. Für diese Entscheidung reicht: Delos ist eine ernstzunehmende Option, aber keine, auf die man ein Projekt terminlich aufbaut, ohne den verbindlichen Leistungsumfang für die eigenen Workloads schriftlich zu haben.

Daneben führt Microsoft seit 2025 unter dem Dach Sovereign Cloud zwei Ausprägungen: die Sovereign Public Cloud, die in den regulären europäischen Rechenzentren läuft und um Bausteine wie Data Guardian, externe Schlüsselverwaltung und ein zentrales Steuerungswerkzeug für Souveränitätskontrollen ergänzt ist, sowie die Sovereign Private Cloud auf Azure Local. Zu letzterer gehört Microsoft 365 Local, mit dem sich Exchange Server, SharePoint Server und Skype for Business Server auf eigener, auch vollständig getrennt betreibbarer Infrastruktur betreiben lassen. Das ist kein Ersatz für einen Tenant, sondern eine hochwertige Sonderform des On-Premises-Betriebs — mit entsprechendem Preisschild und entsprechendem Personalbedarf.

Skizze 1: Die vier Betriebsmodelle und der Anteil an Eigenbetrieb

WICHTIG Der Denkfehler, der die meisten Projekte verlängert Die Entscheidung wird fast immer als Grundsatzfrage für die ganze Verwaltung gestellt: „Gehen wir in die Cloud?“ So gestellt ist sie nicht beantwortbar, weil das Sozialamt, die Kämmerei und das Kulturamt unterschiedliche Antworten brauchen. Beantwortbar wird sie je Workload. Nicht „gehen wir in die Cloud“, sondern: Wohin gehört die Besprechungsorganisation? Wohin die Dateiablage des Bauamts? Wohin das Meldewesen? Aus den Einzelantworten ergibt sich das Betriebsmodell — nicht umgekehrt.

 

Was sinnvoll lokal bleibt — und was nur aus Gewohnheit lokal bleibt

Es gibt gute Gründe, Dinge lokal zu lassen. Es gibt auch schlechte. Der Unterschied ist wichtig, weil Sie die guten Gründe in der Vorlage vertreten müssen und die schlechten spätestens im Rechnungsprüfungsamt erklären.

Fachverfahren: die echte Grenze

Fachverfahren sind der harte Kern. Meldewesen, Gewerbe, Bauakte, Sozialleistungen, Finanzwesen der Kämmerei, Personalabrechnung — diese Verfahren haben eigene Datenhaltung, eigene Anbieter, eigene Zertifizierungen und häufig eine gesetzlich beschriebene Verfahrensakte. Sie werden nicht dadurch besser, dass ihre Daten in SharePoint liegen. Sie werden dadurch nur doppelt.

Die relevante Frage ist deshalb nie „Kann das Verfahren in den Tenant?“, sondern: Gibt es eine belastbare Schnittstelle, über die das Ergebnis in die Zusammenarbeit gelangt und die Verfahrensakte trotzdem im Verfahren bleibt? Wenn ja, ist die Sache einfach: Das Verfahren bleibt, wo es ist, und der Tenant übernimmt alles, was drumherum passiert. Wenn nein, bleibt der Vorgang vollständig lokal — mit einer Wiedervorlage, weil Anbieter ihre Schnittstellen weiterentwickeln.

Die Identitätsseite dieser Frage — ob ein Fachverfahren einen lokalen Verbunddienst zwingend braucht oder ob Entra ID ausreicht — ist der Punkt, an dem viele Hybridarchitekturen tatsächlich entstehen. Die Details dazu stehen in ADFS oder Entra ID in der Verwaltung: Die Entscheidung entlang der Fachverfahren.

Hoher Schutzbedarf: nicht der Tenant ist das Problem, sondern der Ordner

„Hoher Schutzbedarf, also lokal“ ist der meistgenutzte und am seltensten belegte Satz in diesen Diskussionen. Schutzbedarf ist eine Eigenschaft von Informationen, nicht von Serverstandorten. Eine Personalakte, die auf einem lokalen Dateiserver in einem Verzeichnis liegt, auf das „Domänen-Benutzer: Lesen“ vererbt ist, ist nicht geschützt — sie ist nur lokal.

Die ehrliche Reihenfolge lautet: erst Schutzbedarf feststellen, dann Maßnahmen ableiten, dann Betriebsmodell wählen. Wie dieser Abgleich mit dem IT-Grundschutz praktisch aussieht, steht in Schutzbedarf und Microsoft 365: IT-Grundschutz-Abgleich für die Praxis. Und warum ein schlecht berechtigter Tenant sein eigenes Risiko produziert, sobald Suchfunktionen und KI-Assistenz dazukommen, beschreibt Oversharing im Verwaltungs-Tenant: Warum Copilot die Personalakte findet.

Die Gewohnheitsfälle

Und dann gibt es die Kategorie, um die es in Wahrheit meistens geht: Dinge, die lokal sind, weil sie immer lokal waren. Die Amtsdateiablage mit den Laufwerksbuchstaben, die keiner mehr zuordnen kann. Der Scanner, der auf eine SMB-Freigabe schreibt. Die Vorlagensammlung im Ordner „Vorlagen_NEU_final_2“. Der Faxserver. Das Netzlaufwerk, das der Personalrat vor elf Jahren zugesagt bekommen hat.

Diese Dinge blockieren Projekte zuverlässiger als jedes Fachverfahren, weil sie keinen Eigentümer haben, den man fragen könnte. Sie gehören in den Tenant, aber sie gehören dorthin strukturiert — mit einem Aktenplanbezug und einer Aufbewahrungslogik, nicht als 1:1-Kopie des Chaos. Der Weg dahin steht in Schriftgutverwaltung mit Microsoft 365: Vom Aktenplan zur Aufbewahrungsbezeichnung.

Workload	Empfohlener Ort	Begründung	Stolperstein
Postfächer, Kalender, Verteiler	Standard-Tenant	Kein Schutzbedarf, der lokale Server rechtfertigt; hoher Nutzen durch mobile Nutzung und Vertretungsregeln	Öffentliche Ordner und Ressourcenpostfächer wollen sauber migriert werden
Teams, Besprechungen, Gremienarbeit	Standard-Tenant	Zusammenarbeit ist der eigentliche Grund für den Tenant	Informationsarchitektur entlang der Ämter vorher festlegen
Amtsdateiablagen, Vorlagen, Protokolle	Standard-Tenant	Gewohnheitsfall ohne fachliche Bindung	Nur mit Aktenplanbezug übernehmen, sonst wandert das Chaos mit
Meldewesen, Gewerbe, Bau, Soziales	Lokal im Fachverfahren	Verfahrensakte und Schnittstellen sind Bestandteil des Verfahrens	Schattenablagen in SharePoint entstehen trotzdem — aktiv unterbinden
Finanzwesen der Kämmerei	Lokal oder beim Rechenzentrum	Enge Kopplung an Haushalts- und Kassenverfahren	Belegablage und Rechnungsworkflow trotzdem sauber anbinden
Personalabrechnung	Lokal oder beim Dienstleister	Eigene Verfahrenslandschaft, sehr enger Nutzerkreis	Personalakte im Tenant ist ein separates Thema mit eigener Berechtigung
Posteingang und Scanstrecke	Übergang	Erfassung lokal, Verteilung und Bearbeitung im Tenant	Ohne Klassifizierung entsteht ein Sammelpostfach ohne Eigentümer
Dateiserver mit hohem Schutzbedarf	Prüffall	Meist lösbar mit Berechtigung, Kennzeichnung und Protokollierung	Der Reflex „lokal ist sicherer“ ersetzt keine Schutzbedarfsfeststellung
Druck, Bauhof-Fachtechnik, Leittechnik	Lokal	Gerätenahe Systeme mit eigenem Netzsegment	Gehört ohnehin nicht in dieselbe Diskussion

Tabelle 1: Typische Verwaltungs-Workloads und ihr sinnvoller Betriebsort

Skizze 2: Einordnung typischer Workloads nach Schutzbedarf und Verfahrensbindung

TIPP Die Frage, die Streit in den Fachämtern auflöst Fragen Sie nicht: „Darf das in die Cloud?“ Fragen Sie: „Wer ist die aktenführende Stelle, und wo liegt die maßgebliche Fassung?“ Damit verschiebt sich das Gespräch von einer Technikdebatte, in der jeder eine Meinung hat, zu einer Organisationsfrage, für die es Zuständigkeiten gibt. In neun von zehn Fällen stellt sich heraus, dass die maßgebliche Fassung ohnehin im Fachverfahren liegt und alles andere Arbeitskopien sind — die dürfen dann in den Tenant.

 

Wo Hybrid dauerhaft teuer wird

Hybrid ist kein Kompromiss, sondern eine Addition. Sie bekommen nicht das Beste aus zwei Welten, sondern den Betrieb aus zwei Welten. Das ist manchmal richtig — aber es sollte niemand behaupten, es sei die günstige Zwischenlösung.

Der letzte Exchange-Server, der nie der letzte ist

Die Standardgeschichte: Alle Postfächer sind migriert, ein einzelner Exchange-Server bleibt „nur für die Empfängerverwaltung“ stehen. Dieser Server ist dann ein vollwertiger Exchange-Server mit vollwertigem Patchbedarf, vollwertigen Zertifikaten und vollwertigem Angriffsprofil — für eine Aufgabe, die in ein Textfeld passt.

Immerhin ist die Lage besser geworden. Mit den Exchange Management Tools der Subscription Edition lässt sich die Empfängerverwaltung per PowerShell erledigen, ohne dass ein Exchange-Server läuft; Mitglieder der entsprechenden Verwaltungsgruppe können Mailbenutzer, Kontakte, Remote-Postfächer und Verteiler pflegen. Zusätzlich lässt sich der Verwaltungsschwerpunkt für Exchange-Attribute an Exchange Online übergeben, während Name und Anmeldename weiterhin aus dem lokalen Verzeichnis kommen; über die Verzeichnissynchronisation werden unterstützte Attribute zurückgeschrieben. Damit fällt in vielen Häusern der letzte Grund für einen laufenden lokalen Exchange-Server weg. Man muss es nur tun.

WARNUNG Zwei Termine, die in diesem Herbst wehtun können Mailfluss aus veralteten Servern. Exchange Online drosselt und blockiert Nachrichten aus Servern, die als dauerhaft verwundbar gelten. Die Drosselung beginnt mit temporären Abweisungen und endet mit einer endgültigen Zurückweisung samt Unzustellbarkeitsbericht an den Absender. Für Hybridumgebungen, die über einen lokalen Eingangsconnector nach Exchange Online liefern, wurde die Mindestversion im Laufe des Jahres erneut angehoben. Wenn Ihr Haus noch Exchange 2016 oder 2019 betreibt, ist das kein Thema für die nächste Klausurtagung. Verzeichnissynchronisation. Microsoft hat eine Pflichtaktualisierung für Entra Connect Sync gesetzt: Ab dem 30. September 2026 arbeiten Synchronisationsdienste unterhalb der Version 2.5.79.0 nicht mehr. Diese Mindestversion selbst verlässt den Support am 23. Oktober 2026 — wer jetzt nur auf das Minimum geht, aktualisiert in wenigen Wochen erneut. Parallel weist Microsoft seit Juli 2026 wellenweise Umstellungsfenster von Connect Sync auf Cloud Sync zu; ein hartes Abschaltdatum für Connect Sync gibt es bislang nicht. Beides trifft ausschließlich Häuser mit Hybridbetrieb. Ein reiner Tenant kennt diese Termine nicht. Das ist kein Argument gegen Hybrid, aber es gehört in die Kostenbetrachtung: Hybrid produziert eigene Termine, und zwar dauerhaft.

 

Identität: zwei Verzeichnisse, ein Betrieb

Sobald ein lokales Verzeichnis synchronisiert wird, haben Sie zwei Quellen der Wahrheit, die Sie in Einklang halten müssen. Ein neuer Beschäftigter wird im lokalen Verzeichnis angelegt, im Tenant lizenziert, in Gruppen aufgenommen, die teils lokal und teils in der Cloud gepflegt werden. Beim Ausscheiden läuft dasselbe rückwärts, nur unter Zeitdruck und meistens freitags.

Dazu kommt der Synchronisationsserver selbst: ein Windows-Server mit Datenbank, Dienstkonten, Zertifikaten und einem Notfallpfad, den man einmal im Jahr geübt haben sollte und praktisch nie geübt hat. Und dazu kommt die Frage, wie privilegierte Konten in beiden Welten getrennt werden — ein Thema, das Privilegierte Konten in der Verwaltungs-IT: Rollen, PIM und der Fall des einen Admins ausführlich behandelt.

Doppelte Ablage, doppelte Aufbewahrung, doppelte Prüfungsfragen

Der teuerste Hybrid-Effekt ist selten technisch. Er ist dokumentarisch. Wenn Schriftgut an zwei Orten entstehen kann, brauchen Sie zwei Aufbewahrungslogiken, zwei Aussonderungswege und zwei Antworten auf jede Prüfungsfrage. Die Registratur muss wissen, welche Ablage maßgeblich ist. Das Archiv muss zweimal angebunden werden. Und bei der Aussonderung müssen Sie für beide Seiten einen Vernichtungsnachweis führen können.

Wie das auf der Tenant-Seite funktioniert — Aufbewahrungsbezeichnungen, Disposition, Nachweis — steht in Aufbewahrung und Aussonderung mit Purview: Fristen, Disposition, Vernichtungsnachweis. Wo die Grenze zur E-Akte nach dem jeweiligen Landes-E-Government-Recht verläuft, also ab wann SharePoint eben gerade keine E-Akte im Rechtssinne mehr ist, behandelt SharePoint als E-Akte? Was geht, was nicht und wo die Grenze nach Landesrecht liegt. Diese Grenze ist für die Betriebsmodell-Entscheidung wesentlich: Sie können Zusammenarbeit verlagern, ohne die führende Akte zu verlagern. Was Ihr Landesrecht als führende Akte verlangt, klären Sie mit der Kommunalaufsicht und dem zuständigen Archiv, nicht mit einem Beitrag im Netz.

Der Personalfaktor

Der Punkt, den Wirtschaftlichkeitsbetrachtungen am zuverlässigsten übersehen: Hybrid verlangt Wissen für beide Welten von einem Team, das es nur einmal gibt. Eine IT mit drei Personen kann Exchange Online betreiben. Sie kann auch Exchange Server betreiben. Beides gleichzeitig, auf Dauer, mit Urlaubsvertretung und ohne dass eine Person unersetzlich wird — das geht selten gut.

In einer Stadtverwaltung mit rund 1.000 Rufnummern zeigte sich das sehr deutlich: Die Migration selbst war unspektakulär, die Doppelbelastung im Betrieb danach nicht. Erst nachdem der lokale Rest tatsächlich abgebaut war, sank der Aufwand messbar. Bis dahin lief das Team gut zwei Jahre auf einem Stand, der als Übergang geplant war.

Skizze 3: Schematischer Verlauf des Betriebsaufwands über fünf Jahre

Versteckte Kostenposition	Standard-Tenant	Hybrid	On-Premises
Serverbetriebssystem, Patch, Zertifikate	entfällt	bleibt vollständig	bleibt vollständig
Verzeichnissynchronisation samt Server und Notfallpfad	entfällt	dauerhaft	entfällt
Zwei Berechtigungswelten im Servicedesk	nein	ja	nein
Doppelte Aufbewahrungs- und Aussonderungslogik	nein	ja	nein
Backup zweier Welten mit zwei Wiederherstellungswegen	ein Weg	zwei Wege	ein Weg
Wissen für zwei Produktwelten im selben Team	eine Welt	zwei Welten	eine Welt
Pflichttermine für Versionsstände	keine	wiederkehrend	wiederkehrend
Hardware- und Rechenzentrumsanteil	entfällt	anteilig	vollständig
Aufwand für Nachweise gegenüber der Rechnungsprüfung	eine Quelle	zwei Quellen	eine Quelle

Tabelle 2: Betriebspositionen, die in Wirtschaftlichkeitsbetrachtungen regelmäßig fehlen

Zwei Positionen aus dieser Tabelle verdienen einen eigenen Blick, weil sie im Rechnungsprüfungsamt landen: die Wiederherstellbarkeit und die Nachweisführung. Zur ersten gehört die unbequeme Feststellung, dass ein Tenant kein Backup im Sinne der kommunalen Vorschriften mitbringt — das ist eine eigene Risikoentscheidung, die Backup und Wiederherstellung in Microsoft 365: Die Risikoentscheidung fürs Rechnungsprüfungsamt durchdekliniert. Zur zweiten gehört die Frage, welche Protokolle Sie überhaupt liefern können und wie lange, siehe Microsoft 365 Audit-Log und Rechnungsprüfung: Nachweise, die Verwaltungen liefern müssen.

Die Entscheidungsmatrix

Jetzt der Teil, den Sie in die Vorlage übernehmen können. Die Matrix bewertet die drei Modelle entlang der Kriterien, die in einer Verwaltung tatsächlich entscheidungsrelevant sind — nicht entlang von Produktmerkmalen.

Kriterium	Standard-Tenant (EU Data Boundary)	Hybrid	On-Premises-Weiterbetrieb
Betriebsaufwand im eigenen Haus	gering, nach der Einführung sinkend	hoch und dauerhaft, weil beide Welten laufen	hoch, mit steigendem Anteil für Hardware und Fachwissen
Abhängigkeit von eigenem Personal	gering; Ausfall einer Person ist verkraftbar	hoch; Doppelwissen konzentriert sich auf wenige Köpfe	sehr hoch, sofern nicht vollständig ausgelagert
Datenlage und Rechtsrahmen	EU Data Boundary greift, dokumentierte Restfälle für Transfers	Tenant-Seite wie links, lokale Seite in eigener Verantwortung	vollständig in eigener Verantwortung
Eignung bei hohem Schutzbedarf	gut, sofern Berechtigung, Kennzeichnung und Protokollierung sitzen	gut, aber die Maßnahmen sind doppelt zu führen	gut, wenn der Betrieb die Maßnahmen wirklich umsetzt
Bindung an Fachverfahren	nur mit belastbarer Schnittstelle	gut, das ist die eigentliche Stärke	unproblematisch
Schriftgut, Aufbewahrung, Aussonderung	eine Logik, ein Nachweisweg	zwei Logiken, zwei Nachweiswege	eine Logik, klassischer Weg
Zusammenarbeit mit Externen	vorgesehen und steuerbar	vorgesehen, aber mit Bruchstellen	aufwendig bis unmöglich
Vergabe und Vertragsgestaltung	überschaubar; ein Vertragsgegenstand	komplex; mehrere Gegenstände, mehrere Laufzeiten	vertraut; klassische Beschaffung
Beteiligung des Personalrats	erforderlich, klar abgrenzbar	erforderlich, unübersichtlicher	erforderlich, meist bereits geregelt
Wiederherstellung nach Sicherheitsvorfall	Prozesse vorhanden, Backup separat entscheiden	zwei Wiederherstellungswege, die zusammenpassen müssen	eigener Weg, eigene Übung, eigene Hardware
Neue Funktionen und KI-Einsatz	verfügbar, mit eigener Datenschutzbewertung	teilweise; lokale Teile bleiben außen vor	nicht verfügbar
Ausstiegsfähigkeit	planbar über Exportwege	ohnehin zweigleisig	hoch, aber teuer im Betrieb

Tabelle 3: Entscheidungsmatrix Standard-Tenant, Hybrid und On-Premises-Weiterbetrieb

Wie Sie die Matrix in der Beschlussvorlage benutzen

Nicht als Bewertungsraster mit Punkten. Punkteraster laden dazu ein, das gewünschte Ergebnis durch Gewichtung herzustellen, und das merkt jeder. Benutzen Sie die Matrix als Argumentationsgerüst: Für jedes Kriterium ein Satz, warum es in Ihrem Haus so oder anders bewertet wird, und ein Satz dazu, was Sie im gewählten Modell dagegen tun.

Vergessen Sie den abgelehnten Weg nicht. Eine Vorlage, die nur die gewählte Variante beschreibt, wird in der Sitzung zerlegt. Eine Vorlage, die sauber darstellt, warum die Alternative geprüft und verworfen wurde, wird beschlossen. Wie eine belastbare Konzeptionsphase samt Vorlage in wenigen Tagen entsteht, beschreibt Microsoft-365-Einführung in der Verwaltung: Konzeptionsphase in 4,5 Tagen und die Beschlussvorlage.

Die Zwischenstufe, die fast immer richtig ist: Hybrid mit Ablaufdatum

Für die meisten Verwaltungen lautet die realistische Antwort nicht „Standard-Tenant“ und nicht „Hybrid“, sondern: Standard-Tenant als Ziel, Hybrid als befristeter Zustand mit einem Datum und einem Verantwortlichen. Das Datum gehört in die Vorlage, nicht in ein Projektdokument, das niemand wiederfindet.

Ein großer Landschaftsverband hat das konsequent gemacht: Für jeden lokalen Restbestandteil wurde eine Bedingung notiert, unter der er abgebaut wird — Schnittstelle verfügbar, Verfahren abgelöst, Vertrag ausgelaufen. Jede Bedingung hatte einen Namen und eine Wiedervorlage. Nach knapp drei Jahren war die Liste leer. Ohne diese Liste wäre sie es bis heute nicht.

Skizze 4: Entscheidungsweg für den einzelnen Workload

TIPP Formulierungshilfe für die Vorlage „Die Verwaltung betreibt die Bürokommunikation künftig im Standard-Tenant innerhalb der EU Data Boundary. Fachverfahren mit eigener Verfahrensakte verbleiben in ihrer bisherigen Betriebsform. Für die verbleibenden lokalen Komponenten wird eine Abbauliste geführt; jede Position enthält eine Abbaubedingung, einen Verantwortlichen und einen Zieltermin. Über den Stand wird jährlich berichtet.“ Drei Sätze, eine Entscheidung, ein Berichtsweg. Das reicht für den Beschluss und schützt Sie davor, den Übergangszustand unbemerkt zum Dauerzustand zu machen.

 

Umsetzung: Reihenfolge, Gremien, Nachweise

Ein sauber entschiedenes Betriebsmodell nützt wenig, wenn es in der falschen Reihenfolge umgesetzt wird. In Verwaltungen ist die Reihenfolge nicht Geschmackssache, sondern Verfahrensrecht.

Personalrat und Dienstvereinbarung

Die Betriebsmodell-Entscheidung berührt Beschäftigteninteressen an mehreren Stellen: Erreichbarkeit, mobiles Arbeiten, Protokollierung, Auswertungsmöglichkeiten. Beteiligen Sie den Personalrat, bevor die Vergabeunterlage steht, nicht danach. Ein Personalrat, der ein fertiges Paket vorgelegt bekommt, hat genau eine Handlungsoption, und die verzögert das Projekt um Monate.

Eine Dienstvereinbarung, die das Betriebsmodell rahmt, ist deutlich einfacher zu verhandeln als eine, die nachträglich einen Zustand legitimieren soll. Welche Bausteine hineingehören, insbesondere wenn später Assistenzfunktionen dazukommen, steht in Copilot und Personalrat: Bausteine einer Dienstvereinbarung. Für Träger im kirchlichen Bereich gelten eigene Regelwerke und eine eigene Mitarbeitervertretung; dazu Microsoft 365 in Kirche, Diakonie und Caritas: DSG-EKD, KDG und Mitarbeitervertretung.

Vergabe und Leistungsbeschreibung

Die Leistungsbeschreibung folgt dem Zielbild, nicht umgekehrt. Wer zuerst ausschreibt und dann entscheidet, beschafft ein Betriebsmodell, das er nicht gewählt hat — meistens Hybrid, weil Angebote gerne beides enthalten. Ordnen Sie den Vertragsgegenstand also erst, wenn die Workload-Liste steht: Lizenzen, Migrationsleistung, Betriebsleistung und Beratungsleistung sind vier verschiedene Dinge mit vier verschiedenen Laufzeiten.

Zu Wertgrenzen, Verfahrensarten und Fristen gilt der übliche Vorbehalt: Das ist Landesrecht, und es unterscheidet sich. Nehmen Sie die Zahlen, die Ihnen Ihre Vergabestelle nennt, nicht die aus einem Fachartikel. Die Struktur der Unterlage — Lose, Eignung, Zuschlagskriterien, Rahmenvertragsanbindung — behandelt Microsoft 365 rechtssicher beschaffen: Vergabe, Leistungsbeschreibung, Rahmenverträge; die Frage, welche Lizenzstufe Sie überhaupt brauchen und wo die Behördenkonditionen greifen, Microsoft 365 Lizenzen für Verwaltungen: E3, E5, F3 und die Behördenkonditionen.

Das kommunale Rechenzentrum und der bestehende Dienstleister

In den meisten Häusern ist die Entscheidung keine auf der grünen Wiese. Es gibt ein kommunales Rechenzentrum oder ein Systemhaus, das seit Jahren einen guten Job macht, Fachverfahren betreibt und die Umgebung kennt. Diese Partner sind kein Hindernis, sondern häufig der Grund, warum der Betrieb überhaupt läuft — und sie haben in vielen Konstellationen den besseren Zugriff auf die Fachverfahrensseite als jede interne IT.

Was sich ändert, ist die Rollenverteilung: Bei einem Standard-Tenant verschiebt sich der Schwerpunkt vom Serverbetrieb zur Steuerung, zur Berechtigungspflege und zur Anwendungsbetreuung. Das ist eine Vertragsänderung, keine Trennung. Wie sich Rollen, Schnittstellen und eine sinnvolle Zweitmeinung dabei ordnen lassen, beschreibt Microsoft 365 und das kommunale Rechenzentrum: Rollen, Schnittstellen, Zweitmeinung.

Telefonie: die Position, die Entscheidungen kippt

Ein Sonderfall, der in der Betriebsmodell-Diskussion regelmäßig unterschätzt wird. Solange eine klassische Telefonanlage im Haus steht, gibt es einen unstrittigen Grund für lokale Infrastruktur — und häufig einen Wartungsvertrag mit eigener Laufzeit. Wird die Telefonie in den Tenant gezogen, fällt dieser Grund weg, und die Rechnung sieht anders aus.

Das ist allerdings keine reine Kostenfrage. Notruf, Faxeingänge bei Gerichten und Behörden, Aufzugsnotruf, Türsprechstellen und Sonderanschlüsse sind Fälle, die vorher gelöst sein müssen. Die Grundlagen dazu stehen in Teams-Telefonie für Kommunen: Direct Routing, Operator Connect und die Vergabeunterlage, die Sonderfälle in Notruf, Fax und Sonderanschlüsse: Die Verwaltungsfälle, die Teams Phone lösen muss.

Nachweise für das Rechnungsprüfungsamt

Was Sie am Ende belegen müssen, ist unabhängig vom Modell weitgehend gleich: dass die Entscheidung begründet ist, dass die Alternativen geprüft wurden, dass die Wirtschaftlichkeitsbetrachtung die Betriebskosten enthält und nicht nur die Lizenzkosten, dass Beteiligungsrechte gewahrt wurden und dass die Wiederherstellbarkeit geprüft ist. Der Unterschied liegt darin, aus wie vielen Quellen Sie diese Nachweise zusammensuchen. Bei Hybrid sind es zwei.

Skizze 5: Fahrplan von der Bestandsaufnahme bis zur Beschlussvorlage

WICHTIG Was der Entscheidung regelmäßig folgt Die Betriebsmodell-Entscheidung erzeugt Folgeentscheidungen, die man besser gleich mitplant: das Regelwerk für Anmeldungen aus Rathaus, Bauhof und Homeoffice (Conditional Access für Verwaltungen: Regelwerk für Rathaus, Bauhof und Homeoffice), die Informationsarchitektur in Teams entlang der Ämter (Microsoft Teams in der Verwaltung einführen: Informationsarchitektur entlang der Ämter) und die Einbindung von Planungsbüros, freien Trägern und Gremienmitgliedern (Gäste in Teams und SharePoint: Planungsbüros, Träger und Gremienmitglieder sicher einbinden). Dazu kommt fast immer die Frage nach kleinen Fachanwendungen, die heute in Access-Datenbanken oder Excel-Listen leben. Wohin die gehören, ist eine eigene Abwägung: Power Platform in der Verwaltung: SharePoint-Listen oder Dataverse für Fachanwendungen?. Und das Thema, das am häufigsten vergessen und am teuersten nachgeholt wird: Wenn Vorlagen, Formulare und interne Portale entstehen, gelten Barrierefreiheitspflichten von Anfang an — Barrierefreiheit in Microsoft 365: BITV-Pflichten für interne Portale und Vorlagen.

 

Wenn Sie an diesem Punkt eine unabhängige Einordnung zu Ihrer konkreten Ausgangslage brauchen — Bestandsaufnahme, Zielbild, Vorlage —, ist das der Kern der Microsoft-365-Beratung für Verwaltungen. Und weil ein Betriebsmodell erst dann trägt, wenn die Fachämter damit arbeiten können, gehört die Microsoft-365-Schulung für Verwaltungen in dieselbe Planung und nicht ans Ende der Projektliste.

Häufige Fragen

Ist der Standard-Tenant für eine deutsche Kommune datenschutzrechtlich überhaupt möglich?

Die Frage lässt sich nicht pauschal beantworten, und dieser Beitrag ersetzt keine Rechtsberatung. Sachlich gilt: Die EU Data Boundary wurde in drei Phasen aufgebaut und Anfang 2025 abgeschlossen; Kundendaten und pseudonymisierte personenbezogene Daten der einbezogenen Dienste werden innerhalb von EU und EFTA gespeichert und verarbeitet, für Professional-Services-Daten gilt die Speicherung im Ruhezustand. Restfälle für Transfers nach außen bestehen und sind dokumentiert. Ob das für Ihren konkreten Verarbeitungszweck ausreicht, entscheiden Ihre Datenschutzbeauftragten, gegebenenfalls im Austausch mit der zuständigen Aufsichtsbehörde. Wichtig ist, dass diese Bewertung je Verarbeitung erfolgt und nicht als Grundsatzurteil über ein Produkt.

Wir haben Multi-Geo lizenziert. Ändert das etwas?

Ja, und zwar deutlich. Kunden mit Multi-Geo-Funktionen fallen nicht unter die EU Data Boundary, auch wenn der Tenant auf ein Land in EU oder EFTA eingetragen ist. Für eine Kommune, die ausschließlich in Deutschland arbeitet, gibt es normalerweise keinen Grund für Multi-Geo. Prüfen Sie das im Bestand — es kommt vor, dass die Funktion aus einem Paket mitgekommen ist, ohne dass sie jemals gebraucht wurde.

Können wir Hybrid als Dauerzustand fahren?

Technisch ja. Betrieblich sollten Sie es bewusst entscheiden und die Kosten dafür einstellen. Hybrid erzeugt eigene, wiederkehrende Pflichttermine — Versionsstände der Verzeichnissynchronisation, Patchstände der lokalen Server, Zertifikatslaufzeiten — und verdoppelt Berechtigungswelten, Aufbewahrungslogiken und Wiederherstellungswege. Wenn Sie diese Positionen im Haushalt haben und das Personal für beide Welten dauerhaft vorhalten können, ist Hybrid als Zielbild vertretbar. Wenn nicht, ist es eine Übergangsphase, die Sie mit einem Datum versehen sollten.

Was ist mit dem letzten Exchange-Server für die Empfängerverwaltung?

Der Bedarf ist deutlich kleiner geworden. Mit den Exchange Management Tools der Subscription Edition lässt sich die Empfängerverwaltung per PowerShell erledigen, ohne dass ein Exchange-Server betrieben wird. Zusätzlich lässt sich der Verwaltungsschwerpunkt für Exchange-Attribute an Exchange Online übergeben, wobei Identitätsattribute wie Name und Anmeldename weiterhin aus dem lokalen Verzeichnis stammen und unterstützte Exchange-Attribute zurückgeschrieben werden. Prüfen Sie also konkret, ob Ihr laufender Server noch eine Aufgabe hat oder nur noch eine Gewohnheit ist.

Ist Delos Cloud die Lösung, auf die wir warten sollten?

Warten ist selten eine Strategie, und es ist in diesem Fall keine, die man terminlich planen kann. Delos Cloud ist eine von SAP betriebene souveräne Plattform für den öffentlichen Sektor in Deutschland mit einem wachsenden Partnernetz; Microsoft-Technologie wird dort in einem separat betriebenen Umfeld bereitgestellt. Für Ihre Entscheidung ist relevant, welche Ihrer Workloads dort zu welchen Konditionen verbindlich verfügbar sind — das klären Sie mit einem Angebot, nicht mit einer Ankündigung. Die ausführliche Einordnung steht in Delos Cloud für Kommunen: Was das Angebot ist, wen es betrifft und was fehlt.

Was ist Microsoft 365 Local, und ist das eine Alternative für uns?

Microsoft 365 Local gehört zur Sovereign Private Cloud und erlaubt den Betrieb von Exchange Server, SharePoint Server und Skype for Business Server auf Azure Local, also auf Infrastruktur, die Sie selbst oder ein Partner betreiben — auch in getrennter Betriebsform. Es ist damit eine gehobene Variante des On-Premises-Betriebs mit Azure-nahem Betriebsmodell, nicht ein Ersatz für einen Tenant. Für eine mittlere Kommune ist es in aller Regel überdimensioniert. Für Häuser mit ausgeprägten Anforderungen an operative Trennung kann es die passende Antwort sein.

Wie tief geht die Entscheidung ins Schriftgut?

Tiefer, als die IT vermutet. Der Betriebsort entscheidet nicht über die Aktenführung, aber er bestimmt, wie viele Aktenführungswege Sie parallel bedienen. Die Grenze zwischen einer Ablage für die tägliche Zusammenarbeit und einer E-Akte im Sinne des jeweiligen Landes-E-Government-Rechts müssen Sie ausdrücklich ziehen und dokumentieren — SharePoint ist nicht automatisch das eine oder das andere. Ziehen Sie Registratur und Archiv früh hinzu, nicht erst bei der ersten Aussonderung.

Was passiert, wenn wir gar nichts entscheiden?

Dann entscheiden Produktlebenszyklen für Sie, und zwar in einer Reihenfolge, die Sie sich nicht ausgesucht haben. Server fallen aus dem Support, Mindestversionen werden erzwungen, Mailfluss aus veralteten Systemen wird gedrosselt und schließlich blockiert. Nichtentscheiden ist in diesem Feld die einzige Variante, die sicher teuer wird — weil sie jede Maßnahme unter Zeitdruck stellt und aus einer Projektentscheidung eine Störungsbewältigung macht.

Brauchen wir für die Entscheidung eine eigene Notfallbetrachtung?

Ja, und sie sollte Teil der Vorlage sein. Die relevanten Fragen sind in allen Modellen dieselben: Wie kommen Sie an Daten, wenn eine Seite ausfällt? Wer darf im Ernstfall handeln? Wie lange dauert eine Wiederherstellung realistisch? Der Unterschied ist, wie viele Wege Sie dafür üben müssen. Wie eine solche Übung praktisch aussieht, steht in Notfallübung für die Verwaltungs-IT: SharePoint verschlüsselt, Admin-Konto übernommen, Bürgertelefon tot.

Fazit

Die Betriebsmodell-Entscheidung ist einfacher, als sie in Sitzungen wirkt — sobald man sie richtig stellt. Sie lautet nicht „Cloud oder nicht“, sondern: Welcher Workload gehört wohin, und wie viele Betriebswelten können wir dauerhaft tragen?

Für die meisten Verwaltungen führt das zu einem klaren Bild: Der Standard-Tenant ist das Ziel für Bürokommunikation und Zusammenarbeit. Fachverfahren mit eigener Verfahrensakte bleiben, wo sie sind. Hybrid ist die Brücke dazwischen — mit einem Datum, einem Verantwortlichen und einer Abbauliste. Wo hoher Schutzbedarf im Spiel ist, wird er zuerst festgestellt und dann durch Maßnahmen adressiert, nicht durch einen Serverstandort ersetzt.

Das ist keine spektakuläre Antwort. Es ist die, die nach fünf Jahren noch trägt — und die Sie im Rechnungsprüfungsamt vertreten können, ohne zu improvisieren. Der Serverraum im Keller wird dabei nicht leer. Er wird nur ehrlich: In ihm steht dann das, was dort hingehört, und nicht mehr das, was dort nie jemand abgeschaltet hat.

Und der letzte Rat, der nichts kostet: Schreiben Sie das Abbaudatum in die Beschlussvorlage. Nicht in die Projektdokumentation, nicht ins Protokoll, nicht in eine Anlage. In die Vorlage. Alles, was nicht beschlossen ist, wird in einer Verwaltung nicht vergessen — es wird nur nie dringend.

FAKTEN Weiter im Thema › Microsoft 365 in der Kommune: Was Sie wirklich entscheiden müssen (und was nicht) › Schutzbedarf und Microsoft 365: IT-Grundschutz-Abgleich für die Praxis › Delos Cloud für Kommunen: Was das Angebot ist, wen es betrifft und was fehlt › ADFS oder Entra ID in der Verwaltung: Die Entscheidung entlang der Fachverfahren › Microsoft 365 und das kommunale Rechenzentrum: Rollen, Schnittstellen, Zweitmeinung › Microsoft 365 rechtssicher beschaffen: Vergabe, Leistungsbeschreibung, Rahmenverträge › Microsoft-365-Einführung in der Verwaltung: Konzeptionsphase in 4,5 Tagen und die Beschlussvorlage › Backup und Wiederherstellung in Microsoft 365: Die Risikoentscheidung fürs Rechnungsprüfungsamt