Microsoft 365 an der Universität Bielefeld

Datenschutz, Informationssicherheit & Mitbestimmung

Die Einführung von Microsoft 365 betrifft nicht nur die technische Infrastruktur der Universität. Mit der Nutzung der neuen Dienste sind auch Fragen zum Schutz personenbezogener Daten, zur Informationssicherheit und zur Mitbestimmung verbunden.

Diese Themen werden deshalb parallel zur technischen Einführung bearbeitet. Datenschutz, Informationssicherheit und Personalvertretungen sind in die Vorbereitung eingebunden. Regeln und technische Einstellungen werden schrittweise entwickelt, geprüft und dokumentiert.

Dabei gilt: Nicht jede technisch mögliche Funktion wird automatisch genutzt oder freigeschaltet. Welche Funktionen eingesetzt werden und unter welchen Bedingungen sie genutzt werden können, wird im Projekt festgelegt.

Datenschutz

Wie wird der Datenschutz bei Microsoft 365 berücksichtigt?

Die Einführung von Microsoft 365 wird datenschutzrechtlich begleitet und dokumentiert. Dabei wird untersucht, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken dies geschieht, wer auf diese Daten zugreifen kann und welche Schutzmaßnahmen erforderlich sind.

Dafür werden mehrere aufeinander abgestimmte Datenschutzdokumente erstellt und fortgeschrieben. Dazu gehören insbesondere:

• Verzeichnisse von Verarbeitungstätigkeiten (VVT)
• eine Schwellwertanalyse
• eine Datenschutz-Folgenabschätzung (DSFA) unterstützt durch ein Rechtsgutachten der Kanzlei Reusch Law zum datenschutzkonformen Einsatz von M365 durch Universitäten.
• ein Bewertung der transatlantischen Datenübermittelung, angelehnt an ein Transfer Impact Assessment (TIA)
• eine ergänzende Risikoanalyse nach Vorgehensweise der Universität
• Datenschutzinformationen für die Nutzenden
• technische und organisatorische Schutzmaßnahmen
• rechtliche Bewertungen und Vertragsunterlagen

Die Datenschutzdokumentation ist damit nicht ein einzelnes Dokument, sondern besteht aus mehreren miteinander verbundenen Prüfungen und Nachweisen.

Datenschutz-Folgenabschätzung

Für Microsoft 365 wird eine übergreifende Datenschutz-Folgenabschätzung erstellt. Sie betrachtet unter anderem:

• Art, Umfang und Zweck der Verarbeitung,
• mögliche Risiken für die betroffenen Personen,
• die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung,
• vorhandene und geplante Schutzmaßnahmen,
• verbleibende Restrisiken.

Die DSFA wird während des Projekts weiterentwickelt und bei wesentlichen Änderungen aktualisiert.

Wo werden die Risiken betrachtet?

Ergänzend zur DSFA wird eine detaillierte Risikoanalyse geführt. Darin werden einzelne Risiken, mögliche Auswirkungen, Schutzmaßnahmen, Verantwortlichkeiten und verbleibende Restrisiken dokumentiert.

Dabei werden beispielsweise Risiken betrachtet wie:

• versehentliche oder unberechtigte Freigaben,
• zu weitgehende Berechtigungen,
• unzulässige Zugriffe,
• unklare Löschfristen,
• Drittlandzugriffe,
• übermäßige Protokollierung,
• Verarbeitung besonders sensibler Daten an ungeeigneten Stellen.

Die Risikoanalyse wird während des Projekts fortlaufend aktualisiert.

Datenübermittlungen außerhalb Europas

Auch mögliche Zugriffe oder Datenübermittlungen außerhalb der EU beziehungsweise des Europäischen Wirtschaftsraums werden untersucht.

Wir betrachtet unter anderem mögliche Übermittlungsszenarien, beteiligte Unternehmen und Unterauftragnehmer, rechtliche Grundlagen sowie technische und organisatorische Schutzmaßnahmen.

Was bedeutet das für mich?

Für die Nutzenden sollen daraus möglichst klare und praktische Regeln entstehen:

Welche Daten darf ich in Microsoft 365 speichern?
Welche Daten sollen weiterhin auf anderen Systemen liegen?
Wer kann auf meine Daten zugreifen?
Wie lange werden Daten gespeichert?
Was passiert mit Protokolldaten?
Welche Regeln gelten für externe Freigaben?

Diese Fragen werden in Nutzungsregeln, Datenschutzhinweisen, FAQ und Anleitungen verständlich aufbereitet.

Passt die Einführung von M365 zur digitale Souveränität?

Was ist digitale Souveränität und was hat das mit M365

Digitale Souveränität bedeutet nicht, vollständig unabhängig von einzelnen Herstellern, Cloud-Diensten oder externen Anbietern zu sein. Entscheidend ist vielmehr, handlungs- und wechsel­fähig zu bleiben.

Für die Universität bedeutet das insbesondere, Abhängigkeiten bewusst zu gestalten, Daten und Prozesse nachvollziehbar zu dokumentieren und technische sowie organisatorische Möglichkeiten für einen späteren Wechsel vorzuhalten. Dazu gehören beispielsweise exportierbare Datenformate (wir planen ein externes Backup für die M365 Daten), dokumentierte Schnittstellen, klare Zuständigkeiten, eigene Fach- und Betriebskompetenz sowie eine Exit-Strategie.

Auch bei der Nutzung von Microsoft 365 bleibt daher wichtig, dass die Universität Entscheidungen weiterhin selbst treffen kann, Alternativen kennt und bei Bedarf Dienste oder Anbieter wechseln kann. Digitale Souveränität bedeutet damit nicht „alles selbst betreiben“, sondern Wahlmöglichkeiten und Kontrolle über die eigene IT-Strategie zu erhalten.

Digitale Souveränität heißt, die eigenen Gestaltungsspielräume zu sichern: Die Universität entscheidet bewusst, welche Leistungen sie selbst betreibt, welche sie extern bezieht (sei es von anderen Hochschulen oder IT Service Dienstleistern am freien Markt) und wie sie dabei Kontrolle und Wechselmöglichkeiten erhält.

So können eigene Kompetenzen und externe Leistungsfähigkeit sinnvoll kombiniert werden, ohne die strategische Handlungsfähigkeit aus der Hand zu geben.

Wie setzen wir das konkret um und wieso hat die Universitätsleitung so entschieden?

Die Universität möchte mit Microsoft 365 moderne Werkzeuge für Kommunikation und Zusammenarbeit bereitstellen und gleichzeitig bestehende, bewährte Systeme gezielt weiter nutzen. M365 soll deshalb nicht die gesamte IT-Landschaft ersetzen, sondern dort eingesetzt werden, wo die Plattform einen konkreten Mehrwert bietet. Der Fileserver und andere bestehende Systeme bleiben beispielsweise für geeignete Anwendungsfälle erhalten.

Für Studierende
Microsoft 365 kann die Zusammenarbeit in Studium und Projekten erleichtern – zum Beispiel durch gemeinsame Dokumente, Teams-Besprechungen oder gemeinsam genutzte Arbeitsbereiche. Dadurch können Gruppenarbeiten und die Zusammenarbeit mit Lehrenden einfacher organisiert werden, soweit die jeweiligen Dienste für Studierende bereitgestellt werden.

Für Mitarbeitende
E-Mail, Kalender, Besprechungen, Chat und gemeinsame Dokumente können stärker miteinander verzahnt werden. Ein typisches Beispiel ist die Zusammenarbeit in einem Projekt: Termine werden über den Kalender abgestimmt, Besprechungen über Teams durchgeführt und gemeinsame Unterlagen in einem dafür vorgesehenen Arbeitsbereich bearbeitet.

Für Forschung
Forschungsgruppen und Projekte können gemeinsame Arbeitsbereiche für Zusammenarbeit und Abstimmung nutzen – auch mit externen Projektpartnern, sofern die dafür vorgesehenen Regeln eingehalten werden. Gleichzeitig soll nicht jede Forschungsinformation automatisch in die Cloud verlagert werden: Für besonders sensible Daten und andere spezielle Anforderungen bleiben gesonderte Lösungen und Ablageregeln wichtig.

Ein konkretes Beispiel ist die Zusammenarbeit im NEOLAiA-Kontext. Dort wird Microsoft 365 bereits erfolgreich für die hochschulübergreifende Zusammenarbeit genutzt. Mitarbeitende der Universität Bielefeld sind aktuell teilweise als Gäste in den Umgebungen von Partnerhochschulen eingebunden.

Mit einer eigenen, geregelten M365-Umgebung kann die Universität solche Formen der Zusammenarbeit künftig besser in die eigene IT-Landschaft integrieren. Das erleichtert gemeinsame Arbeitsräume, Abstimmungen und die Bearbeitung von Dokumenten über Hochschulgrenzen hinweg und reduziert zugleich die Abhängigkeit von Gastzugängen in fremden Umgebungen.

Für die Lehre
Lehrende können M365 für Kommunikation, Besprechungen und gemeinsame Arbeitsprozesse nutzen. Denkbar sind beispielsweise Online-Besprechungen, die gemeinsame Bearbeitung von Unterlagen oder die Zusammenarbeit in Gruppen. M365 ergänzt dabei die vorhandenen Systeme und ist nicht als Ersatz für jedes bestehende Lehr- oder Fachverfahren gedacht.

Für die Universitätsverwaltung
Gerade bei bereichsübergreifenden Aufgaben kann eine gemeinsame Plattform Abstimmungen vereinfachen. Beispielsweise können Projektgruppen Termine, Kommunikation und gemeinsame Dokumente stärker zusammenführen. Gleichzeitig werden Berechtigungen, Ablageorte und die Nutzung sensibler Daten durch Governance-, Datenschutz- und Sicherheitsregeln festgelegt.

Der gemeinsame Gedanke dahinter:
Die Universität möchte den Mehrwert von M365 dort nutzen, wo er Zusammenarbeit und Kommunikation verbessert, ohne deshalb alles auf Microsoft umzustellen. Durch die Kombination mit bestehenden Diensten, klaren Nutzungsregeln und einer schrittweisen Einführung sollen Wahlmöglichkeiten und Handlungsfähigkeit erhalten bleiben.

Ist die Exit-Fähigkeit sichergestellt?

Eine Exit-Strategie beschreibt, wie die Universität ihre Daten und Arbeitsprozesse aus Microsoft 365 in eine andere Lösung überführen könnte, wenn dies zukünftig erforderlich oder sinnvoll wird.

Dazu gehört insbesondere:

• welche Daten exportiert werden können,
• in welchen Formaten sie vorliegen,
• welche Abhängigkeiten zu anderen Systemen bestehen,
• wie Daten in eine alternative Lösung übernommen werden könnten,
• welche Funktionen gegebenenfalls nicht identisch übernommen werden können,
• und wie Daten nach einem Wechsel beim bisherigen Anbieter gelöscht werden.

Damit soll sichergestellt werden, dass die Universität auch langfristig handlungs- und wechsel­fähig bleibt.

Bedeutet eine Exit-Strategie, dass die Universität schon wieder aus Microsoft 365 aussteigen will?

Nein. Eine Exit-Strategie gehört zu einem verantwortungsvollen Betrieb eines wichtigen IT-Dienstes.

Sie bedeutet nicht, dass ein Ausstieg geplant ist. Vielmehr wird bereits bei der Einführung berücksichtigt, wie ein späterer Wechsel grundsätzlich möglich wäre, falls sich technische, wirtschaftliche, rechtliche oder strategische Rahmenbedingungen verändern.

Auch das Migrationskonzept sieht Rückfalloptionen, Parallelbetrieb und kontrollierte Übergänge ausdrücklich als Teil einer sicheren Einführung vor.

Kann man Microsoft 365 überhaupt wieder verlassen?

Grundsätzlich ja. Viele zentrale Datenarten lassen sich exportieren oder in andere Systeme migrieren.

Bei einem Wechsel müsste allerdings geprüft werden, welche Daten und Funktionen übernommen werden können und an welchen Stellen Anpassungen erforderlich sind. Ein neuer Dienst bildet nicht zwangsläufig jede Funktion von Microsoft 365 exakt gleich ab.

Deshalb ist es wichtig, bereits heute zu wissen:

Welche Daten gibt es? Wo liegen sie? Welche Formate werden verwendet? Welche Funktionen sind für die Universität wirklich erforderlich?

Genau diese Portabilität und Exportierbarkeit ist Bestandteil der vorgesehenen Risiko- und Exit-Betrachtung.

Würden bei einem Wechsel Funktionen verloren gehen?

Möglicherweise. Ein Wechsel zwischen unterschiedlichen Plattformen ist selten vollständig verlustfrei.

E-Mails, Dokumente, Kalender oder Kontakte lassen sich beispielsweise vergleichsweise gut übertragen. Schwieriger können dagegen plattformspezifische Funktionen sein, etwa:

• spezielle Berechtigungsstrukturen,
• Freigabelinks,
• Teams- und Kanalstrukturen,
• Chatverläufe,
• Automatisierungen,
• Metadaten,
• bestimmte Kalender- und Delegationsfunktionen,
• spezielle Apps oder Integrationen.

Eine Exit-Strategie soll deshalb nicht versprechen, dass ein Wechsel ohne jede Veränderung möglich wäre. Sie soll dafür sorgen, dass Daten und zentrale Arbeitsprozesse kontrolliert in eine andere Lösung überführt werden können.

Warum wechseln wir dann nicht einfach zu einer anderen Cloud-Lösung?

Eine andere Cloud-Lösung würde viele der gleichen grundsätzlichen Fragestellungen mit sich bringen.

Auch dort müsste die Universität beispielsweise klären:

• Wo werden die Daten verarbeitet?
• Welche Verträge gelten?
• Welche Unterauftragnehmer gibt es?
• Wie werden Identitäten angebunden?
• Wie werden Daten exportiert?
• Welche Funktionen sind anbieterspezifisch?
• Wie funktioniert ein späterer Wechsel?

Ein Wechsel von Microsoft zu einem anderen Cloud-Anbieter beseitigt also nicht automatisch Abhängigkeiten. Er ersetzt häufig eine Abhängigkeit durch eine andere.

Entscheidend ist deshalb weniger, ob ein externer Anbieter genutzt wird, sondern wie gut Abhängigkeiten beherrscht und Wechselmöglichkeiten erhalten werden.

Wäre eine vollständig selbst betriebene Lösung nicht automatisch unabhängiger?

Auch ein Eigenbetrieb schafft nicht automatisch vollständige Unabhängigkeit.

Ein On-Premises-System ist ebenfalls von vielen Faktoren abhängig: verwendeter Software, Datenbanken, Schnittstellen, Betriebssystemen, Spezialwissen, Updates, Sicherheitsupdates und gegebenenfalls externen Dienstleistern.

Ein Wechsel von einer selbst betriebenen Plattform auf eine andere kann deshalb dieselben Migrationsfragen aufwerfen wie ein Wechsel zwischen Cloud-Anbietern.

Gibt es dafür ein konkretes Beispiel?

Ein gutes Beispiel ist ein Wechsel des E-Mail- und Kalendersystems.

Angenommen, die Universität würde später von Exchange Online auf eine andere Cloud-Groupware oder auf eine selbst betriebene Lösung wechseln.

E-Mails selbst lassen sich in der Regel übertragen. Schwieriger können jedoch Dinge werden wie:

• gemeinsame Postfächer,
• Stellvertretungsrechte,
• Kalenderfreigaben,
• Verteiler,
• Archivfunktionen,
• automatische Regeln,
• mobile Clients,
• Anbindungen an andere Systeme.

Diese Fragestellungen entstehen nicht nur bei Microsoft. Auch beim Wechsel zwischen zwei selbst betriebenen Groupware-Lösungen oder zwischen zwei anderen Cloud-Anbietern müsste geklärt werden, wie diese Funktionen übertragen oder neu aufgebaut werden.

Der entscheidende Vorteil einer guten Exit-Strategie besteht deshalb darin, diese Abhängigkeiten frühzeitig zu kennen und nicht erst am Tag eines möglichen Wechsels festzustellen.

Wie reduziert die Universität diese Abhängigkeiten?

Das Ziel ist nicht, jede Abhängigkeit vollständig zu vermeiden. Vielmehr sollen sie bewusst und beherrschbar bleiben.

Dazu gehören beispielsweise:

• klare Regeln, wofür M365 genutzt wird,
• Beibehaltung geeigneter bestehender Systeme,
• dokumentierte Datenflüsse und Systemanbindungen,
• Kenntnis der relevanten Datenarten,
• Möglichkeiten zum Datenexport,
• möglichst nutzbare und verbreitete Datenformate,
• eine dokumentierte Exit- und Migrationsstrategie,
• eigener technischer und organisatorischer Sachverstand.

Das passt auch zu eurem vorgesehenen Zielbild: M365 soll nicht automatisch alle bestehenden Systeme ersetzen; insbesondere der Fileserver bleibt für geeignete Anwendungsfälle bestehen. 

Warum ist Microsoft 365 auch aus (Lizenz-)Kostensicht sinnvoll?

Für die dienstliche Nutzung von Word, Excel, PowerPoint und weiteren Office-Anwendungen benötigt die Universität ohnehin Microsoft-Lizenzen. In den heute üblichen Enterprise-Lizenzmodellen sind lokal installierbare Office-Anwendungen regelmäßig mit Microsoft-365-Cloudrechten gebündelt.

Die Cloud-Lizenzen entstehen damit nicht erst durch dieses Projekt. Das Projekt sorgt vielmehr dafür, bereits vorhandene Lizenzbestandteile kontrolliert und sinnvoll zu nutzen.

Eine echte Alternative wäre nur ein grundsätzlicher Verzicht auf Microsoft Office und die Umstellung auf eine vollständig andere Office-Landschaft.

Obwohl Open-Source-Lösungen wie openDesk lizenzkostenfrei wirken, erfordern sie hohe Investitionen in eigene Kubernetes-Infrastrukturen, komplexes DevOps-Fachpersonal, Enterprise-Supportverträge und aufwendige Eigenintegrationen.

Die Entscheidung für Microsoft 365 erweist sich daher in der Gesamtkostenbetrachtung aktuell als die wirtschaftlichere und effizientere Wahl. Natürlich kann sich dies noch Ändern und künftige Entscheidungen würden Anbieter entsprechend berücksichtigen. 

Kosteneffizienz durch Skaleneffekte: Microsoft wälzt massive globale Infrastruktur- und Sicherheitskosten auf Standard-Abos ab. Das spart eigene Server-, Wartungs- und Entwicklerkapazitäten.

Da unsere Mitarbeiter*innen die Oberflächen (Outlook, Teams, Excel) bereits beherrschen, entfallen teure Schulungen, Akzeptanzprobleme und Ausfallzeiten im Betrieb.

Identitätsmanagement, Schnittstellen und Fachanwendungen greifen aus einer Hand ineinander, was den laufenden Supportaufwand drastisch minimiert.

 

Warum wird die bestehende Microsoft-Umgebung nicht einfach weitergenutzt?

Die Universität stellt bereits seit vielen Jahren Microsoft-Lizenzen für Studierende und Mitarbeitende bereit – auch für die private Nutzung. Der dafür bestehende Tenant ist historisch gewachsen und nicht so strukturiert administriert, wie es für einen dauerhaft sicheren und verlässlichen Betrieb heute erforderlich ist.

Das M365-Projekt schafft deshalb klare Zuständigkeiten, geregelte Administration sowie verbindliche Sicherheits- und Datenschutzstandards. Ein unveränderter Weiterbetrieb wäre mit den heutigen Anforderungen aus Informationssicherheit, IT-Grundschutz und Datenschutz nicht vereinbar.