Google-Workspace-Alternative: wenn Kontrolle die Suite schlägt

Die meisten Organisationen auf Google Workspace sollten auf Google Workspace bleiben. Gmails Spamfilter ist besser als alles, was ich bauen kann, für Docs und Meet gibt es keinen Ersatz, den Ihre Kollegen still akzeptieren, und die Admin-Konsole tut Dinge — SSO, Geräterichtlinien, Aufbewahrungssperren —, die ein Mail-Hoster einfach nicht tut. Diese Seite ist für die kleinere Gruppe, deren erste Anforderung anders lautet: Die gespeicherte Mail muss in einer Infrastruktur und einer Jurisdiktion liegen, die Sie wählen. Steht diese Anforderung nirgends schriftlich, behalten Sie Workspace und lesen Sie etwas anderes.

Ist Google Workspace überhaupt ein Problem?

Nicht so, wie Datenschutz-Marketing es andeutet, und ja, auf eine bestimmte Weise.

Workspace-Mail wird nicht zur Werbeausrichtung durchsucht; Google hat die werbebezogene Auswertung von Inhalten im privaten Gmail 2017 beendet, und Workspace hatte sie nie. Das Problem ist strukturell, nicht eine Frage des Verhaltens. Google hält die Bytes, Google ist ein US-Unternehmen, und der seit 2018 geltende CLOUD Act verpflichtet einen US-Anbieter, Daten unter seiner Kontrolle herauszugeben, ganz gleich in welchem Land die Platten stehen. Google verkauft in einigen Tarifen Kontrollen zur Datenregion, die festlegen, wo Daten ruhen. Das beantwortet den Speicherort und lässt die Jurisdiktion, wo sie war — und genau dort setzt Art. 44 ff. DSGVO die Nachweispflicht bei Ihnen an, nicht bei Google.

Für die meisten Käufer ist das ein akzeptabler Handel, wissentlich geschlossen. Für einen Zulieferer im Verteidigungsbereich, einen Betriebsrat, eine Kanzlei mit Mandantenauflage oder eine öffentliche Stelle mit schriftlicher Souveränitätsvorgabe ist es die ganze Entscheidung.

Was geben Sie auf, wenn die E-Mail Workspace verlässt?

Drei Dinge, und eines davon ist größer, als die Leute erwarten.

Zuerst geht die Suite: gemeinsames Arbeiten in Docs und Sheets in Echtzeit, Drive-Freigaben an Leute außerhalb des Unternehmens, Meet-Links, die jeder schon anzuklicken weiß. Der gemeinsame Kalender ist der Teil, der wirklich weh tut — Raumbuchung, Frei/Belegt über die ganze Organisation und die Selbstverständlichkeit, die in den Gewohnheiten jeder Kollegin steckt.

Als Zweites geht die Verwaltungsebene. Workspace als SAML-Identitätsanbieter für Ihre übrigen SaaS-Dienste, erzwungene Zwei-Schritt-Verifizierung, DLP-Regeln, Vault mit Aufbewahrung und eDiscovery, Mobile-Device-Management, Audit-Logs. Ein Bring-your-own-Storage-Mail-Hoster hat davon nichts, und etwas anderes zu behaupten wäre albern.

Als Drittes geht der Filter. Gmails Spam-Klassifikator ist auf einem Anteil der Weltmail trainiert, den niemand sonst hat. Nisdos Mail filtert mit Inhaltsheuristiken, Reputationsprüfungen und einem Klassifikator pro Postfach, der ausschließlich durch Ihre eigenen Spam-Markierungen trainiert wird — privat, erklärbar, und mit weit weniger Signal am Anfang, als Google es hat.

Was gewinnen Sie?

Verfügungsgewalt, Jurisdiktion als Einstellung, eine Rechnung, die Köpfe ignoriert, und Adressen, die Sie nicht mehr rationieren.

Jede Nachricht wird mit einem Schlüssel pro Postfach verschlüsselt, bevor sie in Speicher geschrieben wird, der Ihnen gehört — Ihr S3- oder R2-Bucket, Ihr WebDAV-Server, ein Git-Repository. Die Gerätestufe, derzeit in der Beta, erzeugt die Schlüssel in Ihrem Browser und löscht unsere Kopie; danach können auch wir Ihre gespeicherte Mail nicht lesen.

Die Jurisdiktion wird zu zwei ausdrücklichen Entscheidungen statt einer geerbten Voreinstellung: die Region, in der die Bytes physisch liegen, und das Land, in dem der Speicherbetreiber firmiert. Region allein ist nicht Jurisdiktion, und genau deshalb erfüllt eine EU-Region unter US-Betrieb keine Souveränitätsvorgabe.

Der Preis folgt nicht mehr den Neueinstellungen. Nisdos Mail kostet $2 pro 25 GB pro Monat, mit unbegrenzt Domains, Nutzern und Aliasen, plus $1 pro 25 GB für EU-Speicher. Die Mail-Rechnung eines fünfzehnköpfigen Teams wird eine Funktion des gespeicherten Volumens, und unbegrenzt Adressen auf Ihren eigenen Domains ändern, wie Sie E-Mail benutzen — eine pro Lieferant, eine pro Projekt, eine pro Deploy-Pipeline.

Auch der Abschied ist ein anderer. Es gibt keinen Export, weil das Archiv schon in Ihrem Konto liegt. Sie richten das Routing neu aus.

Können Sie Workspace behalten und nur die Mail umziehen?

Ja, und dieses Nebeneinander empfehle ich den meisten Teams, die uns schreiben. Workspace unterstützt den Betrieb ohne Gmail: Schalten Sie den Gmail-Dienst in der Admin-Konsole ab, behalten Sie Docs, Drive, Calendar und Meet und richten Sie die MX-Einträge Ihrer Domain auf den Mail-Hoster. Kalendereinladungen funktionieren weiter, denn Einladungen sind gewöhnliche E-Mail-Nachrichten. Sie behalten die Zusammenarbeit, und Google speichert die Korrespondenz nicht mehr.

Die engere Variante geht auch. Verfügungsgewalt ist eine Einstellung pro Domain oder pro Postfach, Sie können also nur die Postfächer umziehen, die die Anforderung tragen — Recht, Personal, Geschäftsführung — und alle anderen lassen, wo sie sind. Eine Souveränitätsvorgabe, die für eine Abteilung gilt, muss kein firmenweites Migrationsprojekt werden.

Wie läuft die Migration wirklich ab?

Etwa zwei Tage echte Arbeit, verteilt über einen Monat, und das Archiv ist der langsame Teil.

Richten Sie die Domain zuerst beim neuen Hoster ein und lassen Sie SPF, DKIM und DMARC prüfen, während Gmail noch alles empfängt. Dann ziehen Sie das Archiv um: Takeout für eine vollständige MBOX pro Konto, oder imapsync direkt aus Gmail in das neue Postfach, was meist schneller einen benutzbaren Zustand erreicht. Betreiben Sie beides parallel, indem Sie von Gmail an das neue Postfach weiterleiten, damit nichts davon abhängt, dass Ihr DNS im ersten Versuch stimmt. Ziehen Sie die MX-Einträge erst nach, wenn der ausgehende Versand in Ihren DMARC-Berichten sauber aussieht, und behalten Sie das Workspace-Konto einen Abrechnungszeitraum länger.

Die Fehler sind vorhersehbar. Automatische Absender, an die sich niemand erinnert — Rechnungen, Monitoring-Alarme, CI-Benachrichtigungen — sind gegen alte Adressen konfiguriert. Alles, was „Mit Google anmelden“ nutzt, funktioniert nur, solange das Workspace-Konto existiert. Und irgendwer hat eine Filterregel in Gmail, die seinen Arbeitsablauf sechs Jahre lang still zusammengehalten hat.

Wer sollte das NICHT tun?

Sagen Sie Nein, wenn irgendetwas davon auf Sie zutrifft.

Ihr Team lebt in Docs und Sheets, mit viel Echtzeit-Zusammenarbeit und externen Freigaben; Mail ist das Geringste, was Workspace für Sie tut. Sie nutzen Workspace als Identitätsanbieter — dann heißt Kündigen, auch Ihren IdP zu ersetzen. Sie verlassen sich unter einer regulatorischen Pflicht auf Vault für Aufbewahrungssperren oder eDiscovery. Niemand im Haus möchte Speicher-Zugangsdaten besitzen und eine Wiederherstellung testen. Oder die Anforderung, die Sie eigentlich erfüllen wollen, ist Datenhaltung in der EU und sonst nichts — dann bringen Googles Kontrollen zur Datenregion oder eine in der EU gehostete Suite Sie mit einem Bruchteil der Störung dorthin.

Verfügungsgewalt ist eine echte Eigenschaft mit einem echten Preis, bezahlt in Werkzeugen, die Sie nicht mehr haben, und Verantwortung, die Sie jetzt tragen. Kaufen Sie sie, wenn eine Anforderung das so sagt.