Mit Nubus zum automatisierten Linux-Desktop: ein Erfahrungsbericht von pro mente tirol

Eine Sozialorganisation in Tirol, 24 Standorte, und die Überzeugung, dass die eigenen Daten ins eigene Netzwerk gehören: Wie wir das mit Nubus und Ubuntu in die Praxis umgesetzt haben.

Seit 2014 leite ich die IT-Abteilung bei pro mente tirol – einer gemeinnützigen Organisation, die sozialpsychiatrische Dienstleistungen für Menschen mit psychischen Erkrankungen anbietet. 24 Standorte in ganz Tirol, rund 300 Mitarbeiter*innen, 100 % öffentlich finanziert. Irgendwann stand Windows 7 zur Ablöse an. Die Frage war: Windows 10 – oder schauen wir uns beim Desktop mal was anderes an? Schon seit meinem Studium bin ich Open-Source-Fan. Wir haben uns also etwas anderes angeschaut.

In diesem Artikel erzähle ich, wie wir gemeinsam mit Siedl Networks den Schritt von Windows zu Ubuntu gemacht haben: mit der IAM Lösung Nubus von Univention als Basis, Ansible zur Automatisierung und eigenen Python-Skripten zum Einrichten von Freigaben. Ich erzähle auch, was es gekostet hat, was unsere Mitarbeiter*innen dazu gesagt haben und wie wir den Support nach jedem Standortwechsel organisiert haben.

Bevor wir über Betriebssysteme für die Arbeitsplätze der Mitarbeitenden entschieden haben, hatten wir eine ganz grundsätzliche Frage zu klären: Wo sollen unsere Daten liegen, und wer hat die Kontrolle darüber? Die Antwort unserer Geschäftsführung war eindeutig: So viel wie möglich bleibt im eigenen Netzwerk. Wir schließen externe Lösungen nicht aus, aber wir schauen genau hin, wo die Server stehen.

Die zweite Weichenstellung betraf nicht die Infrastruktur, sondern die Anwendungen selbst: Wir haben früh beschlossen, so viele Applikationen wie möglich in den Browser zu verlagern. Heute laufen bei uns die meisten davon als Webanwendung, darunter E-Mail, Dokumentenverwaltung, Kollaboration und die Klient*innen-Dokumentation. Lokal installiert sind im Grunde nur noch ein Browser, LibreOffice und die Druckertreiber. Das hat uns bei der Wahl des Desktop-Betriebssystems viel Spielraum gelassen, denn je mehr im Browser läuft, desto weniger hängt am Betriebssystem selbst.

Genau in diesem Spielraum lag dann auch die eigentliche Chance: Windows 7 stand zur Ablöse an, rund 220 PCs hätten wir erneuern bzw. aktualisieren müssen. Nach handelsüblichen Preisen hätten wir für Hard- und Software etwa 170.000 Euro auf den Tisch legen müssen. Mit Rabatten für Non-Profit-Organisationen wären es noch 120.000 Euro gewesen – wobei ich fairerweise dazusagen muss, dass der Weg zu diesen Rabatten ein ziemlicher Verwaltungsaufwand ist. Formulare, Nachweise zur Gemeinnützigkeit, jedes Jahr neu. Das landet dann auf meinem Schreibtisch.

Die Linux-Umstellung hat uns schlussendlich rund 15.000 Euro gekostet – inklusive meiner eigenen Arbeitszeit und der Entwicklungsarbeit von Siedl Networks. Und noch etwas: Etwa 90 % der Hardware konnten wir weiterverwenden: Wir haben ein paar SSDs eingebaut, manchmal etwas RAM ergänzt und hin und wieder ein Netzteil erneuert.

Linux Mint, Zorin OS, und noch ein Dutzend andere – wir werden immer wieder gefragt, warum wir nicht eine dieser Distributionen gewählt haben. Als Administrator hat mich vor allem überzeugt: Ubuntu ist die am weitesten verbreitete Distribution. Es ist gut möglich, dass Mitarbeiter*innen privat bereits damit in Berührung gekommen sind. Das ist schon mal Vorarbeit, die ich nicht leisten muss.

Hinter der Distribution steckt außerdem eine große Online-Community mit einem sehr aktiven deutschsprachigen Forum, das auf viele Fragen der Anwender*innen Antworten liefert. Dazu kommt: Ubuntu bringt vieles out of the box mit, was wir brauchen. Mir war wichtig, dass wir so wenig wie möglich zusätzlich installieren müssen.

2018 war für uns das Entwicklungsjahr: Wir haben die Grundsatzstrategien festgelegt, die dann den Rahmen für alles Weitere gebildet haben.

Nubus ist bei uns die zentrale Schaltstelle für die Desktop-Verwaltung, der Schlüssel dazu sind LDAP-Gruppen. Wir legen in Nubus zuerst eine Gruppe an, dann eine Freigabe, und diese Freigabe bekommt eine Gruppenberechtigung. Der Grund: Wir arbeiten mit Teamaccounts, nicht mit Einzelanmeldungen. Wer welche Netzwerklaufwerke sieht, hängt deshalb an der Gruppenzugehörigkeit, nicht am einzelnen Benutzerkonto.

Beim Einrichten der Arbeitsplätze erledigen wir ein paar Schritte manuell: Betriebssystem installieren, Fernzugriff per SSH konfigurieren, Drucker einrichten, Remote-Software für den Fernsupport aufsetzen. Das sind die Dinge, die sich nicht sinnvoll automatisieren lassen, weil sie standortspezifisch sind. Danach nehmen wir die PCs in die UCS-Domäne auf. Erst danach weiß das System, dass ein Rechner existiert – und kann ihm Gruppen, Freigaben und Berechtigungen zuweisen.

Dann übernimmt Ansible. Die Playbooks installieren alle notwendigen Pakete, z. B. Software für den Zugriff auf die Samba-Freigaben im Netz und eine LibreOffice-Variante aus einem eigenen PPA-Software-Repository. Die bei Ubuntu durch Snap ausgelieferte Variante des Officepakets lädt auch Hilfe- und Entwicklerdateien mit – auf älterer Hardware macht sich das durch einen spürbar langsameren Start bemerkbar, auf neuen Rechnern fällt es kaum auf. Über das Personal Package Archive (PPA) sind wir außerdem nicht von der Paketpflege durch Canonical abhängig, sondern bekommen Updates direkt vom Hersteller.

Über die Ansible-Playbooks rollen wir darüber hinaus eine Reihe von Einstellungen aus: die Startseite und Erweiterungen des Browsers, das Verhalten beim Schließen und Leeren des Verlaufs, oder welches Programm standardmäßig PDFs öffnet.

Ein eigens entwickeltes Python-Skript liest anschließend aus dem Verzeichnisdienst aus, welche Freigaben für welche Gruppe hinterlegt sind. Daraus generiert es automatisch zwei Dateien: eine Bookmarks-Datei für den Dateimanager Nautilus, damit die Netzlaufwerke in der Seitenleiste erscheinen, und eine Konfigurationsdatei, die dafür sorgt, dass die Samba-Freigaben beim Login automatisch eingebunden werden – so wie Windows-User das von der Domänenanmeldung kennen.

Office-Kompatibilität war anfangs eines der zentralen Themen bei uns im Support. In der Umstellungsphase hatten Linux-User über einen Terminalserver Zugriff auf eine Windows-Umgebung mit Office 365, falls sie mit einem Dokument nicht zurechtkamen. Diesen Zugang haben wir inzwischen deaktiviert: Seit rund vier Jahren brauchen ihn die Anwender*innen nicht mehr. Verbleibende Kompatibilitätsfälle lösen wir über OnlyOffice in unserer Nextcloud.

Und wir haben die Sache von der anderen Seite her angegangen: Auf allen Windows-PCs ist mittlerweile das offene Dateiformat ODF als Standard eingestellt, sodass auch unsere Windows-Kolleg*innen ODT- oder ODS-Dateien produzieren.. Für Fernzugriffe auf virtuelle Desktops setzen wir heute auf KASM, was Guacamole abgelöst hat. Seit Anfang 2026 stellen wir darüber gar keine Windows-Desktops mehr bereit.

Was uns positiv überrascht hat, war das Feedback zur Performance. Die Anmeldung geht schneller und die Anwendungen starten flotter – auch auf alter Hardware. Das haben die Nutzer*innen mehrfach zurückgemeldet. Einer unserer Mitarbeiter hat gesagt, er geht jetzt nicht mehr Kaffee trinken, während der PC hochfährt.

Das Look & Feel der neuen Umgebung war für die meisten kein Problem. Eine Mitarbeiterin fand zum Beispiel, dass die Oberfläche so angenehm neutral sei. Eine andere meinte, dass das Arbeiten genauso wie auf ihrem Mac sei. Natürlich gibt es auch andere Stimmen und Nutzer*innen, die Microsoft für unersetzlich halten – die kritischen Stimmen werden aber immer weniger.

2019 sind wir mit den ersten Rollouts gestartet. Wir sind Standort für Standort vorgegangen, von Reutte nach Landeck über Imst und Schwaz bis nach Kufstein und Lienz. Im Spätsommer 2020 waren alle für den Wechsel vorgesehenen PCs umgebaut. 2021 haben wir dann bei allen PCs zügig das Upgrade von Ubuntu 18.04 auf 20.04 durchgezogen. Seit Ende 2024 laufen alle unsere Linux-PCs einheitlich auf Ubuntu 24.04. Der nächste Versionssprung von Ubuntu lässt aber noch auf sich warten: Ubuntu 26.x setzt standardmäßig auf Wayland, und das bringt für unser Support-Team ein Problem mit sich. Wir melden uns bei Problemen oft unbeaufsichtigt auf den Desktops der Mitarbeiter*innen an, um direkt nachzusehen. Wayland lässt das nicht ohne Weiteres zu: Bildschirmzugriff und Eingabesteuerung laufen über ein Zustimmungsfenster, das die angemeldete Person jedes Mal bestätigen muss – bei einem unbesetzten Arbeitsplatz oder am Login-Bildschirm funktioniert das gar nicht.

Der Ablauf beim Rollout bei den Mitarbeitenden war eigentlich immer gleich: Etwa einen Monat vor dem Wechsel haben wir das jeweilige Team kontaktiert und eine Teamsitzung angesetzt. Zwei, drei Stunden, in denen wir erklärt haben, was auf sie zukommt: wie der neue Desktop aussieht, welche Anwendungen sie finden werden, wo es Kompatibilitätsprobleme geben kann – und warum wir das alles machen. Wir haben den Kostenvergleich gezeigt, über Datensicherheit gesprochen, über die geringere Angriffsfläche gegenüber Ransomware. Das sind Argumente, die ziehen – auch bei Mitarbeiter*innen, die keine IT-Affinität haben.

Nach dem Wechsel waren wir für zwei Wochen exklusiv für dieses Team da. Alle anderen Tickets wurden nach hinten gereiht, damit die Priorität klar war. Wer ein Problem hatte, hat sich gemeldet – und bekam sofort Unterstützung. Gleichzeitig haben wir ein gestaffeltes Supportmodell etabliert: zuerst selbst nachschauen, dann Kolleg*innen fragen, dann erst anrufen oder ein Ticket eröffnen. In manchen Teams hat sich dabei ganz von selbst eine technikaffine Person als Anlaufstelle herauskristallisiert, die Themen bündelte und an den Support weitergab – ein schöner Nebeneffekt. Je besser ein Team funktioniert, desto mehr hilft man sich gegenseitig, das haben wir über die Jahre immer wieder erlebt.

Der Umstieg von Windows auf Ubuntu war nur die halbe Geschichte. Genauso wichtig war die parallele Umstellung von lokalen Anwendungen hin zu Webanwendungen. Das Portal ist die zentrale Anlaufstelle: Unsere Mitarbeiter*innen melden sich über Single Sign-on einmal an und haben danach Zugriff auf alle freigegebenen Anwendungen, egal ob diese bei uns selbst oder extern gehostet sind.

Das rollenbasierte System dahinter erleichtert uns die Verwaltung enorm: Welche Kacheln jemand im Portal sieht, hängt von der Gruppenzugehörigkeit ab – genau die gleiche Logik, die wir schon für unsere Freigaben nutzen. Neue Mitarbeiter*innen bekommen automatisch die passenden Anwendungen angezeigt, ohne dass wir jedes Konto einzeln konfigurieren müssen.
Je mehr Anwendungen sich so einbinden lassen, desto weniger hängt am einzelnen Desktop-Rechner. Das Portal wird zur eigentlichen Arbeitsoberfläche – das Betriebssystem darunter wird zur Nebensache.

Der Wechsel zu Linux-Desktops auf den Rechnern der Mitarbeitenden ist gelungen. Das sage ich nicht, weil alles reibungslos gelaufen ist – sondern weil wir mit den Problemen, die aufgetaucht sind, umgehen konnten. Die Performance-Gewinne waren real und sofort spürbar. Die Kosten waren deutlich geringer als bei einem Windows-Upgrade. Und rund 90 % der alten Hardware konnte weiterverwendet werden.

Was wir unterschätzt haben, ist das Thema Office-Kompatibilität in der Einführungsphase. Und die Tatsache, dass die Open-Source-Welt sich ständig verändert – was für Nutzer*innen oft unsichtbar bleibt, für Admins aber regelmäßig zusätzliche Arbeit bedeutet.

Unsere wichtigste Erkenntnis aber ist: Wer seine Mitarbeiter*innen mitnimmt, bevor der erste PC umgestellt wird, hat später deutlich weniger Gegenwind. Unsere Daten liegen bei uns. Unsere Infrastruktur gehört uns. Das war die Grundsatzentscheidung – und dabei bleibt es.

Offene Frage an die Community: Das Wayland-Problem bremst gerade den Sprung auf Ubuntu 26.x. Wer eine ähnlich verteilte Linux-Umgebung betreut und dafür schon eine Lösung gefunden hat, ohne Sicherheitsfunktionen zu opfern: Ein Kommentar unter diesem Artikel ist willkommen.