Die meisten Kollaborationswerkzeuge beantworten diese Frage mit einem Verweis auf Transportverschlüsselung und verschlüsselte Speicherung. Beides ist Standard und sinnvoll, bedeutet aber, dass der Betreiber die Daten im Klartext verarbeiten kann, weil er die Schlüssel hält. Stackfield verfolgt einen anderen Weg: Nachrichten, Aufgabeninhalte, Kommentare und Dateien werden clientseitig verschlüsselt, sodass der Anbieter selbst die Inhalte nicht einsehen kann. Diese Entscheidung ist kein Marketing-Detail, sondern prägt das Produkt bis in die Funktionslogik hinein — mit klaren Stärken und ebenso klaren Konsequenzen, die dieser Artikel offen benennt.
Einzuordnen ist Stackfield als Suite, nicht als Spezialwerkzeug. Wo Slack primär Kommunikation und awork oder factro primär Projektsteuerung abdecken, versucht Stackfield, den kompletten Alltag digitaler Zusammenarbeit in einer Anwendung zu halten: Man diskutiert im Kanal, leitet daraus eine Aufgabe ab, hängt das zugehörige Dokument an, hält den Termin im gemeinsamen Kalender fest und startet bei Bedarf eine Videokonferenz — ohne die Plattform zu verlassen. Für kleinere und mittlere Organisationen, die keinen breiten Werkzeugpark pflegen wollen, ist genau das der Reiz.
Der Ausgangspunkt des Produkts ist eine simple Beobachtung: In Projekträumen entstehen die vertraulichsten Informationen eines Unternehmens. Preise, Vertragsentwürfe, Personalvorgänge, Produktideen, Mandatsdetails, Patientenbezüge — all das landet in Chats, Aufgabenbeschreibungen und Dateianhängen. Werden diese Inhalte bei einem Anbieter verarbeitet, der sie technisch lesen kann, verlagert sich das Vertrauen von der eigenen Organisation zum Dienstleister und dessen Rechtsraum.
Ende-zu-Ende-Verschlüsselung kehrt dieses Verhältnis um. Die Inhalte werden bereits auf dem Gerät der Nutzerin verschlüsselt und erst auf dem Gerät der berechtigten Empfängerin wieder entschlüsselt. Der Server transportiert und speichert lediglich Chiffrat. Damit ist auch ein Zugriff durch den Anbieter, einen kompromittierten Administrator oder einen Angreifer, der Zugang zur Speicherinfrastruktur erlangt, ohne die Schlüssel wertlos. Für die Bewertung im Datenschutz-Kontext ist das ein qualitativer Unterschied — und einer der wenigen Fälle, in denen ein technisches Merkmal unmittelbar eine organisatorische Risikoposition verbessert.
Die Kehrseite muss man aussprechen: Was der Server nicht lesen kann, kann er auch nicht durchsuchen, indexieren, automatisch übersetzen, zusammenfassen oder an ein Drittsystem weiterreichen. Jede Funktion, die klassischerweise serverseitig auf Klartext arbeitet, muss entweder auf den Client verlagert, anders gelöst oder bewusst weggelassen werden. Wer Stackfield bewertet, sollte diesen Zusammenhang verstanden haben, bevor er einzelne fehlende Komfortfunktionen als Schwäche notiert.
Stackfield gehört in diese Kategorie, weil es beide Hälften der digitalen Zusammenarbeit adressiert. Die eine Hälfte ist Kommunikation: Kanäle, Direktnachrichten, Erwähnungen, Reaktionen, Videokonferenz. Die andere Hälfte ist Strukturierung von Arbeit: Aufgaben mit Verantwortlichen und Fristen, Kanban-Boards, Zeitachsen, wiederkehrende Vorgänge, Berichte. Die meisten Werkzeuge im Markt sind in einer der beiden Hälften stark und in der anderen nur ausreichend. Stackfield positioniert sich bewusst in der Mitte.
Diese Mittelposition ist eine Stärke für Organisationen, deren Zusammenarbeit ohnehin projektförmig verläuft und die keine getrennten Werkzeuge für Reden und Arbeiten pflegen wollen. Sie ist eine Schwäche, wenn eine Organisation in einer Disziplin herausragende Tiefe braucht — etwa hochkomplexe Portfolioplanung oder eine sehr große Zahl an Chat-Integrationen. Die ehrliche Formulierung lautet daher: Stackfield ist selten das tiefste Werkzeug seiner Klasse, aber häufig das stimmigste Gesamtpaket für vertraulichkeitssensible Teams.
Typische Anwender sind mittelständische Unternehmen, Kanzleien, Steuer- und Wirtschaftsprüfungsgesellschaften, Beratungen, Agenturen mit sensiblen Kundendaten, Einrichtungen aus dem Gesundheits- und Sozialwesen, Forschungs- und Entwicklungsabteilungen sowie Organisationen der öffentlichen Hand und ihres Umfelds. Was sie eint, ist selten ein besonders exotischer Funktionsbedarf, sondern eine Beschaffungslogik, in der Datenschutz und Anbieterstandort harte Kriterien sind und nicht nachgelagerte Wünsche.
Häufig kommt Stackfield deshalb überhaupt erst in die Auswahl, weil eine Vorprüfung große internationale Anbieter aussortiert hat — sei es wegen interner Richtlinien, wegen Vorgaben von Auftraggebern oder wegen einer Betriebsvereinbarung. In solchen Konstellationen konkurriert Stackfield nicht mit dem gesamten Markt, sondern mit einer überschaubaren Gruppe europäischer Anbieter. Das verändert die Bewertungsmaßstäbe erheblich und erklärt, warum die Plattform in bestimmten Branchen deutlich präsenter ist als ihr allgemeiner Bekanntheitsgrad vermuten lässt.
Wie bei den meisten Anbietern dieser Kategorie wächst der Funktionsumfang über die Stufen hinweg entlang dreier Achsen. Die erste Achse ist die Breite der Module: Einstiegsangebote decken Kommunikation und Aufgaben ab, höhere Stufen ergänzen fortgeschrittene Projektansichten, Berichte, Zeiterfassung und weitergehende Automatisierung. Die zweite Achse ist die Verwaltung: Rollen- und Rechtemodelle, Benutzerverwaltung über Verzeichnisdienste, Anmeldung per Single Sign-on, Protokollierung und Richtliniensteuerung sind typischerweise den höheren Editionen vorbehalten. Die dritte Achse ist das Betriebsmodell — die Möglichkeit, die Plattform im eigenen Rechenzentrum zu betreiben, ist erwartungsgemäß eine Enterprise-nahe Option.
Für die Auswahl bedeutet das: Ein einzelnes Projektteam kommt oft mit einer mittleren Stufe aus. Sobald jedoch zentrale Benutzerverwaltung, revisionssichere Protokollierung oder unternehmensweite Richtlinien gefordert sind — und das ist in mittelständischen IT-Organisationen die Regel, sobald mehr als eine Handvoll Personen beteiligt ist —, verschiebt sich die realistische Auswahl nach oben. Wer diese Verschiebung erst nach dem Pilotbetrieb entdeckt, kalkuliert unangenehm nach.
Stackfield positioniert sich als integrierte Alternative zum Werkzeug-Mix. Das klassische Setup vieler Mittelständler besteht aus einem Kommunikationswerkzeug, einem Projektwerkzeug, einer Dateiablage und einer Konferenzlösung — vier Verträge, vier Rechtemodelle, vier Datenschutzbewertungen, vier Einführungsprojekte. Stackfield bietet stattdessen einen Vertrag, ein Rechtemodell und eine Datenschutzbewertung. In Organisationen mit knappen IT-Ressourcen ist dieser Konsolidierungseffekt oft der stärkere Kaufgrund als die Verschlüsselung selbst.
Gleichzeitig ist die Positionierung anspruchsvoll, weil sie den Anbieter gegen sehr unterschiedliche Wettbewerber antreten lässt: gegen große Suiten wie Microsoft 365 mit Teams, gegen Chat-Spezialisten wie Slack und gegen PM-Spezialisten wie awork oder factro. In jedem einzelnen Vergleich kann ein Spezialist an einzelnen Punkten mehr bieten. Der Vergleich, den Stackfield gewinnt, ist der Gesamtvergleich unter der Nebenbedingung „vertraulich, deutsch gehostet, aus einer Hand“.
Die Positionierung trägt gut in Organisationen mit etwa zehn bis mehreren hundert Beschäftigten, projektförmiger Arbeit, hohem Vertraulichkeitsbedarf und dem Wunsch nach wenigen Werkzeugen. Sie trägt weniger gut, wenn eine Organisation bereits vollständig in Microsoft 365 verankert ist und Teams als Standard etabliert hat — dann steht Stackfield vor der schwierigen Aufgabe, gegen eine bereits bezahlte, tief integrierte Plattform anzutreten. In solchen Fällen ist die realistische Frage nicht „Ablösung“, sondern „ergänzender Einsatz für besonders schutzbedürftige Bereiche“.
Ebenfalls kritisch zu prüfen ist der Einsatz in Organisationen mit sehr großer Nutzerzahl und stark ausdifferenzierten Programm- und Portfoliostrukturen. Hier stoßen kompakte Suiten generell an Grenzen, weil unternehmensweite Planung, ressourcenübergreifende Auslastungssteuerung und mehrstufige Genehmigungsprozesse zu den Domänen spezialisierter Systeme gehören. Die ehrliche Empfehlung lautet: Stackfield im Bereich seiner Stärken einsetzen und nicht versuchen, es zu einem Konzern-Portfoliowerkzeug umzudeuten.
Ein Raum ist der zentrale Container: ein Projekt, ein Team, ein Kunde, ein Vorgang, eine Abteilung. Innerhalb eines Raums liegen die Kommunikation, die Aufgaben, die Dateien, die Termine und die Notizen, die zu dieser Einheit gehören. Die Mitgliedschaft im Raum entscheidet über den Zugriff — und im verschlüsselten Betrieb entscheidet sie zugleich darüber, wer die kryptografischen Schlüssel für die Inhalte dieses Raums erhält. Berechtigung ist hier also kein nachträglich aufgesetzter Filter, sondern eine strukturelle Eigenschaft.
Diese Kopplung hat praktische Folgen, die man beim Aufsetzen mitdenken sollte. Ein sinnvoller Zuschnitt von Räumen ist der wichtigste Konfigurationsschritt überhaupt: zu grob geschnitten, und zu viele Personen sehen zu viel; zu fein geschnitten, und die Organisation zerfällt in Dutzende halbtote Räume, in denen niemand mehr den Überblick behält. INAGRO empfiehlt, den Zuschnitt an der realen Zusammenarbeit auszurichten — dort, wo Menschen tatsächlich gemeinsam an einer Sache arbeiten, gehört ein Raum hin, und sonst nirgends.
Die Aufgabensteuerung deckt die üblichen Erwartungen an ein modernes Projektwerkzeug ab. Aufgaben tragen Titel, Beschreibung, Verantwortliche, Fristen, Status, Prioritäten, Checklisten, Anhänge und Kommentare. Sie lassen sich in Kanban-Boards visualisieren, in Listen filtern und über Zeitachsen in ihrer zeitlichen Abfolge darstellen. Wiederkehrende Aufgaben, Abhängigkeiten und Unteraufgaben bilden die typischen Muster mittelständischer Projektarbeit ab; eine Zeiterfassung erlaubt die Zuordnung von Aufwänden zu Vorgängen.
Die Einordnung sollte nüchtern erfolgen: Diese Tiefe reicht für Projektarbeit im Mittelstand sehr weit, ersetzt aber keine klassische Netzplantechnik mit Ressourcennivellierung und Mehrprojekt-Kapazitätsplanung. Wer Terminpläne mit Hunderten verknüpfter Vorgänge und harten Kalkulationsanforderungen führt, arbeitet weiterhin besser mit einem dedizierten Planungswerkzeug — und nutzt Stackfield für die operative Zusammenarbeit rund um diese Pläne. Für die große Mehrheit der Projekte in Agenturen, Beratungen, Kanzleien und Fachabteilungen ist der gebotene Umfang jedoch mehr als ausreichend.
Die Kommunikation findet in raumbezogenen Kanälen und in Direktnachrichten statt, ergänzt um Erwähnungen, Reaktionen, Dateianhänge und Suchfunktionen im Rahmen dessen, was verschlüsselte Inhalte zulassen. Der entscheidende Vorteil gegenüber einem separaten Chat-Werkzeug ist der Kontext: Eine Diskussion lässt sich unmittelbar in eine Aufgabe überführen, ohne dass Informationen zwischen Systemen kopiert werden müssen. Genau an dieser Bruchstelle verlieren Organisationen im getrennten Werkzeug-Setup regelmäßig Zeit und Nachvollziehbarkeit.
Die Dateiablage ist raumgebunden und versioniert; Dokumente liegen dort, wo die zugehörige Arbeit stattfindet, statt in einer parallelen Ordnerstruktur, deren Bezug zum Projekt nur im Kopf der Beteiligten existiert. Der gemeinsame Kalender führt Termine, Fristen und Aufgabenzeiträume zusammen. Die Videokonferenz ergänzt die Suite um synchrone Kommunikation, sodass für Abstimmungen kein zusätzlicher Dienst — und damit kein zusätzlicher Auftragsverarbeitungsvertrag — nötig ist. Für Datenschutzbeauftragte ist gerade dieser Punkt attraktiv, weil er die Zahl der zu bewertenden Verarbeitungen reduziert.
Das Berechtigungsmodell arbeitet mit Rollen auf Organisations- und Raumebene: Wer darf Räume anlegen, wer Mitglieder einladen, wer Inhalte verwalten, wer nur lesen. Ergänzend gibt es die Möglichkeit, externe Beteiligte gezielt in einzelne Räume aufzunehmen, ohne ihnen Einblick in den Rest der Organisation zu geben — ein häufiger Anwendungsfall bei Kundenprojekten, Ausschreibungen oder der Zusammenarbeit mit Kanzleien und Prüfern.
Zwei Empfehlungen aus der Praxis: Erstens sollte die Rechtevergabe dem Prinzip der Datensparsamkeit folgen und nicht der Bequemlichkeit — pauschale Vollzugriffe untergraben den Sicherheitsgewinn der Verschlüsselung, weil der schwächste Punkt eines kryptografischen Systems fast immer die Schlüsselverteilung ist. Zweitens gehört der Umgang mit Austritten früh geregelt: Wenn Personen die Organisation verlassen, müssen Zugriffe verlässlich entzogen und die Nachvollziehbarkeit gewahrt bleiben. Beides sind organisatorische Fragen, keine technischen — und sie entscheiden darüber, ob der Sicherheitsanspruch im Alltag hält.
Der praktisch wirksamste Automatisierungshebel ist nicht KI, sondern schlichte Regelmechanik: wiederkehrende Aufgaben, die sich selbst neu anlegen; Vorlagen für Projekte und Räume, die eine erprobte Struktur mit einem Klick reproduzieren; automatische Zuweisungen und Statuswechsel; Erinnerungen an Fristen; Benachrichtigungen bei definierten Ereignissen. Diese Mechanismen arbeiten überwiegend auf Metadaten — Status, Datum, Verantwortlicher, Raumzugehörigkeit — und sind deshalb mit Verschlüsselung gut vereinbar.
In der Praxis liegt hier der größte Effizienzgewinn. Ein Projektraum, der mit einer Vorlage entsteht und die immer gleichen Phasen, Checklisten und Verantwortlichkeiten mitbringt, spart pro Projekt spürbar Einrichtungszeit und erzwingt nebenbei Prozesskonformität. Für wiederkehrende Vorgänge — Monatsabschlüsse, Onboarding, Auditvorbereitungen, Wartungszyklen — ist dieser Effekt größer als jede Textgenerierung.
Hier ist Klartext angebracht. Klassische KI-Funktionen in Kollaborationswerkzeugen — Zusammenfassung ungelesener Kanäle, semantische Suche über alle Inhalte, automatische Protokollerstellung, Vorschläge auf Basis vergangener Projekte — setzen voraus, dass ein Dienst die Inhalte im Klartext verarbeiten kann. Genau das schließt eine konsequente Ende-zu-Ende-Verschlüsselung per Definition aus. Es handelt sich nicht um eine Funktionslücke, die der Hersteller irgendwann schließt, sondern um eine architektonische Konsequenz.
Daraus folgen drei mögliche Wege, die jeder Anbieter in diesem Segment abwägen muss. Erstens: Verarbeitung auf dem Endgerät, wo der Klartext ohnehin vorliegt — leistungsfähig, aber durch die Rechenkapazität des Clients begrenzt. Zweitens: selektive Entschlüsselung für einzelne, ausdrücklich freigegebene Inhalte, bei der die Nutzerin bewusst entscheidet, einen bestimmten Text für eine bestimmte Funktion zugänglich zu machen. Drittens: Verzicht auf die Funktion im verschlüsselten Modus, gegebenenfalls verbunden mit der Option, einzelne Räume ohne Ende-zu-Ende-Verschlüsselung zu betreiben.
Für die Auswahlentscheidung ist deshalb weniger die Frage relevant, ob eine KI-Funktion existiert, sondern unter welchen Bedingungen sie arbeitet. Die Prüffragen an den Anbieter lauten: Welche Funktionen sind im vollverschlüsselten Betrieb verfügbar? Welche erfordern eine Freigabe im Einzelfall? Werden Inhalte dafür an Dritte übermittelt, und wenn ja, an wen und in welchen Rechtsraum? Lässt sich die Nutzung organisationsweit deaktivieren? Diese Fragen gehören verbindlich beantwortet und dokumentiert — nicht in eine Produktbroschüre, sondern in die Verarbeitungsübersicht.
Für viele Organisationen ist die Antwort überraschend eindeutig. In Kanzleien, Prüfungsgesellschaften, Personalabteilungen und Forschungsbereichen ist eine KI, die den gesamten vertraulichen Bestand durchsucht, kein Wunschzustand, sondern ein Risiko, das man ohnehin einhegen müsste. Der Verzicht auf serverseitige Volltext-Intelligenz kostet dort weniger, als es auf dem Papier aussieht — und er entlastet die Datenschutzfolgenabschätzung erheblich.
Umgekehrt gilt: Wenn eine Organisation ihre Wissensarbeit gerade konsequent auf KI-Unterstützung ausrichtet und erwartet, dass Projekt- und Kommunikationsinhalte Teil dieser Unterstützung werden, ist eine vollverschlüsselte Plattform der falsche Baustein für genau diesen Anwendungsfall. Dann ist die saubere Lösung nicht der Kompromiss innerhalb eines Werkzeugs, sondern eine bewusste Zweiteilung: hochvertrauliche Bereiche verschlüsselt, KI-gestützte Wissensarbeit in einer dafür ausgelegten und datenschutzrechtlich sauber bewerteten Umgebung. Diese Zweiteilung ist kein Scheitern der Konsolidierung, sondern angewandte Risikologik.
Die praktisch wichtigste Anbindung im deutschen Mittelstand betrifft die Microsoft-Welt. Kalender- und Terminabgleich mit Outlook beziehungsweise Exchange, das Erzeugen von Aufgaben aus E-Mails und die Verknüpfung mit Dateien aus Microsoft-Umgebungen sind die Anwendungsfälle, nach denen Anwender zuerst fragen. Diese Brücken existieren in der einen oder anderen Form; ihr genauer Umfang und ihre Aktualität sollten jedoch beim Anbieter geprüft und im Pilotbetrieb konkret getestet werden, weil Integrationen sich schneller ändern als Kernfunktionen.
Bei der Bewertung hilft eine Unterscheidung. Metadaten-Integrationen — Termine, Fristen, Benachrichtigungen, Statusmeldungen — sind mit Verschlüsselung gut vereinbar, weil sie keinen vertraulichen Inhalt transportieren. Inhalts-Integrationen — die automatische Übergabe von Nachrichten, Beschreibungen oder Dokumenten an ein Drittsystem — kollidieren dagegen mit dem Schutzversprechen, denn im Moment der Übergabe verlässt der Klartext den geschützten Bereich. Wer eine solche Integration wünscht, muss wissen, dass er damit an dieser Stelle das Sicherheitsniveau auf das des Zielsystems absenkt.
Für individuelle Anbindungen steht eine Programmierschnittstelle (API) zur Verfügung, mit der sich Vorgänge anlegen, auslesen und aktualisieren lassen. Ergänzend erlauben Automatisierungsdienste wie Zapier oder Make, Stackfield ohne Eigenentwicklung mit anderen Systemen zu verketten — etwa: Ein neuer Datensatz im CRM erzeugt eine Aufgabe, ein abgeschlossener Vorgang löst eine Meldung im Fachsystem aus.
Hier gilt derselbe Vorbehalt in verschärfter Form. Automatisierungsdienste sind Vermittler, die Daten durch ihre eigene Infrastruktur leiten — häufig außerhalb des EWR. Jede über sie geführte Verkettung ist damit eine eigenständige Verarbeitung mit eigener datenschutzrechtlicher Bewertung und untergräbt, sofern Inhalte betroffen sind, den Kern des Verschlüsselungsversprechens. Die belastbare Praxis lautet daher: Solche Ketten auf Metadaten und unkritische Auslöser beschränken, bewusst dokumentieren und nicht als Nebensache in einzelnen Abteilungen wuchern lassen.
Eine faire Einordnung muss aussprechen, dass das Ökosystem von Stackfield nicht die Dimension der großen internationalen Plattformen erreicht. Es gibt keinen Marktplatz mit Tausenden Erweiterungen, keine breite Landschaft spezialisierter Partnerprodukte und keine große Zahl vorgefertigter Konnektoren für Nischensysteme. Wer aus einer Slack- oder Microsoft-Welt kommt und dort eine lange Liste installierter Apps pflegt, wird diesen Unterschied bemerken.
Die Gegenrechnung ist ebenso real. Ein schlankes Ökosystem bedeutet weniger Drittanbieter-Datenflüsse, weniger Lizenzstränge, weniger Kompatibilitätspflege und eine deutlich einfachere Datenschutzbewertung. In Organisationen, in denen jede zusätzliche Verarbeitung dokumentiert und geprüft werden muss, ist ein überschaubares Ökosystem kein Mangel, sondern ein Kostenvorteil in der Verwaltung. Entscheidend ist, dass die wenigen wirklich benötigten Anbindungen zuverlässig funktionieren — und genau das gehört vor der Entscheidung getestet, nicht danach.
Microsoft Teams ist im Mittelstand der häufigste Amtsinhaber, weil es Bestandteil einer ohnehin lizenzierten Umgebung ist. Seine Stärken sind die tiefe Verzahnung mit Office-Anwendungen, Dateiablage, Identitätsverwaltung und einem sehr breiten Integrationsangebot. Wer bereits vollständig in dieser Welt lebt, hat für Kommunikation und Dateien de facto eine Antwort — und eine schwer zu schlagende Kostenposition, weil die Lizenz bereits bezahlt ist.
Stackfield setzt an drei anderen Punkten an: an der Verschlüsselung, am Anbieterstandort und an der integrierten Aufgabensteuerung. Der dritte Punkt wird oft unterschätzt: In der Microsoft-Welt verteilt sich Projektarbeit typischerweise über mehrere Bausteine, deren Zusammenspiel Konfiguration und Disziplin verlangt. Stackfield bietet Kommunikation und Projektsteuerung als ein Produkt mit einem Modell. Für kleinere Organisationen ohne dedizierte IT-Betreuung ist diese Geschlossenheit ein handfester Vorteil.
Slack ist der Maßstab für Team-Chat: ausgereifte Kanallogik, sehr gute Suche, riesiges App-Verzeichnis, hohe Nutzerakzeptanz. Was Slack nicht ist, ist ein Projektwerkzeug — Aufgabensteuerung entsteht dort typischerweise über angebundene Drittsysteme. Und die Suche, die Slack so stark macht, funktioniert genau deshalb so gut, weil der Dienst die Inhalte verarbeitet.
Der Vergleich läuft damit auf eine Grundsatzfrage hinaus: maximale Kommunikationstiefe mit breitem Ökosystem oder inhaltliche Unzugänglichkeit für den Anbieter mit integrierter Aufgabensteuerung. Beides gleichzeitig gibt es nicht. Organisationen, die Vertraulichkeit als hartes Kriterium führen, werden diese Abwägung anders auflösen als Technologieunternehmen, für die Werkzeugvernetzung zentral ist.
awork (Hamburg) und factro (Bochum) sind die naheliegendsten deutschen Vergleichsgrößen, weil sie dieselbe Grundmotivation bedienen: deutscher Anbieter, deutsches Hosting, DSGVO-freundliche Beschaffung. Beide sind jedoch primär Projekt- und Aufgabenmanagement-Werkzeuge. awork legt Wert auf gestalterische Klarheit, Auslastungsplanung und Zeiterfassung; factro betont Projektstrukturplan-Denken und eine methodisch geprägte Herangehensweise an Projektstrukturen.
Der Unterschied zu Stackfield ist der Zuschnitt. Wer ausschließlich Projekte planen und steuern will und Kommunikation weiterhin per E-Mail oder in einem vorhandenen Chat abwickelt, findet bei den Spezialisten oft die passgenauere Lösung. Wer Kommunikation und Projektsteuerung zusammenführen und zusätzlich Ende-zu-Ende-Verschlüsselung will, findet dieses Profil bei Stackfield. Die Frage ist also nicht, welches Werkzeug besser ist, sondern welchen Umfang die Organisation in einem Produkt bündeln möchte.
Bitrix24 geht in der Breite noch weiter und verbindet Kollaboration mit CRM, Vertriebs- und teils ERP-nahen Funktionen. Für Organisationen, die eine sehr weit gefasste Alles-in-einem-Plattform suchen, ist das attraktiv. Der Preis dieser Breite ist Komplexität: Mehr Module bedeuten mehr Konfiguration, mehr Schulungsbedarf und eine größere Angriffs- und Prüfoberfläche. Zudem ist die Frage nach Anbieterstruktur und Datenverarbeitung im DACH-Beschaffungskontext eigenständig zu bewerten. Stackfield ist demgegenüber fokussierter und in der Datenschutzargumentation deutlich schlanker.
INAGRO empfiehlt, die Entscheidung entlang von vier Fragen zu strukturieren. Erstens: Wie hoch ist der tatsächliche Schutzbedarf der Inhalte, gemessen an konkreten Vorgaben und nicht am Bauchgefühl? Zweitens: Soll Kommunikation mit Projektsteuerung in einem Werkzeug zusammenfallen oder getrennt bleiben? Drittens: Welche Integrationen sind unverzichtbar — und vertragen sie sich mit dem Verschlüsselungsanspruch? Viertens: Welche Plattform ist bereits bezahlt und im Haus etabliert?
Die Erfahrung zeigt, dass die vierte Frage in der Praxis am schwersten wiegt. Eine Ablösung von Microsoft Teams gelingt selten allein mit dem Argument der Verschlüsselung, wenn die Lizenzen ohnehin laufen. Realistisch und oft sinnvoll ist stattdessen der gezielte Zusatzeinsatz: Stackfield für die Bereiche mit hohem Schutzbedarf, die bestehende Suite für den Rest. Diese Zweiteilung erfordert klare Regeln, welche Inhalte wohin gehören — dafür liefert sie eine belastbare Antwort auf Vertraulichkeitsanforderungen, ohne die gesamte Organisation umzustellen.
Der Regelfall ist die Cloud-Nutzung: Der Anbieter betreibt die Plattform in Rechenzentren in Deutschland, kümmert sich um Verfügbarkeit, Sicherung und Aktualisierung, die Organisation bucht Nutzerplätze. Für den Mittelstand ist das der pragmatische Weg — kein Serverbetrieb, keine Wartungsfenster, keine Aktualisierungsprojekte. Zu prüfen und vertraglich zu fixieren sind dennoch die üblichen Punkte: Verfügbarkeitszusagen, Sicherungs- und Wiederherstellungskonzept, Umgang mit Unterauftragsverarbeitern und das Vorgehen bei Vertragsende einschließlich Datenexport.
Ein Aspekt verdient besondere Aufmerksamkeit: die Schlüsselverwaltung. Ende-zu-Ende-Verschlüsselung verlagert Verantwortung zur Organisation. Verlorene Zugänge lassen sich nicht durch einen Anbieter-Support zurücksetzen, der die Inhalte ohnehin nicht lesen kann. Wie Wiederherstellungsmechanismen ausgestaltet sind, wie mit ausscheidenden Mitarbeitenden umgegangen wird und welche Rolle Administratoren dabei spielen, muss vor dem Produktivstart verstanden und geregelt sein. Das ist kein Detail — es ist der Punkt, an dem in Projekten am häufigsten unangenehme Überraschungen entstehen.
Für Organisationen mit besonders strengen Vorgaben gibt es die Option des Betriebs in eigener Infrastruktur. Damit liegen Anwendung, Daten und Schlüssel vollständig im eigenen Verantwortungsbereich — ein Argument, das in Teilen des öffentlichen Sektors, in kritischen Infrastrukturen und bei besonders exponierten Unternehmen entscheidend sein kann.
Die ehrliche Gegenrechnung: On-Premises bedeutet Serverbereitstellung, Betriebssystem- und Anwendungswartung, Sicherungskonzept, Notfallwiederherstellung, Zertifikatsverwaltung, Monitoring und Aktualisierungsplanung. Diese Aufwände werden im Mittelstand regelmäßig unterschätzt, und sie fallen dauerhaft an, nicht einmalig. Wer keine belastbare IT-Mannschaft oder einen verlässlichen Dienstleister dafür hat, fährt mit der deutschen Cloud im Zweifel sicherer — ein schlecht gepflegter eigener Server ist kein Sicherheitsgewinn, sondern das Gegenteil. Verfügbarkeit, Voraussetzungen und Lizenzbedingungen dieser Betriebsart sind beim Anbieter zu prüfen.
Bewährt hat sich ein stufiges Vorgehen. Am Anfang steht ein abgegrenzter Pilot mit einem Team, das echte Arbeit macht und nicht nur testet. In dieser Phase entstehen die Konventionen, die später den Unterschied machen: Wie werden Räume benannt und geschnitten? Wann gehört etwas in eine Aufgabe und wann in den Chat? Welche Statuswerte gelten? Wer darf Räume anlegen? Diese Fragen später zu klären, kostet ein Vielfaches, weil dann bereits gewachsene Strukturen zu korrigieren sind.
Der zweite Erfolgsfaktor ist die Migration. Bestehende Projektstände, Dateien und laufende Vorgänge müssen überführt werden — und zwar selektiv. Eine vollständige Übernahme historischer Bestände ist selten sinnvoll; besser ist, aktive Projekte zu übertragen und Altbestände dort zu belassen, wo sie liegen, mit klarer Ansage, welches System für welchen Zeitraum die Wahrheit hält. Der dritte Faktor ist Führungsverhalten: Wenn die Leitungsebene weiterhin per E-Mail koordiniert, wird die Plattform nicht angenommen, unabhängig von der Qualität der Schulung.
Rechtsanwältinnen, Steuerberater, Wirtschaftsprüferinnen, Ärzte, Psychotherapeutinnen und weitere Berufsgruppen unterliegen einer strafbewehrten Schweigepflicht. In Deutschland ist dieser Rahmen insbesondere durch § 203 StGB geprägt, ergänzt um berufsrechtliche Regelungen. Für die Werkzeugwahl ist entscheidend, dass die Einbindung externer Dienstleister in diesen Kontext an Bedingungen geknüpft ist — Sorgfalt bei der Auswahl, vertragliche Verpflichtung, Beschränkung des Zugriffs auf das erforderliche Maß.
Hier wirkt Ende-zu-Ende-Verschlüsselung als besonders überzeugendes technisches Argument: Wenn der Anbieter die Inhalte technisch nicht einsehen kann, reduziert sich die Frage eines faktischen Offenbarens erheblich. Das ersetzt keine Prüfung des Einzelfalls und keine vertragliche Grundlage, verbessert aber die Ausgangslage spürbar. Die konkrete rechtliche Bewertung gehört in jedem Fall in die Hände qualifizierter Beratung — dieser Artikel liefert Einordnung, keine Rechtsberatung.
Über die Berufsgeheimnisträger hinaus gibt es eine wachsende Zahl von Konstellationen, in denen der Schutzbedarf von außen gesetzt wird. Zulieferer erhalten von Auftraggebern Vorgaben zur Behandlung von Konstruktions- und Produktdaten. Forschungsprojekte unterliegen Geheimhaltungsvereinbarungen. Betreiber wichtiger Infrastrukturen sehen sich gestiegenen Anforderungen an Informationssicherheit gegenüber. Auch Zertifizierungen nach gängigen Informationssicherheitsstandards führen dazu, dass Werkzeuge nach dokumentierten Kriterien ausgewählt und regelmäßig überprüft werden müssen.
In diesen Fällen ist der Nutzen von Stackfield nicht in erster Linie Produktivität, sondern Nachweisbarkeit. Eine Plattform mit deutschem Anbieter, deutschem Hosting und inhaltlicher Unzugänglichkeit für den Betreiber lässt sich in einem Audit oder gegenüber einem Auftraggeber schlicht leichter begründen als eine Konstruktion mit mehreren internationalen Beteiligten und komplexen Übermittlungsgrundlagen. Der eingesparte Aufwand in Dokumentation, Rückfragen und Nachweisführung ist ein realer, wenn auch selten kalkulierter Kostenfaktor.
Quer über diese Einsatzbilder zieht sich ein Muster: Der Gewinn entsteht weniger durch neue Fähigkeiten als durch Ordnung. Wo vorher Informationen in E-Mail-Verläufen, lokalen Ordnern, privaten Messengern und Notizzetteln verteilt lagen, entsteht ein nachvollziehbarer, zugriffsgeregelter Ort. Für die Informationssicherheit ist dieser Konsolidierungseffekt oft wertvoller als jede einzelne technische Schutzmaßnahme — denn der häufigste Schwachpunkt im Mittelstand ist nicht die fehlende Verschlüsselung, sondern der unkontrollierte Nebenweg.
Drei Muster tauchen regelmäßig auf. Erstens wird die Plattform eingeführt, ohne die Nebenwege zu schließen — Beschäftigte kommunizieren weiter per privatem Messenger, weil es schneller geht, und die teure Verschlüsselung schützt nur einen Teil der Realität. Zweitens wird der Raumzuschnitt zu großzügig gewählt, sodass große Personenkreise Zugriff auf Inhalte haben, die sie nicht brauchen. Drittens wird das Ausscheiden von Personen nicht sauber prozessiert, sodass Zugriffe länger bestehen bleiben als vorgesehen.
Alle drei Punkte sind organisatorisch, nicht technisch. Genau deshalb gehört zu jeder Einführung in einem sensiblen Umfeld nicht nur ein Konfigurationsprojekt, sondern eine kurze, verbindliche Regelung, die festhält, welche Inhalte über welchen Kanal laufen dürfen — und die von der Leitung sichtbar mitgetragen wird.
Drei Merkmale greifen ineinander. Erstens ist der Anbieter ein deutsches Unternehmen mit Sitz in München und unterliegt damit unmittelbar deutschem und europäischem Recht. Zweitens erfolgt das Hosting in Deutschland, sodass die klassische Diskussion über Drittlandsübermittlungen und deren Rechtsgrundlagen für den Kernbetrieb entfällt. Drittens sorgt die Ende-zu-Ende-Verschlüsselung dafür, dass selbst der Anbieter die Inhalte nicht im Klartext verarbeiten kann.
Diese Kombination ist im Markt selten. Viele Anbieter erfüllen eines der Kriterien, manche zwei. Für Organisationen, deren Beschaffungsrichtlinie oder deren Auftraggeber auf Datensouveränität abstellt, verkürzt diese Konstellation die Prüfung erheblich — und sie ist gegenüber Aufsichtsgremien, Betriebsräten und Kunden mit wenigen Sätzen erklärbar. Der Wert dieser Erklärbarkeit sollte nicht unterschätzt werden: Ein großer Teil des Aufwands in Datenschutzprojekten entsteht nicht durch technische Maßnahmen, sondern durch das Begründen komplexer Konstruktionen.
Auch bei einem deutschen, verschlüsselnden Anbieter bleiben Pflichten bestehen. Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist zu schließen und die technisch-organisatorischen Maßnahmen sind zu dokumentieren. Die Verarbeitung gehört in das Verzeichnis von Verarbeitungstätigkeiten. Zu klären sind ferner Unterauftragsverarbeiter, Löschfristen und der Umgang mit Betroffenenrechten. Und weil eine Kollaborationsplattform Arbeitsverhalten abbildet, ist die Frage nach einer möglichen Leistungs- und Verhaltenskontrolle ausdrücklich zu beantworten.
Damit ist die Mitbestimmung berührt. In Deutschland ist insbesondere § 87 Abs. 1 Nr. 6 BetrVG einschlägig, wenn technische Einrichtungen zur Überwachung von Verhalten oder Leistung geeignet sind — und Aufgabenstatus, Zeiterfassung, Aktivitätsverläufe und Anwesenheitsanzeigen sind dafür grundsätzlich geeignet. Der belastbare Weg ist, den Betriebs- oder Personalrat früh einzubinden und in einer Vereinbarung festzuhalten, welche Auswertungen zulässig sind und welche ausdrücklich nicht. Bemerkenswert: Die Verschlüsselung hilft auch hier, weil inhaltliche Auswertungen technisch ohnehin ausscheiden — die Diskussion kann sich damit auf Metadaten konzentrieren.
Zur Kostenseite gilt der gleiche Grundsatz wie bei jeder Plattform: Der Nutzerpreis ist nur ein Teil der Rechnung. In eine belastbare Betrachtung über drei bis fünf Jahre gehören die Lizenzen in der tatsächlich benötigten Edition, der Einführungsaufwand für Konzeption, Konfiguration und Migration, die Schulung in mehreren Wellen, der laufende Betreuungsaufwand für Räume, Rechte und Aufräumarbeiten sowie — im On-Premises-Fall — Infrastruktur und Administration. Konkrete Preise nennt dieser Artikel bewusst nicht; sie sind beim Anbieter zu erfragen und ändern sich.
Der interessanteste Posten steht auf der Habenseite und wird meist übersehen: die Konsolidierung. Wenn Stackfield ein Chat-Werkzeug, ein Projektwerkzeug, eine Dateiablage und eine Konferenzlösung ganz oder teilweise ersetzt, entfallen nicht nur Lizenzen, sondern auch vier separate Vertragsverhandlungen, Datenschutzbewertungen, Schnittstellenpflegen und Supportwege. In Organisationen mit knapper IT-Kapazität ist dieser Effekt häufig größer als die reine Lizenzdifferenz. Er sollte in der Entscheidungsvorlage ausdrücklich beziffert werden, statt als weiches Argument zu verschwinden.
