Der wichtigste Satz vorab: Threema Work ist ein Messenger, keine Kollaborationsplattform. Es gibt keine Dateiablage, kein Wiki, keine Aufgabenverwaltung, keine Videokonferenz für dreißig Personen mit Bildschirmfreigabe und Aufzeichnung. Wer eine digitale Zentrale für Projekte, Dokumente und Wissen sucht, wird hier bewusst nicht bedient. Was Threema Work stattdessen liefert, ist schnelle, verschlüsselte und rechtssicher administrierbare Direktkommunikation für Menschen, die überwiegend mit dem Smartphone arbeiten – Monteure, Außendienstmitarbeitende, Bauleiter, Pflegekräfte, Servicetechniker, Vertrieb.
Drei Eigenschaften machen die Positionierung aus:
Die meisten Kommunikationsplattformen der letzten fünfzehn Jahre folgen einer Logik der Anreicherung: Je mehr ein System über Nutzende, ihre Kontakte, ihr Verhalten und ihre Inhalte weiß, desto bessere Funktionen kann es anbieten – Vorschläge, Suche, Zusammenfassungen, Automatisierungen. Threema kehrt diese Logik um. Der Anbieter versucht gar nicht erst, ein Profil aufzubauen, und verzichtet dafür bewusst auf Funktionen, die ohne serverseitigen Zugriff auf Inhalte nicht realisierbar wären. Das ist keine technische Rückständigkeit, sondern eine Designentscheidung mit Konsequenzen in beide Richtungen: weniger Komfort, deutlich weniger Angriffsfläche.
Für die Bewertung im Unternehmen ist genau dieser Zusammenhang entscheidend. Wer Threema Work an einer Funktionsmatrix misst, die für Microsoft Teams oder Slack entworfen wurde, wird es zwangsläufig als schmal empfinden. Wer es dagegen an der Frage misst, wie sich vertrauliche Mobilkommunikation mit vertretbarem Aufwand aus dem rechtlichen Graubereich holen lässt, kommt zu einem anderen Ergebnis. Die Auswahl eines Messengers ist deshalb weniger ein Feature-Vergleich als eine Positionierungsfrage.
Aus unserer Projekterfahrung passt Threema Work besonders gut zu Organisationen mit einem hohen Anteil mobiler Beschäftigter ohne festen Bildschirmarbeitsplatz – Handwerk, Bau, Logistik, technischer Service, Gebäudemanagement, Pflege und Einzelhandel. Ebenso zu Unternehmen mit erhöhter Vertraulichkeitsanforderung: Kanzleien, Steuerberatung, Medizin, Forschung und Entwicklung, Geschäftsführungskreise. Und schließlich zu allen, die eine bereits gewachsene WhatsApp-Schattenkommunikation ablösen möchten, ohne den Beschäftigten eine schwerfällige Unternehmensanwendung zuzumuten.
Ein wiederkehrendes Muster: Der Auslöser ist selten ein IT-Projekt, sondern ein Zwischenfall. Ein ausgeschiedener Mitarbeiter, der noch in der Kundengruppe steckt. Eine Beschwerde des Betriebsrats, weil private Nummern in Dienstgruppen kursieren. Eine Datenschutzprüfung, bei der niemand erklären kann, wo Baustellenfotos mit Personen darauf eigentlich liegen. Threema Work wird dann als pragmatische Lösung gewählt, weil die Umstellung für die Belegschaft klein ist: Die Bedienung ähnelt dem, was ohnehin alle kennen.
Eine klare Erwartungshaltung erspart Enttäuschung. Threema Work ist kein Ersatz für ein Intranet, keine Projektmanagement-Software und kein Dokumentenmanagement. Es bietet keine persistente, durchsuchbare Kanalstruktur, wie sie Team-Chat-Werkzeuge auszeichnet, und keine tiefe Integration in Office-Suiten. Auch bei Videokonferenzen liegt der Fokus auf vertraulichen Gesprächen kleiner Runden, nicht auf Webinaren oder moderierten Großveranstaltungen. Wer diese Funktionen braucht, kombiniert Threema Work mit anderen Werkzeugen – oder wählt bewusst eine breitere Plattform und nimmt dafür Abstriche bei Datensparsamkeit und Anonymität in Kauf.
Die Abgrenzung ist deshalb wichtig, weil sich die Produkte in der Bedienung stark ähneln, in Verwaltung, Vertragsverhältnis und Datenhoheit aber deutlich unterscheiden. Es kommt regelmäßig vor, dass Unternehmen glauben, sie seien geschäftlich unterwegs, während ein Teil der Belegschaft schlicht die private App auf dem Diensthandy nutzt – mit allen organisatorischen Folgen.
Optisch und funktional sind sich beide Varianten nah, organisatorisch trennen sie Welten. Die private App gehört der Person, die sie gekauft hat. Verlässt jemand das Unternehmen, bleibt die Identität mitsamt Chatverläufen und Kundenkontakten bei ihm. Bei Threema Work gehört die Lizenz dem Unternehmen: Sie kann entzogen werden, das Konto verliert damit die geschäftliche Nutzbarkeit, und über Richtlinien lässt sich vorab festlegen, was in der App überhaupt möglich ist – etwa ob Sicherungskopien erlaubt sind, ob Kontakte aus dem privaten Adressbuch synchronisiert werden dürfen oder ob nur Kommunikation innerhalb des Firmenverzeichnisses zulässig ist.
Diese Trennschärfe ist der eigentliche Grund für die Existenz der Work-Variante. Sie verwandelt einen guten Messenger in ein verwaltbares Betriebsmittel. Wer im Unternehmen die private App duldet, hat zwar Verschlüsselung, aber keine Kontrolle – und damit genau die Situation, die man mit WhatsApp eigentlich verlassen wollte.
Threema OnPrem richtet sich an Organisationen, für die selbst ein Schweizer Anbieterbetrieb nicht ausreicht: Behörden, Betreiber kritischer Infrastrukturen, Unternehmen mit strengen internen Vorgaben zur Datenlokalisierung oder mit vertraglichen Zusagen gegenüber Kunden. Der Gewinn ist Kontrolle über die gesamte Kette einschließlich Metadaten und Verzeichnis. Der Preis ist Verantwortung: Serverbetrieb, Aktualisierungen, Verfügbarkeit, Backup und Monitoring liegen im eigenen Haus oder bei einem beauftragten Dienstleister.
In der Beratung raten wir, diese Entscheidung nüchtern zu treffen. OnPrem ist kein Prestigeprojekt, sondern eine Betriebsaufgabe mit dauerhaften Kosten. Wenn es keine belastbare Anforderung gibt, die den Anbieterbetrieb ausschließt, ist die verwaltete Variante in der Regel die wirtschaftlichere und robustere Wahl. Gibt es diese Anforderung jedoch, ist OnPrem ein starkes Argument – nicht viele Messenger dieser Klasse bieten überhaupt eine solche Option an.
Broadcast schließt eine Lücke, die reine Gruppenchats offenlassen. Sobald zweihundert Menschen über eine Schichtänderung informiert werden müssen, ist eine Gruppe der falsche Ort: Jede Rückfrage erreicht alle, die Aufmerksamkeit erodiert, und nach kurzer Zeit stellen die ersten Empfänger die Benachrichtigungen ab. Broadcast trennt Senden und Antworten: Ein Kanal informiert, Rückfragen laufen im Einzelchat. Für Personalmeldungen, Sicherheitsunterweisungen, Störungsinformationen oder Alarmierungen ist das der passende Zuschnitt – und die Grundlage für die Automatisierungsszenarien, die wir in Kapitel 04 beschreiben.
Die Anwendung folgt dem Bedienmuster gängiger Messenger: Chatliste, Einzel- und Gruppenunterhaltungen, Anhänge, Sprachnachrichten, Anruf-Schaltfläche. Genau diese Vertrautheit ist ein unterschätzter Vorteil – Schulungsaufwand entsteht kaum, weil die mentale Landkarte bei allen Beteiligten bereits existiert. Der Unterschied liegt unter der Oberfläche.
Verschlüsselung ist heute Standard – der Unterschied liegt im Detail. Threema verschlüsselt nicht nur Nachrichteninhalte, sondern auch Statusinformationen wie Lesebestätigungen und Tippanzeigen. Zusätzlich existiert ein abgestuftes Vertrauensmodell: Ein Kontakt kann unverifiziert sein, über einen abgeglichenen Serverabgleich bestätigt oder persönlich verifiziert – letzteres durch das Scannen eines QR-Codes im direkten Kontakt. Die App zeigt diese Stufen sichtbar an. In der Praxis ist das ein wirksames Mittel gegen die zunehmend verbreiteten Betrugsversuche, bei denen sich jemand als Geschäftsführung ausgibt und eine eilige Überweisung anweist.
Für Unternehmen relevant: Über die Verwaltung lässt sich der Aufbau eines vertrauenswürdigen Firmenverzeichnisses erzwingen, in dem alle internen Kontakte bereits als bestätigt gelten. Damit sinkt die Wahrscheinlichkeit, dass jemand versehentlich mit einer fremden Identität kommuniziert, erheblich.
Der Verzicht auf die Telefonnummer als Identifikator wirkt zunächst wie ein technisches Detail, hat im Betrieb aber weitreichende Folgen. Erstens müssen Beschäftigte, die kein Diensthandy besitzen, ihre private Nummer nicht in Dienstgruppen offenlegen – ein Punkt, an dem sich in Betriebsratsgesprächen erfahrungsgemäß vieles entscheidet. Zweitens entfällt der Zwang, das Adressbuch des Geräts an einen Anbieter zu übertragen; damit verschwindet ein Datenschutzproblem, das bei vielen Messengern strukturell ungelöst ist, weil dabei auch Kontaktdaten Dritter übermittelt werden, die nie eingewilligt haben. Drittens bleibt die Identität beim Wechsel der Rufnummer stabil.
Im Alltag entscheidet weniger die einzelne Funktion als die Frage, ob eine Struktur entsteht, die Menschen freiwillig benutzen. Bewährt hat sich eine schlanke Ordnung: eine Gruppe je Baustelle, Objekt oder Tour, dazu eine dauerhafte Teamgruppe und ein Kanal für unternehmensweite Informationen. Verteilerlisten eignen sich, wenn eine Nachricht viele erreichen soll, aber keine Diskussion auslösen darf. Fotos und Sprachnachrichten sind auf der Baustelle oft die effizienteste Ausdrucksform – ein Bild vom falsch gelieferten Bauteil ersetzt drei Telefonate.
Nahezu alle KI-Funktionen heutiger Kommunikationsplattformen setzen voraus, dass ein Server die Inhalte im Klartext verarbeiten kann. Zusammenfassungen, semantische Suche, Antwortvorschläge und Themenerkennung entstehen dort, wo Nachrichten entschlüsselt vorliegen. Genau das ist bei einem konsequent Ende-zu-Ende-verschlüsselten System ausgeschlossen. Ein Anbieter, der keine Schlüssel besitzt, kann keine serverseitige Auswertung anbieten – unabhängig davon, wie gern er es täte.
Es bleiben zwei Wege, KI dennoch zu integrieren: Entweder man weicht die Verschlüsselung an einer Stelle auf, etwa indem Inhalte für die Verarbeitung an einen Dienst gesendet werden, oder man führt Modelle lokal auf dem Endgerät aus. Der erste Weg widerspricht dem Produktversprechen fundamental; er würde genau das Vertrauen zerstören, das die Kaufentscheidung trägt. Der zweite Weg ist technisch möglich, aber begrenzt: Auf Smartphones lassen sich heute Diktat, Spracherkennung oder Texterkennung in Bildern gut ausführen, große Sprachmodelle mit langem Kontext dagegen nur eingeschränkt.
Für Unternehmen heißt das: Threema Work ist bei Funktionen wie automatischer Protokollierung, Übersetzung ganzer Verläufe oder intelligenter Priorisierung nicht wettbewerbsfähig mit KI-getriebenen Plattformen – und will es nicht sein. Die ehrliche Einordnung lautet, dass hier ein bewusster Zielkonflikt besteht. Vertraulichkeit und maschinelle Inhaltsauswertung schließen einander weitgehend aus. Wer beides will, muss die Kommunikation trennen: vertrauliche Kanäle ohne KI, weniger sensible Bereiche in einer Plattform mit Assistenzfunktionen. Diese Zweiteilung ist in vielen unserer Projekte die praktikabelste Lösung.
Automatisierung ist bei Threema deshalb nicht KI-getrieben, sondern regelbasiert – und in diesem Rahmen durchaus leistungsfähig. Über Threema Broadcast und die zugehörige Programmierschnittstelle können Fachsysteme Nachrichten in die Messenger-Welt einspeisen, ohne dass ein Mensch tippt. Typische Muster aus der Praxis:
Wichtig ist die architektonische Rollenverteilung: Die Intelligenz eines solchen Szenarios liegt im anbindenden System. Wer ein KI-gestütztes Ticketsystem betreibt, kann dessen Ergebnisse über die Schnittstelle in den Messenger tragen – die Auswertung findet dann in der eigenen, kontrollierten Umgebung statt und nicht im Messenger. Das ist aus Datenschutzsicht sogar der sauberere Aufbau, weil die Verantwortung eindeutig zugeordnet bleibt.
In Digitalisierungsprojekten begegnet uns häufig die Erwartung, jedes Werkzeug müsse inzwischen einen Assistenten mitbringen. Diese Erwartung ist selten zu Ende gedacht. Ein Messenger ist der Ort, an dem die vertraulichsten und unstrukturiertesten Inhalte eines Unternehmens entstehen – Verhandlungsstände, Personalthemen, Fehlerdiskussionen. Bevor solche Inhalte maschinell ausgewertet werden, sollten Zweck, Rechtsgrundlage, Aufbewahrung und Mitbestimmung geklärt sein. Ein Produkt, das diese Auswertung technisch gar nicht erst ermöglicht, nimmt einem die Diskussion ab. Ob das ein Vorteil oder ein Nachteil ist, hängt allein von der eigenen Strategie ab – eine pauschale Antwort gibt es nicht.
Diese Beschränkung passt zur Produktphilosophie. Jede Integration, die Dritten Zugriff auf Inhalte gäbe, würde das Sicherheitsversprechen verwässern. Was integriert wird, betrifft daher überwiegend die Verwaltungsebene – also alles, was rund um die Kommunikation geschieht, nicht die Kommunikation selbst.
Der wichtigste Integrationspunkt in Unternehmensumgebungen ist die Mobile-Device-Management-Lösung. Threema Work unterstützt die Konfiguration über verwaltete App-Einstellungen, wie sie die gängigen Plattformen für iOS und Android vorsehen. Damit lassen sich Anmeldedaten vorbelegen, sodass Beschäftigte beim ersten Start nichts eingeben müssen, und Richtlinien setzen, die sich in der App nicht überschreiben lassen. Typische Stellschrauben sind die Erlaubnis oder Sperre von Sicherungskopien, der Umgang mit dem Adressbuch, die Beschränkung der Kommunikation auf das Firmenverzeichnis, die Steuerung von Anrufen und die Vorgabe, ob Screenshots erlaubt sind. Welche Parameter im Einzelnen verfügbar sind, unterscheidet sich zwischen Betriebssystemen und Produktversionen und sollte in der Anbieterdokumentation nachgeschlagen werden.
Parallel dazu bietet die Verwaltungsoberfläche eine eigene, MDM-ähnliche Steuerung an. Für Unternehmen ohne vollwertiges Geräte-Management ist das ein pragmatischer Mittelweg: Richtlinien greifen auch dann, wenn die Geräte selbst nicht zentral verwaltet werden – etwa bei privaten Endgeräten mit dienstlicher Nutzung. Sauberer bleibt der Weg über ein echtes MDM, weil dort auch Gerätesperre, Verschlüsselung und Fernlöschung geregelt werden können.
Damit Beschäftigte einander finden, ohne Telefonnummern auszutauschen, existiert ein internes Firmenverzeichnis. Es enthält die Identitäten der lizenzierten Personen mit Name, Funktion und optionalen Zusatzangaben und lässt sich nach Abteilung oder Standort strukturieren. Die Pflege kann manuell erfolgen, über Importe oder über die Verwaltungsschnittstelle automatisiert aus einem führenden System – idealerweise aus dem Identitätsverzeichnis, das ohnehin den Personalstamm abbildet. Welche Synchronisationsverfahren unterstützt werden, ändert sich mit den Produktversionen; das sollten Sie vor der Einführung konkret klären.
Der Nutzen dieser Automatisierung wird oft unterschätzt. Wenn Eintritt und Austritt im Personalprozess ohnehin abgebildet sind, kann die Messenger-Lizenz demselben Lebenszyklus folgen. Damit verschwindet der klassische Fehler, dass ausgeschiedene Personen monatelang in Kundengruppen verbleiben, weil niemand daran gedacht hat, sie zu entfernen.
Für die Anbindung eigener Systeme steht eine Programmierschnittstelle bereit, über die Nachrichten an Empfänger, Gruppen oder Kanäle zugestellt werden können. Damit lassen sich die in Kapitel 04 beschriebenen Szenarien umsetzen: Alarmierung, Ticketmeldungen, Statusinformationen, Freigabeanfragen. Ergänzend existiert im Threema-Ökosystem ein Gateway-Ansatz für den programmatischen Nachrichtenversand, der insbesondere für systemgenerierte Mitteilungen genutzt wird. Für die Umsetzung gilt dieselbe Sorgfalt wie bei jeder Schnittstelle: Zugangsdaten sicher verwahren, Berechtigungen minimal halten, Zustellwege dokumentieren und im Verzeichnis der Verarbeitungstätigkeiten berücksichtigen.
Gegenüber stashcat ist die Abgrenzung am deutlichsten dort zu spüren, wo es um Umfang geht. stashcat kommt aus dem Behörden- und Bildungsumfeld und bringt neben Chat auch Dateiablage, Kanäle und weitere Funktionen mit; Threema Work bleibt schlanker und dafür einfacher. Wer eine kleine Kollaborationsumgebung sucht, findet dort mehr, wer einen Messenger sucht, hier weniger Ballast. Wire positioniert sich stärker in Richtung sicherer Zusammenarbeit inklusive Konferenzen und adressiert häufig größere, regulierte Organisationen. Element auf Basis von Matrix spielt in einer eigenen Liga: Der offene, föderierte Standard erlaubt es, mit anderen Organisationen über Servergrenzen hinweg zu kommunizieren und die gesamte Infrastruktur selbst zu betreiben – ein starkes Argument für Behörden und Verbünde, aber mit spürbar höherem Betriebs- und Erklärungsaufwand.
Auch Rocket.Chat, Mattermost und Nextcloud Talk tauchen in Auswahlverfahren regelmäßig auf. Sie sind jedoch primär als Team-Chat- beziehungsweise Kollaborationsumgebungen gebaut, mit Kanälen, Suche und Integrationen im Zentrum. Für Belegschaften, die überwiegend am Schreibtisch arbeiten, ist das oft die passendere Kategorie. Für Menschen, die den ganzen Tag mit Handschuhen auf einer Baustelle stehen, ist ein reduzierter, schneller Messenger meist der bessere Kompromiss.
WhatsApp ist in der Praxis der eigentliche Wettbewerber, weil es bereits auf jedem Gerät installiert ist. Auch die Business-Varianten ändern jedoch nichts an zwei strukturellen Punkten: Die Identität hängt an der Telefonnummer, und der Anbieter gehört zu einem Konzern, dessen Geschäftsmodell auf Datenverwertung beruht – auch wenn Nachrichteninhalte verschlüsselt sind, bleiben Metadaten aussagekräftig. Für die dienstliche Nutzung kommt hinzu, dass sich private und geschäftliche Sphäre auf demselben Konto vermischen und ein geordneter Austritt kaum möglich ist.
Microsoft Teams ist die andere häufige Vergleichsgröße, aber eine andere Produktkategorie. Wo Teams bereits lizenziert ist, deckt es Chat und Zusammenarbeit für Bildschirmarbeitsplätze gut ab. Als Mobilmessenger für Beschäftigte ohne PC-Zugang ist es dagegen schwergewichtig, und für externe Kontakte wie Kunden, Subunternehmer oder Lieferanten ist der Zugang umständlicher. In vielen Mittelstandsprojekten koexistieren beide Werkzeuge: Teams für die interne Projektarbeit, ein Secure Messenger für die schnelle mobile Kommunikation und den Kontakt nach außen.
Signal genießt zu Recht einen exzellenten Ruf für seine Kryptografie und ist für Privatpersonen und Journalismus eine erstklassige Wahl. Für den Unternehmenseinsatz fehlt jedoch die Verwaltungsschicht: Es gibt keine zentrale Lizenzhoheit, keine unternehmensweiten Richtlinien, kein Firmenverzeichnis und keinen Vertragspartner, mit dem sich eine Auftragsverarbeitung regeln ließe. Zudem ist die Identität an eine Telefonnummer gebunden. Signal ist damit kein schlechteres Produkt, sondern schlicht für einen anderen Zweck gebaut.
Weil die App vertraut wirkt, unterschätzen viele Projekte den organisatorischen Anteil. Eine Einführung, die nur aus Lizenzkauf und Verteilung besteht, endet häufig in einem Nebeneinander aus altem WhatsApp-Verkehr und einer halb genutzten neuen App. Das folgende Vorgehen hat sich in Mittelstandsprojekten bewährt.
Der verwaltete Betrieb beim Anbieter ist der Normalfall: keine Server, keine Aktualisierungen, keine Verfügbarkeitsverantwortung, dafür eine laufende Lizenzgebühr und die Abhängigkeit von einem externen Dienstleister. Threema OnPrem verschiebt diese Rechnung. Sie gewinnen Kontrolle über sämtliche serverseitigen Bestandteile einschließlich der Metadaten und können Netzwerkgrenzen selbst ziehen. Sie übernehmen dafür Betrieb, Härtung, Patch-Management, Monitoring, Backup und Wiederanlauf. Wer diese Fähigkeiten bereits im Haus hat, für den ist das ein moderater Zusatzaufwand. Wer sie nicht hat, kauft sich ein Dauerthema ein.
Unsere Faustregel aus Projekten: OnPrem lohnt sich, wenn eine externe Anforderung es verlangt – aufsichtsrechtliche Vorgaben, Kundenverträge, Einstufung als kritische Infrastruktur, interne Sicherheitsrichtlinien mit Verbot externer Verarbeitung. Ohne eine solche Anforderung überwiegt in der Regel der Vorteil des verwalteten Betriebs, gerade in Organisationen mit kleiner IT-Mannschaft.
Der reibungsärmste Rollout läuft vollständig über das Geräte-Management: App wird stumm installiert, Zugangsdaten und Richtlinien kommen aus der verwalteten Konfiguration, die Person startet die App und kann sofort schreiben. Jede manuelle Eingabe an dieser Stelle kostet Unterstützungsaufwand und erzeugt Fehlerquellen. Wo private Geräte im Spiel sind, braucht es einen zweiten Weg – etwa eine Einladung per Anmeldedaten – und eine klare Regelung, was auf privaten Geräten zulässig ist. Diese Konstellation sollte mit Betriebsrat und Datenschutz vorab besprochen werden, weil sie an die Grenze zwischen dienstlicher und privater Sphäre rührt.
Die laufende Verwaltung besteht im Wesentlichen aus drei Aufgaben: Lizenzen zuweisen und entziehen, Richtlinien anpassen und das Firmenverzeichnis pflegen. Entscheidend für die Praxis ist die Kopplung an den Personalprozess. Wenn Eintritt, Wechsel und Austritt automatisch zu einer Lizenzänderung führen, bleibt das System dauerhaft sauber. Geschieht das manuell, entsteht innerhalb weniger Monate eine Differenz zwischen bezahlten und tatsächlich genutzten Lizenzen – und, gravierender, ein Sicherheitsrisiko durch aktive Konten ausgeschiedener Personen. Legen Sie zusätzlich fest, wer im Verlustfall welche Schritte auslöst und in welcher Reihenfolge Gerät und Lizenz gesperrt werden.
Bei mobilen Beschäftigten scheitert Software nicht an Funktionen, sondern an Bedingungen: Handschuhe, Sonnenlicht, Lärm, schlechte Netzabdeckung, ein Gerät, das in der Jacke steckt. Ein Messenger gewinnt hier, weil er wenig verlangt – kurze Nachrichten, Sprachnachricht statt Tippen, Foto statt Formular. Genau deshalb setzt sich informelle Kommunikation in diesen Bereichen so hartnäckig durch, und genau deshalb ist der Ersatz durch ein schwergewichtiges Werkzeug fast immer zum Scheitern verurteilt.
Wichtig ist eine bewusste Grenzziehung zur Dokumentation. Ein Messenger ist ein flüchtiges Medium. Was rechtlich oder kaufmännisch relevant ist – Abnahmen, Nachträge, Stundennachweise, Mängelrügen – gehört in das führende Fachsystem und nicht in einen Chatverlauf. Bewährt hat sich die Regel: Der Messenger stößt an, das Fachsystem hält fest. Wer das nicht regelt, sucht in zwei Jahren nach einem Beweisfoto in einem Verlauf, den es auf keinem Gerät mehr gibt.
Im Vertrieb liegt ein besonderer Wert in der Trennung von Person und Rolle. Wenn Kundinnen und Kunden über die private Nummer der Vertriebsmitarbeiterin kommunizieren, gehört die Beziehung faktisch ihr – ein Risiko, das erst beim Wechsel sichtbar wird. Eine geschäftliche Identität lässt sich dagegen übergeben. Zugleich ist ehrlich zu sagen: Externe müssen die App installieren, damit dieser Kanal funktioniert. Bei Stammkunden, Subunternehmern und Lieferanten ist das meist machbar; bei Laufkundschaft ist es eine Hürde. Prüfen Sie deshalb realistisch, welcher Anteil Ihrer externen Kommunikation überhaupt umziehen kann, und planen Sie für den Rest einen anderen Weg ein.
In mitbestimmten Unternehmen ist die Einführung eines Messengers regelmäßig mitbestimmungsrelevant, weil das System grundsätzlich geeignet ist, Verhalten und Leistung zu erfassen. Eine frühzeitige Einbindung des Betriebsrats ist deshalb keine Höflichkeit, sondern Voraussetzung. Erfahrungsgemäß verlaufen diese Gespräche bei einem datensparsamen Messenger deutlich entspannter, weil sich mehrere klassische Streitpunkte entschärfen lassen: Private Rufnummern müssen nicht offengelegt werden. Das Adressbuch muss nicht übertragen werden. Die Arbeitgeberseite kann Inhalte technisch nicht mitlesen. Und Erreichbarkeitsregeln lassen sich über Benachrichtigungseinstellungen und klare Vereinbarungen abbilden.
Regeln Sie in einer Betriebsvereinbarung mindestens: Zweck und zulässige Nutzung, Umgang mit privaten Geräten, Erreichbarkeit außerhalb der Arbeitszeit, Umgang mit Aufnahmen von Personen, Löschfristen sowie das Verfahren bei Geräteverlust und Austritt. Der Vergleich mit dem Status quo hilft im Gespräch: Die Alternative ist in den meisten Fällen keine geordnete Welt, sondern eine unregulierte WhatsApp-Landschaft, in der niemand weiß, welche Daten wo liegen. Diese Ausgangslage macht die Argumentation für einen verwalteten Messenger meist einfacher als befürchtet.
Erfahrungsgemäß sind es zwei Punkte, an denen Projekte in der Bewertungsphase hängen bleiben: eine belastbare Kostenschätzung inklusive aller Nebenposten und eine saubere datenschutzrechtliche Begründung, die auch einer Prüfung standhält. Beide lassen sich mit überschaubarem Aufwand erarbeiten.
Die Grundlogik ist einfach: Bezahlt wird pro Person, die den Messenger dienstlich nutzt, üblicherweise im Jahresabonnement mit Mengenstaffel. Konkrete Beträge nennen wir bewusst nicht – sie ändern sich, hängen von Menge, Laufzeit und Vertriebsweg ab und werden bei größeren Mengen ohnehin verhandelt. Holen Sie ein aktuelles, schriftliches Angebot ein und lassen Sie sich alle Bausteine ausweisen, die Sie einplanen.
Wichtiger als der Listenpreis ist die vollständige Betrachtung. In den Gesamtaufwand gehören: die Lizenzen, gegebenenfalls Broadcast, bei Selbstbetrieb die Infrastruktur, der einmalige Einführungsaufwand für MDM-Konfiguration und Richtlinien, die Erarbeitung der Betriebsvereinbarung, Schulung und Kommunikation sowie der laufende Aufwand für Lizenz- und Verzeichnispflege. Im ersten Jahr dominieren häufig die Einführungskosten. Dem gegenüber steht ein Nutzen, der sich benennen lässt: entfallene Datenschutzrisiken, weniger Reibung bei Personalwechseln, schnellere Rückmeldungen aus dem Feld und die Ablösung informeller Kanäle, die niemand kontrolliert.
Hier lohnt Genauigkeit, weil in Diskussionen viel durcheinandergeht. Die Schweiz ist nicht Mitglied der Europäischen Union und auch nicht Teil des Europäischen Wirtschaftsraums. Aus Sicht der Datenschutz-Grundverordnung ist sie damit ein Drittland. Anders als bei vielen anderen Drittländern hat die Europäische Kommission der Schweiz jedoch ein angemessenes Datenschutzniveau bescheinigt. Für die Praxis bedeutet das: Eine Übermittlung personenbezogener Daten in die Schweiz benötigt keine zusätzlichen Garantien wie Standardvertragsklauseln und keine ergänzende Transfer-Folgenabschätzung, wie sie bei Übermittlungen in die USA diskutiert wird. Sie ist rechtlich vergleichbar unkompliziert wie eine Übermittlung innerhalb der EU.
Ein Auftragsverarbeitungsvertrag ist dennoch erforderlich, ebenso die Aufnahme in das Verzeichnis der Verarbeitungstätigkeiten und die Information der Betroffenen. Hinzu kommt ein politischer Aspekt, der in Ausschreibungen zunehmend eine Rolle spielt: Die Schweiz gehört nicht zum Rechtsraum von Zugriffsregelungen wie dem US-amerikanischen CLOUD Act. Für Organisationen, die digitale Souveränität als Auswahlkriterium führen, ist das ein relevanter Unterschied zu Anbietern mit US-Konzernmutter. Halten Sie die aktuelle Rechtslage im Blick, da Angemessenheitsbeschlüsse regelmäßig überprüft werden.
Selbst bei durchgängiger Ende-zu-Ende-Verschlüsselung verbleiben beim Betreiber der Serverinfrastruktur gewisse Verbindungs- und Verwaltungsinformationen – wer wann mit dem Dienst verbunden war, welche Identitäten zu einer Organisation gehören, wann eine Nachricht weitergeleitet wurde. Inhalte sind das nicht, aber es sind Daten. Threema OnPrem verlagert genau diese Schicht in die eigene Verantwortung. Für Organisationen mit sehr hohen Anforderungen ist das der entscheidende Schritt: Es gibt dann keinen externen Betreiber mehr, der über solche Informationen verfügt oder zu deren Herausgabe verpflichtet werden könnte.
Diese Maximallösung ist kein Selbstzweck. Sie sollte aus einer dokumentierten Schutzbedarfsfeststellung folgen, nicht aus einem allgemeinen Unbehagen. Wer den Schutzbedarf sauber herleitet, kann die Entscheidung auch gegenüber Geschäftsführung und Prüfern begründen – und weiß umgekehrt, wann der verwaltete Betrieb ausreicht.
