DMS Open Source: Was quelloffene Dokumentenmanagement-Systeme leisten und was Sie selbst übernehmen

Kurz gesagt: Ein Open-Source-DMS ist ein Dokumentenmanagement-System, dessen Quellcode unter einer anerkannten Lizenz wie GPL, AGPL oder LGPL offenliegt; Sie zahlen keine Lizenzgebühr, dürfen die Software ändern und selbst betreiben. Bekannte Projekte sind paperless-ngx, Mayan EDMS, SeedDMS und die Community-Version von Alfresco. Für den Einsatz im Unternehmen gilt: Betrieb, Updates, Datensicherung, GoBD-Nachweise und Verfahrensdokumentation liegen vollständig bei Ihnen, und „kostenlos“ wie bei manchen günstigen Kaufprodukten ist nicht dasselbe wie „quelloffen“.

Die Suche nach „DMS Open Source“ hat meist zwei Motive: Lizenzkosten sparen und nicht von einem Hersteller abhängig sein. Beide Ziele sind berechtigt. Dieser Artikel zeigt, welche Rechte Ihnen eine Open-Source-Lizenz tatsächlich gibt, welche Projekte es gibt (nur mit Angaben, die wir auf den offiziellen Seiten und Repositories geprüft haben), wie es um die GoBD steht und wo die Kosten landen, wenn keine Lizenzrechnung kommt. Stand: Oktober 2026.

Was ein Dokumentenmanagement-System grundsätzlich leisten muss, von der Erfassung über die Suche bis zur revisionssicheren Ablage, erklärt unser Überblick zum Dokumentenmanagementsystem. Hier geht es um die Frage, ob die quelloffene Variante für Ihr Unternehmen trägt.

Was „Open Source“ bei einem DMS genau bedeutet

„Open Source“ ist kein Werbebegriff, sondern an Bedingungen geknüpft. Die Open Source Definition der Open Source Initiative (OSI) nennt zehn Kriterien, die eine Lizenz erfüllen muss. Die wichtigsten für Unternehmen:

• Quellcode: Das Programm muss den Quellcode enthalten, oder der Quellcode muss auf einem bekannten Weg höchstens zu angemessenen Kopierkosten erhältlich sein, vorzugsweise als kostenloser Download.
• Freie Weitergabe: Die Lizenz darf niemandem verbieten, die Software weiterzugeben oder zu verkaufen.
• Abgeleitete Werke: Änderungen und Weiterentwicklungen müssen erlaubt sein.
• Keine Einschränkung des Einsatzbereichs: Die Lizenz darf die Nutzung in einem Unternehmen nicht ausschließen. Die OSI nennt genau dieses Beispiel ausdrücklich.

Daraus folgt eine klare Abgrenzung: Eine Software ist nicht deshalb Open Source, weil sie nichts kostet, eine Gratisversion hat oder intern Open-Source-Bausteine verwendet. Entscheidend ist allein die Lizenz, unter der Sie das Produkt erhalten. Umgekehrt darf Open-Source-Software Geld kosten: Viele Projekte werden von Firmen getragen, die Support, gehostete Varianten oder erweiterte Editionen verkaufen.

Für die Praxis heißt das: Prüfen Sie bei jedem Produkt, das als „Open Source DMS“ beworben wird, in welcher Datei oder auf welcher Seite die Lizenz steht. In einem seriösen Projekt finden Sie sie im Repository als Datei LICENSE oder COPYING. Fehlt eine solche Angabe, ist das ein Grund nachzufragen.

GPL, AGPL, LGPL: Was die Lizenzen für Ihr Unternehmen bedeuten

Die meisten quelloffenen Dokumentenmanagement-Systeme stehen unter einer Lizenz der GNU-Familie. Für Anwender, die die Software nur intern nutzen, sind die Unterschiede kleiner, als oft befürchtet. Wichtig werden sie, sobald Sie Änderungen vornehmen und die Software anderen zur Verfügung stellen.

Lizenz	Kurz erklärt	Bedeutung für interne Nutzung	Bedeutung bei Weitergabe oder Bereitstellung
GPL (Version 2 oder 3)	„Copyleft“: Weitergegebene Änderungen müssen wieder unter der GPL stehen	Ändern und intern nutzen ohne Veröffentlichungspflicht	Wer eine geänderte Fassung weitergibt, muss den Quellcode mitliefern
AGPL Version 3	GPL plus Netzwerk-Klausel	wie GPL	Auch wer eine geänderte Fassung nur über das Netz bereitstellt, muss den Nutzern den Quellcode anbieten
LGPL Version 3	abgeschwächtes Copyleft, vor allem für Bibliotheken und Plattformen	Ändern und intern nutzen ohne Veröffentlichungspflicht	Copyleft gilt für die Bibliothek selbst, nicht automatisch für Programme, die sie nur einbinden
Apache 2.0	freizügige Lizenz ohne Copyleft	Ändern und intern nutzen ohne Veröffentlichungspflicht	Weitergabe auch in geschlossenen Produkten erlaubt, Lizenz- und Urheberhinweise bleiben erhalten

Die Free Software Foundation beantwortet zwei Fragen, die in Unternehmen oft für Unruhe sorgen, in ihren häufigen Fragen zu den GNU-Lizenzen eindeutig: Die GPL verlangt nicht, dass Sie eine geänderte Fassung veröffentlichen; Sie dürfen Änderungen privat nutzen. Und Kopien innerhalb einer Organisation gelten nicht als Weitergabe. Erst wenn Sie Kopien an andere Organisationen oder Personen übergeben, greifen die Pflichten zur Herausgabe des Quellcodes.

Bei der AGPL Version 3 kommt Abschnitt 13 hinzu: Wer das Programm ändert und Nutzern über ein Netzwerk zugänglich macht, muss diesen Nutzern den Quellcode der geänderten Fassung anbieten. Für ein DMS, das nur Ihre Beschäftigten nutzen, ist das selten ein Problem. Relevant wird es, wenn ein Systemhaus eine angepasste Fassung als Dienst für mehrere Kunden betreibt oder wenn Sie Kunden und Lieferanten über ein Portal Zugang geben.

Ein praktischer Hinweis: Die Lizenz regelt Nutzungsrechte, keine Gewährleistung. Die GPL Version 3 schließt Gewährleistung und Haftung in den Abschnitten 15 und 16 weitgehend aus, soweit das anwendbare Recht es zulässt. Wer eine Zusage zu Fehlerbehebung, Reaktionszeiten oder Sicherheitsupdates braucht, bekommt sie nur über einen Vertrag mit einem Dienstleister, nicht über die Lizenz.

Bekannte Open-Source-DMS im Überblick

Die folgende Übersicht enthält nur Projekte, deren Lizenz wir im offiziellen Repository oder auf der offiziellen Projektseite nachgesehen haben (Stand: 02.10.2026). Es ist keine Rangliste und keine Empfehlung, sondern eine Orientierung, wo Sie mit der eigenen Prüfung ansetzen.

Projekt	Lizenz laut offizieller Quelle	Was das Projekt über sich sagt	Hinweis
paperless-ngx	GPL-3.0	Dokumentenmanagement, das Papierdokumente in ein durchsuchbares Online-Archiv überführt; von einer Community getragen	Installation über Docker; Sicherheitshinweis des Projekts beachten (siehe unten)
Mayan EDMS	GNU GPL Version 2.0 laut Lizenzdatei im offiziellen GitLab-Repository	freies, quelloffenes Dokumentenmanagement	Die Lizenzdatei im GitHub-Spiegel nennt noch Apache 2.0; maßgeblich ist die Datei der Version, die Sie einsetzen
SeedDMS	GPLv2 laut Projektseite auf SourceForge	quelloffenes Dokumentenmanagement für viele gleichzeitige Nutzer, mit Workflow-Funktionen	Die Projektwebsite nennt zwei parallel gepflegte Versionszweige (6.0 und 5.1)
Alfresco Community	LGPL-3.0	Repository der Community-Ausgabe der Alfresco Content Services	Plattform mit großem Funktionsumfang, entsprechend höherer Betriebsaufwand
agorum core open	als Open Source bezeichnet; konkrete Lizenz auf der Produktseite nicht genannt	kostenlose Edition ohne Zeitlimit; Funktionen wie der integrierte Workflow-Editor sind der kostenpflichtigen Ausgabe vorbehalten	Unterstützung über die agorum Community; kommerzielle Ausgabe siehe Datenblatt agorum

Ein Projekt fehlt bewusst: Die Community-Ausgabe von OpenKM steht unter GPL-2.0, ihr Repository auf GitHub ist aber als archiviert markiert, also schreibgeschützt. Das ist kein Urteil über das Unternehmen dahinter, zeigt aber ein typisches Risiko: Community-Ausgaben können eingefroren werden, während die Weiterentwicklung in eine kommerzielle Ausgabe wandert. Prüfen Sie deshalb vor der Auswahl, wann das letzte Release erschien und ob Sicherheitskorrekturen regelmäßig kommen.

paperless-ngx: beliebt, aber wofür gebaut?

paperless-ngx gehört zu den am häufigsten gesuchten quelloffenen DMS. Laut Projektdokumentation liest es Scans per Texterkennung (OCR) aus, ordnet Dokumente über Schlagworte, Korrespondenten und Dokumenttypen, importiert E-Mails, speichert Dokumente als PDF/A neben dem unveränderten Original und bringt ein Rechtesystem für mehrere Nutzer sowie Workflows mit. Bedient wird es im Browser. Das Projekt ist der offizielle Nachfolger von Paperless und Paperless-ng und verteilt die Pflege bewusst auf ein Team mehrerer Personen. Laut GitHub erschien das jüngste Release im September 2026; das Projekt wird also aktiv gepflegt.

Wichtig ist der Sicherheitshinweis, den das Projekt selbst in sein Repository geschrieben hat: Dokumente werden unverschlüsselt im Klartext gespeichert, paperless-ngx sollte nie auf einem nicht vertrauenswürdigen Server laufen, es gibt keine Garantien zur Sicherheit, und die Nutzung erfolgt auf eigenes Risiko. Als sicherste Betriebsform nennt das Projekt einen lokalen Server im eigenen Zuhause mit Datensicherung.

Daraus lässt sich die Zielgruppe ablesen, ohne das Projekt abzuwerten: Der Betrieb ist auf technisch versierte Nutzer zugeschnitten, die ihren Server selbst verantworten. Ein Unternehmen mit steuerrelevanten Belegen muss rund um die Software einiges selbst klären und belegen: wie nachträgliche Änderungen und Löschungen ausgeschlossen oder lückenlos protokolliert werden, wie das Rechtekonzept aussieht und wer es pflegt, wie laufende Aufbewahrungsfristen gegen Löschen gesichert sind und wie die Verfahrensdokumentation das alles beschreibt. Das ist machbar, aber es ist Projektarbeit.

Kostenlos ist nicht quelloffen: das Beispiel ecoDMS

Wer nach „DMS Software kostenlos“ oder „DMS Open Source“ sucht, landet häufig bei ecoDMS. Das Produkt ist günstig, aber es ist kein Open-Source-DMS. Laut der Lizenz- und Preisseite des Herstellers kaufen Sie eine zeitlich unbeschränkte Lizenz je gleichzeitiger Verbindung, Updates sind für 24 oder 48 Monate enthalten. Kostenlos ist eine Testversion für 30 Tage. Der Hersteller schreibt, dass er ausgereifte Open-Source-Komponenten mit eigenen Entwicklungen kombiniert. Das ist bei kommerzieller Software üblich und ändert nichts daran, dass das Produkt selbst unter einer Kauflizenz steht.

In unserem geprüften Datenblatt zu ecoDMS finden Sie den öffentlichen Listenpreis, die Betriebsformen (eigener Server unter Windows, Linux oder auf einem NAS sowie ein gehosteter Dienst über Reseller) und die Herstellerangaben zur Archivierung. Wer günstige Alternativen vergleichen will, findet sie unter Alternativen zu ecoDMS.

Die Unterscheidung ist mehr als Wortklauberei. Bei einer Kauflizenz haben Sie einen Vertragspartner, der Updates liefert, aber Sie dürfen den Code weder einsehen noch ändern. Bei einer Open-Source-Lizenz dürfen Sie alles, haben aber ohne Zusatzvertrag niemanden, der für irgendetwas einsteht. Auch agorum zeigt, dass beides nebeneinander existiert: Die Edition agorum core open ist laut Hersteller kostenlos und ohne Zeitlimit, die Ausgabe agorum core pro wird je Nutzer und Monat abgerechnet. Die Grenze zwischen den Ausgaben verläuft über Funktionen wie den Workflow-Editor.

Ist ein Open-Source-DMS GoBD-konform?

Die kurze Antwort: Die Frage ist falsch gestellt, und zwar für jede Software. Die GoBD, also die Verwaltungsanweisung des Bundesfinanzministeriums zur ordnungsmäßigen elektronischen Buchführung und Aufbewahrung, beziehen ausdrücklich auch Archivsysteme und Dokumenten-Management-Systeme ein (Rz. 20). Sie legen die Verantwortung eindeutig fest: Für die Ordnungsmäßigkeit ist allein der Steuerpflichtige verantwortlich, auch wenn er Aufgaben an Dritte auslagert (GoBD Rz. 21).

Dazu kommen drei Randziffern, die jeden „GoBD-zertifiziert“-Aufkleber relativieren. Nach Rz. 179 lassen die vielen Systemkombinationen keine allgemeingültigen Aussagen der Finanzverwaltung zur Konformität von Software zu, zumal Updates, Zugriffsrechte und Einstellungen die Ordnungsmäßigkeit stark beeinflussen. Nach Rz. 180 erteilt die Finanzverwaltung keine Positivtestate. Und nach Rz. 181 können Zertifikate oder Testate Dritter bei der Softwareauswahl helfen, entfalten gegenüber der Finanzbehörde aber keine Bindungswirkung. Die GoBD wurden zuletzt am 14.07.2025 geändert, vor allem wegen der E-Rechnung; an diesen Grundsätzen hat sich nichts geändert.

Für Open Source heißt das: Ein quelloffenes DMS kann genauso ordnungsmäßig betrieben werden wie ein kommerzielles. Der Unterschied liegt darin, wer die Vorarbeit leistet. Viele kommerzielle Hersteller lassen ihr Produkt von Wirtschaftsprüfern untersuchen, etwa nach IDW PS 880. Ein solches Testat ersetzt Ihre Verantwortung nicht, liefert aber eine geprüfte Beschreibung, auf die Ihre Verfahrensdokumentation aufbauen kann. Bei Community-Projekten fehlt diese Vorarbeit in der Regel; Sie beschreiben und belegen alles selbst.

Diese Hersteller nennen laut unseren geprüften Datenblättern eine Prüfung zur ordnungsmäßigen Archivierung:

Hersteller	Prüfung	Prüfer laut Hersteller
agorum	IDW PS 880	nicht genannt
Amagno	Softwarebescheinigung (IDW PS 880, IDW RS FAIT 1, IDW RS FAIT 3, IDW PS 330)	KRP Audit GmbH Wirtschaftsprüfungsgesellschaft
Caya	IDW PS 880 (GoBD)	Hamburger Treuhand Gesellschaft Schomerus & Partner mbB Wirtschaftsprüfungsgesellschaft
Comarch	IDW PS 880	KPMG
CompuDMS (CompuKöln)	IDW PS 880	nicht genannt
d.velop	IDW PS 880 GoBD-Prüfung d.velop cloud migration	nicht genannt comdatis
DATEV DMS	Prüfbericht zur ordnungsmäßigen Archivierung	Ernst & Young
docuvita	PK-DML ready (VOI)	VOI und TÜV IT (TÜV Nord)
DocuWare	GoBD-Zertifizierung nach IDW ERS FAIT 3 / IDW PS 880	nicht genannt
Doxis	IDW PS 880	Deloitte
easy software	IDW PS 880 (mit IDW RS FAIT 5) IDW PS 880 und ISAE 3000	PKF Fasselt Partnerschaft mbB nicht genannt
ELO Digital Office	IDW PS 880	EY
Fabasoft	IDW PS 880	KPMG Advisory GmbH
forcont	VOI Compliance Certificate „PK-DML ready“	VOI Service GmbH, Zertifizierungsstelle VOI-CERT
JobRouter	IDW PS 880 (GoBD)	nicht genannt
Kendox	IDW PS 880 / ISAE 3000 VOI Compliance Certificate „PK-DML ready“	BDO Austria GmbH VOI
M-Files	VOI „PK-DML ready“	VOI-CERT (VOI – Verband Organisations- und Informationssysteme e. V.)
nscale (Ceyoniq Technology)	IDW PS 880	nicht genannt
PROXESS	TÜV-Zertifikat „Geprüfte Archivierung“ TÜV-Gütesiegel „Geprüfte Archivierung“	TÜV Saarland TÜV Saarland
Scopevisio	IDW PS 880	nicht genannt
Starke-DMS	IDW PS 880	Revidata

Hersteller ohne Eintrag nennen auf ihren Seiten keine solche Prüfung.

Konkret verlangen die GoBD unter anderem: Kontrollen für Zugang und Zugriff, Funktionstrennung und Schutz gegen Verfälschung von Programmen, Daten und Dokumenten, die eingerichtet, ausgeübt und protokolliert werden (Rz. 100). Das System muss gegen Verlust gesichert sein (Rz. 103). Und es braucht eine Verfahrensdokumentation, aus der Inhalt, Aufbau, Ablauf und Ergebnisse des Verfahrens für einen sachverständigen Dritten nachvollziehbar sind (Rz. 151 ff.). Die Aufbewahrungsfristen selbst stehen in § 147 Abs. 3 AO: zehn Jahre für Bücher und Jahresabschlüsse, acht Jahre für Buchungsbelege, sechs Jahre für sonstige Unterlagen wie Handels- und Geschäftsbriefe. Kreditinstitute, Versicherer und Wertpapierinstitute bewahren Buchungsbelege weiterhin zehn Jahre auf (Art. 97 § 19a Abs. 3 EGAO, § 257 Abs. 4 Satz 2 HGB). Ihr Open-Source-DMS muss diese Fristen durchhalten, über Updates, Serverwechsel und Personalwechsel hinweg.

Was revisionssichere Ablage technisch bedeutet und wie Sie sie nachweisen, vertieft der Artikel Revisionssichere Archivierung. Dieser Abschnitt ersetzt keine Steuer- oder Rechtsberatung.

Was Sie bei Open Source selbst übernehmen

Bei einem kommerziellen DMS kaufen Sie neben der Software ein Bündel an Leistungen: Updates, Fehlerbehebung, Dokumentation, oft eine Archivprüfung und einen Partner für die Einrichtung. Bei einem Community-Projekt bekommen Sie die Software. Den Rest organisieren Sie selbst. Die folgende Liste zeigt, was in Ihrer Verantwortung liegt, bevor das erste steuerrelevante Dokument ins System geht.

• Server und Betriebssystem bereitstellen, härten und aktuell halten
• Updates des DMS verfolgen, testen und einspielen, einschließlich Datenbank und Texterkennung
• Unveränderbarkeit herstellen: Versionierung, Änderungsprotokoll, Löschsperre bis Fristende
• Rechtekonzept entwerfen, umsetzen und regelmäßig prüfen (GoBD Rz. 100)
• Datensicherung nach einem schriftlichen Konzept, mit regelmäßigem Wiederherstellungstest (GoBD Rz. 103)
• Verfahrensdokumentation schreiben und bei jeder Änderung fortführen (GoBD Rz. 151 ff.)
• Lizenzpflichten klären, besonders bei AGPL und bei eigenen Erweiterungen
• Vertretung sichern: Mindestens zwei Personen kennen Betrieb und Wiederherstellung
• Ausstieg planen: Export von Dokumenten und Metadaten in offenen Formaten testen

Jeder Punkt lässt sich an einen Dienstleister vergeben. Dann ist das DMS zwar quelloffen, aber nicht mehr kostenlos, und Sie stehen bei der Auswahl des Dienstleisters vor ähnlichen Fragen wie bei einem kommerziellen Hersteller: Wer betreut das System in fünf Jahren noch, und was steht dazu im Vertrag?

Gesamtkosten: Wo das Geld landet, wenn keine Lizenzrechnung kommt

Die Lizenz ist bei vielen DMS-Projekten nicht der größte Kostenblock. Bei Open Source entfällt er, die übrigen Blöcke bleiben. Belastbare Durchschnittswerte gibt es dafür nicht, weil der Aufwand stark von Dokumentenmenge, Schnittstellen und vorhandenem Wissen abhängt. Rechnen Sie deshalb mit Ihren eigenen Zahlen und gehen Sie diese Posten durch:

• Einrichtung: Installation, Ablagestruktur, Metadaten, Import von Altbeständen, Anbindung an E-Mail und Scanner.
• Schnittstellen: Anbindung an Buchhaltung, ERP oder DATEV. Bei Community-Projekten gibt es dafür selten fertige Module; oft bleibt nur eine Eigenentwicklung über eine Programmierschnittstelle.
• Betrieb: Server oder Cloud-Instanz, Speicher, Datensicherung, Überwachung.
• Pflege: Zeit für Updates, Tests und Fehlersuche, jeden Monat und über die gesamte Aufbewahrungsdauer.
• Know-how: Einarbeitung, Vertretung, Abhängigkeit von einzelnen Personen.
• Nachweise: Verfahrensdokumentation, gegebenenfalls eine eigene Prüfung durch einen Wirtschaftsprüfer.

Ein Beispiel zur Einordnung: Ein Großhändler mit 40 Beschäftigten hat einen IT-Administrator in Teilzeit. Er kann paperless-ngx in einem Nachmittag starten. Bis Rechnungseingang, Freigaben, Löschsperren, Rechte und Verfahrensdokumentation so stehen, dass die nächste Betriebsprüfung kommen kann, vergehen eher Wochen. Und wenn der Administrator das Unternehmen verlässt, beginnt die Einarbeitung von vorn. Diese Zeit gehört in die Rechnung, auch wenn sie nicht als Rechnung kommt.

Als Gegenpol helfen öffentliche Preise kommerzieller Hersteller. Von 51 Herstellern mit geprüftem Datenblatt nennen 6 öffentliche Preise, 14 weitere zumindest teilweise:

Hersteller	Preise öffentlich	Erste Preisangabe
aconso	nein	–
agorum	ja	32 € netto/Monat je Nutzer
Amagno	nein	–
AODocs (Altirnao, Inc.)	nein	–
ARXivar (Able Tech)	nein	–
Basware	nein	–
bitfarm-Archiv	teilweise	0 €, dauerhaft Lizenz
Box	ja	4,50 €/Jahr je Nutzer und Monat
Caya	ja	9,99 € netto, Monat je Nutzerlizenz
Comarch	nein	–
CompuDMS (CompuKöln)	nein	–
d.velop	teilweise	27 €/Monat
DATEV DMS	teilweise	ab 40,96 € netto/Monat Einstiegspreis
DOCBOX	nein	–
DOCUframe (GSD Software)	nein	–
docuvita	teilweise	49 € netto/Monat erster Benutzer
DocuWare	teilweise	ab 215 €/Monat für 4 Benutzer (Vertriebspartner)
Doxis	nein	–
easy software	teilweise	ab 225 € netto/Monat Grundpreis mit einem Produkt
ecoDMS	teilweise	125 € netto, einmalig je gleichzeitiger Verbindung
ELO Digital Office	nein	–
enaio (Optimal Systems)	nein	–
Esker	nein	–
Fabasoft	nein	–
forcont	nein	–
Hyland	nein	–
IBM Content Cortex (FileNet)	nein	–
Insiders Technologies	nein	–
JobRouter	nein	–
Kendox	teilweise	79 CHF/Monat je Nutzer (bei 1 Nutzer) (Vertriebspartner)
Laserfiche	ja	ab 73 USD/Jahr je Nutzer und Monat
LogicalDOC	nein	–
M-Files	teilweise	65 €/Monat je Arbeitsplatz
Medius	nein	–
Microsoft SharePoint	ja	6,07 € netto/Monat je Benutzer
nscale (Ceyoniq Technology)	nein	–
Open Bee	teilweise	ab 45 €, Monat je Unternehmen
OpenKM	nein	–
OpenText	nein	–
PROXESS	nein	–
Scopevisio	teilweise	665 € netto/Monat für 10 Named User
Siav (Archiflow)	nein	–
SmartDocs (DMSFACTORY)	ja	600 € netto, einmalig je Arbeitsplatz
SOL-IT	nein	–
Starke-DMS	teilweise	2.950 € netto Paket, 2 gleichzeitige Benutzer
Therefore	nein	–
windream	nein	–
xSuite	nein	–
Yooz	teilweise	ab 99 €, Monat Abonnement
Zeendoc (Sages Informatique)	teilweise	65 €, Monat je Unternehmen (9 Nutzer)
Zucchetti	nein	–

Mehr dazu, auch zu Einrichtung und Wartung, auf der Seite Was kostet ein DMS?.

Mit diesen Listenpreisen und Ihrer realistischen Schätzung der eigenen Arbeitszeit können Sie beide Wege ehrlich vergleichen. Welche Kosten bei kommerziellen Systemen neben der Lizenz anfallen, zeigt die Seite Was kostet ein DMS?.

Open Source oder kommerzielles DMS: die Unterschiede im Überblick

Open-Source-DMS (Community-Ausgabe)

• Keine Lizenzgebühr, Quellcode einsehbar und änderbar
• Kein Anbieter, der vertraglich für Updates oder Fehler einsteht
• Archivprüfung (z. B. IDW PS 880) in der Regel nicht vorhanden
• Schnittstellen zu ERP oder DATEV häufig Eigenbau
• Betrieb, Sicherheit und Verfahrensdokumentation vollständig bei Ihnen
• Kein Herstellerrisiko, aber Risiko eingefrorener Projekte

Kommerzielles DMS

• Lizenz oder Abonnement, Quellcode in der Regel geschlossen
• Wartungsvertrag mit Updates und Support
• Bei vielen Herstellern Prüfung zur Archivierung mit genanntem Prüfer
• Fertige Module für Rechnungseingang, ERP, DATEV, Microsoft 365
• Betrieb auf Wunsch durch Hersteller oder Partner
• Abhängigkeit von Preispolitik und Produktstrategie des Herstellers

Die Unabhängigkeit, die Open Source verspricht, ist real: Kein Hersteller kann die Lizenzbedingungen ändern oder ein Produkt abkündigen und Sie damit zum Wechsel zwingen. Sie verschiebt das Risiko aber nur. Statt vom Hersteller hängen Sie von der Projekt-Community ab, oder von dem einen Dienstleister, der Ihre Installation kennt. Die ehrliche Frage lautet deshalb nicht „Open Source ja oder nein“, sondern: Wer übernimmt in Ihrem Unternehmen dauerhaft die Rolle, die sonst der Hersteller spielt?

Betrieb, Hosting und Sicherheit

Ein DMS enthält Verträge, Rechnungen, Personalunterlagen und Korrespondenz. Entsprechend hoch sind die Anforderungen an den Betrieb, unabhängig von der Lizenz. Bei Open Source kommt hinzu, dass Sie die Sicherheitsvorkehrungen selbst entwerfen. Der Hinweis von paperless-ngx zur unverschlüsselten Speicherung ist dafür ein gutes Beispiel: Er ist ehrlich und richtig, aber er verlagert die Aufgabe zu Ihnen.

Diese Punkte gehören in jedes Betriebskonzept:

1. Standort festlegen. Eigener Server im Haus, angemietete Maschine im Rechenzentrum oder verwaltete Instanz bei einem Dienstleister. Die Vor- und Nachteile beider Grundformen erklärt der Artikel DMS in der Cloud oder auf eigenem Server.
2. Zugriff absichern. Kein direkter Zugang aus dem Internet ohne vorgeschaltete Anmeldung, verschlüsselte Verbindungen, Mehr-Faktor-Anmeldung, wo die Software sie unterstützt.
3. Daten verschlüsseln. Wenn die Software Dokumente im Klartext ablegt, muss die Verschlüsselung auf Ebene des Datenträgers oder des Speichers erfolgen.
4. Datensicherung nach Konzept. Das BSI fordert im IT-Grundschutz-Baustein CON.3 Datensicherungskonzept regelmäßige Tests, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen (CON.3.A15), und empfiehlt ein Datensicherungskonzept (CON.3.A6). Eine Sicherung, die nie zurückgespielt wurde, ist ein Versprechen, kein Nachweis.
5. Updates einplanen. Feste Termine für Sicherheitsupdates von Betriebssystem, Datenbank und DMS, mit Testumgebung für größere Versionssprünge.
6. Protokolle aufbewahren. Wer hat wann welches Dokument geändert, gelöscht oder exportiert? Diese Protokolle sind Teil der Nachweiskette.

Für Unternehmen mit besonderen Pflichten, etwa Banken und Versicherer unter DORA, kommen Anforderungen an Auslagerung, Notfallplanung und Prüfrechte hinzu. Bei einem Eigenbetrieb müssen Sie diese vollständig selbst abbilden; einen Überblick gibt die Seite DMS für die Finanzbranche.

Wann Open Source passt und wann nicht

Open Source ist für ein DMS weder grundsätzlich die bessere noch die schlechtere Wahl. Es passt zu bestimmten Voraussetzungen. Die folgenden Fragen helfen bei der Einordnung.

1. Haben Sie dauerhaft eigene IT-Kompetenz mit Vertretung?Wenn ja: Eigenbetrieb ist realistisch.Wenn nein: Planen Sie einen Dienstleister oder ein kommerzielles System ein.
2. Liegen steuerrelevante Belege im System?Wenn ja: Unveränderbarkeit, Löschsperren und Verfahrensdokumentation sind Pflicht, nicht Kür.Wenn nein: Für Wissensablage oder Projektdokumente genügt oft weniger Aufwand.
3. Brauchen Sie fertige Anbindungen an ERP, DATEV oder Microsoft 365?Wenn ja: Prüfen Sie, ob es sie für das Projekt gibt, sonst rechnen Sie mit Entwicklung.Wenn nein: Ein schlankes System kann genügen.
4. Wollen Sie Code anpassen oder Funktionen selbst entwickeln?Wenn ja: Open Source spielt hier seine Stärke aus; Lizenzpflichten klären.Wenn nein: Der Vorteil des offenen Codes bleibt theoretisch.

Open Source passt gut, wenn Sie eine eigene IT-Abteilung oder einen festen IT-Partner haben, Dokumente vor allem finden und teilen wollen, wenig Schnittstellen brauchen oder bewusst eigene Funktionen entwickeln möchten. Auch als Test, um die eigenen Anforderungen kennenzulernen, kann ein quelloffenes System sinnvoll sein, solange klar ist, dass keine steuerrelevanten Originale dort liegen, bevor das Konzept steht.

Open Source passt schlecht, wenn niemand im Haus Server betreiben kann oder will, wenn steuerrelevante Belege, Personalakten oder Verträge mit langen Fristen sofort ins System sollen, wenn Sie Freigabeprozesse für Rechnungen mit ERP-Anbindung brauchen oder wenn Prüfer und Aufsicht einen Nachweis erwarten, den Sie nicht selbst erstellen können.

Drei Wege, Open Source im Mittelstand einzusetzen

Zwischen „alles selbst“ und „alles kaufen“ gibt es Zwischenformen. In der Praxis lassen sich drei Muster unterscheiden, die jeweils andere Fragen aufwerfen.

1. Eigenbetrieb mit eigener IT. Sie installieren ein Community-Projekt auf eigener Hardware oder einem angemieteten Server und betreiben es mit eigenem Personal. Das ist der günstigste Weg, wenn die Kompetenz ohnehin im Haus ist und dauerhaft bleibt. Der kritische Punkt ist die Vertretung: Zwei Personen müssen Betrieb, Updates und Wiederherstellung beherrschen, und beides gehört in die Verfahrensdokumentation. Ein Beispiel: Ein Planungsbüro mit 25 Beschäftigten und einem Systemadministrator nutzt ein quelloffenes DMS für Projektunterlagen, während Rechnungen weiter im Buchhaltungsprogramm des Steuerberaters liegen. Diese klare Trennung hält den Aufwand für Nachweise klein.

2. Open Source mit Dienstleister. Ein IT-Dienstleister installiert, betreibt und aktualisiert das System für Sie, oft auf seiner eigenen Infrastruktur. Sie zahlen keine Lizenz, aber einen Betreuungsvertrag. Prüfen Sie hier dieselben Punkte wie bei einem kommerziellen Anbieter: Reaktionszeiten, Umgang mit Sicherheitslücken, Ort der Datenhaltung, Exit-Regelung. Verarbeitet der Dienstleister personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 der Datenschutz-Grundverordnung. Und wenn er eine selbst angepasste Fassung einer AGPL-Software für mehrere Kunden bereitstellt, greift deren Netzwerk-Klausel.

3. Kostenlose Edition eines kommerziellen Herstellers. Manche Hersteller bieten neben dem Bezahlprodukt eine kostenlose oder quelloffene Edition an, wie agorum mit agorum core open neben agorum core pro. Der Vorteil: Wenn die Anforderungen wachsen, gibt es einen Umstiegspfad zu einem Produkt mit Wartungsvertrag und Partnernetz. Der Nachteil: Die Grenze zwischen den Editionen verläuft entlang von Funktionen, die im Unternehmensalltag schnell wichtig werden, etwa den Workflow-Editor. Klären Sie vorher, welche Funktionen Sie in zwei Jahren brauchen, und lesen Sie die Lizenz der kostenlosen Edition genau.

Welches Muster passt, hängt weniger von der Software ab als von Ihrer Organisation. Wer diese Frage vor der Produktauswahl beantwortet, spart sich einen Systemwechsel nach dem ersten Jahr.

Typische Fehler bei der Einführung eines Open-Source-DMS

• „Kostenlos“ mit „ohne Aufwand“ verwechseln. Die Einrichtung kostet Zeit, die Pflege auch. Wer das nicht einplant, hat nach zwei Jahren ein veraltetes System mit wertvollen Daten.
• Den Testbetrieb zum Produktivbetrieb werden lassen. Ein schnell gestarteter Container auf einem Arbeitsplatzrechner ist kein Archiv. Erst Konzept, dann Echtdaten.
• Löschen nicht absichern. Kann jeder Nutzer Dokumente endgültig löschen, ist die Aufbewahrung nach § 147 AO nicht gesichert.
• Keine Verfahrensdokumentation. Ohne sie lässt sich die Ordnungsmäßigkeit in einer Prüfung kaum belegen, egal wie gut die Software ist.
• Lizenz nicht prüfen. Besonders bei Erweiterungen und bei Bereitstellung für Dritte, etwa unter der AGPL.
• Projektgesundheit ignorieren. Ein Projekt, dessen letztes Release lange zurückliegt oder dessen Repository archiviert ist, wird Ihre Aufbewahrungsfrist nicht begleiten.
• Keinen Ausstieg planen. Testen Sie früh, ob sich Dokumente samt Metadaten vollständig exportieren lassen. Das gilt für Open Source genauso wie für kommerzielle Produkte.

So gehen Sie bei der Auswahl vor

1. Anforderungen aufschreiben. Welche Dokumente, welche Mengen, welche Fristen, welche Schnittstellen, wer braucht Zugriff? Eine strukturierte Vorlage bietet unsere Bedarfsanalyse.
2. Betriebsfrage klären. Wer betreibt das System die nächsten zehn Jahre, intern oder extern? Erst danach lohnt der Produktvergleich.
3. Kandidaten prüfen. Lizenz, letztes Release, Sicherheitshinweise, Exportmöglichkeiten. Bei kommerziellen Systemen: Preise, Testate und Rechenzentren in unserem Herstellerverzeichnis mit Filtern.
4. Gesamtkosten rechnen. Lizenz plus Einrichtung plus Betrieb plus Pflege plus Nachweise, für beide Wege mit denselben Annahmen.
5. Pilot mit Testdaten. Mindestens einen kompletten Ablauf durchspielen, vom Posteingang bis zur Wiederherstellung aus der Datensicherung.
6. Verfahrensdokumentation beginnen, bevor Echtdaten ins System gehen.

Wie Sie ein DMS Schritt für Schritt einführen, vom Lastenheft bis zur Schulung, beschreibt der Artikel DMS einführen. Wenn Sie bereits Angebote kommerzieller Anbieter vorliegen haben, hilft der Angebots-Check, sie auf fehlende Posten zu prüfen.

Was Sie mitnehmen sollten

Ein Open-Source-DMS gibt Ihnen Rechte, die kein kommerzielles Produkt bietet: den Code lesen, ändern, unabhängig betreiben. Diese Rechte sind wertvoll, wenn Sie sie nutzen können. Die Pflichten aus GoBD, Datenschutz und Informationssicherheit bleiben dieselben wie bei jeder anderen Software, nur übernimmt sie niemand für Sie. Prüfen Sie deshalb zuerst, wer in Ihrem Unternehmen die Rolle des Herstellers übernimmt. Ist diese Frage beantwortet, ist die Wahl zwischen quelloffen und kommerziell meist einfach.

Wenn Sie kommerzielle Systeme als Vergleich heranziehen wollen, finden Sie im Herstellerverzeichnis einheitliche Datenblätter mit Preisen, Betriebsformen und Prüfungen, jeweils mit Quellenangabe. Wie wir die Angaben prüfen, steht unter So prüfen wir.