Open-Source-Teamkommunikation im großen Maßstab: Mattermost selbst betreiben

Alle paar Jahre schaut sich ein Unternehmen seine Slack-Rechnung an, rechnet die Kosten pro Nutzer zusammen, stellt fest, dass zehn Jahre interner Kommunikation in der Datenbank eines anderen in einer anderen Rechtsordnung liegen, und fragt sich, ob es auch anders geht. Es geht anders. Mattermost ist die glaubwürdigste selbst gehostete Antwort darauf, und das schon seit einiger Zeit.

Es ist zugleich das Werkzeug, das vor der Einführung am häufigsten missverstanden wird, denn die kostenlose Edition, die man zu bekommen glaubt, ist meist nicht die, die man am Ende betreibt. Dieser Leitfaden erklärt, was Mattermost wirklich ist, was die kostenlose Version tatsächlich enthält und welche drei betrieblichen Probleme praktisch jeden treffen, der es zum ersten Mal selbst hostet.

Was Mattermost ist

Ein Go-Server, eine PostgreSQL-Datenbank, ein React-Webclient und native Desktop- und Mobil-Apps. Kanäle, Threads, Dateifreigabe, Suche, Slash-Befehle, eingehende und ausgehende Webhooks, Bots und ein Plugin-Framework. Wer Slack kennt, ist nach einem Nachmittag produktiv, und alle anderen ebenso. Das zählt mehr als jede Funktionsliste, wenn ein ganzes Unternehmen umziehen soll.

Um diesen Kern herum liegen Playbooks für checklistengetriebene Incident- und Prozessarbeit sowie Calls für Audio, Video und Bildschirmfreigabe. Seit v11.0 setzen Playbooks eine der kommerziellen Editionen voraus (die kostenlose Entry-Edition zählt dazu). Der Integrationskatalog deckt die üblichen Verdächtigen ab: GitLab, GitHub, Jira, Jenkins, PagerDuty. Bei ChatOps ist das Produkt wirklich stark, und genau deshalb hat es unter Engineering- und Operations-Teams so viele Anhänger, ebenso wie bei Verteidigung und öffentlicher Hand, die ihren Verkehr überhaupt nicht in eine kommerzielle SaaS legen dürfen.

Architektonisch entscheidend ist: All das läuft auf einer Infrastruktur, die Sie auswählen. Dasselbe Prinzip wie beim Selbsthosten der Analytics mit Matomo oder der Marketing-Automatisierung mit Mautic. Die Nachrichten liegen in Ihrer Datenbank, die Dateien in Ihrem Objektspeicher, und niemand ändert Aufbewahrungsfristen oder Preise, ohne Sie zu fragen.

Die Lizenzlage, klar gesagt

Hier entsteht die meiste Verwirrung, deshalb sei es deutlich gesagt.

Team Edition ist die quelloffene Variante: kostenlos, das Binary steht unter MIT-Lizenz, und die meisten Selbsthoster betreiben sie seit Jahren. Sie bekommen Messaging, Kanäle, Threads, Suche, Integrationen, Webhooks und das Plugin-Framework. Sie bekommen kein Single Sign-on über SAML oder AD/LDAP, keinen Compliance-Export, keine Enterprise-Suche, kein Hochverfügbarkeits-Cluster und keine Gastkonten. Mit v11.0 (Oktober 2025) sind außerdem Single Sign-on über GitLab und die Playbooks weggefallen, und Mattermost beschreibt die Edition inzwischen als gedacht für kleine Teams, Hobbyprojekte und private Nutzung mit weniger als 250 aktivierten Nutzern, bei denen kein Single Sign-on (SSO) nötig ist.

Entry ist eine kostenlose kommerzielle Edition mit dem Funktionsumfang von Enterprise Advanced und serverweiten Grenzen. Sichtbar und durchsuchbar sind nur die letzten 10.000 Kanalnachrichten (ältere bleiben in der Datenbank), es gibt keine Compliance-Funktionen und keine Hochverfügbarkeit, und Support kommt nur aus der Community. Weitere Grenzen sollen laut Mattermost mit einem künftigen Release greifen: 5 aktive Playbook-Durchläufe pro Monat, Calls von höchstens 40 Minuten, 10.000 Push-Benachrichtigungen pro Monat. Gedacht ist Entry für Teams unter etwa fünfzig Personen. Zum Evaluieren des kostenpflichtigen Produkts ist das gut. Als dauerhafte Heimat für die Gesprächshistorie eines Unternehmens ist es schlecht, denn genau dieser Verlauf ist das, worauf es irgendwann ankommt.

Professional, Enterprise und Enterprise Advanced sind die kostenpflichtigen Stufen. Professional ergänzt SSO, MFA und feingranulare Berechtigungen und ist laut Mattermost für Teams bis 250 Nutzer gedacht. Enterprise ergänzt AD/LDAP-Synchronisierung, Compliance-Automatisierung, Enterprise-Suche, Hochverfügbarkeit und Playbooks im großen Maßstab. Enterprise Advanced ergänzt den Umgang mit Verschlusssachen, Zero-Trust-Kontrollen und Air-Gap-Betrieb, und auf dieser Stufe sitzen die Nutzer aus Verteidigung und Verwaltung. Preise pro Nutzer veröffentlicht Mattermost nicht mehr, planen Sie also ein Vertriebsgespräch ein.

Früher war die Entscheidung einfacher, als die Stufenliste vermuten lässt; v11 hat das geändert. Unter etwa 250 Personen, mit lokalen Konten und ohne Bedarf an Single Sign-on, reicht die Team Edition weiterhin. Jede Form von Single Sign-on (SAML, AD/LDAP und jetzt auch GitLab) bedeutet eine kommerzielle Edition: Entry, solange deren Grenzen passen, danach Professional oder Enterprise. Die Übergangslösung, die Mattermost für den GitLab-Login anbot, war der Verbleib auf dem v10.11 Extended Support Release, und dessen Lebenszyklus endete am 15. August 2026. Eine große Organisation oder eine mit Anforderungen an Compliance, Aufbewahrung oder Hochverfügbarkeit sollte Enterprise von Anfang an einplanen und budgetieren.

Die Einrichtung

Eine kleine Installation

Für ein Team von einigen zehn bis wenigen hundert Personen reicht ein einzelner, ordentlich dimensionierter VPS wirklich aus. Mattermost selbst nennt für einen bis tausend Nutzer eine vCPU und 2 GB RAM, was so optimistisch ist, wie Herstellerminima es immer sind. Geben Sie der Maschine vier Kerne und 8 GB, und Sie denken nie wieder darüber nach.

Der Stack besteht aus Mattermost, PostgreSQL und einem Reverse Proxy, der TLS terminiert. Traefik mit Let's Encrypt macht dabei die geringste Arbeit:

services:
  mattermost:
    image: mattermost/mattermost-team-edition:release-11.7
    restart: unless-stopped
    environment:
      - MM_SQLSETTINGS_DRIVERNAME=postgres
      - MM_SQLSETTINGS_DATASOURCE=postgres://mmuser:your_secure_password@db:5432/mattermost?sslmode=disable
      - MM_SERVICESETTINGS_SITEURL=https://chat.example.com
    volumes:
      - mm_data:/mattermost/data
      - mm_config:/mattermost/config
    depends_on:
      - db

  db:
    image: postgres:16-alpine
    restart: unless-stopped
    environment:
      - POSTGRES_USER=mmuser
      - POSTGRES_PASSWORD=your_secure_password
      - POSTGRES_DB=mattermost
    volumes:
      - db_data:/var/lib/postgresql/data

volumes:
  mm_data:
  mm_config:
  db_data:

Setzen Sie SiteURL richtig, bevor Sie irgendjemanden einladen. Eine falsche oder fehlende SiteURL zerlegt Push-Benachrichtigungen, OAuth-Callbacks und Link-Vorschauen auf eine Weise, die später mühsam zu debuggen und jetzt trivial zu vermeiden ist.

Eine Einschränkung sei wiederholt, weil der Hersteller sie selbst nennt: Container sind für die Evaluierung und für kleine Produktivinstallationen in Ordnung, aber der Container-Weg liefert von Haus aus weder Clustering noch Hochverfügbarkeit. Wer beides braucht, installiert direkt unter Linux oder nutzt den Kubernetes-Operator. Pinnen Sie das Image auf eine Release-Linie, wie es die offizielle Docker-Anleitung empfiehlt: Das Beispiel nutzt 11.7, das aktuelle Extended Support Release, denn latest springt am Tag der Veröffentlichung auf v12.

Eine produktive Installation

PostgreSQL 14 ist das Minimum unter v11. Version 12.0, angekündigt für den 14. Oktober 2026, hebt es auf PostgreSQL 15 an, starten Sie also mit 15 oder neuer (das Beispiel oben nutzt 16). Die MySQL-Unterstützung endete mit v11.0 im Oktober 2025, für eine Neuinstallation ist MySQL also keine Option. Amazon Aurora PostgreSQL wird unterstützt und ist auf AWS die vernünftige verwaltete Option. Wer direkt unter Linux installiert, sollte wissen: v11.11 (September 2026) ist das letzte Release mit Unterstützung für RHEL 7 und RHEL 8.

Legen Sie Dateien vom ersten Tag an in S3-kompatiblen Objektspeicher. Das lokale Dateisystem funktioniert und ist die Voreinstellung, und es ist zugleich das, was Ihren Server still und leise zustandsbehaftet, Ihre Backups riesig und Ihre Migration schmerzhaft macht. Später zu wechseln bedeutet, Dateien zu verschieben und Pfade umzuschreiben. Bei der Installation zu wechseln bedeutet, eine Handvoll Konfigurationswerte zu setzen.

Für Hochverfügbarkeit brauchen Sie die Enterprise-Stufe: mehrere Anwendungsknoten hinter einem Load Balancer, einen gemeinsamen Objektspeicher und eine Datenbank mit Read Replicas. Für Suche im großen Maßstab wollen Sie Elasticsearch oder OpenSearch, ebenfalls Enterprise. Die Volltextsuche von PostgreSQL genügt für einige hundert Personen und einige Millionen Nachrichten, und die CJK-Suche funktioniert jetzt standardmäßig auf PostgreSQL, was früher ein echter Grund war, das Such-Add-on zu kaufen.

Die drei Dinge, die schiefgehen

Alles Bisherige steht in der Dokumentation. Das Folgende entdecken die Leute im Produktivbetrieb.

Push-Benachrichtigungen sind nicht so kostenlos, wie Sie denken

Mobiler Push muss über die Netze von Apple und Google laufen, also muss irgendetwas die Signaturzertifikate halten. Mattermost betreibt einen Test Push Notification Service, der sofort funktioniert und ausdrücklich nicht für den Produktivbetrieb gedacht ist. Der Hosted Push Notification Service ist der produktive, und er kommt mit einer kostenpflichtigen Lizenz.

Die dritte Möglichkeit ist ein eigener Push-Proxy. Das ist gut dokumentiert und durchaus machbar, bedeutet aber, eine eigene mobile App mit eigenen Firebase- und APNs-Zugangsdaten zu bauen und zu verteilen. Das ist eine App-Store-Beziehung und ein Release-Prozess, kein Nachmittag.

Entscheiden Sie sich für eine der drei Varianten, bevor Sie auf Mobiltelefone ausrollen, und nicht erst, wenn die erste Person fragt, warum sie Nachrichten nur bei geöffneter App bekommt. Dieser eine Punkt lässt mehr Mattermost-Migrationen scheitern als alles andere.

Calls braucht mehr als einen Port

Calls hat zwei Betriebsarten. Der integrierte Modus lässt den Mediendienst im Mattermost-Server laufen und wird unterhalb von etwa fünfzig aktiven Nutzern empfohlen. Darüber wollen Sie rtcd, einen separaten Dienst, der die Mediendaten vom Hauptserver fernhält und horizontal skaliert. rtcd setzt Enterprise voraus.

In beiden Fällen müssen die Clients den Mediendienst über UDP auf Port 8443 erreichen, und dieser Port muss auf dem Host offen sein, auf dem der Mediendienst läuft. Ihr nginx-Reverse-Proxy leitet ihn nicht weiter, denn nginx liegt gar nicht im UDP-Pfad. Die Hälfte aller Threads über nicht zustande kommende Anrufe geht auf eine Firewall-Regel zurück, die nie ergänzt wurde.

Auf der kostenlosen Stufe erwarten Sie Einzelgespräche mit Zeitlimit statt unbegrenzter Gruppenanrufe. Wenn unternehmensweites Video Pflicht ist, kalkulieren Sie es ein.

Jemand muss es betreiben

Der ehrliche Kostenvergleich lautet nicht Lizenz gegen null. Er lautet Lizenz gegen Infrastruktur plus die Person, die patcht. Mattermost veröffentlicht jeden Monat ein Feature-Release (am 10. Oktober 2026 ist das 11.11, das Extended Support Release ist 11.7), aus Sicherheitsgründen wollen Sie aktuell bleiben, und Upgrades bringen Datenbankmigrationen mit sich, die Sie irgendwo testen sollten, das nicht die Produktion ist.

Für ein Team, das ohnehin eigene Infrastruktur betreibt, ist das Randarbeit und die Rechnung geht klar auf. Für eine Firma mit zehn Leuten und ohne Betriebskapazität kann eine SaaS-Rechnung tatsächlich billiger sein als die verlorenen Dienstagnachmittage. Seien Sie ehrlich, welcher Fall Sie sind.

Der Umzug von Slack

Mattermost bietet einen Importpfad aus Slack-Exportdateien, und der funktioniert, mit Einschränkungen, die man vorher kennen sollte. Nachrichten aus öffentlichen Kanälen und Benutzer kommen gut herüber. Private Kanäle und Direktnachrichten hängen davon ab, was Ihr Slack-Tarif überhaupt exportieren lässt. Threads, Dateianhänge, eigene Emoji und Integrationen brauchen Aufmerksamkeit, und manches davon muss neu gebaut werden.

Was funktioniert: Importieren Sie die Historie als durchsuchbares Archiv und behandeln Sie den Umstiegstag als sauberen Neuanfang. Der Versuch, jedes Slack-Verhalten exakt nachzubilden, verwandelt eine Migration von zwei Wochen in eine von zwei Quartalen.

Lassen Sie beides zwei Wochen parallel laufen, ziehen Sie ein Team zuerst um, und legen Sie den Abschalttermin gleich zu Beginn öffentlich fest. Chat-Migrationen scheitern sozial, nicht technisch.

Der europäische Blickwinkel

Für Unternehmen in der EU geht es dabei nicht nur um Kosten. Selbsthosting legt die interne Kommunikation in eine Grenze, die Sie kontrollieren, und das verändert mehrere Gespräche auf einmal: die Übermittlungsprüfung nach DSGVO, die Lieferkettenprüfung nach NIS2 und die Souveränitätsfragen, die zunehmend in der öffentlichen Beschaffung auftauchen und das ganze Thema des Cloud and AI Development Act sind.

Der interne Chat ist eine der dichtesten Ansammlungen vertraulichen Materials, die ein Unternehmen besitzt. Dort stehen Incident-Details, Kundennamen, Zugangsdaten, die niemand hätte einfügen dürfen und trotzdem eingefügt hat, und jede laufende Vertragsverhandlung. Wenn jemand fragt, wo diese Daten liegen, ist es etwas wert, mit einer Region und einem Rack antworten zu können statt mit einer Liste von Unterauftragsverarbeitern.

Wann Sie es lassen sollten

Wenn Sie fünfzehn Leute sind, Ihre Compliance-Anforderungen leicht sind und niemand einen Server besitzen möchte, nehmen Sie die SaaS. Die Ersparnis wiegt die Aufmerksamkeit nicht auf.

Wenn Sie tiefe Integration in ein Ökosystem brauchen, in dem Sie ohnehin schon leben, prüfen Sie genau, was Sie verlieren würden. Teams in einer Microsoft-365-Landschaft bekommen vieles geschenkt, das Sie nachbauen müssten.

Und wenn der Antrieb die Abneigung einer lauten Person gegen einen Anbieter ist statt eine echte Anforderung an Kosten, Kontrolle oder Rechtsraum, dann bleibt die Migration bei etwa sechzig Prozent Nutzung stehen, und das ist für ein Kommunikationswerkzeug das denkbar schlechteste Ergebnis.

Unterstützung

Wir betreiben selbst gehostete Open-Source-Infrastruktur für Unternehmen in Europa, einschließlich der unspektakulären Teile: Push-Proxys, Migrationen in Objektspeicher, Upgrade-Pfade und die Identity-Anbindung, die einen Chat-Rollout überhaupt erst tragfähig macht.

Wenn Sie eine sauber dimensionierte Mattermost-Installation brauchen, eine Slack-Migration, die jemand geplant hat, der sie schon gemacht hat, oder eine ehrliche Antwort darauf, ob Selbsthosting sich für Ihr Team lohnt, schreiben Sie an office@c9group.dev. Mehr zu unserer Infrastrukturarbeit finden Sie auf der Seite zur AWS-Kostenoptimierung.

Wenn Sie einen vollständigen selbst gehosteten Stack zusammenstellen, gilt dieselbe Überlegung für Analytics und für Marketing-Automatisierung.

---

Veröffentlicht: 8. August 2026 (aktualisiert am 10. Oktober 2026) Kategorien: Zusammenarbeit, Open Source, Datenschutz