Die wichtigsten Punkte im Überblick:
1. Bekannte Sicherheitslücken (Schwachstellen)
Historie von Schwachstellen: Wie andere Office-Pakete oder Editoren war auch OnlyOffice in der Vergangenheit von teils kritischen Sicherheitslücken betroffen (z. B. Schwachstellen im Dokumentenserver, die unter Umständen Angriffe wie Path Traversal oder in Desktop-Versionen kombinierte Lücken wie die „OnlyShells“-Schwachstellenkette ermöglichten, bei denen präparierte Dateien theoretisch Code ausführen konnten).
Aktualität ist entscheidend: Der Hersteller (Ascensio Systems) schließt solche Lücken regelmäßig durch Sicherheitsupdates (wie in neueren Hauptversionen). Das Risiko besteht vor allem dann, wenn Software veraltet ist und kein zeitnahes Patch-Management betrieben wird.
2. Hosting und Datenschutz (DSGVO)
Cloud vs. Self-Hosting:
Wenn Sie die kommerzielle Cloud von OnlyOffice nutzen, liegen Daten auf entsprechenden Servern.
Für Unternehmen, Behörden oder datenschutzbewusste Anleger ist die Möglichkeit des On-Premise-Hostings (also der Betrieb auf einem eigenen Server) ein großer Vorteil. Dadurch verbleiben die Daten im eigenen Netzwerk und unter eigener Kontrollgewalt, was die Einhaltung der DSGVO deutlich erleichtert.
Unternehmenssitz: Der Entwickler hat Wurzeln in Osteuropa/internationalen Strukturen, was für manche Organisationen hinsichtlich Compliance-Vorgaben genauer geprüft wird, auch wenn die Software als Open Source (AGPL v3) transparent einsehbar ist.
3. Technische Architektur und Dateikompatibilität
Da OnlyOffice darauf ausgelegt ist, die Microsoft-Formate (DOCX, XLSX, PPTX) möglichst nativ und originalgetreu darzustellen, nutzt die Software komplexe Parser. Fehler in diesen Parsern beim Öffnen bösartig präparierter Dateianhänge stellen klassischerweise ein Einfallstor für Schadcode dar.
Fazit & Empfehlung
OnlyOffice gilt bei sachgemäßer Konfiguration und aktuellem Patch-Stand als solide und sichere Alternative zu Microsoft 365 oder Google Workspace.
Für den Heimgebrauch (Desktop-App):
Solange Sie automatische Updates aktiviert haben und keine ungeprüften Dateien aus unseriösen Quellen öffnen, ist das Risiko gering.
Für Unternehmen / Serverbetreiber: Entscheidend sind ein striktes Update-Management, eine abgesicherte Server-Konfiguration (Self-Hosting) und die Berücksichtigung interner Compliance-Richtlinien.
Damit sollte die Frage ausreichend beantwortet sein. Ausserdem ist die Software Opensource, so das sich jeder den Quellcode anschauen kann und ihn auf versteckte Hintertüren absuchen kann.