statuswerk

Sicherheit & Compliance

Diese Seite beantwortet die Fragen, die in einer Sicherheitsprüfung gestellt werden: wo deine Daten liegen, wer sie verarbeitet und wie wir sie schützen.

Stand: 7. November 2026

Auf einen Blick

  • Betrieb und Hosting in Deutschland, bei der Hetzner Online GmbH. Die Prüfpunkte des Monitorings stehen zusätzlich bei UpCloud in Amsterdam, Warschau und Madrid.
  • Betrieben von der We Manage GmbH — demselben Unternehmen, das im Impressum steht. Es gibt keinen weiteren Dienstleister zwischen uns und dem Server.
  • Datenbanken betreiben wir selbst. Kein Managed-Database-Anbieter, keine Datenhaltung außerhalb unserer Infrastruktur.
  • E-Mail-Adressen und Telefonnummern von Abonnenten sind verschlüsselt gespeichert.

Wo deine Daten liegen

Anwendung, Datenbanken und Dateien laufen auf Servern der Hetzner Online GmbH in Deutschland. Betrieb, Konfiguration, Updates und Backups machen wir selbst — Hetzner stellt die Infrastruktur, nicht den Betrieb.

Das HTTP-Monitoring prüft deine Dienste aus sechs Regionen: Falkenstein, Nürnberg und Helsinki bei Hetzner, Amsterdam, Warschau und Madrid bei UpCloud. Diese Prüfpunkte bekommen nur, was sie für einen Check brauchen — die Adresse und gegebenenfalls die Zugangsdaten —, speichern nichts und melden nur das Ergebnis zurück.

Deine Daten verlassen den EU-Rechtsraum nicht.

Was wir selbst betreiben

Bausteine, die viele Anbieter als Dienst einkaufen, laufen bei uns auf eigener Infrastruktur — die Daten gehen also an niemanden weiter:

  • Fehlerprotokollierung. Ebenfalls selbst gehostet (Sentry). Fehlermeldungen aus der Anwendung verlassen unsere Infrastruktur nicht.
  • Datenbanken. Kein Managed-Database-Anbieter.
  • Schriftarten. Die Statusseiten laden keine Schriften von einem fremden Server. Besucher deiner Statusseite bauen keine Verbindung zu Dritten auf.

Technische Maßnahmen

  • Verschlüsselung unterwegs — alle Verbindungen über TLS, auch die Statusseiten auf eigenen Kundendomains, für die wir Zertifikate automatisch ausstellen und erneuern.
  • Verschlüsselung ruhender Abonnentendaten — E-Mail-Adressen und Telefonnummern von Abonnenten liegen verschlüsselt in der Datenbank. Ein Datenbank-Dump enthält sie nicht im Klartext. Suchen bleibt über verschlüsselte Suchindizes möglich, ohne die Werte offenzulegen.
  • Trennung der Mandanten — jede Abfrage ist an den Workspace gebunden, in der Oberfläche wie in der API.
  • API-Tokens mit Berechtigungen — pro Token „nur lesen" oder „lesen und schreiben", an einen Workspace gebunden, optional mit Ablaufdatum.
  • Schutz gegen Missbrauch — Ratenbegrenzung auf allen öffentlichen Endpunkten: Anmeldung von Abonnenten, Abonnenten-Links, Passwortabfrage privater Seiten und die REST-API.
  • Ausgehende Webhooks abgesichert — nur HTTPS, keine internen oder reservierten Adressbereiche, keine Weiterleitungen, und die Zieladresse wird vor jeder Zustellung erneut geprüft.
  • Audit-Log — wer was in einem Workspace geändert hat, inklusive Zeitpunkt und IP. Für Kunden im Tarif Pro (30 Tage) und Business (ein Jahr) einsehbar.

Unterauftragsverarbeiter

Diese Dienstleister verarbeiten in unserem Auftrag Daten. Andere gibt es nicht.

Dienstleister Zweck Verarbeitete Daten Ort
Hetzner Online GmbH Infrastruktur, Hosting, Backups, Prüfpunkte des Monitorings Alle in der Anwendung gespeicherten Daten Deutschland; ein Prüfpunkt in Finnland
AhaSend B.V. E-Mail-Versand an Abonnenten und Nutzer E-Mail-Adresse, Betreff und Inhalt der Nachricht Niederlande, Verarbeitung im EWR
seven communications GmbH & Co. KG (seven.io) SMS-Versand an Abonnenten Telefonnummer und Nachrichtentext — nur bei Statusseiten, die SMS-Abonnements aktiviert haben Deutschland
UpCloud Ltd Prüfpunkte des Monitorings in Amsterdam, Warschau und Madrid Adresse und gegebenenfalls Zugangsdaten eines Checks, nur für die Dauer der Prüfung; das Ergebnis Finnland; Server in den Niederlanden, Polen und Spanien
STACKIT GmbH & Co. KG KI-Assistent im Support-Chat Nur der Text der Chat-Nachrichten — kein Name, keine E-Mail-Adresse, keine Kontodaten Deutschland
Rechnungskit (Happy Coffee GmbH) Abonnements, Rechnungsstellung und Kundenportal Rechnungsdaten unserer Kunden. Keine Daten von Abonnenten deiner Statusseite. Deutschland
Mollie B.V. Zahlungsabwicklung (über Rechnungskit) Zahlungsdaten unserer Kunden. Keine Daten von Abonnenten deiner Statusseite. Niederlande

Den Auftragsverarbeitungsvertrag (AVV) stellen wir auf Anfrage zur Verfügung. Änderungen an dieser Liste kündigen wir vorab an.

Wie lange wir Daten aufbewahren

  • Zustellprotokolle für E-Mails — 30 Tage, danach automatisch gelöscht.
  • Audit-Log — 365 Tage, danach automatisch gelöscht.
  • Messwerte — in voller Auflösung 7 Tage, verdichtet 90 Tage, stündlich verdichtet 24 Monate.
  • Abonnenten — bis zur Abmeldung. Wer sich abmeldet, wird gelöscht, nicht nur markiert. Abmeldelinks funktionieren immer, auch bei passwortgeschützten Statusseiten.
  • Vorfälle und Wartungen — solange du sie behältst. Du kannst sie jederzeit löschen.

Eine Schwachstelle melden

Wenn du ein Sicherheitsproblem gefunden hast: Wie du es uns meldest, steht in unserer security.txt. Wir bestätigen den Eingang innerhalb von zwei Werktagen und halten dich über den Stand der Behebung auf dem Laufenden.

Bitte gib uns Gelegenheit zur Behebung, bevor du etwas veröffentlichst. Wir gehen rechtlich nicht gegen Menschen vor, die in gutem Glauben und ohne Schaden anzurichten nach Schwachstellen suchen und sie uns melden.

Dokumente und Kontakt

Fragen zu dieser Seite oder zu einer Sicherheitsprüfung: info@statuswerk.eu