Datenschutz in der Praxis

Wo die Daten liegen, wie lange, und wie du sie wieder loswirst.

Die rechtlich verbindliche Fassung steht in der Datenschutzerklärung. Diese Seite erklärt, was das im Alltag bedeutet.

Wo die Daten liegen #

Auf einem Server in Deutschland. Vollständig – Datenbank, Uploads, Backups, Logs. Kein Objektspeicher in Irland, kein Analysedienst in den USA.

Eine einzige Ausnahme, und sie ist abschaltbar: Für die Registry-Prüfung von Container-Images geht der Image-Name an die betreffende öffentliche Registry — also library/nginx und 1.25, sonst nichts. Kein Kundenbezug, keine Gerätekennung, kein Inhalt. Private Registries werden gar nicht erst gefragt. Abschaltbar unter Einstellungen › Sicherheit; siehe Welche Daten.

Was zwischen Konten fließt #

Aus deinen Gerätedaten fließt nichts in die Ansicht eines anderen Kunden. Keine Zahl, kein Mittelwert, keine Gruppenstatistik.

Das war bis August 2026 anders: Es gab einen Vergleich mit ähnlichen Systemen, der die Punktzahl eines Geräts anonymisiert in eine Gruppenauswertung einfließen ließ — abgesichert durch vier Sperren, damit sich aus einem Mittelwert niemand zurückrechnen ließ. Mit der Punktzahl selbst ist auch der Vergleich entfallen, und die Einwilligung dazu wurde gelöscht statt für ein abgeschafftes Verfahren stehen zu lassen.

Auch das Verhaltensbild (Gerät › Verhaltensbild) arbeitet ausschließlich mit der Geschichte des jeweiligen Geräts. Es vergleicht deinen Server mit sich selbst von gestern, nicht mit den Servern anderer Kunden. Es gibt keine gemeinsame Wissensdatenbank, in die deine Messwerte einfließen.

Ein Berührungspunkt bleibt, und er ist freiwillig: das Messnetz. Wenn du es einschaltest, führt dein Gerät Messungen für andere Konten aus — der Messverkehr geht dann von deinem Anschluss aus, und wer die Zieladresse betreibt, sieht deine IP-Adresse in seinen eigenen Protokollen. In der Oberfläche sieht der Auftraggeber sie nicht, und du siehst nicht, wer beauftragt hat. Standardmäßig ist das Messnetz aus; die Einzelheiten stehen unter Sonar und weiter unten auf dieser Seite.

Die Prozesswache läuft ab Werk #

Seit Agent 1.16 hört der Agent dauerhaft beim Kernel mit — er lässt sich melden, wenn ein Programm startet, sich verzweigt oder endet. Das ist die einzige Stelle, an der er zwischen zwei Berichten etwas tut, und deshalb steht es hier.

Was er dabei liest: den Namen des Programms, seine Prozessnummer und den Namen des Prozesses, der es gestartet hat. Dazu prüft er die Aufrufzeile gegen eine Handvoll fester Muster — Schürfprogramme, Rückwärtsverbindungen.

Was den Server nie verlässt: die Aufrufzeile selbst. In ihr stehen regelmäßig Kennwörter, und der Agent kann nicht unterscheiden, wann. Übertragen wird das Ergebnis der Prüfung, nicht ihr Gegenstand — also 20114:php-fpm>sh, sonst nichts. Eine einzige Stelle im Agenten setzt das durch und meldet, wenn sie greifen musste.

Sie liest ausschliesslich. Sie beendet keinen Prozess, blockiert nichts und verändert nichts am System.

Abschaltbar ist sie im Dashboard beim Gerät und lokal mit NODE64_PROZESSWACHE=false. Auf Geräten, an denen noch niemand entschieden hat, steht ein Hinweis auf die geänderte Vorgabe, bis jemand den Schalter anfasst.

Was gespeichert wird #

• Die Inventardaten deiner Geräte (siehe Welche Daten gesammelt werden).
• Die daraus entstandenen Befunde samt Verlauf.
• Konto- und Nutzerdaten: E-Mail-Adresse, Name, Rolle, Anmeldungen.
• Das Audit-Log deines Kontos.
• Server-Logs mit IP-Adresse – sieben Tage, dann werden sie gelöscht.

Was nicht gespeichert wird #

Keine Passwörter (es gibt keine), keine privaten Schlüssel, keine Dateiinhalte, keine Log-Inhalte deiner Systeme, keine Nutzdaten. Zugangsdaten der Geräte liegen nur als Hash vor – ein Datenbank-Auszug allein nützt niemandem etwas.

Aufbewahrung #

Verlaufsdaten nach Tarif: 7, 90 oder 365 Tage. Offene Befunde bleiben, bis sie behoben oder gelöscht sind. Gelöschte Geräte nehmen ihre Daten mit.

Auch in der Zeitreihen-Datenbank. Messwerte über die Zeit – Auslastung, Füllstände, Laufzeiten – liegen seit August 2026 zusätzlich in einer eigenen Datenbank (VictoriaMetrics), weil sie dort weniger Platz brauchen und Verläufe schneller zu zeichnen sind. Sie läuft ausschließlich auf demselben Server und ist von außen nicht erreichbar. Für sie gilt dieselbe Frist: Ein täglicher Lauf entfernt, was älter ist als die Zusage deines Tarifs. Eine Frist, die nur für einen Teil der Speicherorte gilt, wäre keine.

Deine Rechte, praktisch #

Auskunft und Export: Unter Einstellungen → Konto bekommst du alles als Archiv – Konto, Geräte, Befunde, Protokoll. Kein Ticket, kein Warten.

Löschung: An derselben Stelle. Das Konto und alles daran wird entfernt.

Widerspruch gegen einzelne Verarbeitung: Ein Gerät abbinden reicht – ohne Agent fliessen keine Daten.

Wer Zugriff hat #

Der Betrieb von NODE64. Zugriff auf Kundendaten erfolgt nur, wenn es für den Betrieb nötig ist, und Zugriffe im Betreiber-Bereich werden protokolliert. Die Betreiber-Oberfläche zeigt bewusst Summen statt Kundenlisten – die Zahl der Geräte insgesamt, nicht wer welches betreibt.

Sonar und personenbezogene Daten #

Messziele und Messergebnisse enthalten IP-Adressen, also personenbezogene Daten. Sie unterliegen derselben Aufbewahrungsfrist und werden nicht weitergegeben. Die Teilnahme am Messnetz ist freiwillig; der Messverkehr geht von deinem Anschluss aus, was beim Einschalten unmissverständlich dasteht.

Das Kontaktformular – ohne Captcha, und warum #

Das Formular auf der Kontaktseite kommt ohne Captcha aus. Das ist eine bewusste Entscheidung, keine Nachlässigkeit: Die verbreiteten Dienste laden Code von US-Servern nach, setzen Kennungen und werten das Verhalten der Besucher aus – man handelt sich für einen begrenzten Nutzen eine Datenschutzfrage ein, die man vorher nicht hatte.

Stattdessen greifen fünf Maßnahmen, die alle ohne Fremdcode und ohne Datenverarbeitung über dich auskommen:

• CSRF-Token. Ein Absenden von einer fremden Seite aus wird abgewiesen.
• Honeypot. Ein Feld, das nur ein Automat ausfüllt – für dich ist es unsichtbar und nicht anspringbar.
• Zeitfalle. Wer das Formular in unter drei Sekunden ausfüllt, hat es nicht gelesen.
• Rate-Limit je Adresse. Fünf Nachrichten pro Stunde. Danach ist Schluss.
• Stiller Abbruch. Erkennt das System einen Automaten, bekommt er dieselbe Bestätigungsseite wie ein Mensch – nur ohne Versand. Wer nicht erfährt, dass er aufgeflogen ist, passt sich auch nicht an.

Sollte es doch einmal nötig werden, käme etwas selbst gehostetes zum Einsatz, das dem Rechner eine kleine Rechenaufgabe stellt statt dir ein Bilderrätsel – kein fremder Dienst, keine Kennung, keine Auswertung deines Verhaltens.

Was zur gemeinsamen Wissensbasis beiträgt #

NODE64 lernt aus dem, was viele Installationen sehen: welche Vorgänge alltäglich sind und welche fast nirgends vorkommen. Dafür geht ein anonymisierter Auszug deiner Beobachtungen an die gemeinsame Wissensbasis – über einen eigenen Weg, getrennt vom normalen Upload.

Es ist nicht die Gerätekennung, die identifiziert, sondern die Kombination. Ein System mit genau 878 Paketen, genau 224 Diensten und genau dieser Kernelfassung ist auch ohne Namen wiederzuerkennen. Die Kennung wegzulassen ist deshalb der kleinste Teil der Arbeit. Vor der Übertragung wird:

Was nie mitgeht: kein Gerätename, kein Hostname, keine Adresse, kein Pfad, keine vollständige Versionsangabe, keine Kontokennung, keine Absender-IP. Die Tabelle hat für nichts davon eine Spalte.

Das Installations-Pseudonym. Ein Beitrag trägt eine 16-stellige Kennung, die aus deiner Kontonummer und einem geheimen Salz gebildet wird. Sie beantwortet genau eine Frage: Kommen zwei Beiträge von derselben Installation? Ohne diese Antwort wären zwanzig Beobachtungen einer einzigen Installation nicht von zwanzig aus zwanzig zu unterscheiden – und genau da würde jemand ansetzen, der die Wissensbasis vergiften will. Wechselt das Salz, wechseln alle Pseudonyme.

Ein Muster entsteht erst ab 20 Beobachtungen aus 5 Installationen, und keine davon darf mehr als ein Viertel beisteuern. Ein einzelner Absender kann kein Muster bestätigen, egal wie oft er sendet.

Alle Tarife tragen bei, und du kannst es abschalten. Dann wird nichts gebildet und nichts geschrieben – nicht „gesendet und verworfen".

Und was zurückkommt, ersetzt nichts. Die übergreifende Einordnung sagt, wie gewöhnlich ein Vorgang anderswo ist. Ob er auf deinem Server ein Problem ist, entscheidet die Grundlinie dieses Geräts – ein Server ohne Verbindung erkennt genau so viel wie mit.