Ein Satz in unserer internen Dokumentation hat mehr Diskussionen entschieden als alles, was wir seither aufgeschrieben haben: nur europäische Anbieter, nirgends amerikanische, weder im Produkt noch in dem, wovon es abhängt. Was diese Regel ausgeschlossen hat, was sie einbrachte, und wie wir sie einhalten. Teil 1 einer Reihe darüber, wie wir email.eu gebaut haben.
Früh im Vorhaben schrieben wir einen Satz in unsere interne Dokumentation, und dieser Satz hat mehr Diskussionen entschieden als alles, was wir seither aufgeschrieben haben: nur europäische Anbieter. Keine US-Anbieter, nirgends im Produkt und nirgends in dem, wovon es abhängt.
Nicht "in Europa gehostet". Nicht "DSGVO-konform", was jeder Anbieter behauptet. Kein US-Unternehmen irgendwo in der Kette, Punkt. Dieser Beitrag handelt davon, was es wirklich kostet, sich an diesen Satz zu halten, und warum wir ihn für die einzige Fassung von "souverän" halten, die etwas bedeutet. Er ist auch der erste Teil einer Reihe darüber, wie wir email.eu gebaut haben, denn fast jede technische Entscheidung in der übrigen Reihe geht auf diese eine Regel zurück.
Die bequeme Fassung von Souveränität ist, eine Region in Frankfurt bei einem US-Hyperscaler zu mieten und eine europäische Flagge auf die Preisseite zu setzen. Die Bytes liegen in Deutschland. Das Unternehmen, das über sie verfügt, ist Washington gegenüber verantwortlich, CLOUD Act inbegriffen. Wo Ihre Daten physisch liegen und wer rechtlich gezwungen werden kann, sie herauszugeben, sind zwei verschiedene Fragen, und nur die zweite zählt, wenn es darauf ankommt.
Unsere Regel dreht sich also nicht um Geografie. Sie dreht sich um Rechtsraum, die ganze Lieferkette hinunter. Wenn ein US-Unternehmen an die Daten kommt, ist die Flagge am Rechenzentrum Dekoration.
Eine Regel, die man nie spürt, ist keine Regel. Hier sind die Stellen, an denen die bequeme, branchenübliche Wahl amerikanisch war, und was wir stattdessen getan haben.
| Die übliche Wahl | Unsere Antwort |
|---|---|
| Cloudflare vor allem | Nichts davor. Das eigene Netz und der Anti-DDoS-Schutz von OVHcloud, und Dienste, die dafür gebaut sind, direkt am Internet zu stehen. |
| reCAPTCHA oder hCaptcha bei der Anmeldung | Altcha, eine Rechenaufgabe, die Ihr Browser lokal löst. Nichts ruft bei einem Prüfdienst an. |
| Stripe für Zahlungen | Mollie, aus den Niederlanden. |
| SendGrid oder SES für transaktionale Mail | Remails, ein europäischer, quelloffener und datenschutzorientierter Anbieter für transaktionale E-Mail. |
| Google Analytics | Umami, selbst gehostet und ohne Cookies, auf unserem eigenen Cluster. |
| Datadog oder Grafana Cloud für Monitoring | Selbst gehostete Messungen und eine öffentliche Statusseite, die daraus gefüllt wird. |
| Google Fonts | Schriften, die einmal beim Bauen geladen werden und von unseren eigenen Servern kommen. |
Jede Zeile war eine echte Entscheidung mit echten Kosten. Die amerikanische Option ist meist die geschliffene, mit der besseren Dokumentation und der größeren Gemeinschaft. Zu all diesen Optionen jedes Mal Nein zu sagen, ohne dass sich Ausnahmen einschleichen "nur für dieses eine Ding", ist die eigentliche Arbeit. Ein einziges "vorübergehendes" Cloudflare-Setup oder ein Analytics-Schnipsel, und die Aussage auf der Startseite ist still falsch.
Der Gewinn steckt in einer Zahl: drei. Das ist die vollständige Liste der Unternehmen, die bei email.eu Kundendaten verarbeiten. OVHcloud für Infrastruktur, Mollie für Zahlungen, Moneybird für Rechnungen. Französisch, niederländisch, niederländisch. Wir haben die ganze Liste veröffentlicht, Randfälle inbegriffen, und es ist dieselbe Liste wie in unserem AVV.
Die meisten Arbeitsumgebungsprodukte haben eine Subverarbeiterliste, die dutzende Unternehmen lang ist, denn jeder bequeme Cloud-Dienst, der über die Jahre angeschraubt wurde, steht darin. Unsere ist aus einem strukturellen Grund kurz: Alles, was Ihre Post, Ihre Dateien oder Ihre Identität berührt, ist Software, die wir selbst betreiben, und kein Dienst, an den wir Ihre Daten schicken. Die Regel hat das erzwungen. Wenn Sie den amerikanischen Dienst nicht kaufen können, betreiben Sie am Ende das quelloffene Gegenstück auf Ihren eigenen Maschinen, und Ihre Daten hören auf zu reisen.
Wir sollten bei den Rändern ehrlich sein, denn eine Transparenzaussage mit verschwiegenen Rändern ist schlechter als keine. Unser Quellcode und unsere Build-Pipeline liegen auf GitHub, und das ist amerikanisch. Code, keine Kundendaten, aber wir sagen es lieber, als zu hoffen, dass niemand fragt. Die vollständige ehrliche Liste steht im Subverarbeiter-Beitrag.
Die Regel bedeutet, dass die schwierigen Teile unsere sind. Keine ausgelagerte E-Mail-API, kein ausgelagerter Identitätsdienst, kein fremder Support-Desk mit unseren Daten darin. Wir betreiben die Mailserver, den Identitätsanbieter, den Dateispeicher, die Videoschicht, die Abrechnung, alles, auf Infrastruktur, die wir bei OVH kontrollieren.
Das ist der Sinn der Regel, nicht ihr Preis. Ein Anbieter, der seine eigene Schicht betreibt, versteht sie, kann sie um drei Uhr nachts reparieren, und kann einer Kundin in die Augen sehen und sagen, wohin genau jedes Byte geht. Der Rest dieser Reihe ist ein Rundgang, wie das in der Praxis funktioniert:
Wenn das Ziel richtig klingt und Sie sich fragen, wie die Reise aussieht, ist die praktische Antwort kürzer als erwartet: Die meisten Teams ziehen an einem Wochenende um, und für die Außenwelt ändert sich nichts bis zu einem einzigen DNS-Eintrag ganz am Ende.