Betrieb und Wartung von Webanwendungen, auf Servern in Deutschland

Was im Betrieb enthalten ist

• Überwachung: Wir prüfen Ihre Anwendung laufend von außen, nach demselben Verfahren wie unsere Statusseite. Fällt etwas aus oder läuft ein Zertifikat bald ab, kümmern wir uns darum.
• Updates und Sicherheitspatches: Betriebssystem, Laufzeitumgebung und Bibliotheken halten wir aktuell. Sicherheitsupdates spielen wir geplant ein und prüfen danach, ob alles wieder läuft.
• Datensicherung: automatische Sicherungen, getrennt vom Server der Anwendung. Wie oft gesichert wird, wie lange Sicherungen aufbewahrt werden und wie oft wir die Wiederherstellung proben, legen wir im Angebot fest.
• Hosting in Deutschland: Ihre Anwendung läuft auf Servern bei Hetzner in Nürnberg. Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen wir mit Ihnen ab.
• Ansprechperson: Sie sprechen mit jemandem, der Ihr System kennt, und müssen nicht jedes Mal von vorn erklären.
• Weiterentwicklung: Neue Funktionen planen wir wie jedes Projekt, in Etappen mit Festpreis.

Die Statusseite: echte Messwerte statt Versprechen

Unsere Statusseite prüft alle fünf Minuten unsere öffentlichen Dienste, darunter diese Website, die Demos und den Kreis-Atlas. Die Werte sind echt, gemessen wird seit Inbetriebnahme der Seite. Nach demselben Verfahren überwachen wir Anwendungen, deren Betrieb Sie uns übertragen. Gemessen wird so:

• Ein Prüfskript ruft jeden Dienst über HTTPS ab, so wie ein Browser es täte, und misst Statuscode, Zeit bis zur vollständigen Antwort und Restlaufzeit des TLS-Zertifikats.
• Erreichbar heißt: Antwort innerhalb von zehn Sekunden mit dem erwarteten Statuscode. Schlägt ein Abruf fehl, wird er nach drei Sekunden einmal wiederholt.
• Eingeschränkt heißt: erreichbar, aber langsamer als drei Sekunden, oder das Zertifikat läuft in weniger als 14 Tagen ab.
• Verfügbarkeit ist der Anteil erfolgreicher Prüfungen im Zeitraum, auf zwei Stellen abgerundet. 100 % steht nur da, wenn keine einzige Prüfung fehlgeschlagen ist.
• Der Verlauf reicht 30 Tage zurück. Tage ohne Messung bleiben grau und zählen nicht mit.

Hosting-Begriffe kurz erklärt

Hosting-Angebote unterscheiden sich vor allem darin, wer was übernimmt. Das BSI unterscheidet bei Cloud-Diensten drei Modelle: Infrastruktur (IaaS), bei der Sie Betriebssystem und Anwendung selbst einsetzen, Plattform (PaaS), auf der Sie nur Ihre Anwendung betreiben, und fertige Software (SaaS). Für eine eigene Anwendung heißt das:

Datenschutz und Sicherheit im Betrieb

Wer personenbezogene Daten auf fremden Servern verarbeiten lässt, braucht in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Den schließen wir mit Ihnen ab. Art. 32 DSGVO verlangt außerdem unter anderem, die Verfügbarkeit der Daten nach einem Zwischenfall rasch wiederherstellen zu können und die Schutzmaßnahmen regelmäßig zu überprüfen. Dafür sind geprobte Sicherungen und Überwachung da.

Das Rechenzentrum stellt Hetzner. Nach eigener Angabe ist Hetzner nach ISO/IEC 27001 zertifiziert, mit den Standorten Nürnberg und Falkenstein im Geltungsbereich (Zertifizierung bei Hetzner). Wer die Anforderungen selbst nachlesen möchte: Das IT-Grundschutz-Kompendium des BSI behandelt Datensicherung und Patchmanagement in eigenen Bausteinen.

Warum Betrieb laufend Arbeit ist

Software altert, auch wenn niemand etwas an ihr ändert. In Bibliotheken werden Sicherheitslücken bekannt, Betriebssysteme bekommen Updates, TLS-Zertifikate laufen ab. Das CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller die Regeln für Zertifikate festlegen, hat 2025 beschlossen, die Höchstlaufzeit öffentlicher TLS-Zertifikate schrittweise von 398 auf 47 Tage zu senken, beginnend im März 2026 und abgeschlossen im März 2029 (Ballot SC-081).

Von Hand ist das kaum noch zu leisten. Zertifikate müssen automatisch erneuert werden, und jemand muss merken, wenn das einmal nicht klappt. Unsere Statusseite führt einen Dienst als eingeschränkt, sobald sein Zertifikat in weniger als 14 Tagen abläuft.

Anwendungen anderer Entwickler übernehmen

Wenn Ihr bisheriger Dienstleister aufhört oder niemand mehr genau weiß, wie die Anwendung läuft, können wir den Betrieb übernehmen. Vorher sehen wir uns an, was da ist, und sagen ehrlich, ob eine Übernahme sinnvoll ist oder ein Neubau günstiger wäre.

1. 1Bestandsaufnahme: Quellcode, Server, Zugänge, Abhängigkeiten, Datenbank und vorhandene Sicherungen.
2. 2Bericht mit Festpreis: was wir vorfinden, welche Risiken bestehen und was die Übernahme kostet.
3. 3Umzug: auf unsere Server in Deutschland, mit Test vor der Umschaltung. Daten ziehen wir mit Prüfprotokoll um, siehe Datenmigration.
4. 4Laufender Betrieb: Überwachung, Updates und Sicherung wie bei unseren eigenen Anwendungen.

Wenn etwas ausfällt

Ziel ist, einen Ausfall zu bemerken, bevor Ihre Kunden es tun. Die Überwachung meldet ihn, wir suchen die Ursache, stellen den Betrieb wieder her und sagen Ihnen, was passiert ist. Wie schnell wir reagieren und zu welchen Zeiten wir erreichbar sind, halten wir im Betriebsvertrag fest, damit Sie wissen, woran Sie sind.