---
title: "Vertrauen: Datenstandort, CLOUD Act, Sicherheit"
description: "Wo die Daten bei Elchi Studios liegen, wer sie sieht und was der US CLOUD Act damit zu tun hat, mit den Ausnahmen beim Namen und dem, was noch fehlt."
url: https://elchi.dev/de/vertrauen
language: de
---

Vertrauen

# Wo Ihre Daten liegen, und wer sie sieht.

Gespeicherte Daten, also Konten, Postfächer, Inhalte und Datenbanken, liegen auf unseren eigenen Servern bei europäischen Anbietern in der Schweiz, Deutschland, den Niederlanden und Frankreich. Die wenigen Dienste, die davon abweichen, stehen unten beim Namen.

## Der US CLOUD Act

Seit 2018 muss ein Anbieter, der US-Recht untersteht, Daten an US-Behörden herausgeben, die er besitzt oder kontrolliert, auch wenn sie in Europa gespeichert sind. Entscheidend ist also nicht, wo ein Rechenzentrum steht, sondern wem es gehört. Deshalb liegen Ihre gespeicherten Daten bei uns nur bei europäischen Anbietern.

[Der CLOUD Act, ausführlich](https://elchi.dev/de/wissen/cloud-act)

## Was fehlt

Wir haben keine Zertifizierung nach ISO 27001 oder SOC 2 und keine unabhängige Sicherheitsprüfung. Was wir stattdessen offenlegen: wo jeder Server steht, wer welche Daten sieht, wie Passwörter gespeichert werden, und jede Störung in ihrer echten Länge. Wenn die Prüfung stattfindet, veröffentlichen wir das Ergebnis, wie es auch ausfällt.

## Der Weg einer Mail bei EMX

Wo eine Mail ankommt, wo sie liegt, wer sie lesen kann und wie sie hinausgeht. Gezeichnet aus der Skizze, mit der EMX begonnen hat.

[Wie das Diagramm entstanden ist](https://elchi.dev/de/entstehung)

**Der Weg einer Mail bei EMX.** Eine Mail kommt von einem Absender im Internet bei mx.emxmail.ch an, wo SPF, DKIM und DMARC geprüft werden und der Spamfilter läuft. Gespeichert werden Nachrichten und Anhänge verschlüsselt in Genf, auf Wunsch versiegelt; die Datenbank liegt in Frankfurt, mit Kopien in Nürnberg und Paris. Gelesen wird im Webclient und in der App mit Anmeldung über EAuth, in Outlook, Apple Mail und auf dem Telefon über IMAP mit einem App-Passwort, und von Ihrer Software über die API mit einem Token. Gesendete Mail stellen unsere eigenen Server zu, mit DKIM signiert, an Empfänger im Internet.

 

## Die Ausnahmen, beim Namen

Vier Dienste ausserhalb der EU oder aus einem US-Konzern nutzen wir trotzdem, für eng begrenzte Aufgaben.

Dienst

Wofür

Was er sieht

Resend, USA

Benachrichtigungsmails: Bestätigung einer Adresse, Zurücksetzen eines Passworts, Einladungen, Antworten auf eine Anfrage.

Die Empfängeradresse und den Inhalt dieser einen Mail. Versendet aus der EU, gespeichert in den USA.

Stripe, Irland (Konzern aus den USA)

Die Zahlung von EMX Team.

Die Zahlungsdaten. Keine Mail, keine Konten Ihrer Nutzer.

Cloudflare, USA

Hält die DNS-Zonen unserer Domains.

Namen und Adressen unserer Server, keinen Datenverkehr. Anfragen leitet Cloudflare nicht weiter.

Spamhaus, Grossbritannien

Sperrlisten für den Spamfilter von EMX.

Adressen und Domains einliefernder Server, keine Nachrichten.

## Gehen können

Bei EAuth exportieren Sie alle Konten mit den Passwort-Hashes in ihrer ursprünglichen Form. Bei EMX jedes Postfach, über IMAP oder die API. Bei einer Website alle Texte, Bilder, Anfragen und Daten. Jederzeit, ohne uns zu fragen.

## Sicherheit melden

Schreiben Sie an security@elchi.dev, auf Deutsch oder Englisch. Jeder Host nennt die Adresse in /.well-known/security.txt. Sie bekommen innerhalb von drei Werktagen eine Antwort. Wer sich an die Regeln hält, hat von uns keine rechtlichen Schritte zu erwarten; eine Belohnung gibt es nicht.

[security@elchi.dev](mailto:security@elchi.dev)

[Die Regeln für Meldungen](https://docs.elchi.dev/security#reporting-a-vulnerability)

## Unterauftragnehmer

Die vollständige Liste, mit Ort und Aufgabe jedes Anbieters. Ändert sie sich, kündigen wir es 30 Tage vorher an.

[Zur Liste](https://docs.elchi.dev/subprocessors)

## Störungen

Was gerade läuft, steht auf status.elchi.dev, gemessen von mehreren Orten. Jede Störung wird dort in ihrer echten Länge eingetragen.

[status.elchi.dev](https://status.elchi.dev/)

## Rechtstexte

Impressum, Datenschutzerklärung, Geschäftsbedingungen, Auftragsverarbeitung und die Bedingungen für EAuth und EMX. Jede Fassung bleibt veröffentlicht, mit dem Tag, ab dem sie galt.

[Alle Rechtstexte](https://legal.elchi.dev/de/)

## Infrastruktur

Acht Server bei Hetzner, UpCloud, Infomaniak, Scaleway und Tavuru in der Schweiz, Deutschland, den Niederlanden und Frankreich, mit drei Kopien jeder Datenbank.

[Wie der Verbund aufgebaut ist](https://elchi.dev/de/infrastruktur)