Matrix ist ein Standard, kein Produkt. Alles darum herum ist Arbeit, und diese Arbeit übernehmen wir.

00

Was Matrix ist und die drei Möglichkeiten, es zu betreiben.

Eine Matrix-Adresse funktioniert wie eine E-Mail-Adresse. Alles Weitere hängt davon ab, wer den Rechner betreibt.

Matrix ist ein offener Standard für Echtzeitkommunikation. Ein Konto liegt auf einem Server, seine Adresse lautet etwa @you:example.com. Menschen auf unterschiedlichen Servern erreichen einander wie bei E-Mail. Niemand muss dieselbe Plattform nutzen, und kein Unternehmen steht im Zentrum des Netzes.

Damit bleibt eine wirklich entscheidende Frage: Wer betreibt den Server? Alles andere, vom Client über Verbindungen zu anderen Netzen bis zur Identitätsanbindung, kann später wechseln, ohne die Adressen zu ändern.

Es gibt drei Möglichkeiten für einen Homeserver. Sie unterscheiden sich darin, wem der Rechner gehört und wer bei einem Ausfall geweckt wird, nicht in den Softwarefunktionen.

Wenn dies neu für Sie ist

• Was ein Homeserver ist und was nicht
• Warum die Adresse Ihre Domain enthält und welchen Wert das hat
• Föderation verständlich erklärt: offen, auf benannte Partner begrenzt oder geschlossen
• Ende-zu-Ende-Verschlüsselung und das, was der Server dennoch sehen kann
• Was Brücken zu anderen Netzen übertragen können und was nicht
• Betriebskosten in Rechnern und Aufmerksamkeit
• Was sich für die Menschen ändert, die das System täglich nutzen müssen
• Wie ein realistischer erster Monat aussieht

Die drei Betriebsmodelle und ihre Folgen

• Nach einer Bestellung: Wir vereinbaren die Domain, Sie bezahlen die Einrichtungsrechnung, und der Aufbau beginnt
• Ein betriebsbereiter, gehärteter und gesicherter Server nach dem im schriftlichen Leistungsumfang vereinbarten Zeitplan
• Dann eine Pilotgruppe, dann alle, dann die Übergabe: kein Wechsel in einem einzigen Sprung
• Auf von uns betriebener Infrastruktur: dediziert, in der EU, aktuell gehalten und überwacht
• Auf Ihrer Hardware oder in Ihrem Cloudkonto: von uns installiert, gehärtet und gewartet
• Vollständig in Eigenregie: Entwurf, Aufbau und Übergabe, dann führen Sie den Betrieb
• Jedes Modell kann später in ein anderes wechseln; Adresse und Daten ziehen mit
• Keine gemeinsame Mandantenumgebung, keine Lizenz pro Nutzer, keine Bindung an einen Client
• Der Ausstieg wird zu Beginn geplant, nicht am Ende improvisiert

Nicht enthalten: Konten auf einem von uns betriebenen öffentlichen Server für beliebige Registrierungen. Jede Bereitstellung hier gehört einer einzigen Organisation.

01

Bereitstellung, Betrieb und Skalierung.

Ein sauber startender Homeserver, der geplant wächst und neu aufgebaut werden kann.

Matrix ist ein Protokoll, kein Paket. Eine Bereitstellung ist eine Folge von Entscheidungen: Serverimplementierung, Datenbank, Medienspeicher und Domaindelegation.

Wir arbeiten mit den Serverimplementierungen des Ökosystems und unterstützen Installationen über Konfigurationsmanagement, Container oder einen Kubernetes-Operator. Die Konfiguration bleibt versioniert, damit die Bereitstellung neu aufgebaut werden kann.

Wachstum ist eine eigene Disziplin neben der Installation. Funktionale Aufteilung, Kontrolle des Raumzustands und Tests unter realistischem Verkehr erfolgen vor dem Lastanstieg, nicht danach.

Installieren und konfigurieren

• Prüfung der Serverimplementierung: Synapse für fast alles, leichtere Implementierungen, wenn die Aufgabe sie tatsächlich verlangt
• Die Anforderungen an eigene Hardware sind klar: ein x86-64-Rechner, aktuelles Debian oder Ubuntu, uneingeschränkter ausgehender Zugriff und eine von Ihnen kontrollierte Domain oder eine kostenlose Subdomain von uns
• Neuinstallation mit TLS-Terminierung, Reverse-Proxy und gehärteten Standardeinstellungen
• Servername und Delegation über well-known-Dateien und Dienst-DNS-Einträge
• Konfigurationsmanagement für eine vollständig versionierte und prüfbare Bereitstellung
• Bereitstellung auf Containerplattformen über Charts oder einen Operator
• Datenbankbereitstellung, Optimierung und Verbindungspools
• Medienspeicher auf lokalem Datenträger oder in Objektspeicherung
• Push-Gateway, gegebenenfalls dediziert für eine mobile Anwendung mit eigener Marke
• Registrierungsregeln: nur Einladung, Tokens, Genehmigung, Captcha
• Air-Gap- und Offline-Installation für Netze ohne ausgehenden Zugriff
• Topologien mit mehreren Domains und Mandanten
• Produktionsnahe Testumgebung zum Proben von Aktualisierungen vor dem Einsatz

Skalieren

• Worker-Architektur mit funktional aufgeteilter Anfragenweiterleitung
• Trennung von Stream-Writern und Event-Persistern für schreibintensive Bestände
• Replikation und Cache-Koordination zwischen Prozessen
• Lastverteilerregeln gemäß den Weiterleitungsanforderungen des Homeservers
• Kontrolle des wachsenden Raumzustands und Zustandskomprimierung
• Auslagerung von Medien in Objektspeicherung mit Auslieferungsschicht
• Skalierung der Föderationssender und Verwaltung ausgehender Warteschlangen
• Automatische Skalierungsregeln auf Containerplattformen
• Lasttests mit realistischem Verkehr statt künstlichen Idealfällen
• Analyse mehrerer Regionen und randnaher Platzierung
• Leistungsoptimierung für große Räume und große Spaces
• Wechsel der Serverimplementierung, wenn die Aufgabe ihn verlangt

Nicht enthalten: Rufbereitschaft. Die Antwortzeiten stehen bei den Supportstufen unter /matrix/G. Die Infrastruktur bleibt Ihre oder die Ihres Anbieters.

02

Migration, Standortwechsel und Übertragbarkeit.

Einziehen, ohne den Gesprächsfaden zu verlieren. Ausziehen, ohne für den Ausstieg zu bezahlen.

Die meisten Matrix-Projekte beginnen anderswo: auf einer gehosteten Teamplattform, einem nie aktualisierten Chatserver oder einem nur testweise genutzten öffentlichen Homeserver.

Die Migration erfolgt stufenweise. Eine Brücke hält beide Systeme während des Wechsels aktiv; der Übergang ist schrittweise statt abrupt.

Übertragbarkeit funktioniert umgekehrt genauso. Eigentum bedeutet hier Berechtigungsstufen, keine Lizenz; der Ausstieg wird von Anfang an entworfen.

Einführung

• Migration von gehosteten Teamplattformen, Communityservern, IRC oder XMPP
• Verlaufsimport mit Erhalt von Urheberschaft, Zeitstempeln und Anhängen
• Zuordnung zwischen Ihrem vorhandenen Verzeichnis und Matrix-Kennungen
• Datenbankmigration von eingebetteter Speicherung zu einem System für den Produktivbetrieb
• Migration des Medienspeichers zu Objektspeicherung oder einer Auslieferungsschicht
• Wechsel von integrierter Passwortanmeldung zu einem dedizierten Authentifizierungsdienst
• Stufenweiser Wechsel mit verbundenen, parallel laufenden Systemen
• Rückkehr- und Notfallplanung für jede Phase

Migration, Ausstieg, Wiederholung

• Umzug des Homeservers auf neue Hardware, in eine neue Region oder zu einem neuen Anbieter
• Strategie für Servernamenwechsel und Delegation
• Wechsel zwischen Serverimplementierungen bei geändertem Betriebsmodell
• Aktualisierung von Raumversionen im gesamten Bestand
• Export, Archivierung und Stilllegung der verlassenen Plattform
• Aufbau einer internen Distribution, damit Teams standardkonforme Server bereitstellen können
• Referenzarchitektur und geprüfte Standardkonfiguration für wiederholte Bereitstellungen
• Mandanteneinrichtung und -entfernung beim Hosting für andere
• Offline-Artefaktpakete und private Spiegel für eingeschränkte Netze

Diagramm

Acht Entscheidungen prägen eine Matrix-Bereitstellung für eine Institution. Jede wird bewusst getroffen, statt aus einer Standardeinstellung übernommen.

00 Der Datensatz

• Umfang: Bereitstellung, Härtung, zentrale Anmeldung, Föderationsregeln, Moderation, Anrufe und die Unterlagen, die eine Institution vorlegen muss. Jede Einstellung unten ist eine Entscheidung, und jede Entscheidung wird dokumentiert.
• Was dokumentiert wird: Dokumentation, Diagramme und Architekturentscheidungsprotokolle sowie vollständige Datenschutzunterlagen mit Folgenabschätzung, Verarbeitungsverzeichnis, Löschrichtlinie und Verfahren bei Datenschutzverletzungen.
• Betrieb: Konfigurationsprüfung, Wiederherstellungsplanung und Datenbank-Wiederherstellungstests in einer isolierten Umgebung.
• Themen: Souveränität und Privatsphäre, Eigenbetrieb, Containerisierung, Datenschutz und Aufbewahrung, zentrale Anmeldung, Markenanpassung, Bots und Widgets, Supportintegration, selektive Föderation, Moderation und Regelkonformität, Betrieb und Beobachtbarkeit, Einführung und Empfehlungen.
• Ihre angekreuzten Felder werden mit dieser Nachricht übernommen.

01 Hosting

Wo befindet sich der Homeserver tatsächlich?

• A. Betreute Cloud
• + Läuft ab dem Tag der Anmeldung, ohne dass Sie jemanden einstellen müssen
• + Die richtige Lösung für ein kleines Team ohne eigenes Serverbetriebspersonal
• - Aufbewahrung, Grenzen und Datenstandorte des Anbieters werden Ihre
• - Aktualisierungen folgen seinem Zeitplan, nicht Ihrem
• B. Dedizierter Server
• + Datenbank, Medien und Protokolle liegen auf konkret benennbarer Hardware
• + Sie bestimmen Aufbewahrung, Uploadgrenzen und Härtung
• - Jemand muss aktualisieren, überwachen und dafür Verantwortung übernehmen
• - Eine schlechte Konfiguration bedeutet Ihren Ausfall statt einer Meldung auf einer Statusseite

Homeserver, Client, Identitätsanbieter, Datenbank und Reverse-Proxy, containerisiert auf von der Institution kontrollierter Hardware.

02 Föderation

Wer darf Ihre Räume erreichen?

• A. Offene Föderation
• + Das gesamte Matrix-Netz ab dem ersten Tag
• + Die richtige Lösung für eine Forschungsgruppe mit externen Kooperationspartnern
• - Bevor Ihre Richtlinie existiert, umfasst Ihr Moderationsbereich bereits das ganze Netz
• - Was per Föderation weitergegeben wurde, lässt sich nicht zurückrufen
• B. Föderation mit Zulassungsliste
• + Der Föderationsport bleibt geschlossen, bis Sie anders entscheiden
• + Partnerserver werden einzeln namentlich zugelassen
• - Alles außerhalb der Liste bleibt unerreichbar, auch gewünschte Ziele
• - Jeder neue Partner verlangt eine verantwortliche Entscheidung

Eine Bereitstellung kann geschlossen starten: Föderationsport geschlossen, ausdrückliche Server-Zulassungsliste und Moderation vor der Zulassung des ersten externen Servers.

03 Identität

Wie meldet sich eine Person an?

• A. Lokale Konten
• + Die Anmeldung funktioniert auch, wenn sonst nichts läuft
• + Die richtige Lösung für einen Pilotversuch mit zwanzig Personen ohne Verzeichnisanbindung
• - Registrierungen, Passwortzurücksetzungen und Austritte werden zu Supportfällen
• - Ein ausgeschiedenes Mitglied behält sein aktives Konto, bis jemand daran denkt
• B. Einmalanmeldung
• + Eine institutionelle Identität mit bereits anderswo geregeltem Kontolebenszyklus
• + Filter nach E-Mail-Domain legen fest, wer sich überhaupt registrieren darf
• - Der Identitätsanbieter ist ein zweites zu betreibendes System
• - Eine einzige Fehlkonfiguration verhindert die Anmeldung für alle

Identitätsanbieter-Integration, Realm-Trennung, Filterung nach E-Mail-Domain und Datenbankkonfiguration.

04 Verschlüsselung

Welche Räume sind Ende-zu-Ende-verschlüsselt?

• A. Jeder Raum
• + Der Serverbetreiber kann nichts lesen, auch wir nicht
• + Die richtige Lösung, wenn das Bedrohungsmodell den Betreiber einschließt
• - Suche, Bots, Widgets und Konformitätsprüfung verlieren den Einblick
• - Brücken und Ende-zu-Ende-Verschlüsselung lassen sich nicht problemlos kombinieren
• B. Nach Raum unterschieden
• + Verschlüsselung für schutzwürdige Inhalte, unverschlüsselte Räume für andere
• + Suche, Bots und Archivierung funktionieren dort weiter, wo sie gebraucht werden
• - Jemand muss die Regel schreiben und begründen
• - Eine falsche Einstufung ist ein stiller Fehler, kein auffälliger

Wir vereinbaren die Verschlüsselung raumweise und dokumentieren ihre Auswirkungen auf Brücken, Moderation, Suche und Archivierung.

05 Aufbewahrung

Wie lange bleibt etwas gespeichert?

• A. Alles behalten
• + Nichts geht je verloren, und niemand muss etwas entscheiden
• + Die richtige Lösung, wenn ein Archivgesetz unbegrenzte Aufbewahrung verlangt
• - In den meisten Bereitstellungen ist das der Standard, ohne bewusste Wahl
• - Jede nie gelöschte Nachricht bleibt eine Nachricht, für die Sie verantwortlich sind
• B. Serverseitige Aufbewahrungsrichtlinie
• + Nachrichten und lokal hochgeladene Medien laufen nach einem festgelegten Zeitplan ab
• + Medien anderer Server werden zwischengespeichert, nicht archiviert
• - Abgelaufen ist abgelaufen; es gibt keine Rücknahme
• - Der Zeitplan muss vor der Einstellung vereinbart werden

Eine Frist für Nachrichten und lokal hochgeladene Medien, eine kürzere für Medien anderer Server. Beide werden konfiguriert und dokumentiert.

06 Moderation

Was passiert bei einem Problem in einem Raum?

• A. Manuell
• + Keine zusätzliche Technik; ein Administrator liest die Meldung und handelt
• + Die richtige Lösung für einen Raum mit fünfzehn Kollegen
• - Die Reaktionszeit hängt davon ab, wer gerade wach ist
• - Erkenntnisse aus einem Raum schützen nicht den nächsten
• B. Durch Richtlinien durchgesetzt
• + Ein Richtlinienraum setzt seine Sperren in allen geschützten Räumen um
• + Neue Räume erben den Schutz statt gesondert konfiguriert zu werden
• - Eine schlechte Richtlinie verbreitet sich so schnell wie eine gute
• - Jemand muss weiterhin für die Liste verantwortlich sein

Ein Moderationsbot setzt Richtlinien im gesamten Bestand durch; daneben übernimmt eine Plugin-Laufzeitumgebung die täglichen Aufgaben.

07 Besprechungen

Wo findet das Gespräch statt?

• A. Ein externer Link
• + Was die Institution bereits lizenziert und genehmigt hat
• + Die richtige Lösung, wenn der Beschaffungszyklus letztes Jahr abgeschlossen wurde
• - Ein zweites Produkt, eine zweite Anmeldung, eine zweite Datenschutzprüfung
• - Chat, Gespräch und Notizen liegen an drei verschiedenen Orten
• B. Im Raum
• + Das Gespräch beginnt dort, wo die richtigen Personen bereits sind
• + Widgets halten die Besprechung neben der Unterhaltung
• - Mehr Betrieb: Medienserver, TURN, Signalisierung
• - Die Unterstützung rauminterner Anrufe durch Clients ist noch uneinheitlich

OpenTalk, Jitsi mit Prosody, Jicofo, JVB und coturn sowie LiveKit für Matrix-RTC, als Widgets in Räumen eingebunden.

08 Administrationszugang

Wer kann die Verwaltungsebene erreichen?

• A. Öffentliche Endpunkte
• + Von jedem Gerät erreichbar, ohne zu verteilenden Tunnel
• + Ein System weniger zu betreiben bei einem kleinen Team
• - Wer den Hostnamen errät, erreicht Ihre Anmeldeseite
• - Die Admin-API ist ein hochwertiges Ziel an einem sehr öffentlichen Port
• B. Netzbeschränkt
• + Verwaltungsoberflächen antworten auf eine Quelladresse, nicht auf einen Namen
• + Es gibt keine angreifbare Anmeldeseite, weil kein Weg zu ihr führt
• - Sie brauchen einen funktionierenden Tunnel, bevor Sie etwas reparieren können
• - Sperren Sie sich aus, erfordert die Wiederherstellung eine Konsolensitzung

Verwaltungsoberflächen liegen hinter WireGuard und werden über Quell-IP statt DNS angesprochen. Authentifizierte Medien, Push ohne Nachrichteninhalt, Uploadgrenzen, automatische Bereinigung veralteter Geräte und begrenzte Refresh-Token-Laufzeiten werden ausdrücklich eingestellt.

09 Die Auswahl senden

Nennen Sie uns Ihre Spalte und das gewünschte System. Ihre acht Auswahlen werden mit dieser Nachricht übernommen.

• Räume, Personen, Frist. Alles, was Sie bereits wissen.
• Kein Tracking und keine Anfragen an Dritte auf dieser Seite. Hier wird nichts übertragen: Ihre Auswahl und Nachricht werden als Entwurf in Ihr eigenes E-Mail-Programm geschrieben und erst gesendet, wenn Sie sie senden.

Nicht enthalten: Garantien darüber, was ein anderer Anbieter Ihnen herausgibt. Die Exportqualität bestimmt er, nicht wir.

03

Föderation, Brücken und Auffindbarkeit.

Andere Organisationen erreichen. Andere Netze erreichen. Zu festgelegten Bedingungen.

Föderation können geschlossene Plattformen nicht kopieren. Getrennte Organisationen behalten getrennte Server und teilen dennoch einen Raum.

Sie braucht aber schriftliche Regeln. Offen, mit Zulassungsliste, nur für Partner oder vollständig geschlossen sind gültige Varianten; jede verändert den Überwachungsbedarf.

Brücken führen die Idee über die Protokollgrenze hinaus fort. Sie verbinden Menschen, die nicht wechseln, und verschaffen denen Zeit, die wechseln.

Föderationsrichtlinie

• Föderationsmodell: offen, mit Zulassungsliste, nur für Partner oder geschlossen
• Zulassungs- und Sperrlisten mit Prüfverfahren für neue Partner
• Server-Zugriffskontrolllisten je Raum
• well-known-Delegation, Servererkennung und Zertifikatsstrategie
• Verwaltung und Erneuerung von Signaturschlüsseln sowie Notarkonfiguration
• Diagnose von Zustandsauflösung, fehlenden Ereignissen, Verlaufslücken und blockiertem Verkehr
• Betriebsanweisungen für die Aufnahme von Partnern in organisationsübergreifende Räume
• Entwürfe für domänenübergreifende und einseitige Übertragung in segmentierten Netzen
• Richtlinienserver und gemeinsame Abonnements von Richtlinienlisten zwischen Partnern
• Verfahren zum Beenden der Föderation mit zu entfernenden Partnern

Brücken und Auffinden von Inhalten

• Brückenarchitektur: welche Netze und welches Raummodell
• Brücken zu WhatsApp, Telegram, Signal, Discord, Slack, Google Chat, Google Messages, Instagram, Facebook Messenger, LinkedIn, Bluesky, Steam, IRC und E-Mail
• Sie wählen, welche davon Ihre Bereitstellung erhält. Jede ist eine zu betreibende, zu überwachende und gelegentlich zu reparierende Komponente; keine ist standardmäßig aktiviert
• Identitätszuordnung, damit übertragene Nachrichten den richtigen Autor tragen
• Relay-Konfiguration für entfernte Teilnehmende ohne Matrix-Konto
• Verschlüsselte Brückenkonfiguration
• Individuelle Brücken für interne Systeme über die Application-Service-API
• Brückenüberwachung, Stilllegung und Datenbehandlung beim Abschalten
• Veröffentlichung von Raumverzeichnissen und Begrenzung der Auffindbarkeit
• Alias- und Permalinkstrategie mit stabilen Adressen für langlebige Räume
• Gestaltung der Space-Hierarchie, damit neue Personen sich ohne Erklärung zurechtfinden

Nicht enthalten: Kontrolle über die Gegenseite. Eine Brücke hängt vollständig von der API und den Nutzungsbedingungen des anderen Netzes ab.

04

Anmeldung, Konten und Verzeichnisintegration.

Ein Konto, ein Verzeichnis, ein Zugangsweg.

Lokale Passwörter reichen im Organisationsbetrieb nicht aus. Matrix unterstützt OAuth und OpenID Connect über einen dedizierten Authentifizierungsdienst, sodass die Anmeldung dort liegt, wo bereits Ihre übrige Zugangskontrolle liegt.

Die entscheidende Arbeit ist der Lebenszyklus, nicht die Anmeldung. Eintritte, interne Wechsel und Austritte müssen die richtigen Räume zuweisen oder entziehen, ohne dass jemand ein Ticket stellt.

Anmelden

• Delegierte Authentifizierung über einen Matrix-Authentifizierungsdienst
• Integration mit vorgelagerten Identitätsanbietern, Verzeichnisdiensten und Vermittlern
• Migration von integrierter Passwortanmeldung zu delegierter Anmeldung
• Mehrfaktor-Authentifizierung und bedingter Zugriff beim Identitätsanbieter
• Austausch signierter Identitätstokens, damit Widgets und Dienste die Anwesenden erkennen
• Zertifikatsbindung und Geräteverwaltung für verwaltete Clientbestände
• Gastzugang und Einladungen per E-Mail oder Telefon, wenn der Anwendungsfall es verlangt

Konten im Zeitverlauf

• Einrichtung und Entfernung von Konten aus dem Unternehmensverzeichnis gesteuert
• Eintritte, interne Wechsel und Austritte auf Konten, Räume und Spaces abbilden
• Kennungsrichtlinie: lokale Adressteile, Anzeigenamen, Avatare und Wunschadressen
• Verknüpfung und Abgleich von Drittanbieterkennungen
• Begrenzung des Benutzerverzeichnisses, damit die Suche nur zulässige Ergebnisse liefert
• Verfahren zur Deaktivierung, Umbenennung und Wiederaufnahme
• Sitzungsverwaltung, Tokenlaufzeit und erzwungene Abmeldung

Nicht enthalten: der Betrieb Ihres Identitätsanbieters. Die Arbeit endet bei Integration und Zuordnung.

05

Schlüssel, Geräte und Wiederherstellung.

Verschlüsselung mit möglicher Wiederherstellung.

Ende-zu-Ende-Verschlüsselung ist die einfache Hälfte. Schwierig sind ein verlorenes Telefon, ein gelöschter Laptop oder ein Beitritt Jahre nach Beginn der Unterhaltung.

Gegenseitige Signierung, Schlüsselsicherung und Geheimnisspeicherung machen aus einer Verschlüsselungsvorführung ein organisatorisch betreibbares System. Jeder dieser Punkte verändert, was Suche, Export und Archivierung sehen können.

Diese Grenzen werden dokumentiert statt beschönigt.

Aktivierung

• Standardverschlüsselung neuer Räume mit ausdrücklich benannten Ausnahmen
• Gegenseitige Signierung und Geräteprüfung, einschließlich Emoji- und Codescan-Verfahren
• Schlüsselsicherung und serverseitige Geheimnisspeicherung mit Umgang mit Wiederherstellungsschlüsseln
• Migration auf den aktuellen Kryptografiestack für Clients und SDKs
• Bots, Brücken und Dienste für die Nutzung in verschlüsselten Räumen anpassen
• Strategie zur Erneuerung von Raumschlüsseln und ihre Auswirkungen auf andere Bereiche

Im Alltag

• Geräte- und Sitzungslebenszyklus einschließlich Widerruf verlorener oder ausgemusterter Geräte
• Regeln für Verlaufssichtbarkeit und Schlüsselteilung, damit ein Beitritt nur den vorgesehenen Inhalt offenlegt
• Ehrliche Auswirkungen der Verschlüsselung auf Suche, Export und Archivierung
• Inhaltsprüfung und Antivirenplatzierung, soweit die Verschlüsselung dies noch erlaubt
• Dokumentation für die Organisation über Schlüsselverwahrung und Wiederherstellung
• Benutzeranleitungen zur vorgesehenen Nutzung von Prüfung und Wiederherstellung

Diagramm

01 / 06 · Von außen nach innen

01 Netzwerkgrenze

WireGuard, geschlossene Ports, kein Zugang über DNS

Die Verwaltung liegt nicht im öffentlichen Web. Verwaltungsoberflächen antworten nur über einen WireGuard-Tunnel und nur einer erlaubten Quelladresse, niemals einem Hostnamen.

• Der Föderationsport bleibt geschlossen, bis seine Öffnung eine Entscheidung statt einer Standardeinstellung ist.
• nginx terminiert die öffentliche Seite; alles dahinter ist aus dem Tunnel erreichbar.
• Über DNS-Auflösung lässt sich nichts über die Bereitstellung finden.

wireguard · nginx · Quelladress-ACL · Föderationsport geschlossen

02 Föderation

Zuerst Zulassungsliste, Öffnung bei bereiter Moderation

Wir konfigurieren die Föderation nach den Vorgaben der Organisation: geschlossen, mit Freigabeliste oder offen.

• Die Föderation wird erst nach ausreichender Moderationsbereitschaft geöffnet, niemals davor.
• Die Zulassungsliste dokumentiert schriftlich, mit wem die Organisation kommunizieren möchte.
• Selektive Föderation ist eine vor der Aktivierung dokumentierte Richtlinienentscheidung.

synapse · Föderationsrichtlinie · Server-Freigabeliste

03 Identität

Zentrale Anmeldung, Realm-Trennung, E-Mail-Domainfilter

Die zentrale Anmeldung läuft über einen Identitätsanbieter wie Keycloak mit Realm-Trennung und E-Mail-Domainfilter. Konten folgen so den institutionellen Verzeichnisregeln statt einem zweiten privaten Verzeichnis.

• Integration und Datenbankkonfiguration des Identitätsanbieters richten sich nach den Anforderungen der Organisation.
• Refresh-Tokens haben eine begrenzte Laufzeit; veraltete Geräte werden automatisch entfernt.
• Die Markenanpassung ist im Anmeldeablauf selbst integriert, nicht nachträglich angebaut.

keycloak · Realm-Trennung · postgresql · element web

04 Steuerung

Richtliniendurchsetzung im gesamten Bestand und alltägliche Automatisierung

Moderation wird vor der Öffnung eines Space konfiguriert, nicht nach einem Vorfall. Ein Moderationsbot setzt Richtlinien im gesamten Bestand durch; Plugins übernehmen Routineaufgaben.

• Ein Studierenden-Space und ein Personal-Space haben auf demselben Server unterschiedliche Regeln.
• Bots und Widgets übernehmen Weiterleitung, Erinnerungen und Übergabe an Ihren vorhandenen Supportdienst.
• Wir prüfen die Konfiguration und dokumentieren Wiederherstellungsverfahren.

Moderationsbot · Plugin-Automatisierung · Richtlinienlisten · Supportintegration

05 Daten

Serverseitige Aufbewahrung und die zugehörigen Unterlagen

Die Aufbewahrung wird auf dem Server eingestellt: eine Frist für Nachrichten und lokal hochgeladene Medien, eine kürzere für Medien anderer Server.

• Medien werden nur auf authentifizierte Anfragen ausgeliefert. Push-Benachrichtigungen enthalten keinen Nachrichteninhalt. Die Uploadgröße ist begrenzt.
• Wir erstellen Folgenabschätzungen, Verarbeitungsverzeichnisse, Löschverfahren und Verfahren für Datenschutzverletzungen.
• Dokumentation, Diagramme und Architekturentscheidungsprotokolle erklären jede Einstellung.

synapse-Aufbewahrung · postgresql · authentifizierte Medien · Push ohne Inhalt

06 Der Raum

Verschlüsselung, wo sie ihren Platz verdient

Wir vereinbaren die Verschlüsselung raumweise unter Berücksichtigung der Anforderungen der Organisation an Moderation, Suche und Aufbewahrung.

• Verschlüsselung verändert die Möglichkeiten von Moderation, Suche, Bots und Widgets. Ihre Aktivierung überall würde die fünf umgebenden Ebenen stillschweigend außer Kraft setzen.
• Wir dokumentieren vor der Integration, wie Brücken die Verschlüsselung beeinflussen.
• Anrufe finden im Raum statt: selbst betriebene OpenTalk, Jitsi und LiveKit für Matrix-RTC, als Widgets geöffnet.

element web · livekit (matrix-rtc) · opentalk · jitsi: prosody / jicofo / jvb / coturn

Nicht enthalten: verschlüsselten Verlauf ohne Schlüssel lesen. Niemand kann das anbieten; ein entsprechendes Angebot ist ein Warnsignal.

06

Clientanwendungen auswählen, gestalten oder bauen.

Der Client ist Ihre Wahl. Der Server bestimmt nicht, was Menschen täglich sehen.

Matrix trennt Server und Anwendung. Die sichtbare Oberfläche wird unabhängig gewählt und kann ohne Änderung der Bereitstellung neu gewählt werden. Es gibt mehrere ausgereifte Clients, die sich mehr im Nutzungserlebnis als im Funktionsumfang unterscheiden.

Die Auswahl fällt nach Zielgruppe leichter als nach Funktionsliste. Menschen von einer Teamchatplattform wollen Vertrautes, Menschen von einer Communityplattform Kanäle und Threads. Administratoren wollen eine schlanke Desktopanwendung, die ihnen nicht im Weg steht.

Dazu kommen Gestaltung, Paketierung und Geräteverwaltung: Ihre Farben und Ihr Name, Verteilung über vorhandene Organisationskanäle und Regeln dazu, welche Anwendungen überhaupt eine Verbindung herstellen dürfen.

Auswählen und installieren

• Element Web und Desktop für Menschen von einer Teamchatplattform
• Element X für Menschen, die vor allem ihr Telefon nutzen und Geschwindigkeit wollen
• FluffyChat für Menschen, die Einfachheit wollen, und für Schulen
• Cinny für Menschen von einer Communityplattform, die Kanäle erwarten
• Nheko für Administratoren und alle, die eine schlanke native Anwendung wollen
• Auswahl nach den künftigen Nutzern statt anhand von Funktionstabellen
• Webclient auf Ihrer eigenen Domain statt einer Drittanbieteradresse
• Desktop-Paketierung für Windows, macOS und Linux
• Mobile Verteilung über Appstores oder einen internen Kanal
• Push-Benachrichtigungen über ein von Ihnen kontrolliertes Gateway
• Durchgängige zentrale Anmeldung bis zum Client
• Geräterichtlinie: Welche Clientversionen und Anwendungen eine Verbindung herstellen dürfen
• Wechsel zwischen Clients ohne Verlust von Verlauf oder Schlüsseln

An Ihre Bedürfnisse anpassen

• Gestaltung: Farben, Name, Symbol, Wortlaut und erster Start
• Ein Build mit eigener Marke, veröffentlicht unter Ihrem Entwicklerkonto
• Entfernung von Funktionen, wenn weniger das Ziel ist
• Widgets, die Ihre eigenen Werkzeuge in den Raum bringen
• Individuelle Entwicklung mit den veröffentlichten Client-SDKs
• Barrierefreiheitsprüfung am tatsächlich ausgelieferten Client
• Clientauswahl, Gestaltung und Integration werden im Leistungsumfang vereinbart.

Wir wählen einen bestehenden Matrix-Client aus und gestalten ihn passend für Ihre Organisation.

07

Clients, Bots, Widgets, Anrufe und SDK-Arbeit.

Der Raum ist eine Arbeitsfläche. Bringen Sie die Arbeit dorthin.

Matrix veröffentlicht eine Application-Service-API, eine Widget-API und SDKs für die meisten gebräuchlichen Programmiersprachen. Damit wird der Raum Teil des Arbeitsablaufs statt nur sein Gesprächsort.

Clientarbeit reicht vom angepassten Build bis zur Spezialanwendung: Kiosk, einzelner Raum, Nur-Lese-Anzeige, geringe Bandbreite oder Nachrichtenfunktionen in Ihrer vorhandenen Software.

Anrufe gehören ebenfalls dazu. Gruppenanrufe brauchen eine Weiterleitungseinheit, einen Zugangsdienst und Firewallregeln, nicht nur eine Schaltfläche im Client.

Clients und Code

• Clientbewertung für Web, Desktop, Mobilgeräte und Terminal
• Builds mit eigener Marke: Name, Symbol, Farben, Storeauftritt, Signierung und Veröffentlichung
• Individuelle Clients mit Rust-, JavaScript-, Kotlin-, Swift-, Dart- oder .NET-SDKs
• Spezialclients: Kiosk, einzelner Raum, nur lesend, Außeneinsatz und geringe Bandbreite
• Matrix-Nachrichten in einer bereits von Ihnen ausgelieferten Anwendung
• Barrierefreiheit und Lokalisierung, einschließlich Layouts von rechts nach links
• Application Services sowie individuelle Ereignisse und Zustände für Fachdaten im Raum
• Homeserver-Module: Spamprüfung, Drittanbieterregeln und eigene Authentifizierungsanbindungen
• Konformitäts- und Interoperabilitätstests zwischen Clients und Servern

Bots, Widgets und Anrufe

• Botplattform mit Plugin-Modell, damit viele Automatisierungen eine Laufzeitumgebung teilen
• Bots für Supporteingang, Alarmierung, Feeds, Genehmigungen und Routinepflege
• Gateways von E-Mail zu Raum und von Raum zu E-Mail
• Widgets: Whiteboards, Umfragen, Besprechungen, Übersichten, Formulare und Genehmigungen
• Widget-Authentifizierung mit signierten Tokens, Hosting und Berechtigungsumfang
• Konferenzen eigenständig und eingebettet
• Bereitstellung und Skalierung der Weiterleitungseinheit, damit Gruppenanrufe kein Peer-Mesh benötigen
• Relay- und Traversalserver, Firewallregeln und Behandlung der Adressübersetzung
• Mobile Anrufbenachrichtigungen, damit eingehende Anrufe auch auf gesperrten Geräten klingeln
• Aufzeichnung, Aufbewahrung und Einwilligungsverwaltung, soweit Vorschriften sie verlangen

Nicht enthalten: Widgets gehören nicht zum Kern der Spezifikation. Das sollte man wissen, bevor eine Planung darauf aufbaut.

08

Moderation, Aufbewahrung und Datenschutzunterlagen.

Regeln, die einer Einsichtnahme standhalten.

Moderation ist hier Protokollarbeit: Berechtigungsstufen, Richtlinienlisten, Raumzugriffskontrolle und Meldungen. Die Werkzeuge sind offen und verfügbar. Meist fehlen die zugrunde liegenden Regeln.

Datenschutz liegt auf derselben Ebene. Ein föderiertes, repliziertes und verschlüsseltes System braucht Verarbeitungsverzeichnisse, Aufbewahrungsregeln und eine ehrliche Beschreibung der tatsächlichen Reichweite einer Löschung.

Moderation

• Moderationswerkzeuge mit einem Bot, der die nötigen Befugnisse besitzt
• Richtlinienlisten: lokal, als Abonnement gemeinsamer Listen und selbst veröffentlicht
• Schutzanpassung gegen Beitrittsfluten, Spamwellen und unerwünschte Medien
• Berechtigungs- und Rollenentwurf, damit Moderatoren genau die nötigen Rechte haben
• Meldungsweiterleitung in eine Priorisierungswarteschlange mit benannter verantwortlicher Person
• Serversperren, Raum-Zugriffskontrolllisten und Quarantäneverfahren
• Inhaltsprüfung und Hashabgleich beim Hochladen
• Betriebsanweisungen für Vertrauen und Sicherheit, Weiterleitungswege und Entscheidungsprotokolle
• Transparenzberichte passend zu Ihrem geltenden Regelwerk

Aufzeichnungen und Regeln

• Unterstützung bei Folgenabschätzungen und Verzeichnissen der Verarbeitungstätigkeiten
• Datenübersicht über Räume, Medien, Schlüssel, Geräte und Föderationsverkehr
• Entwurf von Datenresidenz und Hostingstandort
• Aufbewahrungs- und Nachrichtenablaufrichtlinie mit technischer Durchsetzung
• Auskunft, Export und Inhaltsentfernung mit ausdrücklich genannten tatsächlichen Grenzen
• Ruheverschlüsselung und Dokumentation der Schlüsselverwahrung
• Dokumentation der Auftragsverarbeiter und Unterauftragsverarbeiter für jede eingesetzte Komponente
• Beschreibung der Sicherheitsarchitektur, Bedrohungsmodell und Konfigurationsstandards
• Richtlinientexte für zulässige Nutzung sowie Ein- und Austritte

Nicht enthalten: Rechtsberatung oder rechtliche Freigabe. Dies sind technische Unterlagen zur Prüfung durch Ihren Rechtsbeistand, kein Ersatz dafür.

09

Beobachtbarkeit, Wartung und Unterstützung.

Jemand muss auch an einem Dienstag darauf achten.

Einen unbeaufsichtigten Homeserver kann niemand verteidigen. Messwerte, Protokolle und Ablaufspuren machen aus "Der Chat ist langsam" eine konkret benannte Komponente.

Wartung ist die unspektakuläre Hälfte: Aktualisierungen, Bereinigung, Abweichungen und eine tatsächlich durchgeführte statt nur geplante Wiederherstellung.

Unterstützung bedeutet hier Rückhalt für Ihren eigenen Supportdienst, nicht unmittelbaren Kontakt mit Ihren Nutzern.

Überwachen

• Messwerte und Übersichten für Homeserver, Datenbank, Brücken, Medien und Anrufe
• Strukturierte Protokollierung und Zusammenführung mit richtliniengerechter Aufbewahrung
• Verteilte Ablaufverfolgung für langsame Anfragen und Föderationsverzögerungen
• Alarmregeln mit schriftlichen Betriebsanweisungen statt bloßer Schwellenwerte
• Synthetische Prüfungen von Anmeldung, Zustellung, Föderationserreichbarkeit und Anrufaufbau
• Verwaltungskonsole für tägliche Benutzer- und Raumverwaltung
• Automatisierung wiederkehrender Betriebsaufgaben über die Admin-API
• Berichte über Kapazität, Wachstum und Bereitstellungskosten

In Betrieb halten

• Verwaltete Wartung: Aktualisierungen, Komponentenupgrades und Routinebereinigung
• Verfolgung von Sicherheitsmeldungen und Patchplanung für Ihre Systeme
• Versionsverfolgung, Aktualisierungsplanung und Langzeitunterstützung
• Prüfung und Korrektur von Konfigurationsabweichungen
• Sicherungskonfiguration und geprobte Wiederherstellung, getestet statt angenommen
• Datenbankwartung, Medienpflege, Bereinigung verwaister Daten und Quotenregeln
• Betriebsanweisungen für Vorfälle und Vorlagen für die anschließende Überprüfung
• Eskalationsunterstützung hinter Ihrem eigenen Supportdienst
• Regelmäßige Zustandsprüfungen mit schriftlichem Bericht

Nicht enthalten: Rufbereitschaft oder Aufgaben, für die eine zweite Person wach sein muss. Die Antwortzeiten stehen bei den Supportstufen unter /matrix/G. Der Betrieb bleibt bei Ihnen oder Ihrem Anbieter.

10

Unabhängige Überprüfung, Schulung und Beratung.

Ein unabhängiger Blick auf Ihren Bestand, Schulung für dessen Erhalt und Beratung vor Ihrer Festlegung.

Viele Bereitstellungen funktionieren, ohne dass jemand weiß, warum. Eine Überprüfung ist ein begrenzter Auftrag mit schriftlichem Ergebnis: Was ist exponiert, veraltet oder fällt als Nächstes aus?

Schulung ist die andere Hälfte. Ein offener Standard soll Sie von der Pflicht befreien, jemanden zu behalten. Die Übergabe ist das Arbeitsergebnis, kein Risiko.

Manchmal kommt die nützliche Antwort schon davor: Passt dieser Standard überhaupt zur Anforderung?

Unabhängige Prüfung

• Konfigurationsprüfung anhand aktueller empfohlener Praxis
• Sicherheitsprüfung von Exposition, Authentifizierung, Ratenbegrenzung und Geheimnisverwaltung
• Föderationslage: Was ist erreichbar, wem wird vertraut und was sollte weder erreichbar noch vertrauenswürdig sein
• Verschlüsselungslage: gegenseitige Signierung, Schlüsselsicherung, Gerätepflege und offene Räume
• Leistungs- und Kapazitätsprüfung mit benannten tatsächlichen Engpässen
• Sicherungs- und Wiederherstellungsprüfung, die die Wiederherstellung testet, nicht den Zeitplan
• Prüfung des Aktualisierungswegs einschließlich Komponenten nach ihrem Lebensende
• Inventar von Brücken und Bots mit jeweils dokumentierter verantwortlicher Person
• Priorisierter Behebungsplan mit Aufwand und Auswirkungen pro Punkt

Schulung, Übergabe, Beratung

• Schulung von Administratoren, Betriebspersonal und Moderatoren an Ihrer eigenen Bereitstellung
• Entwicklersitzungen zur Client-Server-API, zu Application Services und Widgets
• Einführung für Endnutzer sowie Gewohnheiten zur Geräteprüfung und Wiederherstellung
• Unterlagen zur Schulung eigener Schulungsleiter, damit Ihre Organisation ohne uns fortfahren kann
• Betriebsanweisungen, Handbücher und Übergabeunterlagen für Ihre konkrete Einrichtung
• Anbieterneutrale Beratung, ob ein offener Nachrichtenstandard überhaupt passt
• Eigenentwicklung oder Kauf, Eigenbetrieb oder betreuter Betrieb mit ausdrücklichen Zielkonflikten
• Beschaffungsunterstützung: Anforderungstext, Bewertungskriterien und zu stellende Fragen
• Ausstiegsstrategie und Übertragbarkeitsprüfung, damit Sie den Bestand weiter selbst verlagern können

Diagramm

Homeserver, Clients und zentrale Anmeldung, bereitgestellt und gehärtet für Schulen, Hochschulen und öffentliche Institutionen.

01 PRÜFUNG

Phase 01 / 09

Fragen vor Containern. Ihr vorhandener Bestand bestimmt den Großteil der Architektur; der Rest sind Regeln statt Software.

• Welche Identität Sie bereits haben und welche E-Mail-Domains Konten erhalten dürfen
• Was protokolliert werden muss, was nie gespeichert werden darf und für wie lange
• Mit welchen Institutionen Sie kommunizieren müssen und mit welchen nicht
• Ob ein einzelner dedizierter Server für die beschriebene Last tatsächlich ausreicht

ERGEBNIS: schriftliche Befunde, eine Zielarchitektur und ein freigabefähiger Leistungsumfang.

02 ENTWURF

Phase 02 / 09

Jede Entscheidung, die sich nur mit großem Aufwand rückgängig machen lässt, wird vorab schriftlich festgehalten. Architekturentscheidungen und Diagramme erläutern die Entscheidungen für die Organisation.

• Föderationsrichtlinie vor dem Start vereinbart: geschlossen, mit Freigabeliste oder offen
• Aufbewahrung: eine Frist für Nachrichten und lokale Medien, eine kürzere für entfernte Medien
• Verschlüsselung als bewusstes raumbezogenes Modell statt eines einzelnen Schalters
• Brücken werden schriftlich bewertet, einschließlich ihrer Brüche in der Ende-zu-Ende-Verschlüsselung

ERGEBNIS: Entscheidungsprotokolle, Diagramme und Regeln, die Ihr Datenschutzbeauftragter lesen kann.

03 INSTALLATION

Phase 03 / 09

Homeserver, Client, Datenbank und Reverse-Proxy, containerisiert auf Ihrer Hardware. Jede Komponente ist versioniert, damit die Bereitstellung neu aufgebaut werden kann.

• Ein dedizierter Server, ohne Drittbetreiber mit Zugriff auf Ihre Nachrichten
• PostgreSQL für Synapse konfiguriert statt mit unveränderten Standardeinstellungen
• nginx davor, mit .well-known-Delegation, damit die Föderation den richtigen Namen liest
• Element Web mit Ihrem Namen und Ihren Farben statt eines Anbieterlogos

ERGEBNIS: ein laufender Homeserver, in Dateien definiert statt von Hand zusammengestellt.

04 IDENTITÄT

Phase 04 / 09

Ein Konto, ein Passwort, ein Ort zum Entziehen des Zugriffs. Single Sign-on verbindet Matrix mit Ihrem bestehenden Verzeichnis.

• Ein vorgeschalteter Identitätsanbieter mit Realm-Trennung
• Filter nach E-Mail-Domain entscheiden, wer überhaupt ein Konto erhalten darf
• Datenbankkonfiguration und Integration des Identitätsanbieters
• Matrix vertraut dem Anbieter; Zugang endet daher nach den Regeln des Verzeichnisses

ERGEBNIS: Anmeldung über Ihren Identitätsanbieter und eine Personenliste statt zweier.

05 ABSICHERUNG

Phase 05 / 09

Standardeinstellungen sind für das offene Internet gedacht. Eine Institution braucht die dahinterliegenden Einstellungen und eine schriftliche Erklärung der Änderungen und ihrer Gründe.

• Authentifizierte Medien, damit ein Link allein keine Datei lesbar macht
• Push-Benachrichtigungen, die keinen Nachrichteninhalt vom Server übertragen
• Uploadgrenzen, Bereinigung veralteter Geräte und begrenzte Refresh-Token-Laufzeiten
• Verwaltungsoberflächen nur über WireGuard, nach Quelladresse und nie nach Namen erreichbar

ERGEBNIS: ein Härtungsprotokoll mit jeder Abweichung vom Standard und ihrer Begründung.

06 FÖDERATION

Phase 06 / 09

Föderation ist eine Richtlinie, kein Schalter. Sie öffnet sich erst bei tragfähiger Moderation und zunächst für benannte Server.

• Föderationszugriff nach der vereinbarten Richtlinie konfiguriert
• Ein Moderationsbot setzt Richtlinien im gesamten Bestand durch
• Bot-Plugins für alltägliche Raumarbeit und Dienstintegration
• Meldeverfahren, Weiterleitung und Beweisbehandlung vor jeder breiteren Öffnung dokumentiert

ERGEBNIS: ein Föderations- und Moderationsmodell, das Rechtsabteilung und Studierendenberatung lesen können.

07 BESPRECHUNGEN

Phase 07 / 09

Die Arbeit beginnt im Chat und endet in Anrufen und Widgets. Echtzeitmedien liegen neben dem Homeserver, sodass auch ein Anruf den Bestand nicht verlässt.

• OpenTalk für geplante Besprechungen, neben dem Homeserver betrieben
• Jitsi mit Prosody, Jicofo, JVB und coturn, vollständig selbst betrieben
• LiveKit überträgt Matrix-RTC-Anrufe im Matrix-Client
• Widgets im Raum, damit ein Seminar den Raum nicht verlassen muss

ERGEBNIS: Chat, Besprechungen und Anrufe in einem Bestand unter denselben Regeln.

08 BETRIEB

Phase 08 / 09

Der Starttag ist nicht der interessante Teil. Interessant ist der Dienstag, an dem etwas nicht stimmt und jemand es verstehen statt nur neu starten muss.

• Sicherheitsüberwachung und Planung der Reaktion auf Vorfälle
• Konfigurationsprüfung und dokumentierte Wiederherstellungsverfahren
• Datenbank-Wiederherstellungstests in einer isolierten Umgebung
• Aufbewahrung auf dem Server durchgesetzt statt dem Gedächtnis Einzelner überlassen

ERGEBNIS: ein ehrlicher Umfang, vorab benannt statt nachträglich entdeckt.

09 ÜBERGABE

Phase 09 / 09

Sie sollen uns ersetzen können. Die Dokumentation beweist es und richtet sich an die Person, die das System übernimmt.

• Dokumentation, Diagramme und Architekturentscheidungsprotokolle
• DPIA, Verarbeitungsverzeichnis, Löschrichtlinie und Verfahren bei Datenschutzverletzungen, vollständig vorbereitet
• Jede vom Standard abweichende Einstellung mit dem Grund der Abweichung
• Für die übernehmende Person geschrieben, nicht für die Person, die das System aufgebaut hat

ERGEBNIS: System, Unterlagen und Konten; nichts bleibt nur in unserem Gedächtnis.

10 KONTAKT

Ziel

Beginnen Sie mit Phase 01. Eine Prüfung ist ein kleiner, begrenzter Auftrag, der zeigt, ob sich der Rest lohnt.

• Eine Installation abstecken
• Nach einer Migration fragen
• Ein Angebot anfordern
• Nur eine Frage

Keine Drittanbieterskripte, kein Tracking, kein Captcha. Oder schreiben Sie an hello@ave17.com

Nicht enthalten: ein bestanden/nicht-bestanden-Zertifikat. Eine Überprüfung berichtet Befunde. Zertifizierung ist ein separates Verfahren mit eigenen Prüfern.

Beginnen

Beginnen Sie mit dem Problem, nicht mit dem Produkt.

• Sagen Sie uns, was Sie heute betreiben, was daraus werden muss und welche Grenzen gelten: Vorschriften, Personalstärke, Netzisolation, ein vorhandenes Verzeichnis oder eine bis nächstes Jahr vertraglich gebundene Plattform.
• Sie erhalten Fragen, einen groben Arbeitsrahmen und eine klare Erklärung der Teile, die wir nicht übernehmen würden.

Schreiben Sie an

hello@ave17.com

Über uns

Matrix

Nicht enthalten: ein Festpreis nach der ersten Nachricht. Immer zuerst der Umfang, dann der Preis.

A

Der übliche Weg und der Weg über offene Standards.

Zwei Arten, eine Unterhaltung zu besitzen. Keine Spalte nennt eine Marke; der Unterschied liegt in der Struktur, nicht im Wettbewerb.

Nicht enthalten: die Behauptung, die rechte Spalte sei immer richtig. Einige Anforderungen erfüllt ein gekauftes Produkt tatsächlich besser.

B

Sechs Ebenen zwischen Internet und Satz.

Jede Ebene ist eine eigene Entscheidung und kann unabhängig fehlerhaft sein. Wählen Sie einen Ring, um seine Entscheidungen zu lesen.

Netzwerkgrenze

DNS, Delegation und TLS legen die Erreichbarkeit fest, bevor überhaupt eine Nachricht existiert.

Föderation

Zulassungslisten, Server-Zugriffskontrolllisten und Signaturschlüssel bestimmen, welche Server mit Ihrem kommunizieren dürfen.

Server

Homeserver, Datenbank und Medienspeicher bilden den Bestand. Härtung und Ratenbegrenzung halten ihn am Laufen.

Identität

Identitätsanbieter und Authentifizierungsdienst entscheiden, wer ein Konto hat und wie lange.

Raum

Mitgliedschaft, Berechtigungsstufen, Beitrittsregeln und Verlaufssichtbarkeit bestimmen, wer was ab wann sieht.

Nachricht

Ende-zu-Ende-Verschlüsselung, Geräteschlüssel und gegenseitige Signierung bestimmen, wer Inhalte lesen kann. Server leiten sie weiter, lesen sie aber nicht.

Nicht enthalten: das Versprechen, alle sechs Ebenen seien bei Lieferung konfiguriert. Die meisten Bereitstellungen behandeln drei gut und übernehmen den Rest unverändert.

C

Wie ein Projekt abläuft.

Sechs Phasen, jeweils mit schriftlichem Ergebnis. Wählen Sie eine Phase, um Arbeit und Ergebnis zu lesen.

Nicht enthalten: eine feste Dauer. Die Phasen folgen aufeinander, ihre Länge hängt von Ihrem Bestand und Ihren Genehmigungen ab.

D

Drei Föderationsmodelle und wie Sie eines wählen.

Föderation schreckt die Beschaffung ab, meist weil sie als "offen für das ganze Internet" verstanden wird. Es ist eine Einstellung mit drei Stellungen.

Geschlossen

Ihr Server spricht mit keinem anderen. Jedes Konto stammt von Ihnen, jeder Raum ist intern, und keine Nachricht überschreitet Ihre Grenze. Föderation ist abgeschaltet, nicht bloß gefiltert.

Für Bestände, bei denen die Antwort auf "Kann das nach außen kommunizieren?" schriftlich Nein lauten muss.

Benannte Partner

Ihr Server föderiert mit einer von Ihnen benannten Serverliste und lehnt den Rest ab. Anbieter, Dachorganisation, andere Behörde: Jeder wird bewusst hinzugefügt und kann ebenso entfernt werden.

Der häufige Fall. Erreichbarkeit, wo Sie sie wollen, sonst eine geschlossene Tür.

Offen

Ihr Server föderiert mit dem öffentlichen Netz. Jede Person mit Matrix-Adresse kann Ihre Mitarbeitenden erreichen, gemäß Ihren Beitrittsregeln, Raumrichtlinien und Ihrer Moderation.

Für öffentlich zugängliche Arbeit: Communities, Support und alles, dessen Zweck Erreichbarkeit ist.

Nicht enthalten: die Behauptung, offene Föderation sei standardmäßig sicher. Sie braucht Moderation, Raumregeln und Aufmerksamkeit.

E

Die tatsächlich gestellten Fragen.

Keine Protokolleinführung. Dies sind die acht Fragen bei einer ernsthaften Prüfung, beantwortet wie in einem Gespräch mit uns.

Was ist anders als bei einem kostenlosen öffentlichen Server?

Ein öffentlicher Server wird geteilt: Ihre Adresse enthält eine fremde Domain, Ihre Daten liegen neben denen anderer, und die Ratenbegrenzung und Regeln des Betreibers gelten automatisch für Sie. Hier gehört die Bereitstellung Ihnen allein, die Adresse enthält Ihre Domain, und Sie bestimmen die Grenzen.

Ist das wirklich regelkonform oder nur in Europa gehostet?

Der Standort ist eine von mehreren Tatsachen und beweist allein nichts. Entscheidend sind der Datenzugriff, das Verfahren und Ihre Prüfmöglichkeiten. Der Abschnitt zum Zugriff unter /matrix/H erklärt genau, welche Zugriffsrechte wir haben und wie Sie diese von außen überprüfen können.

Können wir das auf eigener Hardware betreiben?

Ja, und das ist die günstigere der beiden Varianten. Ihr Rechner, Cloudkonto oder Rechenzentrum; wir übernehmen Installation, Härtung und Pflege. Die Anforderungen stehen unter Bereitstellung.

Was passiert, wenn wir aussteigen möchten?

Sie nehmen den Server mit. Adresse, Räume und Verlauf gehören zur Bereitstellung, nicht zum Vertrag mit uns. Der Ausstieg wird anfangs geplant und dokumentiert; siehe Ausstieg.

Berechnen Sie pro Person?

Nein. Hundert oder tausend Personen kosten gleich viel. Der Preis folgt Infrastruktur und Arbeit, nicht der Nutzerzahl.

Wer kann unsere Nachrichten lesen?

In einem Ende-zu-Ende-verschlüsselten Raum nur die Geräte der Teilnehmenden, weder der Server noch wir. Außerhalb verschlüsselter Räume hält der Server Inhalte; jeder mit Verwaltungszugang kann darauf zugreifen. Während der Wartung auch wir. Der Abschnitt zum Zugriff unter /matrix/H nennt die Grenzen und wie Sie sie prüfen können.

Wie schnell antworten Sie bei einem Ausfall?

Standardsupport antwortet innerhalb von zwei Arbeitstagen, Prioritätssupport innerhalb von acht Arbeitsstunden. Ein Ausfall wird immer gezählt, aber nie berechnet, unabhängig vom Tarif. Siehe Support.

Können wir es vorher in Betrieb sehen?

Wir besprechen Ihre Anforderungen und vereinbaren, wie die vorgeschlagene Installation bewertet wird.

Nicht enthalten: das Versprechen, jede Antwort bleibe in Ihrer Umgebung unverändert gültig. Manche werden sich nach deren Prüfung ändern.

F

Was es kostet.

Ändern Sie die Zahlen und beobachten Sie die Summe. Nichts wird irgendwohin gesendet; die Berechnung läuft im Browser und ist eine Schätzung, kein Angebot.

Einrichtung, einmalig

590 EUR

Technische Arbeiten außerhalb des Umfangs

110 EUR pro Stunde

Eine Bestandsaufnahme

ab 3 Tagen zu 110 EUR pro Stunde

Über 1000 Nutzer

Die Staffel endet; wir erstellen ein Angebot

Keine zusätzliche Umsatzsteuer: Wir sind nicht registriert. Der angezeigte Betrag ist der Gesamtbetrag.

Die Einrichtung wird einmal berechnet; alles andere monatlich. Ungewöhnliche Anforderungen werden vor der Preisfestlegung abgegrenzt.

Nicht enthalten: ein Festpreis nach der ersten Nachricht. Immer zuerst der Umfang, dann der Preis.

G

Was der Support umfasst und was nicht.

Zwei Stufen. Was jede umfasst und was nicht, ist schriftlich festgelegt.

Arbeitszeiten von Montag bis Freitag, ausgenommen Feiertage: Eine am Freitagabend gesendete Anfrage wird am nächsten Arbeitstag beantwortet. Drei unterschiedliche Anliegen in einer Nachricht zählen als drei Anfragen.

Abgedeckt

• Der Server ist ausgefallen, nicht erreichbar oder liefert Fehler
• Eine als Teil der Bereitstellung installierte Komponente ist ausgefallen
• Systemprobleme: Datenträger, Arbeitsspeicher, Zertifikate, Sicherungen
• Gewünschte Neukonfiguration: Komponente hinzufügen, Richtlinie ändern, Grenze anpassen
• Aktualisierungen und alles, was dabei ausfällt

Nicht abgedeckt

• Allgemeine Fragen zur Funktionsweise der zugrunde liegenden offenen Software
• Eigene Bots oder Application Services schreiben
• Warum eine Drittanbieterkomponente sich so verhält; ihre Autoren beantworten das besser als wir
• Ausfall einer Drittanbieterkomponente nach Änderungen des Ursprungsprojekts
• Distributionsupgrades Ihres Betriebssystems auf Ihrem eigenen Rechner
• Beratung zum Aufbau eines Geschäfts auf Grundlage der Software

Nicht enthalten: ein 24-Stunden-Schichtdienst. Reaktionszeiten werden ausdrücklich in Arbeitsstunden angegeben.

H

Worauf wir zugreifen können und worauf nicht.

Die unangenehme Hälfte zuerst: Eine Seite, die keinerlei Zugang behauptet, sagt nicht die Wahrheit.

Worauf wir zugreifen können

• Jede Datei auf einem von uns gewarteten Server; die Wartung erfolgt über SSH mit root
• Alles unverschlüsselt Gespeicherte, einschließlich Daten anderer Netze, die konstruktionsbedingt nicht Ende-zu-Ende-verschlüsselt sein können
• Datenbankinhalte, Protokolle und Sicherungen der Bereitstellung
• Kontometadaten: vorhandene Nutzer, Verbindungszeiten und zugeordnete Geräte

Worauf wir nicht zugreifen können

• Inhalte Ende-zu-Ende-verschlüsselter Räume; die Schlüssel liegen auf Geräten, nicht auf dem Server
• Alles auf einem Rechner, für den uns nie Zugang gewährt wurde
• Backups werden mit einem Schlüssel verschlüsselt, den Sie behalten. Solange wir den Rechner administrieren, haben wir Zugriff auf die Daten selbst. Nachdem unser Zugriff widerrufen wurde, können wir die Backups nicht mehr lesen
• Jede Bereitstellung nach Übergabe und Entzug des Zugangs

Was wir selbst geschrieben haben

• Das Konfigurationsmanagement für Aufbau und Wartung jeder Bereitstellung
• Die anschließende Überwachung und Alarmierung
• Matrix-Clientauswahl, Gestaltung und Integration
• Sicherungs- und Wiederherstellungswerkzeuge einschließlich der Wiederherstellungstests
• Alles andere ist Open-Source-Software Dritter, auf den Dienstseiten offen benannt

Prüfen statt glauben

• Anmeldungen und Programmstarts werden im Audit-Protokoll auf Ihrem eigenen Rechner aufgezeichnet
• Verlangen Sie zwischen Aufträgen den Entzug des Zugangs; das ist eine normale Anfrage
• Führen Sie das Auditframework aus und beobachten Sie Systemaufrufe
• Prüfen Sie die Angaben zur Infrastruktur selbst. Öffentliche Tests und Anleitungen stehen im Abschnitt "Wo es läuft und wie Sie das ohne Nachfrage prüfen." unter /matrix/I.

Können und Tun sind verschieden. Der Zugang dient nur dazu, den Server zu betreiben und bei Ausfällen zu reparieren. Kontrollieren können Sie das anhand des Protokolls, nicht unseres Wortes.

Nicht enthalten: die Behauptung, wir hätten keinen Zugang. Serverwartung erfordert Zugang; das Gegenteil wäre eine überprüfbare Lüge.

I

Wo es läuft und wie Sie das ohne Nachfrage prüfen.

Die meisten Betreiber beenden diesen Abschnitt bei "Server in der EU". Alle folgenden Angaben können Sie selbst von außen ohne Nachfrage prüfen.

Führen Sie die Tests selbst aus

• internet.nl: unabhängige Tests für Website und E-Mail jeder Domain
• DNSViz: verfolgt die DNSSEC-Kette und zeigt jede Signatur
• Hardenize oder ein gleichwertiges Werkzeug: DNS-, E-Mail- und Websicherheit auf einer Seite
• Ein SSL-Bericht für den Host: Zertifikat, Kette und Protokollunterstützung
• Testen Sie ave17.com mit einem beliebigen dieser Werkzeuge. Sie müssen der Behauptung nicht einfach vertrauen.

Das allein macht keinen Chatserver sicher. Es zeigt, wie das Unternehmen arbeitet; das können Sie prüfen, bevor Sie etwas unterschreiben.

Betriebliche Kontrollen werden dokumentiert und können von Ihnen geprüft werden.

J

Wie Sie aussteigen.

Der Ausstieg wird anfangs geplant. Ein Betreiber, der das Verlassen erschwert, zeigt damit etwas über die restliche Vereinbarung.

Die Identität gehört Ihnen

Der Servername ist Ihre Domain. Unabhängig vom Betreiber wechseln die Adressen Ihrer Menschen nicht den Besitzer.

Sie erhalten den Rechner, keinen Export

Eine Bereitstellung besteht aus Datenbank, Dateispeicher und Konfiguration. Alle drei werden unverändert übergeben statt in ein Abschiedsarchiv verwandelt.

Die Konfiguration ist lesbar

Bereitstellungen sind versioniert und prüfbar. Ihr nächster Ingenieur kann den Aufbau lesen, statt ihn zu erraten.

Übergabe ist eine Dienstleistung, keine Strafe

Betriebsanweisungen, Einführung und eine benannte verantwortliche Person je Komponente. Als Arbeit zum üblichen Satz berechnet.

Zugang wird auf Anfrage entzogen

Schlüssel entfernt, Sitzungen beendet, Entzug in Ihren Protokollen sichtbar.

Niemals eine Ausstiegsgebühr

Keine Gebühr für das Verlassen und keine als Gebühr verkleidete Kündigungsfrist.

Das beantwortet auch ehrlich die Frage der Anbieterbindung. Das Protokoll ist offen; ein anderer Betreiber kann Ihre Bereitstellung übernehmen, und mehrere stehen zur Verfügung. Genau darum soll niemand das Protokoll besitzen.

Nicht enthalten: kostenlose Arbeit. Übergabe ist Arbeit und wird so berechnet. Für das Verlassen selbst wird nichts berechnet.

K

Wer Ihr Gegenüber ist.

Ihr Gegenüber und die zugehörigen Dokumente.

Die vollständigen Nutzungsbedingungen, die Datenschutzerklärung und der Auftragsverarbeitungsvertrag nach Artikel 28 stehen vor jeder Unterschriftsaufforderung auf dieser Website.

Schreiben Sie an

hello@ave17.com

Über uns

Matrix

Nicht enthalten: Rechtsberatung. Dies beschreibt unsere eigene Position; zu Ihren Pflichten müssen Sie selbst Beratung einholen.

Wie es funktioniert

• A · Der übliche Weg und der Weg über offene Standards
• B · Sechs Ebenen zwischen Internet und Satz
• C · Wie ein Projekt abläuft
• D · Drei Föderationsmodelle und wie Sie eines wählen

Vor dem Kauf

• F · Was es kostet
• G · Was der Support umfasst und was nicht
• E · Die tatsächlich gestellten Fragen

Vor Ihrem Vertrauen

• H · Worauf wir zugreifen können und worauf nicht
• I · Wo es läuft und wie Sie das ohne Nachfrage prüfen
• J · Wie Sie aussteigen
• K · Mit wem Sie es zu tun haben