Betrieb & Datenschutz
patchletter läuft auf einem eigenen Server in Deutschland.
Ein Werkzeug, das weiß, welche Software du betreibst, hält eine sensible Liste. Deshalb steht hier genau, wo diese Liste liegt, wer sie anfassen kann — und was wir nicht selbst betreiben. Wo die Daten liegen und mit wem dein Browser spricht, kannst du selbst nachmessen; die Befehle stehen unten. Was auf dem Server passiert, siehst du von außen nicht — dafür steht hier, woran wir es jeweils geprüft haben.
Wo die Daten liegen
Zwei Server in Deutschland, keine Verteilung über mehrere Clouds. Anwendung, Datenbank, Objektspeicher, Reichweitenmessung und Fehler-Monitoring laufen auf einem; unabhängiges Verfügbarkeits-Monitoring und die Sicherungskopien liegen auf einem zweiten.
| Komponente | Betrieben von | Ort |
|---|---|---|
| Anwendung, Datenbank, Objektspeicher | manitu GmbH | St. Wendel, Deutschland |
| Mail-Empfang (hello@, legal@ …) und Anmeldelinks | mailbox.org (Heinlein Hosting GmbH) | Berlin, Deutschland |
| Versand der Update- und Newsletter-Mails | LOGIN SystemHaus GmbH (mailbridge) | Wiesbaden, Deutschland |
| Reichweitenmessung (Umami) | Selbst betrieben auf derselben Maschine | St. Wendel, Deutschland |
| Fehler-Monitoring (Bugsink) | Selbst betrieben auf derselben Maschine | St. Wendel, Deutschland |
| Verfügbarkeits-Monitoring und Sicherungskopien | IONOS SE — bewusst getrennte Maschine | Berlin, Deutschland |
Zwei Adressen liest kein Mensch, sondern die Anwendung: dmarc@ (Berichte anderer Mailserver darüber, ob in unserem Namen gefälschte Mail unterwegs ist) und unsubscribe@ (Abmeldung per Mail mit einem Klick). Das Postfach schickt Kopien dieser beiden — und nur dieser beiden — an unsere eigene Maschine in St. Wendel. Ein Abholer für das ganze Postfach hätte der Anwendung auch die Post an hello@, legal@ und security@ zugänglich gemacht.
Die Datenbank wird stündlich gesichert, jede Sicherung nach dem Schreiben auf Lesbarkeit geprüft, und eine Kopie geht auf die zweite Maschine in Berlin. Kein Cloud-Speicher eines Anbieters ist daran beteiligt. Auf dieser zweiten Maschine läuft auch die Statusseite: status.patchletter.com — andere IP, anderer Betreiber.
Unsere Software
Keine proprietäre Blackbox. Jedes Stück hier ist etwas, das SysAdmins selbst betreiben — und bis auf ALTCHA steht jedes davon in unserem eigenen Katalog, du kannst seine Update-Historie also genauso nachprüfen wie bei deiner eigenen Infrastruktur.
- Caddy — Reverse-Proxy und TLS-Terminierung für jeden öffentlichen Hostnamen.
- Node.js — Die Laufzeitumgebung der Anwendung selbst (Next.js auf Node 22).
- PostgreSQL — Die Datenbank — Produkte, Abos, Releases, alles.
- Valkey — Job-Queue und Cache (Redis-kompatibel).
- MinIO — S3-kompatibler Objektspeicher für Produkt-Icons und Uploads.
- ALTCHA — Selbstgehostetes Proof-of-Work-Captcha an Registrierung und Anmeldung: Dein Browser löst eine Rechenaufgabe (PBKDF2/SHA-256), geprüft wird sie auf unserem Server. Kein reCAPTCHA, kein Turnstile — der Browser fragt dafür genau eine Adresse an, und die gehört uns.
- Postfix — Nimmt die zwei maschinell gelesenen Adressen entgegen, die unser Postfach an diese Maschine weiterleitet — und ist der letzte Ausweg für den Versand, falls beide Relays ausfallen.
- Docker Compose — Betreibt die Container-Dienste auf beiden Maschinen. Postfix und die Sicherungs-Aufträge laufen bewusst daneben, direkt auf dem Wirtssystem.
- Gatus — Unabhängiges Verfügbarkeits-Monitoring auf der zweiten Maschine.
- Bugsink — Selbst gehostetes, Sentry-kompatibles Fehler-Tracking — keine Daten verlassen den Server.
- Umami — Selbst gehostete, cookielose Reichweitenmessung.
Was wir nicht tun
- Keine Werbe-Cookies und kein Einwilligungs-Banner. Gesetzt werden nur technisch notwendige Cookies: eines für die gewählte Sprache, und beim Anmelden zwei weitere für die Sitzung und die Bindung des Anmeldecodes an deinen Browser.
- Kein Captcha eines Dritten. Der Bot-Schutz an Registrierung und Anmeldung ist selbstgehostet (ALTCHA, Proof-of-Work): keine Bilderrätsel, keine Cookies, kein Verhaltensprofil — und keine Anfrage an Google oder Cloudflare.
- Keine Tracking-Pixel in Mails. Wir messen nicht, ob du eine Nachricht geöffnet hast. Manche Links tun beim Klick etwas und erkennen dabei dein Konto — der Anmeldelink, der Abmeldelink und der in einer Update-Mail, mit dem du festhältst, welche Version du fährst. Genau dafür sind sie da. Sonst wird in unseren Mails nichts umgeleitet und nichts gezählt.
- Keine Marketing-Tags, keine Fremd-Skripte. Der Browser spricht ausschließlich mit unseren eigenen Domains.
- Kein Verkaufen, Vermieten oder Anreichern von E-Mail-Adressen. Nie.
- Kein Konto nötig, um zu stöbern. Einziges Pflichtdatum ist eine E-Mail-Adresse — und auch nur, wenn du Benachrichtigungen willst. Ohne JavaScript kannst du Katalog, Produktseiten, Suche und das Vorschlags-Formular vollständig benutzen; nur Registrierung und Anmeldung nicht, weil die Rechenaufgabe des Bot-Schutzes in deinem Browser gelöst wird.
Was wir nicht selbst betreiben
„100 % Deutschland“ zu behaupten wäre bequem und falsch. Das hier liegt nicht auf unseren eigenen Maschinen:
Mail-Versand (zwei Wege, beide in Deutschland)
Unsere Post verlässt uns über zwei getrennte Wege, und welchen eine Nachricht nimmt, hängt davon ab, ob jemand gerade darauf wartet. Anmeldelinks, Registrierungsbestätigungen, Einladungen und Bestätigungsmails gehen über mailbox.org (Heinlein Hosting GmbH, Berlin) — derselbe deutsche Anbieter, bei dem auch unser Postfach liegt. Update-Mails, der Newsletter und Sicherheitswarnungen gehen über mailbridge (relay3.spamgo.de) der LOGIN SystemHaus GmbH in Wiesbaden. Beide verarbeiten ausschliesslich in Deutschland. Die Trennung gibt es, weil das Relay des Massenversands schubweise zustellt, mit Pausen von bis zu einer Viertelstunde: für einen Tages-Digest harmlos, aber ein Anmeldelink, der eine Viertelstunde zu spät kommt, ist ein kaputter Login. Die Update-Mails gehen seit dem 24. August 2026 über mailbridge, die Anmeldelinks seit dem 25. August 2026 über mailbox.org. Davor war es Mailjet: Dort wurde unser Konto am 23. August gesperrt, 27 Stunden lang ging keine einzige Nachricht raus. Mailjet bleibt als Rückfallweg eingerichtet, gedeckelt auf 200 Nachrichten am Tag. Welche Relays in unserem Namen senden dürfen, steht in unserem SPF-Eintrag — die Prüfung unten zeigt ihn. Auf keinem der beiden Wege gibt es Klick- und Öffnungs-Tracking, das man abschalten müsste: einfaches SMTP kennt so etwas nicht.
DNS (Cloudflare, USA)
Die autoritativen Nameserver der Domain laufen noch bei Cloudflare. Eine Domain ist nach der Registrierung 60 Tage lang für Transfers gesperrt; der Umzug zu einem deutschen Registrar ist damit ab September 2026 möglich. Darüber laufen ausschließlich Namensauflösungen — keine Konto-Daten, keine Mail-Inhalte.
TLS des Mailservers (Let's Encrypt / ISRG, USA)
Die öffentliche Seite läuft inzwischen auf einer deutschen Zertifizierungsstelle (siehe unten). Das SMTP-TLS unseres Mailservers nutzt weiter Let's Encrypt, eine US-amerikanische Non-Profit-Organisation. Besucherdaten betrifft das nicht: Eine Zertifizierungsstelle sieht ohnehin nie deinen Datenverkehr, sie signiert nur einen öffentlichen Schlüssel.
Das Postfach (mailbox.org, Deutschland)
Bis zum 21. August 2026 nahm unsere eigene Maschine die Post an und leitete sie in das Postfach des Betreibers bei Apple weiter — dieser Punkt stand hier als vierte Ausnahme. Seitdem nimmt mailbox.org (Heinlein Hosting GmbH) in Berlin die Post für uns entgegen, speichert sie dort und dort wird sie auch gelesen; eine Weiterleitung in die USA gibt es nicht mehr. Wir lassen den Punkt trotzdem stehen, damit nachvollziehbar bleibt, was sich geändert hat.
Auch die Zertifizierungsstelle
Viele Seiten reden davon, sich von US-Tech-Giganten zu lösen — und beziehen ihr TLS-Zertifikat dann still weiter von einer US-amerikanischen Zertifizierungsstelle, weil kaum jemand ins Aussteller-Feld schaut. Wir schon: patchletter.com, www sowie die Subdomains bugsink/umami/status laufen jetzt über D-Trust GmbH, eine deutsche Zertifizierungsstelle, statt über Let's Encrypt (ISRG, USA).
Strom und Klima
manitu betreibt Rechenzentrum und Büros seit Februar 2008 mit 100 % Ökostrom — direkt bezogen, nicht über Zertifikate ausgeglichen — und gibt durch optimierte Kühlung und lastabhängige Stromsparmaßnahmen einen PUE-Wert von 1,35 an. Das Rechenzentrum steht im selben Gebäude wie die Firmenräume in St. Wendel im Saarland.
manitu zu Ökologie und Klimaschutz
Eine Selbstverpflichtung, keine Behauptung
patchletter ist kostenlos und hat bisher keinen Gewinn gemacht — die einzige vorgesehene Einnahme ist eine klar gekennzeichnete offizielle Herstellerpräsenz. Wir verpflichten uns, einen Teil künftiger Gewinne an plant-my-tree.de zu spenden, eine deutsche Aufforstungsinitiative. Sobald tatsächlich Geld fließt, nennen wir den Betrag hier. Bis dahin ist das eine Zusage — und das sagen wir lieber deutlich, als so zu tun, als wäre schon etwas passiert.
Selbst nachprüfen
Glaub uns nicht einfach. Diese Handgriffe zeigen das meiste:
- dig +short A patchletter.com
- Löst auf unseren Server in Deutschland auf.
- dig +short MX patchletter.com
- Zeigt auf mxext1–4.mailbox.org: Unser Postfach liegt seit dem 21. August 2026 bei mailbox.org (Heinlein Hosting GmbH) in Berlin — ein deutscher Anbieter, nicht unsere eigene Maschine und kein US-Konzern.
- dig +short TXT notify.patchletter.com
- Der SPF-Eintrag listet jedes Relay, das in unserem Namen senden darf. Seit dem 24. August 2026 ist das spf.spamgo.de — mailbridge, der Weg der Update-Mails. mailbox.org deckt Antworten aus dem eigenen Postfach ab und seit dem 25. August 2026 zusätzlich die Anmeldelinks. spf.mailjet.com steht weiter als Rückfall darin.
- curl -sI https://patchletter.com | grep -i via
- Antwortet „via: 1.1 Caddy“ — unser eigener Reverse-Proxy, kein CDN eines Hyperscalers davor.
- echo | openssl s_client -connect patchletter.com:443 2>/dev/null | openssl x509 -noout -issuer
- Aussteller ist D-Trust GmbH, Deutschland — keine US-Zertifizierungsstelle.
- curl -s https://patchletter.com/api/altcha/challenge
- Der Bot-Schutz an Anmeldung und Registrierung kommt von unserer eigenen Maschine: Die Antwort enthält die Rechenaufgabe. Beim Anhaken der Checkbox stellt dein Browser genau diese eine Anfrage — nichts an google.com und nichts an challenges.cloudflare.com.
- Entwicklerwerkzeuge öffnen, Seite neu laden
- Der Browser kontaktiert patchletter.com und unsere eigenen Subdomains — sonst nichts.
Mehr Details
- Datenschutzerklärung
- Crawler-Policy des patchletterBot
- Impressum
- security.txt — Meldeweg für Sicherheitslücken
Fragen
Ist patchletter wirklich kostenlos?
Ja. Es gibt keinen Bezahltarif und keine Kreditkarte. Vorgesehene Einnahme ist eine offizielle, klar gekennzeichnete Herstellerpräsenz auf Produktseiten — nie Werbung zwischen den Einträgen und nie mit Einfluss darauf, was wir melden.
Wer sieht, welche Software ich verfolge?
Nur der Betreiber über die Administrationsoberfläche, und das ausschließlich zum Betrieb des Dienstes. Die Liste geht nie an Dritte und wird nicht für Werbung genutzt. Löschst du dein Konto, verschwinden Konto und Liste sofort aus dem Livebetrieb — echter Hard-Delete, kein Markieren. Aus den Sicherungen rotieren sie mit dem üblichen Turnus heraus: stündliche Sicherungen nach 30 Tagen, die vom Monatsersten nach spätestens einem Jahr.
Scannt patchletter meine Systeme?
Nein. Es gibt keinen Agenten und keinen Scanner; von sich aus verbindet sich patchletter nie mit deiner Infrastruktur. Die einzige Ausnahme richtest du selbst ein: ein Webhook-Ziel, an das wir neue Releases zustellen — und auch das nur an öffentlich erreichbare Adressen, nie in private Netze.
Warum liegt das DNS dann noch bei Cloudflare?
Weil eine Domain innerhalb von 60 Tagen nach der Registrierung nicht transferiert werden kann. patchletter.com wurde am 7. Juli 2026 registriert, der früheste Umzug ist damit Anfang September 2026. Wir benennen die Lücke lieber, als sie zu verschweigen.