Sicherheit & Zuverlässigkeit

Kurz gesagt

Ihre Inhalte liegen in Ihrem eigenen GitHub-Repository; unsere Datenbank enthält nur die Konto- und Workflow-Daten, die für den Betrieb des Dienstes nötig sind (genau aufgeführt in der Datenschutzerklärung). PullPress fordert bei GitHub die engsten Berechtigungen an, mit denen Redakteure noch arbeiten können, und ist so gebaut, dass selbst ein vollständiger Ausfall von PullPress Sie nie von Ihren Inhalten aussperrt oder Ihre Website lahmlegt.

Ihre Inhalte bleiben in Ihrem Repository

Jede Seite, jeder Beitrag und jedes Bild, das Ihr Team bearbeitet, wird über die von Ihnen installierte GitHub App in Ihr eigenes GitHub-Repository committet. Entwürfe sind Branches; veröffentlichte Änderungen sind gemergte Commits mit vollständigem Verlauf. Unsere Datenbank speichert Konto- und Workflow-Daten — Konten, Prüfstatus, Titel von Änderungsanfragen, Kommentare und Ideen, Titel von Einträgen mit ihren Such-Embeddings sowie einen Cache mit Titeln und Daten von Einträgen, der Listen beschleunigt —, aber Ihre Seiten und Beiträge selbst liegen in Git.

Diese Architektur ist Ihre stärkste Garantie: Ihre Inhalte werden von Git versioniert, von GitHub gehostet und sind vollständig portabel. Hören Sie morgen mit PullPress auf, behalten Sie alles — samt Verlauf.

Anmeldung und Zugriffskontrolle

Redakteure melden sich mit einmal nutzbaren, kurzlebigen Magic Links an, die per E-Mail kommen — es gibt keine Passwörter, die durchsickern, wiederverwendet oder per Brute Force erraten werden könnten, und Link-Anfragen sind pro Client und pro Adresse begrenzt. Neu Eingeladene bekommen mit der Einladung einen persönlichen Anmeldelink: einmal nutzbar, 7 Tage gültig, nur als Hash gespeichert, an genau dieses Konto gebunden und ungültig, sobald sie sich angemeldet haben; der Link öffnet nur eine Seite, damit Mail-Scanner ihn nicht verbrauchen. Wer schon ein Konto hat, wird nie über eine Einladung angemeldet — er nimmt sie selbst an. Dieselbe E-Mail enthält einen sechsstelligen Code für die Anmeldung auf einem anderen Gerät: 10 Minuten gültig, einmal nutzbar, nur als Hash gespeichert und nach fünf Fehlversuchen ungültig. Eine Sitzung gilt 30 Tage ab der letzten Nutzung. Autoren brauchen nie ein GitHub-Konto.

Der Zugriff ist mehrstufig: Rollen im Arbeitsbereich (Inhaber, Administrator, Mitglied), Rollen pro Website (Redakteur, Freigeber, Leser) und optionale Einschränkungen pro Sammlung, sodass ein Autor nur sieht, was er bearbeiten soll. Zugriff auf eine Website setzt immer die Mitgliedschaft in dem Arbeitsbereich voraus, dem die Website gehört — wer aus einem Arbeitsbereich entfernt wird, verliert also überall darin den Zugriff, und nur Inhaber können Inhaberschaft vergeben oder entziehen. Jeder Datenzugriff läuft auf dem Server durch eine einzige Kontrollstelle, die Arbeitsbereiche voneinander trennt, sodass ein Arbeitsbereich nie die Websites oder Installationen eines anderen lesen kann.

KI-Agenten verbinden sich über das Model Context Protocol mit OAuth 2.1 mit PKCE und kurzlebigen, rotierenden Tokens — ein Refresh-Token, das nach seiner Ersetzung erneut verwendet wird, widerruft die gesamte Verbindung (ein Netzwerk-Wiederholungsversuch innerhalb von 30 Sekunden wird toleriert) — oder mit persönlichen API-Tokens, die nach 30 Tagen, 90 Tagen oder einem Jahr ablaufen (Sie wählen) und nur als Hash gespeichert werden. Jede Verbindung trägt Scopes (Lesen, Schreiben, Freigeben und Einplanen), die auf dem Zustimmungsbildschirm neben der genauen Adresse angezeigt werden, an die die App weiterleitet; unbekannte Apps werden als nicht verifiziert markiert, und jede neue Verbindung wird dem Kontoinhaber per E-Mail gemeldet. Ein Konto zu löschen oder ein Gerät für Push-Mitteilungen zu registrieren, ist mit dem Token eines Assistenten nie möglich. Ein Agent geht nie über die Rolle der Person hinaus, für die er handelt: Ohne den Scope Freigeben-und-Einplanen kann er nur entwerfen und zur Prüfung einreichen, und nur ein Agent, der für einen Freigeber handelt, der diesen Scope erteilt hat, kann Änderungen freigeben oder einplanen.

Minimale GitHub-Berechtigungen

Die PullPress GitHub App fordert nur an, was der Editor braucht: Lesen/Schreiben auf Repository-Inhalte und Pull Requests, nur Lesen auf Metadaten und optional nur Lesen auf Checks. Sie hat bewusst keinen Zugriff auf Actions-Workflows — selbst ein kompromittiertes Konto könnte Ihre CI/CD-Pipeline also nicht über PullPress verändern. Auf Organisationsebene liest sie nur die Mitgliedschaft (nur lesen), und zwar nur, um — mit der eigenen GitHub-Autorisierung der verbindenden Person — zu prüfen, ob diese Inhaber der Organisation ist, bevor sie eine Installation aus einem anderen Arbeitsbereich verschieben darf.

Der Zugriff auf GitHub erfolgt mit kurzlebigen Installations-Tokens pro Anfrage. Bevor eine Installation mit einem Arbeitsbereich verknüpft wird, bestätigt GitHub selbst — über die eigene GitHub-Autorisierung der verbindenden Person —, dass diese Zugriff darauf hat, sodass niemand fremde Repositories durch Erraten einer Installationsnummer anhängen kann. Private Schlüssel und Geheimnisse bleiben in serverseitigen Umgebungsvariablen und werden nie an den Browser geschickt. Commits werden dem Redakteur zugeordnet, der sie gemacht hat, damit Ihr Git-Verlauf ehrlich bleibt. Diese Prüfung verwendet PKCE, die einmalige GitHub-Autorisierung wird direkt danach widerrufen, und ein Administrator wird alle 180 Tage gebeten, sie erneut zu bestätigen — damit niemand, der Ihre GitHub-Organisation verlassen hat, unbemerkt weiter über PullPress veröffentlicht.

Plattformsicherheit

Der gesamte Datenverkehr ist bei der Übertragung verschlüsselt (HTTPS). Ratenbegrenzungen schützen Anmeldung, Speichern, Prüfen und Einladungen vor Missbrauch. Ruft PullPress in Ihrem Auftrag eine URL ab (Linkprüfungen, die Sitemap Ihrer Live-Website, Benachrichtigungs-Webhooks), spricht es nur mit öffentlichen Internetadressen auf Standardports — es lässt sich also nicht auf interne Netzwerke richten. Eigene KI-Schlüssel werden verschlüsselt gespeichert. Die Abrechnung läuft über Stripe — wir speichern eine Referenz auf das Abonnement, nie Kartendaten.

Eine Schwachstelle gefunden? Melden Sie sie an security@pullpress.app (auch in /.well-known/security.txt angegeben), und wir antworten so schnell wir können. Bitte geben Sie uns angemessen Zeit, ein Problem zu beheben, bevor Sie es öffentlich machen.

Zuverlässigkeit und Verfügbarkeit

Unser internes, unverbindliches Ziel ist eine monatliche Verfügbarkeit von 99,9 % für den gehosteten Dienst — das ist kein vertragliches SLA, und die Nutzungsbedingungen sehen keine Gutschriften vor. Wir veröffentlichen eine öffentliche Statusseite unter /status — aktueller Status, 90-Tage-Verfügbarkeitsverlauf und Störungen, berechnet aus unseren eigenen Health Checks — sowie einen Live-Health-Endpunkt (/api/health), den unabhängige Uptime-Monitore beobachten können.

Wichtiger als jede Zahl ist, was im Fehlerfall passiert: PullPress steht neben Ihrer Website, nicht darunter. Ihre Website wird von Ihrer eigenen Pipeline aus Ihrem Repository gebaut und gehostet — fällt PullPress je aus, läuft Ihre Live-Website weiter, Ihre Inhalte bleiben in GitHub, und nichts geht verloren; das Bearbeiten pausiert einfach, bis wir wieder da sind.

Backups und Aufbewahrung

Inhalte: geschützt durch Git selbst — vollständiger Versionsverlauf in Ihrem Repository, gespeichert auf der Infrastruktur von GitHub. Versehentlich gelöscht oder geändert? Jede frühere Version lässt sich aus dem Verlauf wiederherstellen, in der App, ohne git-Befehle.

Konto- und Workflow-Daten: gespeichert in einer verwalteten Postgres-Datenbank (Supabase) mit täglichen Backups; Backups werden nach höchstens 30 Tagen überschrieben. Kontodaten werden aufbewahrt, solange Ihr Konto besteht, und gelöscht, wenn Sie Ihr Konto (selbst, in Ihrem Profil) oder Ihren Arbeitsbereich löschen; Ihre Inhalte bleiben in Ihrem Repository, unter Ihrer Kontrolle.

Wo Ihre Daten liegen

Ihre Inhalte liegen dort, wo Ihr GitHub-Repository liegt, gemäß Ihrer Vereinbarung mit GitHub. Unsere Datenbank enthält die oben beschriebenen Konto- und Workflow-Daten, in einer verwalteten Postgres-Datenbank in der EU (Supabase), die App wird auf Netlify gehostet; Analysen laufen nur mit Einwilligung, in der EU-Cloud von PostHog.

Unser Auftragsverarbeitungsvertrag (/dpa) gilt automatisch für jeden Arbeitsbereich, und die aktuelle Liste der Unterauftragsverarbeiter mit ihren Standorten finden Sie unter /subprocessors.

Hat Ihre Organisation besondere Anforderungen an den Datenstandort oder an Lieferantenprüfungen (Fragebögen, Details zur Verarbeitung), schreiben Sie uns an security@pullpress.app — sie zu beantworten gehört zu unserer Arbeit und ist kein Enterprise-Upsell.