Sicherheit

Geprüft am: 4. September 2026.

Die Kurzfassung an Ihr Prüfteam weitergeben

• Control Plane. Die deutsche Datargo GmbH betreibt die EU-Control-Plane.
• Zugriff. Perstat nutzt 6 Organisationsrollen, API-Schlüssel mit Scopes und verifizierte Telefonnummern. REST und MCP sind getrennte Zugriffswege.
• Tarif-Fenster. Fenster von 7, 30, 90, 365 oder 730 Tagen begrenzen die öffentliche Historie geschlossener Incidents und die Uptime von Statusseiten. Sie steuern außerdem die Bereinigung roher Checks der Prüfpunkte, mit 2 Tagen technischem Puffer.
• Aufbewahrung. Rohkurven des Host-Agenten werden nach dem Tarif-Fenster bereinigt, höchstens 90 Tage, plus 2 Tage Puffer. Die Uptime von Statusseiten ist auf das Tarif-Fenster gekappt, höchstens 365 Tage. Die widersprüchliche 13-Monats-Formulierung in den AGB muss noch rechtlich abgeglichen werden.
• MFA und SSO. Das Backend unterstützt TOTP, Recovery Codes und MFA-Challenges. Eine Oberfläche für Einrichtung und Verwaltung ist nicht verfügbar, deshalb können Kunden MFA heute nicht selbst aktivieren. SAML-SSO ist nicht verfügbar.
• Export und Unterlagen. Ein manueller Export als CSV mit Manifest ist auf Anfrage verfügbar. Öffentliche Fassungen des AVV, der Liste der Unterauftragsverarbeiter und der technischen und organisatorischen Maßnahmen sind in Vorbereitung.

Die aktuellen Beschaffungsgrenzen prüfen

• MFA. TOTP, Recovery Codes und die Verarbeitung von Challenges sind im Backend vorhanden. Eine Oberfläche für Einrichtung und Verwaltung ist nicht verfügbar.
• Row-Level Security. Team-Chat-Tabellen nutzen zusätzlich PostgreSQL Row-Level Security mit FORCE. Die übrigen Mandantentabellen nutzen keine RLS.
• Kontolöschung. Sehen Sie sich die Auswirkungen vorab an, bestätigen Sie sie und löschen Sie danach das angemeldete Konto in der iOS-App oder über die API.

Das sind Angaben zum aktuellen Stand, keine Zertifizierungen. Bestätigen Sie den geltenden Stand und die Unterlagen über die Kontaktseite, bevor Sie sich vertraglich darauf stützen.

Die Datargo GmbH betreibt die EU-Control-Plane

Die Control Plane von Perstat läuft in der EU. Betrieben wird sie von der Datargo GmbH, einem deutschen Unternehmen.

Von den 6 Prüfregionen liegen 5 außerhalb der EU. Diese Prüfpunkte messen und melden. Sie speichern keine Kontodaten von Kunden.

Diese belegte Grenze betrifft Kontodaten von Kunden. Sie ist keine pauschale Aussage, dass kein konfiguriertes Ziel, kein Header, kein Antwortdetail und kein Diagnosewert personenbezogene Daten enthalten kann. Beschaffungsprüfungen sollten den konfigurierten Datenfluss bewerten.

Das Aktivitätsprotokoll hält Urheber und Zeitpunkt fest

Perstat protokolliert relevante Konfigurations-, Mitglieder-, Schlüssel- und Kurationsaktionen mit Urheber und Zeitpunkt.

Wer einen Fehlalarm verwirft, muss einen Grund angeben. Perstat zeigt die Wirkung auf die Uptime, bevor der Alarm verworfen wird. Das Verwerfen lässt sich zurücknehmen.

Die Historie führt 3 Stränge nebeneinander:

• die rohe Zeitleiste
• die kuratierte Ausfallaufzeichnung
• das Konfigurationsprotokoll

Wir nennen den Speicher nicht manipulationssicher. Wir behaupten auch kein lückenloses Audit jeder Änderung. Entscheidend ist hier die engere Eigenschaft: Eingriffe in die Kuration sind zurechenbar, begründet und umkehrbar.

Rollen trennen Aufgaben, Einmalcodes bestätigen Telefonnummern

Sechs Organisationsrollen trennen die Aufgaben:

• Owner
• Admin
• Responder
• Developer
• Viewer
• BillingAdmin

SMS und Anrufe gehen nur an Telefonnummern, die mit einem Einmalcode bestätigt wurden.

REST liest, MCP schreibt

API-Schlüssel der Organisation tragen Scopes. Ein Schlüssel lässt sich auf ausgewählte Projekte oder Monitore begrenzen.

API-Schlüssel lesen heute 7 REST-Endpunkte. Schreibscopes für REST werden nicht ausgewertet. Schreiben ist ein getrennter MCP-Pfad.

Der MCP-Endpunkt akzeptiert Organisations-API-Schlüssel mit Scopes. Für OAuth-fähige Clients veröffentlicht er einen OAuth-Authorization-Code-Flow mit PKCE. Ein Sitzungscookie des Browsers akzeptiert er nicht als MCP-Authentifizierung.

Jede Schreibaktion über MCP wird der menschlichen Identität hinter den Zugangsdaten zugerechnet: der Person, die den API-Schlüssel angelegt hat, oder dem OAuth-Subject. Der Server prüft bei jeder Schreibaktion erneut die aktuelle Mitgliedschaft und Rolle dieser Identität.

Lesen Sie die API-Dokumentation und die MCP-Dokumentation.

Blockliste prüft Ziele, Agenten senden keine vollständigen Pfade

Prüf-, Redirect- und Webhook-Ziele werden standardmäßig gegen dieselbe SSRF-Blockliste geprüft. Ein ausdrücklicher Override des Betreibers per Umgebungsvariable kann private Webhook-Ziele zulassen. Der Quellcode kennzeichnet diesen Override für Entwicklung und lokale End-to-End-Tests.

Das Inventar, das der Host-Agent übermittelt, enthält keine vollständigen Pfade, Kommandozeilen, Benutzernamen oder Werte von Umgebungsvariablen. Ist die Prozessüberwachung ausdrücklich aktiviert, übermittelt der Agent nur die Basisnamen von Prozessen und ausführbaren Dateien.

Historienfenster hängen von Tarif und Objekt ab

Jeder Tarif legt ein Fenster fest. Es begrenzt die öffentliche Historie geschlossener Monitor-Incidents und die Uptime von Statusseiten und steuert die Bereinigung roher Checks externer Prüfpunkte.

• Öffentliche Historie. Das Tarif-Fenster begrenzt den Lesezugriff. Den Datensatz des Incidents löscht es nicht automatisch.
• Rohe Checks der Prüfpunkte. Die 2 Tage sind ein technischer Puffer zusätzlich zum jeweils geltenden Tarif-Fenster.
• Weitere Datensätze. Das Tarif-Fenster allein legt ihre Löschung nicht fest. Für einige gibt es derzeit keinen automatischen Ablauf.

Die aktuellen AGB nennen außerdem 13 Monate als Standard für Mess- und Ereignisdaten. Dieser Wortlaut passt nicht zu dieser Implementierung, und der rechtliche Abgleich ist noch offen.

Verstehen Sie die Tabellen als aktuellen technischen Stand, nicht als Ersatz für verbindliche Bedingungen. Lesen Sie vor Beschaffung oder Einsatz die ausführlichere Erläuterung je Datenobjekt und fragen Sie die geltenden Aufbewahrungsbedingungen an.

Export oder Ausstieg anfragen

Nachweise lassen sich heute auf Anfrage exportieren, als CSV mit Manifest. Der Export umfasst:

• Monitore
• Messungen
• Zustandswechsel
• mit einem Monitor verknüpfte Incidents
• die Wartungs- und Ausschlussfenster, von denen die Verfügbarkeitswerte abhängen

Manuell angelegte Incidents ohne Monitor sind im aktuellen Export nicht enthalten. Einen Export im Self-Service gibt es heute nicht.

Für einen aktuellen Export oder eine Anfrage zum Ausstieg nutzen Sie die Kontaktseite.

Mit E-Mail und Passwort oder Apple anmelden

Die Anmeldung unterstützt heute E-Mail und Passwort sowie “Mit Apple anmelden” im Web und unter iOS.

Enterprise-SSO (SAML) ist nicht verfügbar.

Wir überwachen uns selbst

Perstat läuft auf Perstat. Unsere Statusseite, status.perstat.io, entsteht aus derselben Messpipeline, die wir verkaufen. Das ist das Produkt, auf sich selbst angewendet.

Der Gründer besitzt persönliche Qualifikationen

Der Gründer verfügt persönlich über CISSP, CCSP und ISSAP. Das sind persönliche Qualifikationen, keine Zertifizierungen von Perstat oder der Datargo GmbH.

Nach Beschaffungsunterlagen fragen

Öffentliche Fassungen des Auftragsverarbeitungsvertrags (AVV), der Liste der Unterauftragsverarbeiter und der technischen und organisatorischen Maßnahmen sind in Vorbereitung.

Den aktuellen Stand oder eine konkrete Sicherheitsprüfung fragen Sie über die Kontaktseite an.

Eine Sicherheitslücke melden

Sicherheitslücken melden Sie an security@perstat.io. Diese Adresse ist der Responsible Disclosure vorbehalten.

Für Fragen zur Beschaffung und zur Produktsicherheit nutzen Sie die Kontaktseite.