Die Adresse Ihrer Maschine verlässt nie unsere Infrastruktur

Wenn ein Kunde EU-only-Verarbeitung verlangen darf, muss das Netz wissen, wo jede Maschine steht. Dafür gibt es einen ausgetretenen Pfad: die Adresse an eine Geolokalisierungs-API schicken und das Land zurücklesen. Das kostet einen Nachmittag.

Es bedeutet aber auch, einem Dritten die Adresse jeder Maschine im Netz zu übergeben — kontinuierlich, für immer. Und das sind genau die Daten, von denen wir sagen, dass wir sie nicht sammeln. Also haben wir das andere getan.

Der Lookup läuft auf unserer eigenen Hardware

Ein kleiner Dienst liest eine Standortdatenbank von der lokalen Platte und beantwortet Fragen zu Adressen. Nichts verlässt das Haus. Es gibt keinen API-Schlüssel, keinen Anbieter, kein Rate-Limit und keinen Dritten, der eine Karte davon anhäuft, wer für uns hostet und wo er wohnt.

Die Daten sind DB-IP Lite — Land, Stadt und Netzbetreiber, veröffentlicht unter einer Creative-Commons-Lizenz ohne Schlüssel und ohne Registrierung. Unsere Pipeline frischt sie monatlich auf.

Was wir behalten — nämlich fast nichts

Eine IP-Adresse ist ein personenbezogenes Datum, und „wir behalten nicht, was wir nicht brauchen" muss für unsere Hosts genauso gelten wie für unsere Kunden. Die Adresse wird also aufgelöst und dann verworfen. Gespeichert wird zu einer Maschine ein zweibuchstabiger Ländercode und ein gesalzener Hash, der nur je mit sich selbst verglichen wird — damit wir bemerken, wenn eine Maschine das Land wechselt, und sie neu einordnen können.

Der Lookup-Dienst schreibt Adressen auch nicht in seine Logs. Das klingt selbstverständlich und geht leicht schief: Das Standardformat fürs Request-Logging enthält den Query-String, und im Query-String steht die Adresse. Der Dienst loggt nur Pfade, und ein Test schlägt fehl, falls das jemand zurückändert.

Der Host wird nie gefragt

Die wichtige Designentscheidung ist nicht, wo die Datenbank liegt — sondern dass die Maschine kein Mitspracherecht hat. mahout sendet kein Land, und es gibt kein Feld, in dem es eines senden könnte. Ein Host, der sein eigenes region:eu deklarieren könnte, würde die Garantie in ein Ehrensystem verwandeln — und ein Ehrensystem haben Sie schon auf der Marketingseite jedes Anbieters.

Es fällt außerdem geschlossen aus. Keine Datenbank, eine nicht auflösbare Adresse, ein Land, das wir nicht kennen — alles ergibt kein Regions-Tag, und eine Maschine ohne Tag bekommt nie Arbeit, die eines verlangt. Wir verlieren lieber die Kapazität, als regulierten Traffic auf eine Vermutung hin zu routen.

Was ein Host sieht

Seine eigene Einordnung, auf der Seite seiner Maschine im Dashboard, entnommen denselben Tags, auf denen der Scheduler routet. Und von der Maschine selbst kann mahout den Dienst fragen, wo sie zu stehen scheint — dieser Endpunkt antwortet nur zur Adresse des Aufrufers, nie zu der von irgendjemand anderem. Das ist die eine Frage, die ein Außenstehender zu stellen berechtigt ist.

Was das genau beweist

Dass die Maschine, die Ihre Token produziert hat, eine Adresse präsentierte, die einem EU- oder EWR-Land zugeteilt ist, und dass der Scheduler sich geweigert hat, Ihren Job irgendwo anders hinzurouten.

Nicht, dass die Hardware physisch dort steht — Adress-Geolokalisierung ist ein Indiz, keine Attestierung. Wir sagen Ihnen lieber, wo die Kante der Garantie verläuft, als dass Sie sie während eines Audits finden. Die vollständige Referenz steht in der Wissensdatenbank.