ADR-021: Monitoring und Kostenkontrolle¶

Stand: 09.08.2026 12:17 Branch: main Status: Akzeptiert

Datum, Uhrzeit	Version	Änderung	Autor
09.08.2026 12:17	1.0	Grafana Cloud Pro Frankfurt sowie anbieterunabhängige Kosten-, Datenschutz- und Sicherheitsgrenzen festgelegt	Codex

Kontext¶

UC00 verlangt ein von der Produktivinfrastruktur unabhängiges Betriebs- und Sicherheitsmonitoring. Es muss Verfügbarkeit, Fehler, Kapazität, Datenbank, Backups, Zertifikate, E-Mail, Malware-Prüfung, Authentifizierungsmissbrauch, Protokollausfall, administrative Zugriffe, Schlüsselrotation, Objektspeicher und Löschprozesse überwachen.

Ein vollständig selbst betriebener Prometheus-, Grafana-, Loki- und Alertmanager-Stack würde zusätzliche Server-, Aktualisierungs-, Absicherungs-, Backup- und Eigenüberwachungsaufgaben erzeugen. Die V1-Lösung soll wartungsarm und kostenoptimiert sein, ohne notwendige Sicherheitskontrollen abzuschwächen.

Entscheidung für V1¶

Grafana Cloud Pro in der Region Deutschland auf Amazon Web Services (AWS) Frankfurt (eu-central-1) ist das bevorzugte V1-Monitoring.
Grafana Alloy sammelt ausschliesslich freigegebene Metriken und minimierte technische Logs auf den Hetzner-Systemen und übermittelt sie verschlüsselt an Grafana Cloud.
Grafana Cloud übernimmt Dashboards, Alarmierung, 30-tägige technische Logaufbewahrung und externe synthetische Verfügbarkeitsprüfungen.
Externe Prüfungen für Hypertext Transfer Protocol Secure (HTTPS), Domain Name System (DNS) und Zertifikate laufen in V1 grundsätzlich alle fünf Minuten aus Frankfurt und Zürich. Engere Intervalle oder weitere Standorte benötigen eine dokumentierte fachliche und kostenbezogene Begründung.
Sentry, Application Observability, Database Observability, Frontend Observability, Real User Monitoring, Session Replay, Browseraufzeichnung, Tracing und Profiling sind in V1 standardmässig deaktiviert. Ihre Aktivierung benötigt einen neuen Fach-, Datenschutz-, Sicherheits- und Kostenentscheid.
Sicherheits- und fachlich relevante Auditdaten bleiben in den dafür vorgesehenen DiveLogix360-Protokollen. Grafana Cloud ersetzt weder Auditnachweise noch gesetzliche oder vertragliche Aufbewahrung.
Grafana Labs bleibt im Providerregister under_review, bis Vertrag, Auftragsverarbeitung, Region, Unterauftragnehmer, Supportzugriffe, Löschung, Aufbewahrung, Sicherheit und Alarmzustellung vollständig geprüft sind.

Anbieterunabhängige Datenminimierung¶

Die folgenden Regeln gelten auch bei einem späteren Monitoringanbieterwechsel:

Personenbezogene oder fachliche Identifikatoren (IDs) werden nicht als Metriklabel verwendet. Ausgeschlossen sind insbesondere Tenant-, Benutzer-, Kunden-, Equipment-, Vertrags-, Dokument- und E-Mail-IDs.
Namen, E-Mail-Adressen, Tenant-Bezeichnungen, Dateinamen, IP-Adressen ausserhalb begründeter Sicherheitsprotokolle, Token, Schlüssel und andere Geheimnisse werden nicht als Metriklabel verwendet.
Metriken werden nach Dienst, Umgebung, kontrollierter Route, HTTP-Methode, standardisiertem Status, Fehlercode und Schweregrad aggregiert.
Logs enthalten keine Formulareingaben, Request- oder Response-Bodies, Vertragsinhalte, Nachrichteninhalte, Datenbankabfragen mit Werten, Stacktraces mit Nutzdaten oder freien Providerfehlermeldungen.
Zulässig sind insbesondere UTC-Zeitpunkt, Dienst, Umgebung, Schweregrad, standardisierter Fehlercode, geheimnisfreie Korrelations-ID und freigegebene technische Metadaten.
Korrelations-IDs dürfen zur Logsuche verwendet werden, aber nicht als Metriklabel und nicht zur dauerhaften personenbezogenen Profilbildung.
Session Replay, Bildschirmaufzeichnung und ungefilterte Browsertelemetrie sind ausgeschlossen.

Anbieterunabhängige Kostenkontrolle¶

Normale Infrastruktur- und Anwendungsmesswerte werden grundsätzlich einmal pro Minute erfasst. Kürzere Intervalle benötigen einen dokumentierten Sicherheits- oder Betriebsgrund.
Externe Standardprüfungen laufen grundsätzlich alle fünf Minuten.
Metriken werden nicht pro Tenant, Benutzer, Kunde, Equipmentteil, Vertrag oder Dokument erzeugt.
Hochvariable Labelwerte werden durch technische Positivlisten verhindert. Unbekannte oder nicht freigegebene Labels werden verworfen.
Warnungen werden spätestens bei 70 Prozent, kritische Kostenwarnungen spätestens bei 85 Prozent eines enthaltenen Tarifkontingents ausgelöst.
Eine prognostizierte kostenpflichtige Überschreitung, ein Tarifwechsel oder die Aktivierung eines Zusatzmoduls benötigt eine dokumentierte Freigabe.
Kosten-, Datenvolumen-, Zeitreihen-, Datenpunkt-, Log-, Benutzer- und Synthetiknutzung werden mindestens monatlich geprüft.
Sicherheitsrelevante Erfassung und Alarmierung darf nicht allein zur Kostensenkung deaktiviert oder unter die fachlich festgelegte Mindestabdeckung reduziert werden.
Preis- und Kontingentangaben werden vor Vertragsabschluss und mindestens jährlich gegen die aktuelle Anbieterpreisliste geprüft; die Architekturentscheidung garantiert keinen dauerhaften Preis.

Verbindliche Mindestabdeckung¶

Bereich	Mindestens zu überwachen
Verfügbarkeit	Frontend, API, öffentliche Health-Endpunkte, DNS und TLS-Zertifikate
Anwendung	Fehlerrate, Antwortzeit, abgewiesene Anfragen und Jobzustände
Datenbank	Erreichbarkeit, Verbindungen, Speicher, Fehler, Replikations- beziehungsweise WAL-Zustand
Backup und Restore	Alter, Erfolg, Vollständigkeit, Entschlüsselbarkeit und letzter Restore-Test
Sicherheit	Authentifizierungsmissbrauch, administrative Zugriffe, Protokollausfall und Schlüsselereignisse
Objektspeicher	Upload-, Download-, Integritäts-, Lifecycle- und Berechtigungsfehler
E-Mail	Versandfehler, Bounce-Prozess und ausbleibende Zustellungssignale ohne Nachrichteninhalte
Malware-Prüfung	Scannerstatus, Signaturalter, Quarantänefehler und abgewiesene Uploads
Aufbewahrung und Löschung	überfällige oder fehlgeschlagene Löschläufe und unerwartete Datenrestbestände
Monitoring selbst	Collector-Ausfall, fehlende Daten, Alarmregelzustand und vollständige Alarmkette

Jeder Alarm besitzt Schweregrad, verantwortlichen Empfänger, Reaktionsregel und dokumentierten Test. Alarmmeldungen enthalten keine personenbezogenen oder vertraulichen Inhalte.

Zugriff und Betrieb¶

Grafana-Zugriff ist auf namentliche administrative Konten mit Zwei-Faktor-Authentifizierung (2FA) und Minimalrechten begrenzt.
In V1 erhalten höchstens drei notwendige administrative Benutzer Zugriff; weitere Zugänge benötigen fachliche und kostenbezogene Freigabe.
Collector- und Application-Programming-Interface-Token (API-Token) sind umgebungsgetrennt, minimal berechtigt, rotationsfähig und liegen nicht in Git, Structured Query Language (SQL) oder ungeschützten .env-Dateien.
Dashboards, Alarmregeln, Datenfilter, Aufbewahrung und Kostenwarnungen werden versionierbar konfiguriert.
Die vollständige Alarmkette wird monatlich getestet. Ausfälle des Monitorings werden unabhängig erkannt.

Produktivsperre und offene Nachweise¶

Vor produktiver Übermittlung müssen mindestens vorliegen:

konkrete Grafana-Vertragspartei und Pro-Tarif;
Region Deutschland beziehungsweise Frankfurt für alle verwendeten Dienste;
Auftragsverarbeitungsvertrag und vollständige dienstbezogene Unterauftragnehmerprüfung;
Prüfung möglicher Support-, Fernzugriffs- und Drittlandzugriffe;
bestätigte 30-tägige Logaufbewahrung, Löschung und Vertragsendprozess;
technische Filtertests gegen personenbezogene Daten und Geheimnisse;
Rollen-, Zwei-Faktor-, Token- und Rotationsnachweise;
getestete Alarmkette und dokumentierte Empfänger;
aktivierte Kosten- und Kontingentwarnungen;
Nachweis, dass alle nicht freigegebenen Zusatzmodule deaktiviert sind.