Self-Hosted vs. Local-First: welche Privacy-Architektur passt zu deinem Personal CRM?

Self-Hosted und Local-First sind die zwei ernsthaften Antworten auf dieselbe Sorge — Beziehungsnotizen in einer fremden Cloud —, und sie sind nicht austauschbar. Die eine tauscht Bequemlichkeit gegen Kontrolle und drückt dir einen Server in die Hand. Die andere hält die Primärkopie auf deinem Gerät und gibt dir fast nichts zu betreiben. Welcher Tausch passt, hängt an dir, nicht an der Software.

Zwei Architekturen, ein Motiv

Ein Personal CRM enthält die sensibelste Datenbank, die die meisten Menschen je freiwillig anlegen: wer dir wichtig ist, was dir anvertraut wurde, wann ihr zuletzt gesprochen habt, was im Leben einer Person gerade zerbrechlich ist. Das im Klartext auf die Server eines Anbieters zu legen heißt, nicht nur der heutigen Firma zu vertrauen, sondern jedem künftigen Eigentümer, jedem Preis-Schwenk, jeder stillen Übernahme.

Beide Architekturen in diesem Vergleich verweigern diese Wette — unterschiedlich. Ein Self-Hosted CRM holt den Server unter deine Kontrolle: Die Anwendung läuft auf einer Maschine, die du mietest oder besitzt, und der Anbieter verschwindet komplett aus dem Datenpfad. Local-First-Software schafft stattdessen den Pflicht-Server ab: Die Primärkopie lebt auf dem Gerät in deiner Hand, die App funktioniert vollständig offline, und ein Server — falls du einen aktivierst — schrumpft zum Relay für verschlüsselten Sync zwischen deinen eigenen Geräten. Der Begriff stammt von Kleppmann, Wiggins, van Hardenberg & McGranaghan (2019), deren Paper den Test formuliert, den jede „private“ App bestehen sollte: Wenn der Anbieter morgen verschwindet — läuft die Software dann noch, mit deinen Daten intakt, auf Hardware, die du kontrollierst?

Beide Architekturen bestehen diesen Test. So ziemlich alles andere an ihnen unterscheidet sich.

Self-Hosting: Kontrolle als Nebenjob

Das Referenzprodukt heißt Monica — Open Source unter AGPL v3, gepflegt seit 2017, installierbar per Docker oder von Hand, mit einer wirklich kostenlosen selbstgehosteten Edition. Wir vergleichen sie ausführlich auf der Seite Endearist vs. Monica, und die Kurzfassung gilt: Wer ein umfassendes, web-basiertes Aufzeichnungssystem will und gern Software betreibt, ist mit Monica self-hosted ausgezeichnet bedient.

Das Geld ist der einfache Teil. Ein kleiner VPS für rund einen Dollar im Monat bringt drei Jahre Self-Hosting auf etwa 30 € — gegenüber rund 270 € für Monica Cloud bei 9 $ im Monat über denselben Zeitraum. Billiger in Cash wird ein Personal CRM nicht.

Die ehrliche Rechnung ist die Zeit. Eine PHP/Laravel-Anwendung mit MySQL-Datenbank selbst zu hosten heißt: Betriebssystem-Patches, App-Upgrades samt gelegentlich brechender Migrationen, TLS-Verlängerung und Backups, die du restore-testest statt nur einzuplanen. Ein paar Stunden im Monat, wenn alles gut geht; ein ungeplanter Abend, wenn nicht. Und die Pflicht hat eine scharfe Kante: Ein selbstgehostetes CRM, das keine Patches mehr bekommt, verfällt nicht höflich. Es steht mit öffentlicher IP-Adresse im Netz, voll mit intimen Daten über alle, die du kennst, und sammelt bekannte Sicherheitslücken. Vernachlässigtes Self-Hosting ist keine kleinere Form von Privatsphäre — es ist eine Haftung, die die Anbieter-Cloud nie war. Aus DSGVO-Sicht kommt dazu: Du bist dann der Betreiber eines aus dem Internet erreichbaren Systems mit Daten über Dritte — ein Einbruch ist dein Vorfall, niemand sonst räumt auf.

Zwei weitere Trade-offs gehören klar benannt. Monica ist web-only: kein nativer Desktop-Client, und mobil heißt Web-App im Handy-Browser — benutzbar, nicht schön. Und die Kontrolle ist real, aber gebündelt: Du bist das Security-Team, der Backup-Operator und die Person, die um 23 Uhr merkt, dass das Zertifikat abgelaufen ist.

Local-First: das Gerät ist die Quelle der Wahrheit

Local-First dreht die Topologie um. Die Datenbank lebt auf deinem Handy oder Laptop — bei Endearist als lokaler Speicher, der sich jederzeit nach reinem Markdown exportieren lässt —, und die App ist so gebaut, dass sie ganz ohne Netz vollständig ist. Sync über Geräte hinweg ist optional und Ende-zu-Ende-verschlüsselt (AES-256-GCM, Schlüssel verlassen deine Geräte nie), geroutet wahlweise über den Relay des Anbieters oder über Speicher, den du ohnehin kontrollierst: iCloud, Google Drive, WebDAV. Was auch immer den Traffic trägt, sieht Ciphertext.

Was du dafür bekommst, ist die Abwesenheit einer Betriebslast statt der Anwesenheit eines Servers. Nichts zu patchen, nichts öffentlich adressierbar, keine Angriffsfläche jenseits des Geräts, das du ohnehin mit Code und Festplattenverschlüsselung sicherst. Der Privacy-Boden liegt standardmäßig hoch — und das zählt, denn Standardeinstellungen sind das, was die meisten Menschen tatsächlich betreiben. Rein private Nutzung fällt zudem unter die Haushaltsausnahme der DSGVO — du wirst nicht ungewollt zum Verantwortlichen mit Melde-Pflichten.

Was es dich kostet, ist eine andere Abhängigkeit: vom App-Binary des Anbieters. Es gibt keine AGPL-Codebasis, die du heute Nachmittag forken könntest, keinen Community-Fork in Wartestellung, falls die Entwicklung stoppt. Ehrliche Local-First-Anbieter kompensieren das strukturell — und genau das solltest du einfordern: Exporte in offenen Formaten, testbar in der Trial; Offline-Betrieb, der einen Anbieter-Shutdown zur Unannehmlichkeit macht statt zum Notfall; und ein schriftliches Source-Release-Versprechen, dass der Code bei Schließung oder Übernahme veröffentlicht wird. Mit diesen dreien hat die Abhängigkeit einen Boden. Ohne sie ist „local-first“ nur ein Cache mit gutem Marketing.

Bedrohungsmodelle, ehrlich sortiert

„Privater“ ist bedeutungslos, solange der Gegner keinen Namen hat. Also Namen.

Geschäftsmodell-Drift des Anbieters — der realistische Fall: Preis-Schwenks, Übernahmen, Features, die hinter Paywalls wandern, Klartext-Daten, die still eine KI-Roadmap füttern. Beide Architekturen verteidigen gut. Self-Hosting nimmt den Anbieter aus dem Datenpfad; Local-First nimmt den Klartext aus seiner Reichweite. Das — nicht Spionage — ist die Bedrohung, gegen die die meisten Menschen tatsächlich Schutz kaufen.

Server-Einbruch. Hier gehen die Architekturen wirklich auseinander. Self-Hosting konzentriert das Risiko auf eine Maschine, deren Sicherheit deiner Sorgfalt entspricht — exzellent bei Pflege, fatal ohne. Local-First hat keinen eigenen Server, in den jemand einbrechen könnte; ein Angreifer braucht dein physisches Gerät, das Code und Festplattenverschlüsselung bereits verteidigen.

Geräteverlust. Die Umkehrung des vorigen Falls. Dem selbstgehosteten Server ist es egal, ob dein Handy ertrinkt. Einer Local-First-Primärkopie nicht — verschlüsselter Sync oder regelmäßige Backups sind hier kein Extra, sondern der Überlebensplan für genau dieses Szenario.

Deine eigene künftige Nachlässigkeit. Der unschmeichelhafteste Gegner und der verlässlichste. Self-Hosting nimmt an, dass du auch in Jahr drei noch patchst und Backups restore-testest; Local-First nimmt an, dass du irgendwo eine zweite Kopie hältst. Beide Annahmen scheitern manchmal — aber sie scheitern unterschiedlich. Ein vergessenes Local-First-Backup kostet dich Daten nur, wenn zusätzlich das Gerät stirbt; ein vergessener Server-Patch legt Daten offen, während alles scheinbar normal weiterläuft.

Rechtliche und jurisdiktionelle Exposition. Daten auf einem gemieteten VPS liegen in einem Rechenzentrum samt dessen Compliance-Apparat. Daten auf deinem persönlichen Gerät stehen unter stärkerem praktischem — und vielerorts rechtlichem — Schutz. Für Beziehungsnotizen ein Randfall, aber er zeigt in dieselbe Richtung wie der Rest: je weniger Dritte überhaupt etwas halten, desto besser.

Wer sollte was wählen

Wähle Self-Hosting, wenn du ohnehin Server betreibst — Homelab, VPS, Monitoring zum Morgenkaffee — und ein breites web-basiertes Aufzeichnungssystem mit auditierbarem, forkbarem Code willst. Monica hat sich diese Position als Standard-Antwort seit 2017 verdient.

Wähle Local-First, wenn du dieselbe Hoheit über deine Daten willst, ohne irgendetwas zu betreiben: native Apps, offline ab Werk, verschlüsselter Sync, wenn du ihn einschaltest. Das ist die Konstellation, die aus unserer Sicht zu den meisten Menschen passt, die Privatsphäre ernst nehmen, aber nie liebevoll eine Linux-Kiste pflegen werden — und zu den meisten, die glauben, dass sie es tun werden, achtzehn Monate später.

Und die Wahl ist keine Ehe. Weil beide Architekturen mit offenen Exporten stehen und fallen, kannst du heute Nachmittag local-first anfangen, später auf ein selbstgehostetes System aufsteigen, wenn der Homelab-Juckreiz kommt — oder beides parallel fahren: das umfassende Web-Archiv auf deinem Server, die leichtere lokale App in der Tasche. Die einzige Konstellation ohne Ausgang ist die, zu deren Vermeidung dieser ganze Vergleich existiert: Beziehungsnotizen im Klartext in einer Cloud, die jemand anderem gehört, exportierbar zu dessen Bedingungen.