Was Jira ist

Jira ist ein Werkzeug zur Planung und Verfolgung von Aufgaben und Projekten. Teams legen Vorgänge an, ordnen sie auf Scrum- oder Kanban-Boards und steuern sie über konfigurierbare Workflows. Entwickelt wird Jira von Atlassian, das 2022 seinen Konzernsitz von Großbritannien in die USA verlegt hat.

Atlassian betreibt Jira als Cloud-Dienst auf Amazon Web Services. Die selbst betriebene Variante Jira Data Center wird nicht mehr an Neukunden verkauft und erreicht im März 2029 ihr Lebensende.

Wofür es eingesetzt wird

Softwareteams nutzen Jira für Backlogs, Sprints und Fehlerverwaltung, andere Abteilungen für Aufgaben- und Projektplanung. Über Erweiterungen aus dem Atlassian Marketplace und die REST-API wird Jira oft mit Entwicklungs- und Service-Werkzeugen verbunden.

Wer Jira bisher im eigenen Rechenzentrum betreibt, muss bis 2029 auf die Cloud oder ein anderes Werkzeug wechseln. In der Cloud lässt sich der Speicherort auf EU oder Deutschland festlegen, mit dokumentierten Ausnahmen.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Cloud-Dienst für Projekt- und Aufgabenverwaltung; Fragen zu Selbstbetrieb und Quellcode sind für einen Cloud-Dienst sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Jira wird laut Produktbedingungen von der Atlassian Pty Ltd in Australien angeboten. Konzernmutter ist seit Oktober 2022 die in Delaware (USA) eingetragene Atlassian Corporation. Beleg: Product-Specific Terms (Atlassian-Gesellschaft j… · Atlassian Announces Completion of its Redomicili…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	Konzernmutter und Hostinganbieter (Amazon Web Services) sind US-Unternehmen; der CLOUD Act (18 U.S.C. § 2713) sieht Herausgabepflichten unabhängig vom Speicherort vor. Zu den Unterauftragsverarbeitern zählt auch die Atlassian US, Inc. Eine Aussage von Atlassian zum Umgang mit Behördenanfragen wurde nicht eingesehen. Beleg: Atlassian Announces Completion of its Redomicili… · Atlassian Sub-processors (gültig ab 15. Mai 2026) · 18 U.S. Code § 2713: Required preservation and d…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Schutzmaßnahmen im SaaS-Betrieb. Mit Customer-Managed Keys liegen die Schlüssel im AWS KMS des Kunden, der Atlassian den Zugriff entziehen und so den Zugang zu den Anwendungen sperren kann. CMK ist ein Zusatz, gilt nur für neue Sites und für die von Atlassian als 'in scope' definierten Daten; der Schlüsselspeicher liegt ebenfalls bei einem US-Anbieter. Im laufenden Betrieb verarbeitet Atlassian die Daten unverschlüsselt. Eine Ende-zu-Ende-Verschlüsselung gibt es nicht. Beleg: What is CMK encryption? · Trust: Bring your own key (BYOK) encryption
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Konzernmutter ist seit 30. September 2022 die Atlassian Corporation (Delaware, USA), an der Nasdaq notiert; Stimmrechtskontrolle liegt laut Jahresbericht 2026 über eine Zwei-Klassen-Struktur bei den Mitgründern. Der Sitz außerhalb der EU ist in 1.1 bewertet. Ein Kontrollwechsel zwischen November 2024 und November 2026 ist nicht ersichtlich. Beleg: Atlassian Announces Completion of its Redomicili… · Form 10-K für das Geschäftsjahr bis 30. Juni 202…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	In den Plänen Standard, Premium und Enterprise lassen sich Vorgänge, Kommentare, Anhänge und weitere Inhalte auf EU (Frankfurt, Dublin) oder Deutschland (Frankfurt) festlegen; Backups sind seit 28.04.2026 einbezogen, ältere Backups können außerhalb liegen. Ausgenommen sind u. a. Benutzerkontodaten (global repliziert), Protokolle, Zwischenspeicher (bis 30 Tage in nicht festgelegter Region) und Migrationsdaten. Die Festlegung steht in der Produktdokumentation; der Auftragsverarbeitungsvertrag verweist nur allgemein auf die Datenresidenz. Beleg: Understand data residency · Data Processing Addendum (gültig ab 17. August 2…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb außerhalb der Atlassian-Cloud. Jira Cloud und Isolated Cloud werden nur von Atlassian betrieben. Jira Data Center ist für Neukunden seit 30. März 2026 nicht mehr erhältlich, Bestandskunden können bis 28. März 2029 verlängern, danach wird die Instanz schreibgeschützt; Verlängerungen darüber hinaus nur in Ausnahmefällen. Beleg: Atlassian Isolated Cloud · Data Center end of life
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Seit 17. August 2026 nutzt Atlassian Daten aus Jira für die Weiterentwicklung seiner Anwendungen und KI. Metadaten werden in den Plänen Free, Standard und Premium immer beigesteuert, abschalten lässt sich das nur im Enterprise-Plan; Inhalte (z. B. Titel und Kommentare) lassen sich in allen Plänen abschalten. Die Datenarten sind beschrieben. Eine vollständige Dokumentation der übrigen Telemetrie der Cloud wurde nicht gefunden. Beleg: Trust: Data contribution · Data contribution settings
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nein	Atlassian nutzt seit 17. August 2026 Metadaten und In-App-Daten, um Apps und KI-Funktionen für alle Kunden zu verbessern. Im Standard-Plan ist die Weitergabe von In-App-Daten voreingestellt und nur per Widerspruch abschaltbar; Metadaten werden in Standard und Premium immer genutzt, nur Enterprise kann sie abschalten. Ein vertraglicher Ausschluss ohne Widerspruch besteht damit nicht für alle bewerteten Pläne. Beleg: Trust: Data contribution · Data contribution settings

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Jira ist proprietäre Software; der Quellcode der Kernfunktionen steht nicht unter einer OSI-Lizenz zur Verfügung. Beleg: Jira (Software)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt ein Atlassian-Abonnement und den Dienst von Atlassian voraus; für SAML-Anmeldung und Benutzerabgleich ist zusätzlich Atlassian Guard nötig. Beleg: Atlassian Customer Agreement (gültig ab 1. Oktob… · Configure SAML single sign-on with an identity p…
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Nach Deaktivierung eines bezahlten Abonnements hält Atlassian die Daten 60 Tage vor und löscht sie dann endgültig. Ein Weiterbetrieb ohne Abonnement ist nicht vorgesehen; auch Data Center wird nach Ablauf schreibgeschützt. Beleg: Reactivate a subscription (Aufbewahrung nach Dea… · Data Center end of life

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Das ISO/IEC-27001:2022-Zertifikat (Coalfire, ausgestellt 27.11.2024, gültig bis 21.01.2028) nennt Jira ausdrücklich im Geltungsbereich der Atlassian Cloud. Für Jira, Jira Service Management und Confluence Cloud liegt laut Atlassian ein BSI-C5:2020-Typ-2-Bericht vor, erhältlich auf Anfrage; Prüfzeitraum nicht angegeben. Beleg: ISO/IEC 27001:2022 Certificate Atlassian Corpora… · Trust: Kriterienkatalog C5 · Atlassian achieves BSI C5 Type 2 for Jira, Jira…
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	Atlassian betreibt ein öffentliches Bug-Bounty-Programm über Bugcrowd und einen Meldeweg über den Support. Die Richtlinie zur Veröffentlichung von Sicherheitshinweisen gilt aber nur für selbst betriebene Produkte; für die Cloud ist keine Veröffentlichung von Advisories oder CVEs beschrieben. Beleg: Security Advisory Publishing Policy · Report a vulnerability
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Für Kunden in Europa gilt laut Customer Agreement irisches Recht mit Gerichtsstand Irland. Vertragspartner für Jira ist aber die Atlassian Pty Ltd in Australien. Support leisten Atlassian-Gesellschaften in mehreren Ländern, darunter Deutschland und die Niederlande, aber auch USA, Indien und Philippinen. Beleg: Atlassian Customer Agreement (gültig ab 1. Oktob… · Product-Specific Terms (Atlassian-Gesellschaft j… · Atlassian Sub-processors (gültig ab 15. Mai 2026)
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	ja	Atlassian veröffentlicht eine Liste der Unterauftragsverarbeiter (gültig ab 15. Mai 2026) mit Verarbeitungsorten, einschließlich der Konzerngesellschaften. Laut Auftragsverarbeitungszusatz (Abschnitt 4.2, gültig ab 17. August 2026) werden neue Unterauftragsverarbeiter abonnierten E-Mail-Adressen mindestens 30 Tage vorher angekündigt, mit Widerspruchs- bzw. Kündigungsrecht. Beleg: Atlassian Sub-processors (gültig ab 15. Mai 2026) · Data Processing Addendum (gültig ab 17. August 2…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Laut Liste der Unterauftragsverarbeiter leisten Atlassian-Gesellschaften u. a. in den USA, Indien, den Philippinen und Kanada technischen und operativen Support, dazu externe Dienstleister u. a. in Brasilien, Mexiko und den USA. Für Supportzugriffe beschreibt Atlassian eine Freigabe durch Kunden-Admins je Ticket (Customer Consent Checker); für den Betrieb ist keine Beschränkung auf Personal in EU, EWR oder Schweiz belegt. Beleg: Atlassian Sub-processors (gültig ab 15. Mai 2026) · How Atlassian Protects, Isolates and Governs Acc…

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Die Cloud-Sicherung über den Backup Manager liefert ein ZIP-Archiv mit XML-Dateien (entities.xml, activeobjects.xml) und optional Anhängen; das Schema ist Jira-spezifisch und dient vor allem dem Import in Jira Data Center. Daten sind zusätzlich über die REST-API abrufbar. Beleg: Export data from Jira Cloud (Backup manager) · Jira Cloud platform: Security for other integrat…
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	SAML-SSO und SCIM-Benutzerabgleich sind dokumentiert (mit Atlassian Guard Standard); die REST-API ist dokumentiert und nutzt OAuth 2.0. OpenID Connect als Anmeldeverfahren ist in der eingesehenen Doku nicht genannt. Beleg: Configure SAML single sign-on with an identity p… · Jira Cloud platform: Security for other integrat…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Administratoren erstellen die Sicherung selbst und ohne Zusatzkosten. Die Doku nennt aber Grenzen: 25 GB Datenmenge, 48 Stunden Abstand zwischen Sicherungen mit Anhängen. Nach Vertragsende bleiben 60 Tage für den Abruf. Beleg: Export data from Jira Cloud (Backup manager) · Reactivate a subscription (Aufbewahrung nach Dea…

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wo Benutzerkonten, Analyse- und Protokolldaten liegen, die von der Datenresidenz ausgenommen sind, und wie Supportdaten geregelt sind.
In welchen Regionen Isolated Cloud verfügbar ist.
Ob Kunden mit Datenresidenz von der Beisteuerung von Daten für die KI-Entwicklung ausgenommen sind.
Prüfzeitraum des C5-Berichts. Er ist nur auf Anfrage erhältlich.
Ob Atlassian Schwachstellen in der Cloud öffentlich meldet. Die Richtlinie dazu gilt nur für selbst betriebene Produkte.
Ob für Kunden mit Datenresidenz EU oder Deutschland andere Voreinstellungen zur Datenweitergabe gelten, weil Atlassian nur allgemein auf abweichende Voreinstellungen bei Compliance-Anforderungen verweist.
Ob die Freigabe je Ticket (Customer Consent Checker) für alle Supportzugriffe gilt und welche Ausnahmen bestehen, weil nur ein Community-Beitrag und keine Primärdokumentation gefunden wurde.

Fragen vor einer Entscheidung

Welche Projektdaten dürfen bei einem Anbieter liegen, dessen Konzernmutter auf Anordnung von US-Behörden zur Herausgabe verpflichtet werden kann?
Haben Sie die Datenresidenz auf EU oder Deutschland festgelegt, und reicht es Ihnen, dass Benutzerkonten und Teile der Protokolle davon ausgenommen sind?
Welche Daten trägt Ihr Plan zur KI-Entwicklung von Atlassian bei, und haben Sie die Einstellung bewusst gewählt?
Falls Sie Jira Data Center nutzen: Welches Ziel haben Sie für die Zeit nach März 2029, und wie übernehmen Sie Workflows und Erweiterungen?

Jira