Was Mattermost ist

Mattermost ist ein Team-Chat mit Kanälen, Direktnachrichten, Threads und Integrationen über Webhooks, Bots und Plugins. Das Projekt gehört der Mattermost, Inc. aus Palo Alto. Der Server-Quellcode steht unter AGPL v3, Oberfläche und Werkzeuge unter Apache 2.0.

Das Unternehmen verfolgt ein Open-Core-Modell. Die kostenlose Team Edition ist seit Version 11 vom Oktober 2025 auf 250 Benutzer begrenzt und enthält keine Anmeldung über SAML, OpenID Connect oder LDAP. Diese Funktionen sowie Hochverfügbarkeit und Compliance-Export gibt es nur in den kommerziellen Editionen, deren Code unter einer proprietären Lizenz steht.

Wofür es eingesetzt wird

Mattermost dient als Team-Chat für Organisationen, die Nachrichten im eigenen Rechenzentrum halten wollen, etwa in Forschung, Entwicklung oder Sicherheitsbehörden. Der Hersteller nennt Anwender wie Wikimedia Deutschland, die Max Planck Digital Library und CERN.

Im Selbstbetrieb liegt die Verantwortung für Updates, Sicherung und Härtung beim eigenen Haus oder beim beauftragten Dienstleister. Für Organisationen mit mehr als 250 Beschäftigten oder zentraler Anmeldung führt der Weg in der Regel zu einer kommerziellen Edition.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz des freien Projekts im Selbstbetrieb; Fragen zu Anbieter und Vertrag sind für ein Open-Source-Projekt sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Auslegung: Beim freien Projekt im Selbstbetrieb gibt es keinen Anbieter im Vertragssinn; bewertet wird der Projektträger. Projekt und Marke gehören der Mattermost, Inc. mit Sitz in Palo Alto (Kalifornien, USA); sie hat Büros in Amsterdam, Stockholm und London. Beleg: Privacy Policy (gültig ab 30.12.2024) · About us · LICENSE.txt (Repository mattermost/mattermost)
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	ja	Auslegung: Im Selbstbetrieb hat Mattermost, Inc. keinen Zugriff auf Inhalte. Standardmäßig sendet der Server alle 24 Stunden Metadaten (Version, Betriebssystem, Datenbank, Anzahl der Teams und Benutzer) und Fehlerberichte an Mattermost, laut Doku ohne Nachrichteninhalte und personenbezogene Daten; beides lässt sich abschalten. Eine Herausgabeanordnung gegen den Projektträger würde daher keine Inhalte erfassen. Bei Mattermost Cloud wäre die Antwort anders. Beleg: Docs: Telemetry · Docs: Editions and Offerings
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	ja	Im Selbstbetrieb liegen Datenbank (PostgreSQL), Dateien und Schlüssel ausschließlich in der Infrastruktur des Betreibers. Eine Ende-zu-Ende-Verschlüsselung der Nachrichten bietet die Team Edition nicht; der Schutz beruht auf dem eigenen Betrieb. Beleg: Docs: Editions and Offerings
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Hinter dem Projekt steht die Mattermost, Inc. mit Büro in Palo Alto (USA), eine nicht börsennotierte, wagniskapitalfinanzierte Gesellschaft; öffentlich genannt sind nur Investoren einzelner Finanzierungsrunden (z. B. 2019 Redpoint Ventures, S28 Capital, Y Combinator), nicht die Beteiligungs- und Kontrollverhältnisse. Ein Kontrollwechsel zwischen 05.11.2024 und 05.11.2026 wurde nicht gefunden. Der Sitz in den USA wird unter 1.1 bewertet. Beleg: About us · Mattermost raises $20M to help make the world sa…

Datenhoheit erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Die Team Edition ist eine selbst betriebene Plattform; den Speicherort von Inhalts- und Backupdaten bestimmt der Betreiber. An Mattermost gehen nur Telemetrie- und Fehlerdaten ohne Nachrichteninhalte, die sich im System Console abschalten lassen. Beleg: Docs: Editions and Offerings · Docs: Telemetry
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Die Team Edition läuft als einzelne Linux-Binärdatei mit PostgreSQL im eigenen Rechenzentrum oder bei einem frei gewählten Dienstleister; alternativ lässt sich das Projekt aus dem AGPL-Quellcode selbst kompilieren. Beleg: Docs: Editions and Offerings · Mattermost v11 Changes in Free Offerings
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	ja	Telemetrie ist standardmäßig eingeschaltet. Die Doku listet die übertragenen Felder der Sicherheits-Update-Prüfung, die Fehlerberichte an einen von Mattermost betriebenen Sentry-Endpunkt und die Daten der Android-Beta. Im Selbstbetrieb lassen sich Sicherheitswarnungen und Fehlerberichte in der System Console abschalten; dann entfallen auch Hinweise auf Sicherheitsupdates. Beleg: Docs: Telemetry
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	ja	Auslegung: Im Selbstbetrieb der Team Edition liegen Nachrichten und Dateien beim Betreiber. Die Telemetrie (Sicherheitsprüfung, Fehlerberichte) enthält laut Dokumentation keine Nachrichteninhalte und keine personenbezogenen Daten und ist abschaltbar; die Datenschutzerklärung der Mattermost, Inc. enthält keine Angaben zu KI-Training. Eine vertragliche Zusage gibt es mangels Vertrag nicht. Beleg: Docs: Telemetry · Privacy Policy (gültig ab 30.12.2024)

Quellcode & Lizenz eingeschränkt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	ja	Der Server-Quellcode steht unter der GNU AGPL v3.0, Webapp, Vorlagen und Übersetzungen unter Apache 2.0; beide sind OSI-anerkannt. Ausgenommen ist der Code im Verzeichnis server/enterprise, der unter der proprietären Mattermost Source Available License steht. Beleg: LICENSE.txt (Repository mattermost/mattermost) · Mattermost Source Available License (server/ente… · GitHub-Repository mattermost/mattermost (README)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	teilweise	Die Team Edition und die selbst kompilierte Community-Ausgabe laufen ohne proprietäre Bestandteile. Seit Version 11 (Oktober 2025) ist die Team Edition aber auf 250 Benutzer begrenzt, die Anmeldung über GitLab wurde entfernt, und SAML, OpenID Connect, AD/LDAP, Hochverfügbarkeit und Compliance-Export gibt es nur in den kommerziellen Editionen; der Hersteller empfiehlt die Team Edition nicht für Behörden oder sensible Arbeitslasten. Für größere Organisationen sind diese Funktionen praktisch Pflicht und liegen im Code unter der Source Available License, deren Produktivnutzung ein Abonnement voraussetzt. Ob die Benutzergrenze auch in der selbst kompilierten Ausgabe greift, ist nicht dokumentiert. Beleg: Docs: Editions and Offerings · Mattermost v11 Changes in Free Offerings · Mattermost Source Available License (server/ente… · Neue Limits der Team Edition in Mattermost Versi…
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	ja	Auslegung: Beim freien Projekt gibt es kein Vertragsende. Team Edition und Community-Ausgabe laufen ohne Lizenzschlüssel unbegrenzt weiter. Sicherheitskorrekturen gibt es nur für die jeweils unterstützten Versionen; wer nicht aktualisiert, betreibt eine ungepflegte Version. Beleg: LICENSE.txt (Repository mattermost/mattermost) · Mattermost: Releases und Supportzeiträume

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Auslegung: Das freie Projekt im Selbstbetrieb hat kein eigenes Zertifikat; Nachweise müssen für die eigene Betriebsumgebung erbracht werden. Der Projektträger Mattermost, Inc. führt im Trust Center ein ISO-27001:2022-Zertifikat, einen SOC-2-Type-II-Bericht (2025) und eine Bridge Letter 2026. Geltungsbereich und Gültigkeit sind öffentlich nicht angegeben; die Dokumente gibt es auf Anfrage. Beleg: Trust Center · Support: Where to Find Mattermost Security Certi…
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Mattermost hat eine öffentliche Richtlinie zur Meldung von Schwachstellen und ein Bug-Bounty-Programm bei Bugcrowd (Antwort binnen 2 Werktagen). Behobene Lücken erscheinen im Bulletin der Sicherheitsupdates, Details 30 Tage nach dem Fix. Kritische Sicherheitskorrekturen werden in die drei vorherigen Monatsversionen und unterstützte Extended Support Releases zurückportiert (laut Sekundärquelle). Beleg: Responsible Disclosure Policy / Security Vulnera… · Docs: Security Updates · Mattermost: Releases und Supportzeiträume
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	nein	Auslegung: Beim freien Projekt gibt es keinen Vertragspartner und keinen zugesicherten Support; Hilfe kommt aus der Community. Kommerzielle Editionen und Support bietet die Mattermost, Inc. (USA) an; deren Vertragsbedingungen, Rechtswahl und Supportstandort sowie Angebote europäischer Partner wurden nicht geprüft. Beleg: Docs: Editions and Offerings · Privacy Policy (gültig ab 30.12.2024)
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	ja	Auslegung: In der bewerteten Ausprägung verarbeitet die Mattermost, Inc. keine Kundendaten im Auftrag; die Telemetrie umfasst nach Dokumentation nur technische Kennzahlen ohne Nachrichteninhalte und kann abgeschaltet werden. Eine Liste der Unterauftragsverarbeiter ist für die bewertete Ausprägung damit nicht erforderlich; die Mattermost-Liste betrifft die nicht bewerteten Cloud- und kommerziellen Angebote. Beleg: Docs: Telemetry · Privacy Policy (gültig ab 30.12.2024)
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Betrieb und Administration der selbst betriebenen Team Edition liegen beim Betreiber; Mattermost hat keinen Zugriff auf die Instanz, solange der Betreiber ihn nicht gewährt. Kommerzieller Herstellersupport ist laut Dokumentation an die kostenpflichtigen Angebote gebunden. Beleg: Docs: Editions and Offerings

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Die Daten liegen in PostgreSQL und im Dateispeicher (lokal oder S3-kompatibel) und sind mit Standardwerkzeugen sicherbar. Der dokumentierte Massenexport erzeugt JSONL im Mattermost-eigenen Importformat; die Doku nennt ihn nur für die Editionen Entry bis Enterprise Advanced, nicht für die Team Edition, und ist bei Dateianhängen widersprüchlich. Webhooks, bestimmte Beitragsarten und gelöschte Objekte sind nicht enthalten. Beleg: Docs: Bulk export tool · Docs: Editions and Offerings
5.2 Offene Standards für Anmeldung und Schnittstellen?	teilweise	Die REST API v4 ist mit 549 Endpunkten aus einer OpenAPI-Spezifikation dokumentiert; dazu kommen ein- und ausgehende Webhooks. Offene Anmeldestandards wie SAML 2.0, OpenID Connect und LDAP sind in der Team Edition aber nicht enthalten, die Anmeldung über GitLab wurde mit Version 11 entfernt. Beleg: Docs: API v4 · Docs: Editions and Offerings · Mattermost v11 Changes in Free Offerings
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Im Selbstbetrieb hat der Betreiber vollen Zugriff auf Datenbank und Dateispeicher und kann ohne Mitwirkung oder Kosten eines Anbieters exportieren; für den strukturierten Export steht das Werkzeug mmctl zur Verfügung (Edition-Hinweis siehe 5.1). Beleg: Docs: Bulk export tool · Docs: Editions and Offerings

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob die Grenze von 250 Benutzern auch in einer selbst kompilierten Ausgabe greift.
Ob der strukturierte Export per mmctl in der Team Edition verfügbar ist und Dateianhänge umfasst. Die Dokumentation ist hier widersprüchlich.
Welche Version derzeit als Extended Support Release gepflegt wird.
Welche Vertragsbedingungen und welcher Supportstandort für die kommerziellen Editionen und für europäische Partner gelten.
Geltungsbereich der ISO- und SOC-2-Nachweise der Mattermost, Inc.
Wer die Mattermost, Inc. kontrolliert (Mehrheitsgesellschafter, Fonds), weil keine öffentlichen Register- oder Geschäftsberichtsangaben gefunden wurden.

Fragen vor einer Entscheidung

Reichen 250 Benutzer und eine Anmeldung ohne SAML, OpenID Connect oder LDAP für Ihre Organisation, oder brauchen Sie eine kommerzielle Edition?
Wer betreibt und aktualisiert Mattermost, und kann das eigene Haus dem monatlichen Versionstakt folgen?
Haben Sie Telemetrie und Fehlerberichte bewusst ein- oder ausgeschaltet, und wie erfahren Sie dann von Sicherheitsupdates?
Wie sichern Sie Datenbank und Dateien, und haben Sie einen Umzug auf ein anderes Chat-System einmal durchgespielt?

Mattermost