🇩🇪 SOVEREIGN AI · MADE IN GERMANY

Schlüsselfertiges
AI Agent Hosting

Sichere, isolierte Container-Umgebungen für OpenClaw/OSAgent-Instanzen — DSGVO-konform, auf souveräner Infrastruktur, mit AI-assistiertem Onboarding.

<10 min
Bot live
100%
Tenant-isoliert
🇩🇪
Deutsche Datenhoheit
Was kann es?

Kernfunktionen

Von Signup bis Live-Bot in Minuten — ohne DevOps-Wissen. Vollständig isoliert und auditierbar.

🚀

One-Click Deployment

Template wählen → Secrets eingeben → Deploy. Automatisches Provisioning via Coolify API mit Health Checks und Rollback.

🔒

Tenant-Isolation

Jeder Kunde bekommt eigene Container, Netzwerk-Namespaces, Volumes und UID/GID-Mappings. Kein Cross-Tenant-Zugriff möglich.

🤖

Multi-Template Catalog

OpenClaw Agent, Telegram Bot, Base-LLM und mehr. Docker Compose Blueprints mit optionaler DB, Redis, Vector Store.

🌐

WireGuard Networking

Verschlüsselte Mesh-Netzwerke zwischen Control Plane und Worker Nodes. Private Service-Endpoints für LLM, STT, TTS.

📊

Observability

Zentrales Logging (Loki), Metriken (Prometheus/cAdvisor), optionales Tracing (OpenTelemetry). Alerting via Grafana.

🧠

AI-assistiertes Onboarding

Wizard + Chat-Assistent, der Konfiguration vorschlägt, Risiken erklärt und fehlende Secrets nachfragt. Least-Privilege by default.

Wie ist es gebaut?

Architektur

5-Plane Design: Control, Deployment, Runtime, Network, Observability — alle "Sovereign by Design".

┌──────────────────────────────────────────────────────────────────────┐
│                        OSAgentSafeHosting                            │
├──────────────┬──────────────┬──────────────┬────────────────────────┤
│              │              │              │                        │
│ CONTROL      │ DEPLOYMENT   │ RUNTIME      │ NETWORK                │
│ PLANE        │ PLANE        │ PLANE        │ PLANE                  │
│              │              │              │                        │
│ ┌──────────┐ │ ┌──────────┐ │ ┌──────────┐ │ ┌──────────────────┐  │
│ │PocketBase│ │ │ Compose  │ │ │ Podman / │ │ │   WireGuard      │  │
│ │ Control  │ │ │Templates │ │ │ Docker   │ │ │   Mesh VPN       │  │
│ │  Plane   │ │ │          │ │ │ rootless │ │ │                  │  │
│ │          │ │ │ openclaw │ │ │          │ │ │ Control↔Workers  │  │
│ │ Users    │ │ │ telegram │ │ │ Per-Tenant│ │ │ Tenant-private   │  │
│ │ Tenants  │ │ │ base-llm │ │ │ Namespace│ │ │ Service Endpoints│  │
│ │ Billing  │ │ │          │ │ │ Volumes  │ │ │                  │  │
│ │ Audit    │ │ │ GitOps   │ │ │ UID/GID  │ │ │ Egress Policies  │  │
│ └──────────┘ │ └──────────┘ │ └──────────┘ │ └──────────────────┘  │
│              │              │              │                        │
│ ┌──────────┐ │ ┌──────────┐ │              │ OBSERVABILITY          │
│ │Provision-│ │ │ Coolify  │ │              │ ┌──────────────────┐  │
│ │er API    │ │ │ v4 API   │ │              │ │ Loki + Grafana   │  │
│ │(Bun/Hono)│ │ │ Client   │ │              │ │ Prometheus       │  │
│ │          │ │ │          │ │              │ │ cAdvisor         │  │
│ │ Deploy   │ │ │ Deploy   │ │              │ │ Alerting         │  │
│ │ Stop     │ │ │ Restart  │ │              │ │                  │  │
│ │ Status   │ │ │ Delete   │ │              │ │ OpenTelemetry    │  │
│ │ Logs     │ │ │ Logs     │ │              │ └──────────────────┘  │
│ └──────────┘ │ └──────────┘ │              │                        │
└──────────────┴──────────────┴──────────────┴────────────────────────┘

 ┌─────────────────────────────────────────────────────────────────────┐
 │  TENANT INSTANCES (pro Kunde isoliert)                             │
 │                                                                     │
 │  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐                │
 │  │ Tenant A    │  │ Tenant B    │  │ Tenant C    │  ...           │
 │  │             │  │             │  │             │                 │
 │  │ OpenClaw    │  │ Telegram    │  │ Custom Bot  │                │
 │  │ Agent       │  │ Bot         │  │ + Postgres  │                │
 │  │ + SQLite    │  │ + Redis     │  │ + Vector DB │                │
 │  │             │  │             │  │             │                 │
 │  │ 🔒 isolated │  │ 🔒 isolated │  │ 🔒 isolated │                │
 │  └─────────────┘  └─────────────┘  └─────────────┘                │
 └─────────────────────────────────────────────────────────────────────┘

Provisioner API — Endpoints

POST /api/stacks/deploy

Stack erstellen & deployen

POST /api/stacks/:id/stop

Container stoppen

POST /api/stacks/:id/restart

Container neustarten

DELETE /api/stacks/:id

Stack löschen

GET /api/stacks/:id/status

Status abfragen

GET /api/stacks/:id/logs

Container-Logs abrufen

Sicherheit

Security by Design

Mehrschichtiges Sicherheitsmodell — von Container-Isolation bis Supply Chain Security.

1

Container-Isolation (Rootless Podman/Docker)

Dedicated Network Namespace, Volume Directory, UID/GID Mapping pro Tenant. Resource Limits (CPU/RAM). Kein Cross-Tenant-Zugriff.

2

Netzwerk-Sicherheit (WireGuard)

Verschlüsselte Tunnel zwischen Control Plane und Workers. Default deny inbound. Egress Allowlists + DNS Policy pro Template.

3

Secrets Management (age/sops → Vault)

Encrypted-at-rest Blobs pro Tenant. Delivery als Env Vars zur Deploy-Zeit. Kein Plaintext auf Disk. Rotation-Workflows in v1.

4

Supply Chain Security

Pinned Image Digests, Cosign-Signaturen, SBOM (Syft), Vulnerability Scanning (Trivy). CI blockiert kritische CVEs.

5

Access Control & Audit

PocketBase Auth (Password + Passkey) + optional SSO (OIDC). RBAC: Org Admin / Developer / Auditor. Vollständiges Audit Log.

6

Hard Isolation (Premium)

Dedicated Nodes, Kata Containers / Firecracker microVMs. Customer-managed Keys (KMS/Vault). Für Enterprise / High-Security.

User Experience

Onboarding Flow

Von Signup zum laufenden Bot in unter 10 Minuten — AI-assistiert, ohne DevOps-Wissen.

01

Signup

Email + Passkey. Datenschutz-Consent, Region-Auswahl.

02

Tenant Setup

Org-Name, Data Residency (DE/EU/On-Prem), Security Level.

03

Template wählen

OpenClaw Agent, Telegram Bot, RPA Bot, Research Bot…

04

Integrationen

AI-Wizard erkennt benötigte Secrets, generiert sichere Defaults.

05

Deploy

queued → provisioning → deploying → healthy. Bot-URL + Monitoring.

06

First Run

Health Check, Test-Nachricht, Quick Actions (Rotate Keys, Backup).

Pakete

Pricing

Transparent, planbar, EU-freundlich. Sicherheit ist Produktmerkmal — höhere Pläne = stärkere Isolation.

Starter

€49 / Monat
  • 1 Tenant / 1 Projekt
  • 1–2 Bot Instanzen
  • Shared Worker Nodes
  • Standard WireGuard
  • Basic Logs/Metriken
  • Weekly Backups

Team

€199 / Monat
  • Mehrere Projekte
  • Bis ~10 Bot Instanzen
  • Resource Quotas
  • Egress Policies + Audit
  • Daily Backups
  • Next Business Day Support

Business

€799 / Monat
  • Dedicated Tenant Pods
  • Private Registry
  • SSO (OIDC)
  • 90 Tage Log Retention
  • SLA 99.5%
  • Enhanced Isolation

Sovereign

ab €3k / Monat
  • Dedicated Nodes / On-Prem
  • Customer-managed Keys
  • Custom Data Residency
  • Compliance Reporting
  • SLA 99.9%
  • Pen-Test Window
Technologie

Tech Stack

PocketBase
Control Plane · Auth · DB
Bun + Hono
Provisioner API
Coolify v4
Deployment Orchestration
Docker / Podman
Container Runtime
Traefik
Reverse Proxy · Auto-TLS
WireGuard
Encrypted Networking
PostgreSQL
Tenant Databases
OpenClaw
Agent Runtime Layer
Prometheus + Grafana
Observability Stack
Trivy + Cosign
Supply Chain Security
age / sops
Secrets Encryption
TypeScript
Primary Language
Projektstatus

Roadmap & Status

M0 — Blueprint ✓ Done

Architektur, Security Model, Onboarding Flow, Pricing — vollständig dokumentiert.

M1 — MVP Turnkey Deploy In Progress

PocketBase Schema, Provisioner API (7 Endpoints), Coolify Integration, Compose Templates (3 Typen).

M2 — Hardening & Observability Planned

Egress Policies, Netzwerk-Segmentierung, zentrales Logging, Backup/Restore.

M3 — Self-Service & Marketplace Planned

Template-Katalog, Self-Service Upgrades, Stripe/SEPA Payment, Public Signup.