Zwei Plattformen, zwei Architekturen
Im Atlassian Marketplace gibt es derzeit Apps auf zwei unterschiedlichen technischen Plattformen: Connect (der ältere, etablierte Ansatz) und Forge (Atlassians neuere serverlose Plattform, erstmals 2021 verfügbar). Beide erlauben Entwicklern, Jira und Confluence zu erweitern — laufen aber an grundlegend unterschiedlichen Orten.
So funktionieren Connect-Apps
Connect-Apps werden vom App-Anbieter entwickelt und auf dessen eigenen externen Servern gehostet. Wenn du eine Connect-App installierst und nutzt, sendet Jira Anfragen und Daten an die Serverinfrastruktur des Anbieters. Dessen Code verarbeitet die Daten, liefert Ergebnisse an Jira zurück und speichert Daten möglicherweise auf den eigenen Systemen.
Connect — Datenfluss
Die Flexibilität von Connect ist für Entwickler wertvoll — sie können jede Sprache, jeden Cloud-Anbieter und jede Datenbank nutzen. Die Sicherheitsfolge ist aber klar: Deine Jira-Daten verlassen die Atlassian-Plattform und werden an einen von Dritten kontrollierten Server gesendet.
So funktionieren Forge-Apps
Forge-Apps laufen als serverlose Funktionen in Atlassians eigener Infrastruktur. Der Code liegt in Atlassians Cloud, wird auf Atlassians Rechenressourcen ausgeführt und speichert Daten in Atlassians Schlüssel-Wert-Speicher. Die App hat keine öffentlich erreichbaren Endpunkte — Atlassian ruft die Funktionen intern auf. Der Anbieter muss keinen Server betreiben.
Forge — Datenfluss
Aus Sicherheitssicht ändert das die Vertrauensgrenze grundlegend. Du vertraust nicht der Infrastruktur eines Drittanbieters, sondern Atlassians Infrastruktur, auf die du dich bereits durch die Nutzung von Jira Cloud verlässt.
Sicherheitsvergleich: Forge und Connect
| Sicherheitsfaktor | Forge | Connect |
|---|---|---|
| Verlassen Daten Atlassian? | Nein — läuft bei Atlassian | Ja — Weiterleitung an Anbieterserver |
| Datenresidenz | Übernimmt Atlassians Datenresidenzeinstellungen | Hängt vom Serverstandort des Anbieters ab |
| DSGVO-Konformität | Durch Atlassians Auftragsverarbeitungsvertrag abgedeckt | Separater Vertrag pro Anbieter erforderlich |
| ISO 27001 / SOC 2 | Durch Atlassians Zertifizierungen abgedeckt | Hängt von den Zertifizierungen des Anbieters ab |
| Öffentlich erreichbare Endpunkte | Keine — keine öffentlichen Endpunkte | Ja — Anbieter stellt Webhook-/API-Endpunkte bereit |
| Sicherheitsprüfung des Anbieters | Vereinfacht — Atlassian vertraut der eigenen Laufzeitumgebung | Detailliert — Anbieter muss den Umgang mit Daten dokumentieren |
| Kennzeichnung „Runs on Atlassian“ | Ja | Nein |
| Zukunft der Plattform | Aktive Entwicklung — Atlassians strategische Plattform | Keine neuen Einträge seit September 2025; Support-Zeitplan unklar |
Was das für Atlassian-Administratoren in Unternehmen bedeutet
Wenn deine Organisation Anforderungen an Datenresidenz hat — DSGVO, HIPAA, Finanzdienstleistungsregeln oder interne Vorgaben, nach denen Daten innerhalb bestimmter geografischer oder Anbietergrenzen bleiben müssen — sind Forge-Apps die sicherere Standardwahl. Wenn Daten Atlassians Infrastruktur nicht verlassen, decken deine Vereinbarungen zur Datenverarbeitung und Datenresidenzeinstellungen auf Atlassian-Ebene die App automatisch ab.
Bei Connect-Apps musst du jeden Anbieter einzeln prüfen: Wo stehen seine Server? Hat er einen Auftragsverarbeitungsvertrag? Wie steht es um seine ISO- oder SOC-2-Zertifizierung? In großen Organisationen mit vielen installierten Apps verursacht das erheblichen Aufwand im Einkauf.
Sicherheitsteams in Unternehmen nutzen die Kennzeichnung „Runs on Atlassian“ zunehmend als schnellen Filter. Sie ist kein perfektes Signal — eine schlecht entwickelte Forge-App kann weiterhin Sicherheitslücken in ihrer eigenen Logik haben —, beseitigt aber eine ganze Risikokategorie: das Vertrauen in die Infrastruktur des Anbieters.
Hinweis für Einkaufsteams: „Runs on Atlassian“ bedeutet, dass Rechenleistung und Speicher der App auf Atlassians Infrastruktur laufen. Es garantiert nicht, dass keine externen API-Aufrufe stattfinden — eine Forge-App könnte zum Beispiel eine KI-API eines Drittanbieters aufrufen. Prüfe das Vertrauensportal oder die Datenschutzerklärung der App für ein vollständiges Bild. Apps mit Bring Your Own Key (BYOK) für KI — wie BYOK-KI für Atlassian — geben dir zusätzliche Kontrolle über KI-Datenflüsse.
Der Zeitplan für die Einstellung von Connect
Atlassian hat eine klare strategische Richtung vorgegeben: Forge ist die Zukunft, Connect die Altplattform. Der Übergang erfolgt in Phasen:
Für Unternehmen, die 2026 neue Marketplace-Apps bewerten, ist dieser Zeitplan relevant. Wer heute eine Connect-App auswählt, muss künftig mit einer Forge-Migration auf der Roadmap des Anbieters rechnen — oder mit einem vollständigen Wechsel weg von der App, wenn der Connect-Support endet.
Aus Entwicklersicht: Worauf du mit Forge verzichtest
Forges Sicherheitsvorteile bringen echte Einschränkungen für App-Entwickler mit sich. Forge-Funktionen haben Laufzeit- und Speicherlimits sowie eine fest vorgegebene Laufzeitumgebung. Komplexe Apps mit lang laufenden Prozessen, aufwendigen Berechnungen oder Zugriff auf eigene Infrastruktur lassen sich nicht als reine Forge-Apps entwickeln — sie brauchen einen hybriden Ansatz oder bleiben auf Connect.
KI-Apps, die externe KI-Anbieter (OpenAI, Anthropic usw.) aufrufen müssen, nutzen dafür ausdrücklich deklarierte Berechtigungen für externe Abrufe im Forge-Manifest. Atlassian verlangt, dass Apps alle externen Aufrufe angeben. Dadurch ist der Datenfluss auf eine Weise überprüfbar, die Connect nie geboten hat.
Komplexe Unternehmens-Apps können deshalb berechtigte Gründe für Connect haben — vorerst. Die Richtung ist aber klar: Atlassian investiert in Forge. Neue Unternehmens-Apps sollten standardmäßig darauf aufbauen, sofern kein konkreter technischer Grund dagegenspricht.
Auf Forge basierende Apps dieses Anbieters
Alle drei Apps in diesem Katalog basieren auf Atlassian Forge — ohne externe Server und ohne Speicherung bei Dritten:
- Visual Progress Tracker for Jira — Fortschrittsbalken in Vorgängen, Sprint-Gadget
- Priority Scoring for Jira — RICE-, WSJF- und ICE-Bewertung, Rovo-KI, Backlog-Gesundheit
- CodeDoc AI for Confluence — KI-gestützte Dokumentation aus GitHub/GitLab
Alle tragen die Kennzeichnung „Runs on Atlassian“. Daten, die diese Apps verarbeiten, verlassen Atlassians Infrastruktur nicht.
Häufig gestellte Fragen
Was unterscheidet Atlassian-Forge- und Connect-Apps?
Forge-Apps laufen vollständig in Atlassians eigener Cloud-Infrastruktur — keine Daten verlassen die Atlassian-Plattform. Connect-Apps laufen auf externen Servern des App-Anbieters — bei Nutzung der App werden Jira-Daten an dessen Infrastruktur gesendet. Forge bietet stärkere Garantien für Datenresidenz und Sicherheit; Connect bietet Entwicklern mehr Flexibilität, erfordert aber Vertrauen in die externe Infrastruktur des Anbieters.
Sind Forge-Apps DSGVO-konform?
Laut Atlassian hat Forge die Prüfungen für ISO 27001 und SOC 2 abgeschlossen. Vertragliche, technische und organisatorische Maßnahmen unterstützen die DSGVO-Konformität. Da Forge-Apps in Atlassians Infrastruktur laufen, übernehmen sie Atlassians bestehende Vereinbarungen zur Datenverarbeitung und Zusagen zur Datenresidenz. Einzelne Connect-App-Anbieter sind separat für ihre eigene DSGVO-Konformität verantwortlich.
Was bedeutet „Runs on Atlassian“?
„Runs on Atlassian“ ist die offizielle Marketplace-Kennzeichnung für Forge-Apps. Sie zeigt, dass Rechenleistung und Speicher vollständig in Atlassians Cloud laufen — keine Kundendaten werden an Server Dritter gesendet. Einkaufsteams nutzen diese Kennzeichnung häufig als Mindestanforderung für zugelassene Apps. Sie verhindert allerdings keine Aufrufe externer APIs (etwa von KI-Anbietern), sofern diese ausdrücklich im App-Manifest deklariert sind.
Werden Atlassian-Connect-Apps irgendwann nicht mehr funktionieren?
Seit September 2025 akzeptiert Atlassian keine neuen Connect-App-Einträge mehr und führt Connect schrittweise zum Support-Ende. Bestehende Connect-Apps funktionieren während der Übergangszeit weiter. Unternehmen, die neue Apps bewerten, sollten Forge-basierte Optionen (mit „Runs on Atlassian“-Kennzeichnung) bevorzugen, um spätere Migrationsrisiken zu vermeiden.
Alle drei Apps — auf Forge, mit „Runs on Atlassian“
Visual Progress Tracker, Priority Scoring und CodeDoc AI laufen vollständig auf Atlassians Infrastruktur. Kostenlose Testversionen sind im Marketplace verfügbar.
Apps im Marketplace ansehen →