PflichtausrüstungBausteinEtabliertVon uns erprobt

Sulu

Sulu GmbH ·sulu.io· Stand: 2026-07-30

Verwaltet Inhalte, mehrere Websites und Übersetzungen in einem selbst betriebenen System auf Symfony-Basis.

Unser Urteil

Auch hier gilt: ein Redaktionssystem ist Pflichtausrüstung, kein Vorsprung. Der Unterschied zum bezogenen Dienst liegt nicht in der Funktion, sondern darin, wo die Kosten anfallen. Es gibt keine Lizenzgebühr, dafür trägt man den Betrieb.

Für wen es taugt

Solopreneur

nicht geeignet

Ohne jemanden, der PHP-Betrieb, Aktualisierungen und Sicherungen verantwortet, ist ein selbst gehostetes System die falsche Wahl. Die eingesparte Lizenz kostet Wochenenden.

KMU

geeignet

Trägt, sobald eine Agentur oder eine eigene Entwicklerin den Betrieb dauerhaft verantwortet. Dann sind mehrere Websites und Sprachen ohne Aufpreis abbildbar.

Konzern

geeignet

Mandanten, Sprachen und Rechte lassen sich im eigenen Betrieb abbilden, und die Daten verlassen das Haus nicht. Das ist genau der Punkt, an dem bezogene Dienste teuer oder unzulässig werden.

Kaufen, wechseln oder bauen

Standardprodukt

Redaktionssystem als bezogener Dienst

Betrieb, Aktualisierungen und Verfügbarkeit liegen beim Anbieter, die Rechnung kommt monatlich und wächst mit Plätzen und Verbrauch. Die Prüfung verlagert sich von der Serverwartung in die Vertragsprüfung.

KI-nativ

Kein sinnvoller KI-nativer Ersatz

Es gibt keine KI-native Kategorie für Redaktionssysteme, nur KI-Funktionen in bestehenden. Der Vergleich läuft deshalb zwischen bezogenem Dienst und Eigenbetrieb.

Eigenbau

Sulu selbst betreiben

Dies ist der Eigenbau-Weg für Inhalte, und zwar der gut abgesicherte: kein eigener Programmcode für die Grundfunktionen, keine Lizenz, volle Datenhoheit. Er scheitert nicht an der Software, sondern daran, dass niemand den Betrieb dauerhaft verantwortet.

Unser Rat

  • Solopreneur: Nicht nehmen. Der Betrieb kostet mehr Zeit, als ein bezogener Dienst Geld kostet.
  • KMU: Nehmen, wenn der Betrieb geklärt ist und Datenhoheit ein Argument im Verkauf ist.
  • Konzern: Starker Kandidat, sobald Mandantentrennung oder Datenhoheit die Anforderung sind.

Wer dahinter steht

Tragfähigkeit: Etabliert

Sulu GmbH trägt sich aus eigener Kraft: kein Wagniskapital belegbar, zum 31.12.2024 eine Bilanzsumme von 509.511 Euro bei 432.311 Euro Eigenkapital, also rund 85 Prozent Eigenkapitalquote und nur 36.239 Euro Verbindlichkeiten. Da das nominelle Stammkapital nur 35.000 Euro beträgt, stammt das Eigenkapital fast vollständig aus einbehaltenen Gewinnen, was über acht Jahre hinweg für ein tragfähiges Geschäftsmodell spricht; die Eigentumsverhältnisse sind mit 75 Prozent Schoenberger Holding GmbH und 25 Prozent Geschäftsführer Thomas Schedler klar belegt. Wichtig für die Einordnung: etabliert heißt hier beständig, nicht groß. Der Code liegt seit 2013 unter MIT-Lizenz öffentlich vor und wird laufend gepflegt, was das Migrationsrisiko dämpft, aber das Team ist sehr klein und die Fortführung hängt an wenigen Personen.

  • Rechtsform und Registereintrag: Sulu GmbH, FN 495861h, Landesgericht Feldkirch, eingetragen am 31.07.2018, Stammkapital 35.000 EUR, Sitz Gütlestraße 7a, 6850 Dornbirn (Österreich) · Quelle · Stand 2026-07-30
  • Eigentumsverhältnisse: Schoenberger Holding GmbH 75 Prozent, Thomas Schedler (Geschäftsführer) 25 Prozent; Prokurist Rainer Schoenherr. Keine Übernahme und kein externer Gesellschafter erkennbar. · Quelle · Stand 2026-07-30
  • Jahresabschluss 2024: Bilanzsumme 509.510,86 EUR, Eigenkapital 432.311,03 EUR (Eigenkapitalquote rund 85 Prozent), Verbindlichkeiten 36.239 EUR; eingereicht am 20.03.2025 · Quelle · Stand 2024-12-31
  • Finanzierung ohne Wagniskapital: Erlöse aus Partnerprogramm, Dienstleistungen und geplantem Sulu.ai-Angebot; ausdrückliche Aussage, dass die Entwicklung von Kunden und nicht von Investoren finanziert wird, und dass die MIT-Lizenz bleibt. Keine Finanzierungsrunde auffindbar. · Quelle · Stand 2025-06-25
  • Wer den Code hält: Kernrepository sulu/sulu liegt bei der GitHub-Organisation sulu unter MIT-Lizenz, angelegt am 18.10.2013, letzter Commit-Push am 27.07.2026, 1.344 Sterne, nicht archiviert · Quelle · Stand 2026-07-27
  • Wartung und Versionspflege: Hauptversion 3.0.0 am 26.11.2025 veröffentlicht; am 17.07.2026 zeitgleich Patch 3.0.8 und Patch 2.6.25 für die Vorgängerlinie, die Altversion wird also weiter versorgt · Quelle · Stand 2026-07-17

Ausstiegskosten: Gering

Die Software liegt unter MIT-Lizenz, die Inhalte in der eigenen Datenbank. Ein Wechsel ist eine Datenmigration, keine Verhandlung.

Regulatorik und Daten

AuftragsverarbeitungBeim Selbstbetrieb nicht erforderlich; für den betreuten Betrieb Sulu.cloud entsteht die Auftragsverarbeitung bei Upsun, dessen Vertrag öffentlich vorliegtWer selbst betreibt, gibt keine Inhalte an einen Auftragsverarbeiter. Ein Vertrag ist dann mit dem eigenen Hoster nötig, nicht mit der Sulu GmbH. Das verschiebt die Prüfung, es erspart sie nicht. Seit dem 18.02.2026 gibt es mit Sulu.cloud zusätzlich einen betreuten Betrieb, und der läuft ausdrücklich auf SymfonyCloud beziehungsweise Upsun, wofür ein eigenes Upsun-Konto verlangt wird. Der Auftragsverarbeitungsvertrag kommt dann von Upsun und liegt unter https://upsun.com/trust-center/privacy/dpa/ öffentlich vor. Eine eigene Vertragsvorlage der Sulu GmbH haben wir nicht gefunden, gesucht in den Datenschutzhinweisen unter https://sulu.io/privacy-and-legal-notices, im Impressum und auf den Produktseiten zu Cloud und KI.Quelle · Stand 2026-07-30
SpeicherortBeim Selbstbetrieb frei wählbar; für Sulu.cloud stehen bei Upsun EU-Regionen zur Wahl, darunter Deutschland, Frankreich, Irland und SchwedenIm Eigenbetrieb ist der Speicherort die Entscheidung des Betreibers. Damit ist die häufigste Bruchstelle deutscher Beschaffung von vornherein entschärft. Wer Sulu.cloud nimmt, wählt die Region beim Anlegen des Projekts. Upsun führt dafür unter anderem de-2 in Deutschland auf Google, fr-3 in Frankreich auf OVH, fr-4 in Frankreich auf Azure, eu in Irland auf AWS und eu-5 in Schweden auf AWS. Upsun sagt in seinen Datenschutzangaben zu, dass Daten eines Projekts die gewählte Region nicht verlassen, solange man nicht selbst einen zusätzlichen Cluster anderswo anfordert; nachzulesen unter https://upsun.com/trust-center/privacy/.Quelle · Stand 2026-07-30
SubunternehmerBeim Selbstbetrieb keine für die Inhalte; für Sulu.cloud führt Upsun eine datierte Unterauftragnehmerliste, in der drei Dienste in den USA sitzenIm Eigenbetrieb entstehen Subunternehmer erst durch die eigene Wahl von Hosting, Suche oder Bildverarbeitung. Bei Sulu.cloud liegt die Kette dagegen offen. Upsun nennt in seiner Liste mit Stand 23.09.2025 für Hosting und Speicher AWS, Microsoft Azure, Google Cloud, OVHcloud und IBM Cloud, dazu Fastly für CDN und WAF in den USA, Zendesk für Support in der EU, Sentry für Anwendungsüberwachung in den USA, SendGrid für den E-Mail-Versand in den USA und Platform.sh-Gesellschaften für den Support. Die drei US-Dienste sind auch dann im Spiel, wenn die Projektregion in der EU liegt.Quelle · Stand 2025-09-23
DrittlandübermittlungEntfällt bei Betrieb in der EU; bei Sulu.cloud über Unterauftragnehmer in den USA möglich, Upsun stützt sich dafür auf die EU-StandardvertragsklauselnIm Eigenbetrieb ist das Ergebnis der eigenen Betriebsentscheidung, nicht der Software. Bei Sulu.cloud gilt Upsuns Zusage, dass Projektdaten die gewählte Region nicht verlassen; für Übermittlungen aus dem Europäischen Wirtschaftsraum heraus beruft sich Upsun ausdrücklich auf die EU-Standardvertragsklauseln, soweit kein Angemessenheitsbeschluss greift. Getrennt davon zu prüfen ist Sulu.ai: Je nach gewähltem Modellanbieter können Inhalte an OpenAI, Anthropic oder Google gehen, und dafür macht die Sulu GmbH keine Angaben zum Übermittlungsweg.Quelle · Stand 2026-07-30
Training mit KundendatenIn der Grundinstallation keine Übertragung an den Hersteller; mit Sulu.ai gehen Inhalte an den gewählten Modellanbieter, eine Zusage gegen Training fehlt öffentlichOhne Datenabfluss gibt es auch keine Trainingsfrage. Sie kehrt zurück, sobald Sulu.ai angebunden wird. Das Angebot ist seit dem 03.02.2026 verfügbar, wird über einen einzigen Schlüssel an die bestehende Installation angebunden und lässt die Wahl zwischen OpenAI, Anthropic, Mistral, Google und DeepL, dazu eine als europäisch bezeichnete Modellklasse auf Mistral-Basis. Eine ausdrückliche Aussage, dass Kundeninhalte nicht zum Training verwendet werden, haben wir nicht gefunden; geprüft wurden https://sulu.io/ai, https://sulu.io/sulu-ai, der Ankündigungsbeitrag und die Datenschutzhinweise von Oktober 2019. Wer Sulu.ai einsetzt, muss diese Zusage schriftlich einholen.Quelle · Stand 2026-02-03
Aufbewahrung und LöschungEigene Verantwortung; gelöschte Datensätze liegen ohne Verfallsfrist im Papierkorb der Anwendung, bis jemand ihn leertFristen, Löschung und Sicherungen bestimmt und schuldet der Betreiber. Für die Löschpraxis ist ein Detail wichtig: Sulu bringt ein TrashBundle mit, das gelöschte Datensätze samt der zur Wiederherstellung nötigen Daten aufbewahrt und sie erst auf Anstoß endgültig entfernt. Eine automatische Verfallsfrist sieht die Dokumentation nicht vor. Ein Löschkonzept muss also festlegen, wann der Papierkorb geleert wird, sonst überlebt der Datensatz die eigene Löschfrist.Quelle · Stand 2026-07-30
ZertifikateKeine für die Software, und für die Sulu GmbH selbst keine auffindbar; für Sulu.cloud trägt die Nachweise Upsun mit ISO 27001, SOC 2 Typ 2 und PCI DSS Level 1Eine selbst betriebene Software trägt keine Betriebszertifikate. Nachweise liefert der eigene Betrieb oder der Hoster. Eine Sicherheits- oder Vertrauensseite der Sulu GmbH mit Prüfberichten haben wir nicht gefunden; gesucht wurde auf sulu.io, in den Datenschutzhinweisen, im Impressum und über die Websuche. Was es gibt, ist eine veröffentlichte Sicherheitsrichtlinie im Kernrepository: Meldeadresse security@sulu.io, versorgt werden nur Versionen ab 2.6.0. Für den betreuten Betrieb greifen die Zertifikate von Upsun, nachzulesen unter https://upsun.com/trust-center/. Sie gelten der Plattform, nicht der Anwendung.Quelle · Stand 2026-07-30
EU-KI-Verordnung, Artikel 50Nicht berührt in der Grundinstallation; mit Sulu.ai entsteht die Transparenzpflicht aus Artikel 50 beim BetreiberOhne angebundene KI-Funktion entsteht keine Transparenzpflicht aus Artikel 50. Sulu.ai ist genau eine solche Funktion, denn es erzeugt Texte, Metadaten, Alternativtexte und Übersetzungen. Die Pflicht trifft dann den Betreiber der Website, nicht den Hersteller der Software. Die Sulu GmbH macht auf ihren Seiten zum KI-Angebot keine Angaben zum AI Act; geprüft wurden https://sulu.io/ai, https://sulu.io/sulu-ai und der Ankündigungsbeitrag vom 03.02.2026.Quelle · Stand 2026-07-30
ProtokollierungIm Kern angelegt: Sulu bringt ein ActivityBundle mit, das Ereignisse mit Typ, Ressource und Benutzer in der eigenen Datenbank festhältWeil Anwendung und Datenbank im eigenen Zugriff sind, ist Nachvollziehbarkeit eine Frage der Umsetzung, nicht des Tarifs. Die Grundlage liefert Sulu mit: Das ActivityBundle liegt im Kernpaket neben Admin-, Security- und TrashBundle und speichert Aktivitäten voreingestellt über Doctrine in der eigenen Datenbank. Zwei Stellschrauben muss der Betreiber bewusst setzen, denn der Adapter lässt sich auf null stellen und schaltet die Speicherung damit ab, und die Nutzlast eines Ereignisses wird nur mitgeschrieben, wenn persist_payload eingeschaltet ist. Voreingestellt ist sie aus.Quelle · Stand 2026-07-30

Was es wirklich kostet

Einstieg

Die Software ist unter MIT-Lizenz kostenlos. Bezahlt werden Support, Beratung, Schulung und Entwicklung; eine öffentliche Preisliste dazu haben wir nicht gefunden.

Quelle · Stand2026-07-30

Was teuer wird

Der Betrieb. Server, Aktualisierungen, Sicherungen, Sicherheitslücken und die Person, die im Ernstfall erreichbar ist. Wer das nicht einplant, hat nicht gespart, sondern die Rechnung verschoben.

Was es verdrängt

  • Lizenzkosten eines bezogenen Redaktionssystems
  • Abhängigkeit von einem Anbieter-Speicherort

Schnittstellen

  • Symfony-Anwendung
  • Eigene Datenbank
  • REST-Erweiterungen im eigenen Code

Bei uns: Von uns erprobt

Wir haben Sulu geprüft und für die eigenen Seiten nicht gewählt, weil die Redaktion über zwei Domänen hinweg aus einem bezogenen System einfacher zu führen ist. Das Urteil gilt für unseren Fall, nicht allgemein.

Passende Methoden

Alternativen

Belege

  1. 1.MIT-Lizenz, Anbieter Sulu GmbH, Art der bezahlten Leistungen · Stand 2026-07-30
  2. 2.Firmensitz Dornbirn, FN 495861h, Geschäftsführer Thomas Schedler, Eigentumsverhältnisse 75 zu 25 · Stand 2026-07-30
  3. 3.Die veröffentlichten Datenschutzhinweise stammen aus Oktober 2019, decken nur die eigene Website ab, nennen MailChimp und Google Analytics in den USA und enthalten keinen Auftragsverarbeitungsvertrag · Stand 2026-07-30
  4. 4.Sicherheitsrichtlinie des Kernrepositorys: Meldungen an security@sulu.io, versorgt werden nur Versionen ab 2.6.0 · Stand 2026-07-30
  5. 5.Sulu.cloud ist Sulu auf SymfonyCloud beziehungsweise Upsun; die Infrastruktur betreibt Upsun, ein eigenes Upsun-Konto ist nötig · Stand 2026-07-30
  6. 6.Ankündigung des betreuten Betriebs Sulu.cloud am 18.02.2026, verfügbar mit Testzeitraum · Stand 2026-02-18
  7. 7.Upsun veröffentlicht einen Auftragsverarbeitungsvertrag und bindet darin auch seine Unterauftragnehmer · Stand 2026-07-30
  8. 8.Unterauftragnehmerliste von Upsun mit Stand 23.09.2025, darunter Fastly, Sentry und SendGrid in den USA · Stand 2025-09-23
  9. 9.Zusage von Upsun, dass Projektdaten die gewählte Region nicht verlassen, und Berufung auf die EU-Standardvertragsklauseln bei Übermittlung aus dem Europäischen Wirtschaftsraum · Stand 2026-07-30
  10. 10.EU-Regionen bei Upsun: de-2 Deutschland, fr-3 und fr-4 Frankreich, eu Irland, eu-5 Schweden · Stand 2026-07-30
  11. 11.Zertifikate der Plattform Upsun: ISO 27001, SOC 2 Typ 2, PCI DSS Level 1 · Stand 2026-07-30
  12. 12.Sulu.ai seit 03.02.2026 verfügbar, Anbindung über einen Schlüssel, Wahl zwischen OpenAI, Anthropic, Mistral, Google und DeepL, europäische Modellklasse auf Mistral-Basis · Stand 2026-02-03
  13. 13.ActivityBundle und TrashBundle liegen im Kernpaket neben Admin- und SecurityBundle · Stand 2026-07-30
  14. 14.Protokollierung voreingestellt über Doctrine, Adapter auf null abschaltbar, persist_payload voreingestellt aus · Stand 2026-07-30
  15. 15.TrashBundle bewahrt gelöschte Datensätze zur Wiederherstellung auf und kennt keine automatische Verfallsfrist · Stand 2026-07-30

Zuletzt geprüft: 2026-07-30vonDr. Oliver Gausmann, Convios GmbH

Angaben veraltet? Schreiben Sie uns.

← Zurück zum Werkzeugkasten

Diese Methode mit KI durchgehen

ClaudeChatGPTPerplexity