Eine Kursplattform mit Bezahlung, geschützten Videos und einer Prüfung gegen mich selbst

Warum nicht einfach eine fertige Plattform

Es gibt Plattformen, auf denen man Kurse im Internet verkaufen kann. Sie behalten dafür einen Teil des Umsatzes. Und sie stellen sich zwischen die Kursleiterin und ihre Kundinnen. Die Kundendaten gehören der Plattform, und die Nachrichten laufen über sie. Je besser es läuft, desto mehr kostet es.

Bei regelmäßigem, aber überschaubarem Umsatz ist das eine dauernde Belastung. Für eine Kursleiterin ist der Kontakt zu ihren Kundinnen außerdem das Wertvollste, was sie hat. Deshalb eine eigene Plattform.

Das ist ausdrücklich keine Empfehlung für alle. Ist die Nachfrage unklar oder gibt es nur sehr wenige Verkäufe, ist die fertige Plattform die günstigere Antwort.

Vier Entscheidungen, die alles andere bestimmt haben

Vor dem Bau standen vier Entscheidungen. Zu jeder habe ich aufgeschrieben, was zur Wahl stand und warum ich so entschieden habe. Es ging um die Videos, um die Grundlage der Plattform, um das Einspielen neuer Versionen und um die Bezahlung.

Am spannendsten ist die Entscheidung zu den Videos. Man kann Videos selbst ausliefern. In der Praxis ist das eine schlechte Idee. Jedes Video muss in mehreren Qualitäten vorliegen und auch bei schwachem Handy-Empfang laufen. Das übernimmt deshalb ein Anbieter, der darauf spezialisiert ist. Sein Standort ist Frankfurt.

Die eigentliche Frage war der Schutz. Kopierschutz lässt sich umgehen und stört die Kundinnen, die bezahlt haben. Die Lösung ist einfacher: Für jedes Abspielen entsteht eine Adresse, die nur kurz gilt. Wer sie weitergibt, gibt etwas weiter, das bald nicht mehr funktioniert.

Für Kenner: die Technik dahinter

Next.js mit TypeScript strict, PostgreSQL mit Drizzle, better-auth, Stripe Checkout, Bunny Stream mit serverseitig signierten, kurzlebigen URLs. Ausgeliefert über Docker Compose hinter Caddy, Datenbank-Backups nach Backblaze B2. Vier Architekturentscheidungen liegen als ADR im Repository.

Vier Wochen nach dem Start: die Prüfung gegen mich selbst

Am 04.08.2026 habe ich das laufende System gründlich geprüft. Ich habe mir nicht angesehen, was ich bauen wollte. Ich habe mir angesehen, was im Betrieb tatsächlich passiert.

Dabei fand ich drei Schwächen, die ich selbst eingebaut hatte:

Es gab keinen Weg, eine Kundin zu löschen. Keinen einzigen. Verlangt eine Kundin, dass ihre Daten gelöscht werden, hätte die Kursleiterin das ohne mich nicht erfüllen können. So eine E-Mail kann jederzeit kommen. Das ist behoben, und zwar so, dass sie es selbst kann.

Die Sicherungen enthielten Kundendaten in lesbarer Form. Die automatischen Sicherungen liefen wie geplant an einen zweiten Ort. Aber E-Mail-Adressen und Käufe lagen darin unverschlüsselt.

Eine Preisänderung hätte die Vergangenheit überschrieben. Wer einen Kurs von 49 € auf 79 € anhebt, hätte damit auch alte Verkäufe nachträglich verändert. Für die Buchhaltung und für Erstattungen ist das ein echtes Problem.

Zu jedem Fund habe ich aufgeschrieben, welche Folgen er hat, wie sicher ich mir bin und mit welcher Änderung er behoben ist.

Warum ich das öffentlich aufschreibe

Weil es der ehrlichste Teil dieses Berichts ist. Man kann ihn so erzählen, als wäre alles von Anfang an richtig gewesen. Dann glaubt ihn niemand, denn so arbeitet niemand. Oder man erzählt, wie die Fehler gefunden wurden.

Wem man ein System anvertrauen kann, entscheidet sich nicht an der Zahl der Fehler. Es entscheidet sich daran, ob jemand sie selbst sucht. Vier Wochen nach dem Start das eigene System noch einmal so zu prüfen, ist nicht selbstverständlich. Gerade weil das Ergebnis unbequem ist.

Genauso bin ich bei der Website von Malex Fotografie vorgegangen. Auch dort hat die Abschlussprüfung einen Fehler gefunden, den ich selbst eingebaut hatte. Das ist kein Zufall, so arbeite ich.

Was noch offen ist

Nutzerzahlen und Umsätze stehen hier bewusst nicht. Sie gehören der Kundin, nicht mir. Belegen kann ich: Die Plattform läuft, sie steht für den Verkauf bereit, und die Kursleiterin kann sie ohne mich bedienen.