Sicherheit
Security by Design
Wir sind ein junges, agiles Unternehmen. Statt zuerst Geld in Auditoren zu stecken, fließen unsere Ressourcen direkt in technische Sicherheit. Unsere Maßnahmen orientieren sich an ISO 27001 und am BSI IT-Grundschutz – und wir dokumentieren sie hier offen, damit du sie prüfen kannst.
Keine Zertifikats-Badges – eine klare Liste dessen, was wir tatsächlich tun, damit du sie mit deinen Anforderungen abgleichen kannst. Dieselben Maßnahmen sind Teil unseres Auftragsverarbeitungsvertrags und damit eine vertragliche Zusage an dich.
Identität & Zugang
- Zwei-Faktor-Authentifizierung (TOTP) mit Wiederherstellungscodes für jedes Konto
- Anmeldung mit Google oder Apple oder per E-Mail + Passwort, mit bcrypt gehasht
- Sitzungen in HttpOnly-, Secure- und SameSite-Cookies; über jede neue Anmeldung wirst du informiert
- Rollen – Owner, Admin, Editor, Viewer –, damit niemand mehr Rechte hat, als seine Aufgabe braucht
Least Privilege
- API-Keys erreichen nur die Workspaces, die du auswählst, können ablaufen, werden einmal angezeigt und gehasht gespeichert
- Dienste laufen als unprivilegierte Benutzer in getrennten Containern; der Renderer spricht mit der App nur über ein gemeinsames Geheimnis
- Die Datenbank wird über eine eingeschränkte Rolle angesprochen; Postgres Row-Level Security blockiert kontoübergreifende Zugriffe selbst dann, wenn die Anwendung einen Fehler hätte
- Jede administrative Aktion wird ins Audit-Log geschrieben
Datenschutz & Isolation
- Gehostet in der EU (Hetzner, Nürnberg); AVV inklusive technischer und organisatorischer Maßnahmen
- Gespeicherte Geheimnisse – Webhook-Signaturschlüssel, Registry- und Backup-Zugangsdaten, Zwei-Faktor-Geheimnisse, Vorlagen-Passwörter – sind mit AES-256-GCM verschlüsselt
- Dokumente sind privat; Downloads laufen über kurzlebige signierte Links
- Du bestimmst die Aufbewahrung und kannst alles exportieren oder löschen; Löschungen haben eine Karenzzeit
- Dokumente und Datenbank laufen auf Hetzner-Servern in Deutschland; tägliche Datenbank-Backups gehen in den Hetzner-Objektspeicher in der EU, 30 Tage aufbewahrt, getrennt von den Anwendungsdaten
Dokumentenintegrität
- Jedes abgeschlossene E-Signatur-Dokument wird gegen Bearbeitung gesperrt, mit einem digitalen Zertifikat versiegelt und erhält einen SHA-256-Fingerabdruck
- Unterzeichner bestätigen eine Einwilligungserklärung; der Audit-Trail ist per Hash verkettet, sodass nichts unbemerkt verändert werden kann
- Wer ein PDF hat, kann es auf unserer öffentlichen Prüfseite prüfen – ohne es hochzuladen Zur Prüfseite →
- Webhooks sind signiert (HMAC-SHA256) und werden automatisch wiederholt
Resilienz & Missbrauchsschutz
- Ratenbegrenzung pro Tarif und gedrosselte Registrierungen
- Harte Grenzen für Dokumentgröße und Seiten; der Renderer läuft isoliert mit Timeouts, sodass ein fehlerhaftes Dokument nie den Dienst lahmlegt
- Ausgehende Abrufe (Bilder in Vorlagen) sind auf erlaubte Hosts beschränkt – keine Server-Side Request Forgery
- Fehlerüberwachung und tägliche Backups mit externen Kopien
- Eine strikte Content Security Policy: keine Inline-Skripte, kein eval auf öffentlichen Seiten, Skripte nur von unserer eigenen Domain und freigegebenen Diensten
- Incident Response: Meldungen werden innerhalb eines Werktags gesichtet; betroffene Kunden werden innerhalb von 48 Stunden nach einem bestätigten Vorfall informiert, wie im AVV zugesagt
Standards, an denen wir uns orientieren
- Sicherheitsmaßnahmen orientiert an ISO 27001 und BSI IT-Grundschutz, als vertragliche Zusage in unserem Auftragsverarbeitungsvertrag festgehalten
- Kryptografie nach der Technischen Richtlinie BSI TR-02102: AES-256-GCM, SHA-256, RSA-3072-Dokumentensiegel, TLS 1.2 oder neuer
- Stand der Technik, wie Art. 32 DSGVO ihn verlangt
- E-Signaturen als einfache elektronische Signaturen nach eIDAS – wir sagen klar, was sie sind und was nicht
Was wir nicht behaupten
Wir sind noch nicht nach ISO 27001 oder SOC 2 zertifiziert und behaupten das auch nicht. Bis dahin veröffentlichen wir unsere Maßnahmen hier und aktualisieren diese Seite, sobald sie sich ändern.
Verantwortungsvolle Offenlegung
Eine Schwachstelle gefunden? Schreib uns – wir lesen jeden Bericht und gehen nicht rechtlich gegen Forschung in gutem Glauben vor. Unsere security.txt verweist auf dieselbe Adresse. [email protected]
Mehr Details nötig?
Unser Auftragsverarbeitungsvertrag führt die technischen und organisatorischen Maßnahmen als vertragliche Zusage auf, und das Security-Team beantwortet Fragen direkt.