SICHERHEIT & VERTRAUEN
Was wir schriftlich zusagen können.
Was wir selbst umsetzen, wie wir mit Zugriffen und Daten umgehen, wer was verarbeitet und was wir tun, wenn etwas ausfällt. Jeder Punkt lässt sich prüfen oder anfordern.
Unsere eigene Sicherheitsaufstellung
Wir setzen dieselben Kontrollen um, die wir von Ihnen verlangen.
Diese Website ist statisch, die Liste ist deshalb bewusst kurz. Kurz ist nicht dasselbe wie geprüft — prüfen Sie es selbst, bevor Sie uns glauben.
- TLS 1.3 mit HSTS auf allen HTTPS-Antworten
- Starke Sicherheitsheader: CSP, HSTS, Frame-Optionen, Referrer-Policy und Permissions-Policy
- MFA für jedes Konto, das diese Website ändern oder auf Kundendaten zugreifen kann
- Zugriff mit minimalen Rechten für jedes Konto, auch für unsere
- Wöchentliche Backups, mit einem Restore-Test im gleichen Rhythmus
- Abhängigkeitsupdates nach festem Zeitplan, mit gelesenen Changelogs vor dem Merge
Prüfen Sie es selbst
Prüfen Sie uns mit Security Headers und SSL Labs, bevor Sie irgendetwas auf dieser Seite glauben.
Beides ist kostenlos und unabhängig von uns. Wenn etwas fehlschlägt, sagen Sie es uns — wir beheben es lieber, als es in Ihrer Beschaffungsprüfung zu finden.
Prüfungen und Nachweise
- Security Headers — CSP, HSTS, Frame-Optionen und Referrer-Policy auf der Apex-Domain
- SSL Labs — Protokollversion, Cipher Suites und Zertifikatskette
Zugriff
Zugriffe sind begrenzt, befristet und werden entfernt.
Die eigentliche Frage ist nicht, ob einem Anbieter zu trauen ist, sondern was er erreichen kann, wie lange, und welcher Nachweis bleibt, wenn er geht.
Nach einer konkreten Zugriffsanfrage fragen- Ein eigener Tresor pro Auftrag. Zugangsdaten liegen in einem Tresor, der nur mit den Personen dieses Auftrags geteilt und nach Abschluss entfernt wird.
- MFA verpflichtend. Jedes Konto, das wir nutzen, auch kundeneigene Adminbereiche, braucht einen zweiten Faktor. Bequemlichkeit ist keine Ausnahme.
- Befristet und innerhalb von 30 Tagen entzogen. Zugriff wird für das Zeitfenster des Auftrags gewährt und innerhalb von 30 Tagen nach Abschluss entfernt, mit schriftlicher Bestätigung auf Anfrage.
- Keine Zugangsdaten per E-Mail. Nicht vor dem Vertrag, nicht während der Lieferung, nicht danach. Wir nutzen den Tresor oder eine begrenzte Einladung.
- Produktion nur, wenn der Umfang es verlangt. Standard sind Staging, eine Kopie oder Lesezugriff; Produktions-Admin braucht eine schriftliche Begründung.
Umgang mit Daten
Wie lange wir Dinge aufbewahren.
Diese Fristen gelten für diese Website und für Kundenaufträge, sofern ein unterzeichneter Vertrag nichts anderes festlegt. Löschungen werden jedes Mal schriftlich bestätigt.
| Daten | Wo sie liegen | Aufbewahrung | Löschung |
|---|---|---|---|
| Kontaktformular-Einsendungen | Formulardatenbank und gemeinsames Postfach | 24 Monate ab der letzten Antwort | Löschung auf schriftliche Anfrage; Bestätigung schriftlich |
| Auftragsnotizen | Privater Projektbereich, nur das Auftragsteam | 12 Monate nach Projektabschluss | Auf Wunsch zum Abschluss vernichtet; schriftliche Bestätigung |
| Befunde und Berichte | Verschlüsselte Ablage und Ihre eigene Kopie | 12 Monate; Ihre Kopie bleibt bei Ihnen | Unsere Kopie auf Anfrage gelöscht; schriftliche Bestätigung |
| Logs und Rohausgaben der Scans | Logs von Hosting, Zugriffen und Scan-Arbeitsbereich | 30 Tage, dann rotiert oder gelöscht | Löschung schriftlich mit dem Abschlussdokument bestätigt |
Löschanfragen gehen an xcsfx@icloud.com. Wir bestätigen, was gelöscht wurde, woher und an welchem Datum.
Unterauftragsverarbeiter
Wer die Daten berührt und was davon sieht.
Fünf Kategorien. Keine erhält mehr, als die Aufgabe verlangt.
| Dienst | Zweck | Datenkategorie |
|---|---|---|
| Edge-Netzwerk und WAF | TLS-Terminierung, Caching und Filterung von Anfragen | IP-Adresse, Anfrage-Header und Sicherheitsereignisse |
| Statisches Hosting | Liefert die Seiten, Stylesheets und Skripte dieser Website | IP-Adresse und Standard-Request-Logs |
| Empfängt Formulareinsendungen und überträgt Antworten | Name, E-Mail-Adresse und Inhalt der Nachricht | |
| Zahlungen | Berechnet Betreuungspakete und Projektabrechnungen | Rechnungskontakt und Rechnungssumme; Kartendaten bleiben beim Zahlungsdienstleister |
| Verfügbarkeitsmonitoring | Prüft, ob die Website und ihre Endpunkte antworten | Anfragepfad, Statuscode und Antwortzeit |
Diese Tabelle ist eine Zusammenfassung. Die maßgebliche Liste für einen unterzeichneten Auftrag steht im AVV, einschließlich Rechtsträger, Verarbeitungsbedingungen und Meldung von Datenschutzverletzungen.
Vorfallreaktion
Die ersten fünf Tage, schriftlich.
Die genannten Fristen gelten innerhalb der Servicezeiten 09:00–18:00 GMT+8, Montag bis Freitag. Es sind Zusagen, die wir halten können, kein Wunschdenken.
Bestätigung innerhalb von 4 Arbeitsstunden
Eine namentlich genannte Person bestätigt den Bericht, den betroffenen Umfang und den Zeitpunkt des nächsten Updates.
Alle 24 Stunden ein Update
Täglich ein schriftliches Update, bis der Vorfall geschlossen ist, auch wenn es nichts Neues zu sagen gibt.
Ursache innerhalb von 5 Werktagen
Was in welcher Reihenfolge passiert ist und welche Kontrolle versagt hat oder fehlte.
Post-Mortem für den Kunden
Dieselbe Ursache, dazu was sich geändert hat, so geschrieben, dass Ihr Team danach handeln kann.
Wir sind kein 24/7-SOC. Es gibt keine Nachtschicht und kein Versprechen um 3 Uhr nachts. Wenn Sie eine Rufbereitschaft rund um die Uhr brauchen, passen wir nicht, und wir sagen das im ersten Gespräch statt im Angebot.
Zertifizierungen
Wir haben kein ISO 27001 und kein SOC 2.
Wir beanspruchen keine Zertifizierung, die wir nicht haben, und leihen uns keine Glaubwürdigkeit bei einem Logo, das wir nicht führen dürfen.
Was wir Ihnen nicht geben können
- ISO-27001-Zertifizierung
- SOC-2-Bericht Typ I oder Typ II
- Cyber-Essentials-Zertifizierung
- PCI-DSS-Bescheinigung — Kartendaten bleiben beim Zahlungsdienstleister
Wenn Ihre Beschaffung eines davon verlangt, sind wir für dieses Geschäft nicht der richtige Anbieter. Wir verlieren es lieber, als die Unterlagen falsch darzustellen.
Nachweise, die Sie lesen können
- Schriftliche Sicherheitsrichtlinien, versioniert und auf Anfrage geteilt
- Zugriff mit minimalen Rechten und einer benannten verantwortlichen Person für jedes Konto
- Ein unterzeichneter AVV, bevor Kundendaten eintreffen
- Sicherheitsfragebögen schriftlich beantwortet, nicht im Verkaufsgespräch
- Ein Nachweispaket zu jedem Auftrag: Umfang, Befunde, Nachtest, Abschlussdokument
Die Antworten stammen jedes Mal aus denselben Richtlinien und stimmen deshalb über alle Aufträge hinweg überein.
Schwachstelle melden
Wenn Sie glauben, etwas gefunden zu haben, sagen Sie es zuerst uns.
Eine unordentliche E-Mail von einer Forscherin oder einem Forscher ist uns lieber, als von der Lücke an anderer Stelle zu erfahren.
xcsfx@icloud.comRechtssicherheit für Forschende
- Forschung in gutem Glauben auf Ihren eigenen Konten oder auf einem Testmandanten, den wir auf Ihre Bitte hin einrichten, ist willkommen.
- Greifen Sie nicht auf Daten anderer zu, ändern Sie sie nicht und führen Sie sie nicht ab. Hören Sie auf und melden Sie es uns.
- Geben Sie uns Zeit, es zu beheben, bevor Sie veröffentlichen, und sagen Sie uns, ob Sie überhaupt veröffentlichen wollen.
- Wir bestätigen innerhalb von 2 Werktagen und sagen Ihnen, ob wir es reproduzieren können.
Wir gehen nicht rechtlich gegen Forschung vor, die sich an diese Regeln hält. Das ist die ganze Richtlinie; es gibt kein separates Formular.
Nächster Schritt
Lesen Sie das Dokument, dann stellen Sie die unangenehme Frage.
Der AVV enthält die maßgebliche Liste der Unterauftragsverarbeiter und die Bedingungen. Wenn etwas hier nicht zu Ihrem Fragebogen passt, schreiben Sie es ins Formular, und wir antworten schriftlich.