Security & Vertrauen

1. Security-Kontakt

Sicherheitslücken bitte per E-Mail an [email protected] melden (Betreff „Security"). PGP-Schlüssel auf Anfrage.

Wir bestätigen den Eingang innerhalb von 48 Stunden und informieren über den weiteren Verlauf.

2. security.txt (RFC 9116)

Unsere maschinenlesbare Sicherheitskontaktdatei ist unter /.well-known/security.txt abrufbar und folgt RFC 9116.

3. Technische Maßnahmen

• TLS 1.2+ auf allen Endpunkten (kein unverschlüsseltes HTTP)
• HSTS mit langer max-age
• Content-Security-Policy (CSP) aktiv
• Serverseitige Eingabevalidierung
• Passwörter ausschließlich als kryptografische Hashes (bcrypt)
• Dependency- und SAST-Scanning in der CI/CD-Pipeline (GitLab)
• Secrets ausschließlich in Umgebungsvariablen, nie im Quellcode

4. Datensicherheit

Kundendaten werden nur in europäischen Rechenzentren verarbeitet. Backups täglich, verschlüsselt.

Zugriff auf Produktionssysteme nur für autorisiertes Personal mit Zwei-Faktor-Authentifizierung.

5. Responsible Disclosure

Wir begrüßen ethische Sicherheitsforschung. Bitte keine öffentliche Veröffentlichung vor koordinierter Behebung (Coordinated Vulnerability Disclosure). Wir verpflichten uns, gemeldete Schwachstellen innerhalb von 90 Tagen zu beheben.