Sicherheit & Datenschutz
Sie müssen uns nicht vertrauen.
Die meisten Portale bitten um die Zugangsdaten zu Ihrer Datenbank. Wir kommen ohne aus — und können deshalb auch dann nicht an Ihre Bestandsdaten, wenn bei uns etwas schiefgeht.
Ihre Datenbank bleibt zu — auch wenn es uns trifft
Der übliche Weg ist, einer Plattform die Zugangsdaten zur Datenbank zu geben. Dann hängt Ihre Sicherheit an unserer. Wir machen es andersherum.
- Der Connect-Agent läuft in Ihrem Netz und baut die Verbindung nach außen auf. Sie öffnen keinen Port und richten keine Firewall-Regel ein.
- Die Zugangsdaten zur Datenbank kennen nur Sie. Sie liegen beim Agenten, verweisen dort auf Umgebungsvariablen und stehen zu keinem Zeitpunkt bei uns.
- Wir schicken kein SQL, sondern den Namen einer Abfrage. Steht der nicht auf Ihrer Freigabeliste, passiert nichts — der Agent antwortet mit „nicht freigegeben".
- Parameter werden gebunden, nicht in den Abfragetext eingesetzt. Eingaben aus dem Portal können die Abfrage damit nicht verändern.
- Die Freigabeliste ändern kann nur, wer den Admin-Schlüssel hat. Der entsteht beim Start des Agenten, steht in Ihren Container-Logs, wechselt bei jedem Neustart — und ist uns unbekannt.
Server in Deutschland, Betrieb ohne offene Türen
Wo die Daten liegen, die doch bei uns liegen — und wie wir sie betreiben.
- Anwendung und Datenbank laufen auf Servern in Deutschland; Dateien und Backups liegen im Hetzner-Rechenzentrum Nürnberg.
- Datenbank und Cache sind aus dem Internet nicht erreichbar. Auch wir kommen nur über ein privates Netz daran, nie über eine öffentliche Adresse.
- Der Verkehr zwischen den Servern läuft verschlüsselt über WireGuard.
- Backups liegen bei einem anderen Anbieter als die Anwendung und sind schreibgeschützt abgelegt — auch wir können sie nicht nachträglich ändern.
- Zugangsdaten zu angebundenen Systemen speichern wir AES-256-GCM-verschlüsselt.
Keine stillen Mitleser
Ein Portal, das nebenbei Daten an Dritte gibt, ist ein Datenschutzproblem, das niemand sieht — bis jemand nachsieht.
- Keine Google Fonts. Schriften werden mit dem Portal ausgeliefert, es geht kein Aufruf an einen fremden Server.
- Kein Google Analytics. Wir nutzen Plausible auf eigener Infrastruktur, ohne Cookies und ohne Profilbildung.
- Ihre Hausschrift laden Sie selbst hoch — sie wird ebenso mit ausgeliefert.
Getrennt, protokolliert, abgestuft
Was innerhalb der Plattform gilt.
- Jeder Mandant ist ein eigener Datenraum. Die Trennung reicht bis auf die Ebene der Anmeldedaten — dieselbe E-Mail-Adresse kann bei zwei Anbietern existieren, ohne dass sich etwas berührt.
- Rollen bestimmen, wer was darf: Eigentümer, Administrator, Designer, Betreuer. Die Prüfung passiert auf dem Server, nicht nur in der Oberfläche.
- Änderungen an Kunden, Portalen, Daten und Zugängen landen im Audit-Log — mit Zeitpunkt, handelnder Person und Details der Änderung.
- Zwei-Faktor-Anmeldung für Mitarbeitende, auf Wunsch verpflichtend für den ganzen Mandanten.
Was wir (noch) nicht haben
Portenia ist ein junges Produkt. Eine ISO-27001- oder SOC-2-Zertifizierung haben wir nicht — die Maßnahmen oben sind gebaut und prüfbar, aber nicht von einer externen Stelle testiert. Wenn Ihre Beschaffung ein Zertifikat verlangt, sagen Sie es uns früh; dann sprechen wir darüber, statt Sie hinzuhalten.
Welche Dienstleister wir einsetzen und wofür, steht in der Datenschutzerklärung. Fragen dazu beantworten wir direkt.
Ihre IT hat Fragen? Gut.
Wir gehen die Architektur mit Ihrem IT-Verantwortlichen durch — Agent, Freigabeliste, Betrieb. Lieber vorher als im Projekt.