Sicherheit und Vertrauen
Hosting in Deutschland, Verschlüsselung, Backups und Wiederherstellungstests – dazu alle Dienste, die Kundendaten verarbeiten, und Ihr Kontakt zu uns in Sicherheitsfragen.
- Gehostet in Deutschland
- Verschlüsselt bei Übertragung und Speicherung
- Wiederherstellung mindestens monatlich getestet
Wo Ihre Daten liegen
Der Dienst läuft ausschließlich in Rechenzentren in Deutschland, in Nürnberg und Falkenstein, betrieben von der Hetzner Online GmbH, Gunzenhausen. Alles, was im Dienst gespeichert wird, bleibt dort: Stücklisten, Treffer, Fälle, Meldungstexte und das Nachweisprotokoll. Daten werden verschlüsselt übertragen; im Ruhezustand ist das Datenbank-Volume mit unserem eigenen Schlüssel verschlüsselt, und Backups werden verschlüsselt, bevor sie den Server verlassen.
Wie wir den Dienst entwickeln und betreiben
- Jede Änderung muss automatisierte Tests, eine statische Analyse und einen Schwachstellenscan der Abhängigkeiten bestehen, bevor sie ausgeliefert wird. In der Produktion läuft genau das Image, das die CI-Pipeline gebaut hat – per Digest fixiert.
- Administrativer Zugang nur über persönliche Konten mit Mehrfaktor-Authentifizierung: keine geteilten Konten, minimale Rechte und mindestens vierteljährliche Prüfung der Zugriffsrechte.
- Produktion, Test und Entwicklung sind getrennt, und außerhalb der Produktion werden keine Kundendaten verwendet.
- Vor dem Produktivbetrieb mit Kundendaten gegen jede Anforderung von OWASP ASVS 4.0.3, Level 1, geprüft: jede mit Nachweis, Test oder schriftlich begründeter Abweichung beantwortet.
- Externes Monitoring außerhalb unserer eigenen Infrastruktur, ein dokumentiertes Vorgehen bei Vorfällen und Runbooks mit getesteten Wiederherstellungsverfahren.
Technische und organisatorische Maßnahmen
Inhaltlich identisch mit Anlage 2 des Auftragsverarbeitungsvertrags.
Vertraulichkeit
- Rechenzentren in Deutschland mit Zutrittskontrolle und Zertifizierung nach ISO/IEC 27001; eigene Serverräume betreiben wir nicht.
- Administrativer Zugang nur über persönliche Konten mit Mehrfaktor-Authentifizierung, keine geteilten Konten, minimale Rechte.
- Strikte Mandantentrennung: Jeder Datensatz ist seinem Konto zugeordnet, und die Datenbank erzwingt die Trennung zusätzlich zur Anwendung per Row-Level-Security.
- Anmeldung ohne Passwort über Einmal-Links; API-Tokens werden nur als kryptografische Hashwerte gespeichert und können eingeschränkt und widerrufen werden.
- Produktiv-, Test- und Entwicklungsumgebung sind getrennt, und außerhalb der Produktion werden keine Kundendaten verwendet.
Integrität
- Alle Verbindungen sind mit TLS 1.2 oder höher verschlüsselt.
- Alarm-E-Mails enthalten nur das Notwendige und verweisen auf den Dienst.
- Ein nur ergänzbares Nachweisprotokoll aller relevanten Aktionen pro Konto mit Zeitpunkt und Nutzer.
- Jede Änderung muss automatisierte Tests, eine statische Analyse und einen Schwachstellenscan der Abhängigkeiten bestehen, bevor sie ausgeliefert wird. In der Produktion läuft genau das Image, das die CI-Pipeline gebaut hat – per Digest fixiert.
Verfügbarkeit
- PostgreSQL-Datenbank mit fortlaufender Archivierung und Wiederherstellung zu einem beliebigen Zeitpunkt; Backups werden vor dem Verlassen des Servers verschlüsselt und in Objektspeicher in Deutschland mit Schreibschutz gegen Änderung und Löschung abgelegt; Wiederherstellungsverfahren werden mindestens monatlich getestet.
- Verschlüsselung gespeicherter Daten: Das Speichervolume mit Datenbank, Anwendungsdaten und Protokollen ist verschlüsselt; die Systemplatte des Servers enthält keine personenbezogenen Daten; Backups sind verschlüsselt.
- Externe Überwachung außerhalb unserer eigenen Infrastruktur, die uns alarmiert, wenn der Dienst, eine Datenquelle oder die Alarmzustellung ausfällt, sowie ein dokumentiertes Verfahren für Sicherheitsvorfälle.
Überprüfung
- Zugriffsrechte werden mindestens vierteljährlich überprüft, die Maßnahmen mindestens jährlich und nach wesentlichen Änderungen.
- Automatisierte Prüfung auf Aktualisierungen der verwendeten Softwarekomponenten: wöchentlich für Go-Module, Container-Images und Infrastrukturcode, monatlich für GitHub Actions und npm-Pakete.
- Datenschutzfreundliche Voreinstellungen: nur die Daten, die der Dienst braucht, kein Tracking, keine Werbung und keine Nutzung von Kundendaten für andere Zwecke, insbesondere nicht zum Training von KI-Modellen.
Datenschutz
Keine Webanalyse, kein Tracking, keine Cookies und nichts, was von den Servern eines anderen Unternehmens geladen wird: Schriften, Stylesheets und Bilder kommen alle von dieser Domain. Deshalb wurden Sie nicht nach Cookies gefragt.
Datenschutzfreundliche Voreinstellungen: nur die Daten, die der Dienst braucht, kein Tracking, keine Werbung und keine Nutzung von Kundendaten für andere Zwecke, insbesondere nicht zum Training von KI-Modellen.
Wer Ihre Daten außerdem verarbeitet
Diese drei und niemand sonst. Die Tabelle gibt Anlage 3 des Auftragsverarbeitungsvertrags wörtlich wieder.
Unterauftragsverarbeiter: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen
- Leistung
- Cloud-Hosting: Server, Speichervolumes, Objektspeicher für Backups
- Ort der Verarbeitung
- Deutschland (Rechenzentren in Nürnberg und Falkenstein)
- Garantien bei Drittlandbezug
- Entfällt (keine Verarbeitung in Drittländern)
Unterauftragsverarbeiter: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin
- Leistung
- Hosting des Support-Postfachs (E-Mails an die Support-Adresse)
- Ort der Verarbeitung
- Deutschland
- Garantien bei Drittlandbezug
- Entfällt (keine Verarbeitung in Drittländern)
Unterauftragsverarbeiter: Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich
- Leistung
- Versand transaktionaler E-Mails (Anmeldelinks, Benachrichtigungen)
- Ort der Verarbeitung
- Europäische Union (Rechenzentren in der Region Paris, Frankreich)
- Garantien bei Drittlandbezug
- Entfällt (keine Verarbeitung in Drittländern)
Anmeldelinks und Benachrichtigungen versendet die Scaleway SAS, Paris, die sie in der Europäischen Union verarbeitet. Unsere E-Mails enthalten keine Zählpixel und keine nachverfolgten Links. E-Mails an unsere Support-Adresse werden in einem Postfach verarbeitet, das die STRATO GmbH, Berlin, in Deutschland hostet.
Eine Schwachstelle an uns melden
Schreiben Sie an contact@bithive-it.com, die in unserer security.txt angegebene Adresse. Gegen Forschung, die in gutem Glauben erfolgt, gehen wir nicht rechtlich vor, und wir geben Ihnen Bescheid, sobald das Problem behoben ist.
https://bithive-it.com/.well-known/security.txt
Verfügbarkeit und Status
Während einer Störung informieren wir Inhaber und Administratoren der betroffenen Konten per E-Mail und veröffentlichen Updates auf der Statusseite, die getrennt vom Reporting Desk betrieben wird.
Externe Überwachung außerhalb unserer eigenen Infrastruktur, die uns alarmiert, wenn der Dienst, eine Datenquelle oder die Alarmzustellung ausfällt, sowie ein dokumentiertes Verfahren für Sicherheitsvorfälle.
Welche Verfügbarkeit vereinbart ist und wie sie gemessen wird, regelt die Service-Level-Vereinbarung.
Die Dokumente im Wortlaut
AGB, Auftragsverarbeitungsvertrag, Datenschutzhinweise und Service-Level-Vereinbarung, jede Version unter einer eigenen Adresse.
Die Dokumente im Wortlaut