Sicherheit und Kontrollen

Die gesamte Kommunikation erfolgt über TLS. Ruhende Daten werden von den Infrastrukturanbietern verschlüsselt (Convex, Vercel).

Einzelheiten zu Schlüsseln und zur Verwaltung der Verschlüsselung im Ruhezustand: Ruhende Daten werden von den Infrastrukturanbietern mit branchenüblichen Algorithmen (AES-256) verschlüsselt, die auch die Schlüssel verwalten; OneSpec hat keinen Zugriff auf die Schlüssel und bewahrt keine Kopie auf.

Rollenbasierter Zugriff (Inhaber, Administrator, Mitglied) mit serverseitiger Prüfung bei jedem Vorgang. Jeder sensible Datensatz ist der Organisation zugeordnet, und Abfragen sind pro Organisation isoliert.

Ein einziger Plattform-Superadministrator wird über eine Liste von E-Mail-Adressen in einer Umgebungsvariablen festgelegt.

Sitzungsverwaltung mit der Möglichkeit, einzelne Geräte zu widerrufen und sich von allen Geräten abzumelden.

Schlüssel und Geheimnisse werden über Umgebungsvariablen der Deployment-Plattform verwaltet und sind weder im Code noch in Protokollen oder Fehlerantworten enthalten.

Die Anwendung setzt HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und eine Content-Security-Policy, die das Einbetten des geschützten Bereichs verbietet. Das Widget verwendet eine eigene CSP mit einer Liste der pro Organisation zugelassenen Domains.

Grenzen gelten für: Anmeldung, das Senden von Angeboten über das Widget (pro IP und pro Konfigurator), Datenexporte. Bot-Prüfung mit Cloudflare Turnstile bei Widget-Übermittlungen.

Administrative Aktionen und sensible Vorgänge (Veröffentlichung von Katalogen, Statuswechsel, Exporte, Löschanträge) werden mit Akteur, Objekt und Zeitpunkt protokolliert.

Backups und Wiederherstellung werden vom Datenbankanbieter verwaltet. Backup-Richtlinie, RPO/RTO-Ziele und regelmäßige Wiederherstellungstests: Der Anbieter sichert die Infrastruktur, und OneSpec kann die Daten exportieren; vertragliche RPO/RTO-Ziele werden derzeit nicht garantiert; sie werden regelmäßig überprüft und auf Anfrage mitgeteilt.

Prüfung von Abhängigkeiten und Geheimnissen, Aktualisierungen und Sicherheitsprüfung vor Releases.

Ablaufplan für Vorfälle und Meldefristen: Bei einer Verletzung des Schutzes personenbezogener Daten leitet OneSpec das interne Verfahren zur Eindämmung und Analyse ein und informiert den Kunden unverzüglich, spätestens innerhalb von 72 Stunden nach Entdeckung, damit er die Pflichten aus Art. 33 DSGVO erfüllen kann.

Für Sicherheitsmeldungen: hello@onespec.eu.

Für vertragliche Fragen, Beanstandungen oder rechtliche Mitteilungen zu diesem Dokument: office@core829.net.

Für Vertriebsanfragen: sales@core829.net. Für Support zum Dienst und Anfragen zu individuellen Enterprise-Tarifen: hello@onespec.eu.