Sicherheit
Wo Ihre Daten liegen und wer sie sehen kann
In einem Werkzeug für interne Kommunikation landen am Ende Lohnabrechnungen, Betriebsanweisungen und das, was die Belegschaft über ihr Unternehmen denkt. Das hier machen wir mit diesen Daten, ganz konkret.
Wo die Daten liegen
- Server in der Europäischen Union, ohne Übermittlung außerhalb des EWR.
- Die Datenbank ist nur vom Server selbst erreichbar und nie ins Internet gestellt.
- Die Sicherungen bleiben in derselben Rechtsordnung.
- Keine Dritten, die die Inhalte Ihrer Kommunikation auswerten.
Wer was sehen darf
- Jede Abfrage an die Datenbank trägt die Kennung des Unternehmens: Ein Datensatz einer anderen Organisation existiert für Ihre Sitzung nicht.
- Sechs Rollen mit unterschiedlicher Reichweite, und die Absicherung wird auf dem Server geprüft, nicht nur auf dem Bildschirm.
- Dateien sind nicht öffentlich: Bei jedem Download werden Sitzung und Zugehörigkeit erneut geprüft.
- Prüfprotokoll über Zugänge, Abgänge, Rollenwechsel und Freigaben.
Zugangsdaten und Sitzungen
- Passwörter werden nicht gespeichert: Gespeichert wird ein mit scrypt abgeleiteter Wert mit eigenem Salt je Nutzer.
- Die Sitzungskennung wird verschlüsselt abgelegt; ein Auszug der Tabelle erlaubt niemandem, sich für jemanden auszugeben.
- Zeitweise Sperre nach mehreren Fehlversuchen.
- Beim Ändern des Passworts werden die offenen Sitzungen auf anderen Geräten geschlossen.
Anonymität in Umfragen
- Ist eine Umfrage als anonym gekennzeichnet, wird die Antwort ohne Verbindung zur Person gespeichert.
- Weder die Administration noch wir können rekonstruieren, wer was geantwortet hat.
- Dafür entfällt die Aufschlüsselung nach Abteilung, und darauf wird auf dem Bildschirm selbst hingewiesen.
- Nur so bringt eine Umfrage zum Betriebsklima überhaupt etwas.
Infrastruktur und Unterauftragsverarbeiter
Die Server von Blastack werden von Dritten betrieben, und jeder dieser Dritten hat seine eigenen Zertifizierungen. Hier steht, wer wer ist und welche Rolle jeder spielt, mit dem Namen des Inhabers vor jedem Zertifikat, damit es über seine Registernummer geprüft werden kann.
Anbieter der Infrastruktur
Hostinger International Limited
- Hostinger International Limited ist die Gesellschaft, mit der der Auftragsverarbeitungsvertrag geschlossen ist, und Inhaberin des autonomen Systems, zu dem der Server gehört.
- Hostinger International Limited ist nach ISO/IEC 27001:2022 zertifiziert. Das Audit zeichnet TÜV Thüringen.
- Der Geltungsbereich dieser Zertifizierung ist der von Hostinger International Limited: die eigene Infrastruktur und die eigenen Prozesse.
Das lässt sich ohne Umweg über uns prüfen, im Trust Center des Anbieters: trust.hostinger.com.
Betreiber des Rechenzentrums
Digital Realty
- Das Gebäude, in dem die Server stehen, ist ein Rechenzentrum von Digital Realty in Paris (Frankreich, Europäische Union).
- Digital Realty hält für dieses Rechenzentrum die Zertifizierungen ISO 27001, ISO 14001 und ISO 50001.
- Digital Realty betreibt das Gebäude und seine Anlagen. Es ist nicht der Anbieter des Servers und wirkt am Dienst nicht mit.
Jede Zertifizierung in diesem Abschnitt hält das unmittelbar darüber genannte Unternehmen, und sie deckt dessen eigene Infrastruktur ab. Der Inhaber steht mit Absicht davor: ein Zertifikat ohne Inhaber lässt sich nicht prüfen, und in einer Ausschreibung ist das so viel wert, wie gar keines vorzulegen.
Was wir noch nicht haben
Wir sagen es lieber hier, als dass Sie es in einer Sitzung entdecken. Heute haben wir weder eine Zertifizierung nach ISO 27001 noch einen Bericht nach SOC 2 Typ II; wir haben keine eigene Zwei-Faktor-Authentifizierung, auch wenn jede Person, die sich mit dem Konto ihres Unternehmens anmeldet, durch den bedingten Zugriff ihres Anbieters geht; und wir sprechen kein SAML 2.0 — Single Sign-on läuft über OpenID Connect und deckt damit Microsoft Entra ID, Google Workspace und Okta ab, aber wenn Ihr Lastenheft SAML ausdrücklich verlangt, haben wir das nicht. Alle drei stehen auf dem Fahrplan, ohne zugesagtes Datum.
Wenn eines dieser drei Dinge für Sie unverzichtbar ist, schreiben Sie uns, und wir sagen Ihnen, wie weit es ist.
Die vollständige Liste dessen, was wir heute nicht können, mit dem Detail zu jedem Punkt, steht in den häufigen Fragen.
Konkrete Fragen aus Ihrer IT-Abteilung?
Sicherheitsfragebögen beantworten wir ohne Weiteres. Schreiben Sie, und Sie bekommen die Antwort schriftlich.