Sicherheitsfragebogen
Der Fragebogen Ihrer IT-Abteilung, beantwortet
Mit jeder Ausschreibung kommen dieselben Fragen, also stehen sie hier vorab und schriftlich beantwortet. Wo es keine Antwort gibt, die wir halten können, steht die Frage und darunter nichts: lieber eine Lücke als eine Zahl, die sich zwei Jahre später nicht verteidigen lässt.
Zuletzt geprüft: 30. August 2026
Diese Seite ist für Papier gesetzt: Sie lässt sich aus dem Browser drucken oder als PDF sichern und kommt ohne Menüs und ohne Fußzeile heraus.
01Wo die Daten liegen und wer sie betreibt
Wo werden die Daten gehostet?
Auf eigenen Servern in der Europäischen Union, in einem Rechenzentrum in Frankreich, das von Hostinger International Limited betrieben wird. Die Sicherungskopien verbleiben im selben Rechtsraum.
Gibt es internationale Datenübermittlungen?
Nein. Weder das Hosting noch die Sicherungen noch der Support noch die Administration werden von außerhalb des Europäischen Wirtschaftsraums erbracht, sodass weder Standardvertragsklauseln noch die übrigen Garantien aus Kapitel V der DSGVO nötig sind.
Ist die Installation geteilt? Wie werden die Daten der Unternehmen getrennt?
Sie ist geteilt. Jede Inhaltstabelle trägt die Kennung des Unternehmens, und die Trennung wird in der Datenschicht erzwungen, nicht in der Oberfläche: eine Abfrage kann sie nicht weglassen. Zusätzlich gibt es einen automatischen Test, der ein konkurrierendes Unternehmen mit Inhalten in jeder Tabelle in dieselbe Datenbank einfügt und aus der Sitzung eines Mitarbeitenden prüft, dass nichts vom anderen erreichbar ist. Er läuft mit der übrigen Testreihe, nicht einmal im Jahr.
Lässt es sich auf unseren eigenen Servern betreiben?
Heute nicht. Der Dienst wird von unseren Servern in der Europäischen Union erbracht.
02Verschlüsselung
Ist die Übertragung verschlüsselt?
Ja. Website und Plattform werden über HTTPS ausgeliefert, und das Sitzungs-Cookie ist als Secure und HttpOnly markiert: es geht nie über eine unverschlüsselte Verbindung, und JavaScript kann es nicht lesen. Die Seiten laden nichts von Dritten — keine Schriften, keine Symbole, keine Skripte — sodass beim Öffnen keine einzige Anfrage nach außen entsteht. Ausgehende E-Mail läuft über TLS auf Port 465 oder STARTTLS auf Port 587, je nach Konfiguration des Postfachs.
Was ist so gespeichert, dass es niemandem nützt, der eine Kopie der Datenbank mitnimmt?
Passwörter werden nicht gespeichert: gespeichert wird ein mit scrypt abgeleiteter Wert mit einem eigenen Salt je Person. Von der Sitzungskennung existiert nur ihr Hash, sodass ein Auszug der Tabelle niemandem erlaubt, sich als jemand anderes auszugeben. Beim SCIM-Token genauso: es wird beim Erzeugen einmal angezeigt, und in der Datenbank bleibt nur sein Hash. Das Client-Geheimnis des Single Sign-on muss dagegen wieder lesbar sein — es geht bei jedem Code-Tausch an den Identitätsanbieter — und ist deshalb mit AES-256-GCM verschlüsselt, mit einem über HKDF und eigenes Label abgeleiteten Schlüssel.
Ist die Festplatte verschlüsselt, auf der die Datenbank liegt?
Geprüft ist Folgendes: Die Datenbank ist nicht ins Internet exponiert und nur vom Server selbst erreichbar. Hochgeladene Dateien liegen auf der Festplatte, in einem Ordner je Unternehmen, und sind nicht über eine direkte Adresse abrufbar: jeder Download prüft Sitzung und Unternehmenszugehörigkeit erneut.
Noch keine schriftliche Antwort
Die Verschlüsselung des Datenträgers ist eine Maßnahme der Maschine und nicht der Anwendung und wird hier deshalb nicht behauptet. Fragen Sie danach, und wir bestätigen Ihnen schriftlich, was auf dem Server eingerichtet ist.
03Sicherungskopien
Werden Sicherungen erstellt, und wo liegen sie?
Ja. Die Vertragsbedingungen sehen regelmäßige Sicherungen innerhalb der Europäischen Union vor, im selben Rechtsraum wie die Daten. Sie ersetzen nicht die Exporte, die das Kundenunternehmen selbst vornehmen kann, und machen den Anbieter nicht zum Verwahrer der einzigen Kopie.
Wie oft werden sie erstellt, wie lange aufbewahrt, und wurde eine Wiederherstellung schon getestet?
Jede Nacht, auf dem Server selbst eingeplant. Der Vorgang macht zwei Dinge: einen vollständigen Auszug der Datenbank mit pg_dump, im eigenen komprimierten Format von PostgreSQL, und ein tar.gz der hochgeladenen Dateien, aus dem die abgeleiteten Bildkopien ausgenommen sind, weil sie sich von selbst neu erzeugen. Sie werden vierzehn Tage aufbewahrt, rotieren von allein und verbleiben im selben Rechtsraum wie die Daten.
Noch keine schriftliche Antwort
Das Wiederherstellungsverfahren und die Dauer werden auf Anfrage schriftlich gegeben. Das ist der Teil, der von der Maschine und vom Volumen des jeweiligen Tages abhängt, und hier steht keine Zahl, die sich vor dem, der sie prüft, nicht halten ließe.
04Zugriffskontrolle, Rollen und Sitzungen
Welche Rollen gibt es und was darf jede?
Sechs: Eigentümer, Verwaltung, Personalverwaltung, IT-Verantwortliche, Redaktion und Beschäftigte. Ohne Freigabe veröffentlichen dürfen Eigentümer, Verwaltung und Redaktion. In den Verwaltungsbereichen erreicht jede Rolle nur ihren eigenen Bereich: die Personalverwaltung legt Personen an und deaktiviert sie, sieht aber weder die Abrechnung noch das Single Sign-on, und die IT-Verantwortlichen richten SSO, API-Schlüssel und die Bildschirme in der Halle ein, verwalten aber nicht die Belegschaft. Und niemand kann eine Rolle mit mehr Berechtigungen vergeben, als er selbst hat. Die Absicherungen werden auf dem Server innerhalb jeder Aktion geprüft und nicht durch Ausblenden der Schaltfläche: eine Serveraktion antwortet auch dann, wenn die Schaltfläche nie gezeichnet wurde.
Wie sind Konten gegen Brute Force geschützt?
Das Konto wird nach acht Fehlversuchen fünfzehn Minuten gesperrt, und die Fehlermeldung verrät nicht, ob diese Adresse existiert. Wenn es kein Konto zu prüfen gibt, wird die Rechenzeit des Hashs trotzdem verbraucht, damit die Antwort nicht durch ihre Geschwindigkeit verrät, dass die Adresse nicht angelegt ist.
Wie lange gilt eine Sitzung?
Dreißig Tage ohne Nutzung, in einem Fenster, das sich bei jeder Anmeldung verschiebt, mit einer absoluten Obergrenze von hundertachtzig Tagen, die sich nicht verschiebt: sie erzwingt mindestens zweimal im Jahr eine erneute Anmeldung. Abgelaufene Sitzungen werden jede Nacht gelöscht.
Was beendet die offenen Sitzungen einer Person?
Das Ändern ihres Passworts, das Sperren des Kontos aus der Verwaltung und die Abmeldung aus dem Personalsystem über SCIM. In allen drei Fällen werden sämtliche Sitzungen gelöscht, sodass ein offen gebliebener Tab sofort wertlos wird.
Gibt es eine Zwei-Faktor-Authentifizierung?
Keine eigene. Wer sich mit dem Firmenkonto über Single Sign-on anmeldet, durchläuft die Regeln für bedingten Zugriff und den zweiten Faktor des eigenen Identitätsanbieters und tippt hier kein Passwort. Für Beschäftigte, die mit einem Einladungscode und einer privaten Adresse hereinkommen, gilt das nicht.
Kann man alle zwingen, über den Identitätsanbieter hereinzukommen?
Eine Einstellung schaltet die Anmeldung mit Passwort für die konfigurierten E-Mail-Domänen ab. Sie betrifft nicht, wer mit einem Zugangscode ohne Firmenadresse hereinkommt: diese Konten haben kein Passwort, das sich abschalten ließe, und sie sind in einem Werk oder einem Lager die Hälfte der Belegschaft.
05Single Sign-on und Bereitstellung
Welches Single Sign-on wird unterstützt?
OpenID Connect, mit Microsoft Entra ID, Google Workspace und Okta. Eingerichtet wird es, indem man die Discovery-Adresse des Anbieters einfügt; die Adressen für Autorisierung, Tausch und Schlüssel ergeben sich daraus von selbst. Auf unserer Seite werden die Signatur des Identitäts-Tokens und die Übereinstimmung des Ausstellers mit dem angefragten geprüft.
Und SAML 2.0 oder LDAP?
Nein. Single Sign-on läuft über OpenID Connect und nur darüber. Das ist eine Entscheidung und kein offener Termin: SAML ist signiertes XML, die saubere Prüfung dieser Signatur verlangt XML-Kanonisierung, und von dort kamen fast alle Authentifizierungsumgehungen des letzten Jahrzehnts. Wenn Ihre Ausschreibung SAML schriftlich verlangt, sollte das vor allem Weiteren gesagt werden.
Gibt es eine automatische Benutzerbereitstellung?
Ja, SCIM 2.0 unter /scim/v2/Users. Deklariert ist genau das Umgesetzte: Filter nach userName und externalId, Seitenaufteilung und teilweise Änderung per PATCH. Es gibt keine Stapelverarbeitung, keine Sortierung, kein etag und keine Passwortänderung über SCIM, und nichts davon wird mit Absicht deklariert: mehr zu deklarieren, als man umsetzt, führt dazu, dass die Synchronisation Personen überspringt und glaubt, sie habe es nicht getan.
Was passiert, wenn das Personalsystem jemanden abmeldet?
Das Konto wird deaktiviert, kann sich nicht mehr anmelden, und die offenen Sitzungen werden geschlossen. Gelöscht wird es nicht: löschen würde die Beiträge und Kommentare mitnehmen, und ein schwarzes Brett mit Löchern ist schlimmer als eines mit dem Namen einer Person, die gegangen ist. Eine Einstellung erlaubt Anonymisieren statt Deaktivieren. Ein SCIM-DELETE deaktiviert ebenfalls.
Wie authentifiziert sich Ihr System gegenüber unserem?
Mit einem Bearer-Token, das das Unternehmen selbst unter Verwaltung › Unternehmensidentität erzeugt. Es wird einmal angezeigt und lässt sich nicht erneut ansehen: in der Datenbank bleibt nur sein Hash. Geht es verloren, wird ein neues erzeugt und das alte gilt nicht mehr.
06Protokoll und Aktivität
Gibt es ein Protokoll sicherheitsrelevanter Vorgänge?
Ja. Jeder Eintrag hält Unternehmen, handelnde Person, Aktion, betroffenes Objekt, IP-Adresse und Datum fest. Erfasst werden Zugänge und Abgänge, Rollenwechsel, erstellte und widerrufene Einladungen, freigegebene und abgelehnte Beiträge, hochgeladene und gelöschte Dokumente, Lesebestätigungen, Passwortänderungen, Einrichtung und Aktivierung von Single Sign-on und SCIM sowie das Buchen und Kündigen von Modulen.
Läuft dieses Protokoll ab?
Nein. Das ist der Unterschied zum Aktivitätsprotokoll des Alltags, das abläuft: die Spur der sicherheitsrelevanten Vorgänge bleibt.
Lässt es sich einsehen und exportieren?
Heute wird es auf Anfrage eingesehen. Es gibt noch keine Ansicht dafür und keinen Export in eine Datei.
Was wird von der Aktivität einer Person erfasst, und wie lange?
Nur wenn das Unternehmen das Modul Zugriffe und Aktivität bucht. Dann werden die Geräte, von denen sich jede Person anmeldet, und der besuchte Bereich gespeichert — /gemeinschaften, nicht /gemeinschaften/werk-getafe — und nie der Inhalt dessen, was gelesen oder geschrieben wird. Nach neunzig Tagen wird es automatisch gelöscht. Jede Person sieht ihre eigenen Geräte im Profil, nicht nur die Verwaltung: eine Kontrolle, in die die Belegschaft nicht hineinsehen kann, ist Überwachung; eine, in die sie hineinsehen kann, ist Sicherheit.
07Unterauftragsverarbeiter und was nach außen geht
Wer sind die Unterauftragsverarbeiter?
Hostinger International Limited als Anbieter der Infrastruktur, auf der die Server stehen: Der Anbieter handelt als Auftragsverarbeiter, hat den entsprechenden Vertrag geschlossen und greift nicht auf die Inhalte zu. Und die externen Berater für Buchhaltung, Steuern und Recht, beschränkt auf die Rechnungsdaten und der Verschwiegenheitspflicht unterliegend. Jede Änderung wird so rechtzeitig mitgeteilt, dass das Kundenunternehmen widersprechen kann.
Welche Dritten erhalten Daten allein durch die Nutzung?
Keine Webanalyse, keine Werbung, keine Kampagnenverwaltung und keine Social-Media-Plugins. Schriften und alle übrigen Ressourcen kommen von unserem eigenen Server. Nach außen gehen zwei Dinge und nur zwei: die E-Mail über den eingerichteten Versandserver; und die Browser-Benachrichtigungen, falls aktiviert, die über den Push-Dienst des jeweiligen Browsers laufen, signiert mit VAPID-Schlüsseln nach RFC 8292.
Wird mit unseren Inhalten ein Modell künstlicher Intelligenz trainiert?
Nein. Weder mit den Beiträgen noch mit den Kommentaren noch mit den Antworten aus Umfragen noch mit den Dokumenten. Das Werkzeug hat keine Funktionen künstlicher Intelligenz und damit auch keinen Weg, Ihre Inhalte irgendwohin zu schicken.
08Aufbewahrung, Löschung und Ausstieg
Wie lange werden die Daten aufbewahrt?
Solange der Vertrag läuft. Darin greifen jede Nacht automatische Fristen: die Aktivität wird nach neunzig Tagen gelöscht; gelesene Benachrichtigungen nach neunzig; ungelesene nach hundertachtzig; Nachrichten aus dem Kontaktformular nach einem Jahr; und abgelaufene Sitzungen und Einladungen, sobald sie ablaufen. Server-Protokolle werden neunzig Tage aufbewahrt.
Was passiert am Vertragsende?
Das Unternehmen hat dreißig Kalendertage Zugang, um seine Informationen zu exportieren. Nach dieser Frist werden Daten und Dateien innerhalb von höchstens dreißig weiteren Tagen endgültig gelöscht, Sicherungskopien eingeschlossen, mit der einzigen Ausnahme dessen, was gesetzlich aufzubewahren ist und sich auf die Rechnungsdaten beschränkt.
Wie kommen die Informationen heraus?
Dokumente und Dateien werden aus dem Werkzeug selbst heruntergeladen. Ein vollständiger Auszug von Beiträgen, Personen und Antworten wird angefragt und geliefert. Eine Schaltfläche zum Exportieren von allem gibt es heute nicht: sie steht im Arbeitsplan, ohne zugesagtes Datum.
09Datenschutz und Vorfälle
Wer ist Verantwortlicher und wer Auftragsverarbeiter?
Das Kundenunternehmen ist Verantwortlicher für die Daten seiner Belegschaft; wir sind Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag ist innerhalb der Datenschutzerklärung veröffentlicht, mit den Pflichten aus Artikel 28 DSGVO einzeln aufgeführt.
Gibt es einen Datenschutzbeauftragten?
Es wurde keiner benannt, weil keiner der drei Fälle aus Artikel 37 DSGVO vorliegt: weder Behörde noch systematische Überwachung in großem Umfang noch besondere Datenkategorien in großem Umfang.
Können wir Sie auditieren?
Ja. Zu den als Auftragsverarbeiter übernommenen Pflichten gehört, dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen einschließlich Inspektionen mit angemessener Vorankündigung zu ermöglichen.
Wer wird bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigt?
Das Kundenunternehmen als Verantwortlicher, unverzüglich und mit den Informationen, die es für seine eigenen Meldepflichten gegenüber der Aufsichtsbehörde und gegebenenfalls gegenüber den betroffenen Personen braucht. Das ist eine im Auftragsverarbeitungsvertrag festgeschriebene Pflicht.
Noch keine schriftliche Antwort
Die konkrete Frist in Stunden ab Feststellung ist nicht schriftlich zugesagt. Wenn Ihre Ausschreibung eine Zahl verlangt, wird sie vor der Unterschrift im Vertrag vereinbart und hier nicht unterstellt.
Sagen Sie eine Verfügbarkeit in Prozent zu?
Nein. Die Bedingungen sagen, dass der Dienst mit angemessener Sorgfalt erbracht wird und dass durchgehende Verfügbarkeit angestrebt wird, aber es wird keine garantierte Zahl zugesagt, weil sie weder gemessen noch ausgeglichen wird. Wenn Ihre Ausschreibung eine Dienstgütevereinbarung mit Vertragsstrafen verlangt, erfüllen wir sie heute nicht.
Fehlt eine Frage aus Ihrer Ausschreibung?
Schicken Sie sie, und wir beantworten sie schriftlich. Die wiederkehrenden landen auf dieser Seite, dafür ist sie da.
info@blastack.com