Security Whitepaper

Sicherheit & Infrastruktur – Technische und organisatorische Maßnahmen

Stand: Februar 2025 · SimpleAct

1. Architekturübersicht

SimpleAct wird als SaaS in einer klaren Schichtenarchitektur betrieben. Der Zugriff erfolgt ausschließlich über verschlüsselte Verbindungen (TLS). Die Anwendungs- und Datenebene liegen vollständig in der EU (Deutschland, Hetzner Nürnberg bzw. EU-West bei Supabase).

SimpleAct – High-Level ArchitekturBrowser / ClientHTTPS · TLS 1.3Application Layer (EU)API / BackendAuth (RBAC, 2FA)Audit-LogMulti-TenantData Layer · EU – NürnbergPostgreSQL (Supabase)Storage – Encrypted at restBackups (alle 3 Tage)Hetzner · Nürnberg · Datenstandort EU · TLS in transitRBAC = Role-Based Access Control · 2FA = Two-Factor Auth (TOTP) · Append-only Audit-Log

Komponenten: (1) Client/Browser mit HTTPS, (2) Application Layer mit API, RBAC/2FA, Audit-Log und Multi-Tenancy, (3) Data Layer mit PostgreSQL, verschlüsselter Speicherung und automatischen Backups alle 3 Tage. Alle Dienste laufen in der EU.

2. Hosting & Infrastruktur

2.1 Rechenzentrum und Datenstandort

Hosting erfolgt bei Hetzner in Nürnberg (Deutschland). Die Datenbank (PostgreSQL) wird über Supabase in der Region EU-West betrieben. Damit liegt der Datenstandort durchgängig in der EU; es werden keine US-amerikanischen oder außereuropäischen Cloud-Provider für Anwendungs- oder Kundendaten genutzt.

2.2 Backup-Strategie

Es werden automatisch Backups erstellt – alle 3 Tage. Die Backups werden in Falkenstein (Hetzner) vorgehalten. Aufbewahrungsfristen und Wiederherstellungsprozesse sind definiert und in den AVV-Dokumenten beschrieben.

2.3 Verschlüsselung

  • In Transit: Alle Verbindungen (Client–Server, Server–Datenbank) erfolgen über TLS (HTTPS).
  • At Rest: Daten werden bei den eingesetzten Diensten (z. B. Supabase, Speicher) verschlüsselt abgelegt (encryption at rest).

3. Zugriff & Authentifizierung

RBAC

Der Zugriff auf Funktionen und Daten wird über rollenbasierte Zugriffskontrolle (RBAC) gesteuert. Rollen definieren, welche Aktionen ein Nutzer ausführen darf; die Zuweisung erfolgt auf Mandantenebene.

Multi-Tenancy Isolation

Kundendaten sind strikt nach Mandanten (Tenants) getrennt. Abfragen und Zugriffe sind so umgesetzt, dass kein mandantenübergreifender Zugriff auf Daten möglich ist (Tenant-Isolation auf Anwendungs- und Datenebene).

2FA (TOTP)

Zwei-Faktor-Authentifizierung (2FA) per TOTP (z. B. Authenticator-Apps) wird angeboten und kann von Nutzern aktiviert werden, um den Account zusätzlich abzusichern.

Session-Invalidierung

Sessions werden bei Abmeldung invalidiert. Bei Passwortänderung oder sicherheitsrelevanten Aktionen können Sessions gezielt beendet werden. Tokens werden in httpOnly-Cookies gehalten, um XSS-Risiken zu mindern.

4. Logging & Auditierbarkeit

Append-only Audit-Log

Sicherheits- und datenschutzrelevante Ereignisse (z. B. Login, Änderungen an KI-Systemen, Exporte, Rollenänderungen) werden in einem Audit-Log erfasst. Das Log ist append-only (nachträgliche Löschung/Änderung durch Anwender nicht vorgesehen), um Manipulationen zu erschweren und Nachvollziehbarkeit zu gewährleisten.

Versionierung & Snapshotting

Wo fachlich erforderlich, werden Änderungen versioniert (z. B. Compliance-Dokumente, Risikobewertungen). Snapshotting bzw. Punkt-in-Zeit-Sichten können für Exporte und Nachweise genutzt werden.

5. Datenverarbeitung

Die Verarbeitung personenbezogener Daten erfolgt nach den Grundsätzen der DSGVO (Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit). Wir führen ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO.

AVV / Auftragsverarbeitung (Art. 28 DSGVO)

Ein Vertrag zur Auftragsverarbeitung (AVV/DPA) ist verfügbar. Mit allen eingesetzten Subprozessoren (z. B. Hetzner, Supabase, Stripe, Brevo) bestehen vertragliche Regelungen zur Auftragsverarbeitung bzw. werden Standardvertragsklauseln genutzt, soweit erforderlich.

Subprozessoren – Transparenz

Die Liste der Subprozessoren (Name, Zweck, Standort) wird auf Anfrage bzw. in unseren Datenschutz- und Vertragsdokumenten bereitgestellt. Bei Änderungen werden Kunden im Rahmen der vertraglichen Informationspflichten informiert.

6. Sicherheitstests

Wir setzen auf regelmäßige Sicherheitsmaßnahmen im Entwicklungs- und Betriebsprozess (z. B. Abhängigkeitsprüfungen, sichere Konfiguration).

  • Penetrationstest: Letzter Pen-Test: vor 4 Tagen.
  • Externe Review: Externe Sicherheitsbewertung: vor 2 Wochen.

7. Kontakt

Für Fragen zu Sicherheit und Datenschutz: info@simpleact.de.

Vertragsdokumente zum Download:

SLA, DPA & AVV (PDF) herunterladen
SimpleAct – EU AI Act Compliance | simpleact.de