Wo Ihre Daten liegen
Die Datenbank mit allem, was Sie hochladen, steht in Irland (Dublin, `eu-west-1`). Die Anwendung läuft auf Serverless-Funktionen, die fest in Dublin verortet sind. Die Übertragung ist mit TLS verschlüsselt; Datenbank und Sicherungen sind im Ruhezustand verschlüsselt. Die Datenbank wird täglich gesichert.
Bei fünf unserer sieben Unterauftragsverarbeiter können Übermittlungen außerhalb des EWR stattfinden — bei der Muttergesellschaft des Hosting-Anbieters, bei Google (für die Anmeldung und, nur wenn Sie Ihr eigenes Gmail verbinden, für den Versand darüber) sowie bei Microsoft (für die Anmeldung und, nur wenn Sie Ihr eigenes Outlook verbinden, für den Versand darüber). Diese Übermittlungen stützen sich auf die Standardvertragsklauseln der Europäischen Kommission und das EU-US Data Privacy Framework. Unser E-Mail-Anbieter, Amazon Web Services EMEA SARL, verarbeitet Nachrichtendaten in Deutschland (Frankfurt); die Daten bleiben in der EU. Die Muttergesellschaft hat ihren Sitz in den USA; es gilt der AWS-Auftragsverarbeitungszusatz mit Standardvertragsklauseln. Unser Anbieter für die Fehlerdiagnose, Functional Software, Inc. (Sentry), nutzt seine EU-Datenregion (Frankfurt), erhält nur um personenbezogene Daten bereinigte Ereignisse und ist ein US-Unternehmen; daher gelten dieselben Standardvertragsklauseln und das Data Privacy Framework. Wer welche Daten erhält und wo er sitzt, steht unter Unterauftragsverarbeiter.
Trennung zwischen Kunden
Jeder Datensatz trägt die Kennung Ihres Unternehmens, und die Datenbank verweigert die Herausgabe eines Datensatzes, der jemand anderem gehört. Diese Regel liegt in Row-Level-Security-Richtlinien innerhalb der Datenbank und nicht in dem Anwendungscode, der die Abfragen stellt.
Genau darauf kommt es an. Prüfungen auf Anwendungsebene sind jene, die bei einer neuen Abfrage vergessen oder durch einen Fehler umgangen werden; eine Datenbankrichtlinie gilt für jede Abfrage, die jemals geschrieben wird — auch für eine irrtümlich geschriebene. Unser eigener Grundsatz lautet: Eine Berechtigungsprüfung im Request-Handler ist keine Zugriffskontrolle. Was zählt, wird unmittelbar bei den Daten durchgesetzt.
Wer Ihre Daten erreichen kann
Die Anmeldung erfolgt über einen Einmal-Link per E-Mail oder über Google / Microsoft. Es gibt kein Passwort, das wiederverwendet, erraten, bei einem fremden Datenleck offengelegt oder in einem Browser auf einem geteilten Rechner zurückgelassen werden könnte.
Jede Nutzerin und jeder Nutzer kann in den Einstellungen einen zweiten Faktor hinzufügen, eine Authenticator-App. Ist er aktiv, verweigert die Datenbank selbst die Daten dieses Kontos jeder Sitzung, die ihn nicht bestätigt hat; der Link per E-Mail allein genügt dann nicht mehr.
Die privilegierten Datenbank-Zugangsdaten — jene, die unternehmensübergreifend lesen können — bestehen ausschließlich für den geplanten Versandlauf, für signierte eingehende Webhooks und für den Moment, in dem ein Konto oder eine Einladung angelegt wird. Sie sind in nichts enthalten, was an einen Browser ausgeliefert wird, und keine Anfrage einer angemeldeten Person läuft mit ihnen.
Kolleginnen und Kollegen werden per Einladung hinzugefügt, und nur die Inhaberin oder der Inhaber des Kontos kann eine aussprechen. Diese Beschränkung wird in der Datenbank durchgesetzt und nicht im Einladungsdialog — aus demselben Grund wie oben.
Sperren beim Versand
Das Schädlichste, was dieses Produkt tun könnte, wäre eine E-Mail zu versenden, die nicht hätte versendet werden dürfen. Jede Versandsperre wird deshalb in der Datenbank angewendet, und zwar in dem Augenblick, in dem eine Nachricht zur Zustellung übernommen wird. So kann kein Codepfad eine davon überspringen, und zwei sich überschneidende Läufe können dieselbe Nachricht nicht doppelt versenden:
- der Hauptschalter für den Versand, der aus ist, bis Sie ihn einschalten;
- eine verifizierte Versanddomain, entweder Ihre eigene oder die von QFUtool bereitgestellte;
- Ihr Versandzeitfenster und Ihre Wochentage, damit nichts sonntags um 2 Uhr früh ankommt;
- Ihr Tageslimit;
- das Monatskontingent Ihres Tarifs;
- die Anforderung, dass ein Mensch den Nachrichtentext geöffnet und gespeichert hat, bevor er hinausgehen darf;
- die Sperrliste — alle, die sich abgemeldet haben, deren Adresse unzustellbar war oder die eine Nachricht als Spam gemeldet haben; geprüft im Moment des Versands und nicht nur bei der Einreihung.
Die Abmeldung erfordert weder ein Konto noch eine Anmeldung: Jede Nachricht enthält einen Link mit einem nicht erratbaren Token je Angebot, und die Seite dahinter funktioniert für die Empfängerin oder den Empfänger — Personen, die dieses Produkt nicht nutzen und daher niemals eine Sitzung haben können.
Genauigkeit beim Lesen Ihrer Datei
Ein um den Faktor tausend falsch gelesener Angebotsbetrag hieße, eine Kundin oder einen Kunden in Ihrem Namen wegen der falschen Zahl anzuschreiben. Ein Wert, der nicht zweifelsfrei gelesen werden kann, wird deshalb niemals erraten: Bereichsangaben, mehrdeutige Tausendertrennzeichen und unlesbare Zellen werden zur Prüfung durch einen Menschen zurückgestellt statt in die Warteschlange geschoben. Spalten werden anhand ihrer Werte erkannt, nicht anhand der Überschrift. Der Bestätigungsschritt nennt das Ergebnis in Worten — wer wegen welchen Betrags angeschrieben wird und in wessen Namen —, bevor irgendetwas gespeichert wird.
Was bewusst fehlt
Kein Analysedienst, kein Werbe- oder Retargeting-Pixel, kein Session-Recording, keine Heatmaps, kein Fingerprinting, kein websiteübergreifendes Tracking. Nichts davon fehlt aufgrund einer Einstellung; nichts davon ist im Produkt vorhanden.
Kein Anbieter künstlicher Intelligenz erhält Ihre Daten, und nichts, was Sie hochladen, wird zum Training eines Modells verwendet — weder für unseres noch für ein fremdes.
Schriftarten werden beim Erstellen der Website heruntergeladen und von unserer eigenen Domain ausgeliefert. Kein Browser einer Besucherin oder eines Besuchers kontaktiert also einen Schriftanbieter, und diesem wird keine IP-Adresse offengelegt.
Unser Kontrollrahmen
Wir verwenden die SOC-2-Trust-Services-Criteria als Rahmen, an dem unsere Sicherheitsmaßnahmen ausgerichtet sind, und führen eine schriftliche Zuordnung jeder Maßnahme zu dem Kriterium, das sie adressiert. Diese Zuordnung wird mit dem Produkt fortgeschrieben.
Um unmissverständlich zu sein, was das heißt und was nicht: Wir haben kein SOC-2-Audit abgeschlossen und verfügen weder über einen Typ-I- noch über einen Typ-II-Bericht. Wir bezeichnen uns nicht als SOC-2-zertifiziert oder SOC-2-konform, weil wir es nicht sind. Sollte Ihr Beschaffungsprozess den Bericht selbst voraussetzen, sagen Sie es uns — das ändert, was zu tun wäre, und wir sprechen das lieber an, als die Frage offen zu lassen.
Für die Verarbeitung nach der DSGVO sind die verbindlichen Zusagen in unserem Auftragsverarbeitungsvertrag geregelt, der mit Ihrer Bestätigung bei der Registrierung wirksam wird und keiner Unterschrift bedarf.
Woran wir noch arbeiten
Hier veröffentlicht, weil eine Sicherheitsseite, die nur Stärken aufzählt, für eine Beurteilung wenig taugt:
- Zwei-Faktor-Authentifizierung als Pflicht für ein ganzes Team. Jede Person kann sie einschalten; die Kontoinhaberin oder der Kontoinhaber kann sie noch nicht für alle verbindlich machen.
- Ein einsehbares Kontoprotokoll. Anmeldungen, Einstellungs- und Mitgliederänderungen werden Ihnen noch nicht in einer Form zurückgespielt, die Sie prüfen können.
Sicherheitsprobleme melden
Wenn Sie glauben, eine Schwachstelle gefunden zu haben, schreiben Sie an office@sns-austria.com — mit genügend Angaben, um sie nachzuvollziehen. Wir bestätigen den Eingang binnen zwei Werktagen und halten Sie bis zur Behebung auf dem Laufenden.
Bitte testen Sie nicht an den Daten anderer Kunden, beeinträchtigen Sie den Dienst für andere nicht und machen Sie die Sache nicht öffentlich, bevor sie behoben ist. Wer innerhalb dieser Grenzen nach Treu und Glauben meldet, hat von uns nichts zu befürchten.