Sicherheit

Diese Seite nennt die Sicherheitsmaßnahmen, die bei Sizewright heute in Kraft sind. Sie beschreibt, was umgesetzt ist, keine Pläne. Wie wir mit personenbezogenen Daten umgehen, steht in der Datenschutzerklärung; die Dienstleister, die wir einsetzen, finden Sie auf der Seite Unterauftragsverarbeiter.

Konten und Anmeldung

Passwörter mit mindestens 10 Zeichen, abgeglichen mit Passwörtern, die aus Datenlecks bekannt sind. Für diesen Abgleich werden nur die ersten Zeichen eines Hashwerts des Passworts übermittelt, nie das Passwort selbst.
Bestätigung der E-Mail-Adresse, bevor sich ein Konto nutzen lässt, und Sicherheits-E-Mails bei Anmeldungen von einem neuen Gerät sowie bei Änderungen am Passwort, an der E-Mail-Adresse oder an den Einstellungen der Zwei-Faktor-Authentifizierung.
Zwei-Faktor-Authentifizierung mit einer Authenticator-App und Backup-Codes, die für jedes Konto unseres Teams Pflicht ist.
Sitzungen in sicheren HTTP-only-Cookies. In Ihrem Konto sehen Sie Ihre Geräte und können einzelne oder alle abmelden.
Eine erneute Abfrage des Passworts vor sensiblen Aktionen, etwa bevor Sie Ihre E-Mail-Adresse ändern oder Ihr Konto löschen.
Bot-Schutz und Ratenbegrenzung bei Registrierung, Anmeldung, Zurücksetzen des Passworts und Änderung der E-Mail-Adresse.

Zugriff auf Workspaces

Jede Anfrage prüft der Server gegen den Workspace, zu dem sie gehört, und gegen die Rolle der Person. Eine Kennung, die ein Browser sendet, genügt allein nie.
Freigabe-Links beruhen auf langen Zufallstokens, die nur als Hashwerte gespeichert werden. Die Links laufen ab, lassen sich mit einem Passwort schützen und jederzeit deaktivieren.
Unser Team kann einen Workspace nur einsehen, um zu helfen oder ein Problem zu untersuchen. Dafür ist eine Begründung nötig, eine solche Sitzung endet nach höchstens 60 Minuten, Abrechnung und Löschung sind währenddessen gesperrt, und jede Sitzung wird im Audit-Protokoll festgehalten.

Ihre Inhalte

Uploads werden geprüft: Es gelten Größenbegrenzungen, der Dateityp wird am Inhalt erkannt, Bilder werden dekodiert, SVG-Dateien bereinigt und Schriften vor der Verwendung validiert.
Wenn wir eine Marke von einer Website importieren, geschieht das in einem isolierten Browser, der keine privaten Netzwerke erreicht.
Bannervorschauen und HTML5-Banner laufen in einer Sandbox, getrennt von der Plattform.
KI-Anbieter erhalten nur, was ein Arbeitsschritt braucht, und trainieren ihre Modelle nicht damit (siehe Datenschutzerklärung).

Zahlungen

Kartendaten geben Sie auf der eigenen Zahlungsseite von Stripe ein; sie erreichen unsere Server nie. Wir speichern die Kennungen, unter denen Stripe Kundschaft und Zahlungen führt, keine Kartennummern.

Infrastruktur

Ausschließlich HTTPS, mit HSTS, einer strikten Content Security Policy und weiteren Sicherheits-Headern.
Die Datenbank liegt in der EU (Frankfurt), der Dateispeicher ebenfalls in der EU; beide speichern die Daten verschlüsselt. Für die Datenbank gibt es zeitpunktgenaue Sicherungen (Point-in-Time-Backups), die innerhalb von 30 Tagen gelöscht werden.
Geheime Zugangsdaten (Secrets) liegen nicht im Code. Protokolle enthalten keine Passwörter, Tokens oder Kartendaten, und das Audit-Protokoll lässt sich nur ergänzen.
Die Software, auf die wir angewiesen sind, halten wir aktuell und prüfen sie auf bekannte Sicherheitslücken.

Wenn etwas schiefgeht

Sind bei einem Sicherheitsvorfall personenbezogene Daten betroffen, bewerten wir ihn innerhalb von 24 Stunden, melden ihn innerhalb von 72 Stunden der niederländischen Datenschutzbehörde, soweit das Gesetz es verlangt, und informieren die betroffenen Personen unverzüglich, wenn für sie ein hohes Risiko besteht. Unternehmen, für die unser Auftragsverarbeitungsvertrag gilt, hören innerhalb von 48 Stunden von uns.

Eine Sicherheitslücke melden

Haben Sie ein Sicherheitsproblem gefunden? Schreiben Sie an support@sizewright.com und beschreiben Sie das Problem und die Schritte, mit denen es sich nachstellen lässt. Geben Sie uns bitte Zeit, es zu beheben, bevor Sie es weitergeben. Greifen Sie beim Testen nicht auf Daten anderer Personen zu, und stören Sie den Dienst nicht. Wir antworten innerhalb von zwei Werktagen. Dieselbe Kontaktadresse steht auch in unserer security.txt.