Sicherheit durch Design.

Wir prüfen die Sicherheit anderer. Das Mindeste ist, unsere eigenen Standards einzuhalten.

Scan-Isolation

Jeder Scan läuft in einem ephemeren Docker-Container, gestartet mit --network=none. Kein Internetzugang, kein Zugriff auf andere Scans, kein Zugriff auf den Orchestrator. Temporäres Dateisystem wird unmittelbar nach der Findings-Extraktion zerstört.

Verschlüsselung

TLS 1.3 bei der Übertragung. AES-256 im Ruhezustand auf Postgres und R2 (Scaleway verwaltet). Secrets werden vom Scaleway Secret Manager verwaltet, nie im Klartext in der Datenbank.

Hosting

Scaleway Paris (DC3). 100% EU. Kein Nicht-EU-Unterauftragsverarbeiter in der Scan-Pipeline. Anthropic Claude (KI-Triage) ist die einzige Ausnahme, opt-in: siehe KI-Triage.

KI-Triage (opt-out)

Wenn KI-Triage aktiviert ist (Standard-Tarif und höher), werden nur konsolidierte Findings an Anthropic Claude gesendet: CWE, Datei:Zeile, maximal 5-Zeilen-Snippet. Keine Secrets, kein vollständiger Code, keine Kundendaten. Ohne Mehrkosten deaktivierbar.

Auth & MFA

Opake Redis-Sessions. JWT für API. TOTP MFA verfügbar. RBAC mit 4 Rollen (Eigentümer / Admin / Mitglied / Betrachter). Unveränderliches Audit-Log.

DPA & DSGVO

DPA auf Anfrage für Premium- und Studio-Tarife erhältlich. Unterauftragsverarbeiter aufgelistet, Recht auf Löschung, Aufbewahrung pro Tarif konfigurierbar.