Sicherheit und Compliance: Wie SignFlow Ihre Dokumente schützt

# Sicherheit und Compliance: Wie SignFlow Ihre Dokumente schützt

Bei SignFlow ist Sicherheit kein nachträglicher Gedanke – sie ist in jeden Aspekt unserer Plattform eingebaut. Diese Anleitung erklärt, wie wir Ihre Dokumente schützen und die Einhaltung von Branchenstandards gewährleisten.

Unsere Sicherheitsprinzipien

Wir folgen drei Kernprinzipien:

1. 1Security by Design: Sicherheit ist von Anfang an eingebaut
2. 2Defense in Depth: Mehrere Schutzebenen
3. 3Kontinuierliche Verbesserung: Regelmäßige Audits und Updates

Datenverschlüsselung

Verschlüsselung im Ruhezustand

Alle Dokumente werden bei der Speicherung verschlüsselt:

• Algorithmus: AES-256-Verschlüsselung
• Schlüsselverwaltung: AWS KMS mit automatischer Rotation
• Speicherung: Verschlüsselte S3-Buckets mit Versionierung

`typescript // Example: Document encryption const encryptedDocument = await encrypt(document, { algorithm: 'AES-256-GCM', keyId: process.env.KMS_KEY_ID }); `

Verschlüsselung bei der Übertragung

Jede Datenübertragung nutzt:

• TLS 1.3: Neueste Transportsicherheit
• Perfect Forward Secrecy: Eindeutige Sitzungsschlüssel
• HSTS: Erzwungene HTTPS-Verbindungen

Wir erreichen eine A+-Bewertung bei SSL Labs.

Authentifizierung & Autorisierung

Multi-Faktor-Authentifizierung

Wir unterstützen mehrere 2FA-Methoden:

• TOTP-Authenticator-Apps
• SMS-Codes (Backup-Methode)
• Hardware-Sicherheitsschlüssel (FIDO2/WebAuthn)

Sitzungsverwaltung

• Sichere HTTP-only-Cookies
• 30-Tage-Sitzungsablauf
• Automatische Abmeldung bei Inaktivität
• Geräteverfolgung und -verwaltung

Zugriffskontrolle

Feingranulare Berechtigungen:

• Auf Dokumentebene: Steuern Sie, wer jedes Dokument ansehen/bearbeiten darf
• Rollenbasiert: Weisen Sie Rollen mit bestimmten Berechtigungen zu
• Auf Teamebene: Verwalten Sie den Zugriff über Teams hinweg
• Auf API-Ebene: Begrenzen Sie API-Schlüssel auf bestimmte Aktionen

Infrastruktursicherheit

Cloud-Infrastruktur

• Anbieter: AWS (SOC 2 Type II zertifiziert)
• Regionen: USA, EU, Asien-Pazifik
• Redundanz: Multi-AZ-Bereitstellung
• Backups: Tägliche automatische Backups mit 30-tägiger Aufbewahrung

Netzwerksicherheit

• Firewall: AWS WAF mit benutzerdefinierten Regeln
• DDoS-Schutz: AWS Shield Standard
• Rate Limiting: Drosselung von API- und Webanfragen
• IP-Zulassungsliste: Enterprise-Funktion für eingeschränkten Zugriff

Anwendungssicherheit

• Dependency-Scanning: Automatisierte Schwachstellenprüfungen
• Code-Analyse: Statische Analyse bei jedem Commit
• Penetrationstests: Jährliche Audits durch Dritte
• Bug Bounty: Programm zur verantwortungsvollen Offenlegung

Compliance-Zertifizierungen

SOC 2 Type II

Wir halten die SOC-2-Type-II-Compliance aufrecht:

• Trust Services Criteria: Sicherheit, Verfügbarkeit, Vertraulichkeit
• Jährliches Audit: Unabhängige Bewertung durch Dritte
• Bericht verfügbar: Kontaktieren Sie den Vertrieb für den SOC-2-Bericht

DSGVO-Compliance

Für europäische Kunden:

• Auftragsverarbeitungsvertrag: Auf Anfrage verfügbar
• Auskunftsrecht: Exportieren Sie Ihre Daten jederzeit
• Recht auf Löschung: Löschen Sie Ihr Konto und Ihre Daten
• Datenübertragbarkeit: Download in Standardformaten
• Privacy by Design: Minimale Datenerhebung

HIPAA-Compliance

Kunden aus dem Gesundheitswesen können SignFlow nutzen:

• Business Associate Agreement: Verfügbar für Gesundheitsorganisationen
• PHI-Schutz: Verschlüsselte Speicherung und Übertragung
• Prüfprotokolle: Umfassende Aktivitätsverfolgung
• Zugriffskontrollen: Rollenbasierte Berechtigungen

eIDAS-Compliance

Für elektronische Signaturen in der EU:

• Fortgeschrittene elektronische Signaturen: Unterstützung qualifizierter Signaturen
• Prüfpfad: Manipulationssichere Signaturaufzeichnungen
• Identitätsprüfung: Mehrere Verifizierungsmethoden

Prüfpfad

Jede Dokumentaktion wird protokolliert:

Verfolgte Ereignisse

• Dokument erstellt, gesendet, angesehen
• Signaturen hinzugefügt
• Dokument abgeschlossen, für ungültig erklärt
• Zugriffsversuche (erfolgreich und fehlgeschlagen)
• Einstellungsänderungen

Details des Prüfprotokolls

Jeder Protokolleintrag enthält:

`json { "timestamp": "2024-01-20T10:30:00Z", "actor": "john@example.com", "action": "document.signed", "documentId": "doc_123", "ipAddress": "192.0.2.1", "userAgent": "Mozilla/5.0...", "geolocation": "San Francisco, CA, US" } `

Manipulationssichere Protokolle

• Kryptografisches Hashing: Jeder Eintrag wird gehasht
• Lückenlose Nachweiskette: Einträge sind verkettet
• Unveränderlich: Protokolle können nicht geändert oder gelöscht werden

Datenschutz

Datenerhebung

Wir erheben nur das Nötige:

• Kontodaten: E-Mail, Name, Unternehmen
• Dokumentdaten: Dateien, Signaturen, Metadaten
• Nutzungsdaten: Funktionsnutzung, Leistungskennzahlen

Wir werden niemals:

• Ihre Daten verkaufen
• Ihre Dokumente zum Training von KI verwenden
• Daten mit Dritten teilen (außer mit Dienstleistern)

Datenaufbewahrung

• Aktive Dokumente: Aufbewahrt, solange das Konto aktiv ist
• Abgeschlossene Dokumente: Aufbewahrt gemäß Ihren Einstellungen (Standard: 7 Jahre)
• Gelöschte Dokumente: Dauerhaft gelöscht nach 30 Tagen
• Backups: Nach 30 Tagen bereinigt

Datenstandort

Wählen Sie, wo Ihre Daten gespeichert werden:

• Vereinigte Staaten: AWS us-east-1
• Europäische Union: AWS eu-west-1 (Frankfurt)
• Asien-Pazifik: AWS ap-southeast-1 (Singapur)

Daten verlassen niemals Ihre gewählte Region.

Reaktion auf Vorfälle

Sicherheitsüberwachung

Rund-um-die-Uhr-Überwachung auf:

• Unbefugte Zugriffsversuche
• Ungewöhnliche Aktivitätsmuster
• Systemanomalien
• Offenlegungen von Schwachstellen

Plan zur Reaktion auf Vorfälle

Falls ein Sicherheitsvorfall auftritt:

1. 1Erkennung: Automatisierte Warnungen und Überwachung
2. 2Eindämmung: Sofortmaßnahmen zur Begrenzung der Auswirkungen
3. 3Untersuchung: Ursachenanalyse
4. 4Benachrichtigung: Betroffene Kunden werden innerhalb von 72 Stunden informiert
5. 5Behebung: Schwachstellen beheben und Abwehrmechanismen verbessern

Kontakt zum Sicherheitsteam

Melden Sie Sicherheitsprobleme:

• E-Mail: security@signflow.com
• PGP-Schlüssel: Verfügbar unter signflow.com/security
• Bug Bounty: hackerone.com/signflow

Best Practices für Nutzer

Starke Passwörter

• Nutzen Sie einen Passwortmanager
• Aktivieren Sie 2FA für Ihr Konto
• Verwenden Sie eindeutige Passwörter für jeden Dienst
• Ändern Sie Passwörter, falls sie kompromittiert wurden

Dokumentensicherheit

• Teilen Sie Signatur-Links nicht öffentlich
• Prüfen Sie die E-Mail-Adressen der Unterzeichner sorgfältig
• Aktivieren Sie Ablaufdaten für Dokumente
• Erklären Sie Dokumente für ungültig, wenn sie versehentlich gesendet wurden

Teamsicherheit

• Überprüfen Sie den Zugriff von Teammitgliedern regelmäßig
• Entziehen Sie ehemaligen Mitarbeitern sofort den Zugriff
• Nutzen Sie rollenbasierte Berechtigungen
• Aktivieren Sie 2FA für alle Teammitglieder

API-Sicherheit

• Rotieren Sie API-Schlüssel regelmäßig
• Nutzen Sie begrenzte Schlüssel mit minimalen Berechtigungen
• Bewahren Sie Schlüssel sicher auf (niemals im Code)
• Überwachen Sie die API-Nutzung auf Anomalien

Transparenz

Wir glauben an Transparenz:

• Sicherheitsseite: signflow.com/security
• Statusseite: status.signflow.com
• Datenschutzrichtlinie: signflow.com/privacy
• Nutzungsbedingungen: signflow.com/terms

Fragen?

Haben Sie Fragen zur Sicherheit?

• E-Mail: security@signflow.com
• Dokumentation: docs.signflow.com/security
• Vertrieb: sales@signflow.com (für Compliance-Berichte)

Wir setzen alles daran, Ihr Vertrauen durch robuste Sicherheitspraktiken und transparente Kommunikation zu verdienen und zu erhalten.

Zuletzt aktualisiert: 20. Januar 2024