Wo Ihre Daten liegen, und wer sie sehen kann
Sie vertrauen einer externen Plattform Daten Ihrer Lieferkette an. Hier steht, wo sie liegen, wie sie abgeschottet sind, und was wir nicht behaupten.
Schweizer Hosting, und nicht nur auf dem Papier
Die Website und sämtliche Daten werden von der Infomaniak Network SA in Genf gehostet, auf einer Infrastruktur in der Schweiz. Infomaniak ist nach ISO/IEC 27001 zertifiziert.
Die Souveränität ist überprüfbar, und wir haben sie überprüft: Der Adressblock, der die Website ausliefert, gehört der Infomaniak Network SA, in der Schweiz eingetragen, was sich im RDAP-Register öffentlich kontrollieren lässt. Viele Anbieter werben mit Schweizer Hosting und mieten die Kapazität anderswo.
Keine Daten werden ausserhalb der Schweiz verarbeitet, und kein amerikanischer Auftragsverarbeiter ist an der Hosting-Kette beteiligt.
Die Abschottung zwischen Unternehmen
Das ist die entscheidende Eigenschaft einer Plattform, die sich Wettbewerber teilen. Jedes Unternehmen ist abgeschottet: Eine Ressource, die Ihnen nicht gehört, erscheint nicht leer, sondern existiert für Sie schlicht nicht.
Diese Abschottung ist keine Absicht, sondern eine Architekturregel, die durch automatisierte Tests bei jeder Codeänderung geprüft wird. Ein Zugriff, der die Grenze eines Unternehmens überschritte, lässt die Auslieferung scheitern.
Die CO2-Bilanz eines Lieferanten als Unternehmen ist für ein Haus nie einsehbar. Seine Analysen gehen nur an die Häuser, die er benennt, Teil für Teil, auf der Detailstufe seiner Wahl, und jede Freigabe lässt sich widerrufen.
Wer was gemacht hat, und wann
Jede Analyse führt ein Nachweisprotokoll: Anlage, Änderung, Abschluss, Veröffentlichung, Freigabe und Widerruf, jeweils mit Urheber und Datum. Das Protokoll lässt sich weder ändern noch löschen.
Dieses Protokoll ist seinerseits abgeschottet: Die Namen der Mitarbeitenden eines Lieferanten gelangen nie zu seinen Kunden.
Die getroffenen technischen Massnahmen
- Verschlüsselung während der Übertragung auf allen Seiten, ausschliesslich TLS 1.2 und 1.3, ältere Versionen werden abgewiesen.
- Passwörter mit Argon2 gespeichert, nie im Klartext, nie umkehrbar.
- Ratenbegrenzung bei der Anmeldung und auf öffentlichen Formularen, gegen Versuche in Serie.
- Vollständige HTTP-Sicherheitsheader, darunter eine Inhaltsrichtlinie, die jedes fremde Skript untersagt.
- Tägliche Sicherungen, und eine Wiederherstellung, die tatsächlich getestet und nicht bloss angenommen wurde.
- Administrativer Zugang zum Server nur per Schlüssel, Anwendungsports nach aussen geschlossen.
Keine Dienste Dritter
Die Plattform lädt keinerlei fremde Ressource: keine entfernte Schriftart, keine anderswo gehostete Bibliothek, keine Reichweitenmessung, keine Schaltfläche eines sozialen Netzwerks. Alles wird vom selben Schweizer Server ausgeliefert.
Die Folge ist unmittelbar: Ihr Browser meldet Ihren Besuch niemandem sonst. Das ist auch der Grund, weshalb die Datenschutzerklärung ohne Vorbehalt zutrifft.
Es wird ein einziges Cookie gesetzt, um Ihre Sitzung und Ihre Sprache zu merken. Es gibt kein Einwilligungsbanner, weil es nichts einzuwilligen gibt.
Was wir nicht behaupten
Die Plattform ist nicht nach ISO/IEC 27001 zertifiziert. Zertifiziert ist der Hoster. Die Massnahmen der Plattform selbst sind am Anhang A der ISO/IEC 27001:2022 ausgerichtet, ohne dass die Plattform selbst zertifiziert wäre.
Diese Unterscheidung wird in der Branche regelmässig verwischt, und wir schreiben sie lieber hin: Eine Zertifizierung setzt ein Managementsystem voraus, das von einer akkreditierten Stelle auditiert wird, was etwas anderes ist als technische Massnahmen.
Unsere Massnahmen werden regelmässig überprüft, und die letzte Kontrolle betraf den Code ebenso wie den Server im Betrieb, nicht bloss die Absichten.
Eine Schwachstelle melden
Wenn Sie ein Sicherheitsproblem feststellen, schreiben Sie uns: Wir antworten, wir beheben, und wir gehen nicht gegen Personen vor, die in gutem Glauben melden. Unsere Sicherheitskontakte sind im Standardformat unter der üblichen Adresse /.well-known/security.txt veröffentlicht.
Ebenfalls lesenswert: die Datenschutzerklärung · das Impressum · die Berechnungsmethodik · einen Scope 3.1 konsolidieren · die für Lieferanten kostenlosen Werkzeuge