Isolation pro Kunde
Die Plattform ist mandantenfähig und strikt logisch getrennt: Jeder Lese- und jeder Schreibzugriff ist in der Datenschicht und in der Anwendungsschicht auf die Kennung Ihres Kontos beschränkt. Ihre Informationen sind aus dem Konto eines anderen Kunden weder sichtbar noch erreichbar, und es gibt keine kontoübergreifenden Abfragen für Benutzer.
- Laufende Prüfung statt Versprechen. Ein automatisierter Wächter prüft die Produktivumgebung regelmäßig auf jede Konfiguration, die Informationen zwischen Konten vermischen könnte, und meldet das Ergebnis an die Vitalwerte der Plattform. Die Trennung wird nicht angenommen, sondern gemessen.
- Öffentliche Schnittstellen (Formulare, Widgets, Webhooks) sind auf das Nötigste reduziert und authentifizieren sich per Token oder über eine Kennung mit begrenztem Geltungsbereich; alles andere erfordert eine authentifizierte Sitzung.
- Änderungen werden in einer getrennten Arbeitsumgebung vorbereitet und getestet, bevor sie in die Produktion gehen.
Identität und Zugriffskontrolle
- Nicht wiederherstellbare Passwörter. Sie werden ausschließlich als gesalzener kryptografischer Einweg-Hash (bcrypt) gespeichert. Niemand, auch nicht das Team von OMB, kann sie lesen oder rekonstruieren.
- Rollen nach dem Prinzip der minimalen Rechte. Inhaber, Administrator und Benutzer, mit Berechtigungen pro Modul: Jede Person sieht nur, was ihre Aufgabe erfordert.
- Gehärtete Sitzungen. Cookies mit Secure, HttpOnly und SameSite; die Funktion zum Angemeldetbleiben nutzt geteilte Tokens, die bei jeder Verwendung rotieren und in konstanter Zeit verglichen werden. Ein gestohlenes altes Cookie öffnet das Konto daher nicht.
- Zwei-Faktor-Authentifizierung für Konten, die sie benötigen, sowie Passkeys, die als bevorzugte Methode eingeführt werden, weil sie konstruktionsbedingt resistent gegen Phishing sind.
- Zusätzliche Bestätigung pro Modul. Module, die Sie als sensibel markieren, können beim Aufruf eine zusätzliche Bestätigung verlangen, auch wenn die Sitzung bereits aktiv ist, wie es im Onlinebanking üblich ist.
Verschlüsselung
| Ebene | Technologie | Details |
|---|---|---|
| Bei der Übertragung | TLS | Die gesamte Kommunikation wird verschlüsselt übertragen: Portal, API, Widgets und Integrationen. |
| Geheimnisse und Zugangsdaten | AES-256-GCM | E-Mail-Passwörter, Integrationsschlüssel und von Kunden anvertraute Zugangsdaten werden verschlüsselt und mit Integritätsprüfung gespeichert. Der Hauptschlüssel liegt außerhalb des Code-Repositorys und außerhalb der Reichweite des Webservers, mit restriktiven Berechtigungen und verlustfreier Rotation. |
| Kundentresore | AES-256-GCM | Zugangsdaten zu Portalen Dritter, die ein Kunde der Plattform anvertraut, existieren ausschließlich in verschlüsselter Form, ohne menschliche Einsicht im Normalbetrieb und mit endgültiger Löschung auf Anfrage. |
| Benutzerpasswörter | bcrypt | Gesalzener Einweg-Hash. Eine Entschlüsselung ist nicht möglich. |
| Signierte Dokumente | SHA-256 + RFC 3161 | Jeder signierte Vertrag ist mit seinem kryptografischen Fingerabdruck und einem kryptografischen Zeitstempel verknüpft. |
Perimeter, Backups und Kontinuität
- Firewall auf Infrastrukturebene und Sperrung aller sensiblen Dateien (Konfiguration, Protokolle, Backups, Versionskontrolle) durch den Webserver: Sie sind aus dem Internet nicht erreichbar.
- Sitzungsspeicher außerhalb des öffentlichen Verzeichnisbaums, mit restriktiven Berechtigungen.
- Tägliche, geprüfte und verschlüsselte Backups. Jedes Datenbank-Backup wird vor dem Speichern geprüft (ein Backup, das die Prüfung nicht besteht, wird nicht als gültig gespeichert) und mit AES-256 unter einem eigenen Schlüssel verschlüsselt. Dieser unterscheidet sich vom Betriebsschlüssel und wird außerhalb des Repositorys und des Backup-Ordners verwahrt.
- Backups verletzen nicht Ihre Privatsphäre. Sie dienen ausschließlich der Wiederherstellung, nie der Einsichtnahme. Informationen im verschlüsselten Tresor gelangen bereits mit Ihrem Schlüssel verschlüsselt in das Backup: Selbst dort sind sie nicht lesbar. Die Rotation beträgt höchstens 14 Tage, sodass gelöschte Daten innerhalb dieser Frist auch aus den Backups verschwinden.
- Laufende Überwachung der Vitalwerte der Plattform mit Anomalieerkennung.
Nachvollziehbarkeit und beweiskräftige Dokumente
- Protokollierung relevanter Vorgänge (Anlagen, Änderungen, Versand, Signaturen) mit Datum, Uhrzeit, IP-Adresse und Benutzer.
- Wenn autorisiertes Personal im Aufsichtsmodus arbeitet, protokolliert die Plattform die tatsächliche Identität der handelnden Person, nicht nur das Konto, in dem gehandelt wird.
- Beweiskräftige Dokumente (Verträge und Belege) werden serverseitig erzeugt, mit ihrem SHA-256-Fingerabdruck verknüpft und behalten ihre vollständige Ereigniskette. Die signierte Datei ist nachweislich das Dokument, das angezeigt wurde.