Sicherheit und Datenhaltung

Einbettung

• Der Planer läuft in einem iframe und hat keinen Zugriff auf die Website, die ihn einbettet: nicht auf deren Cookies, nicht auf deren Inhalte.
• Er lässt sich nur in Websites einbetten, deren Adressen für den Mandanten eingetragen sind (Content Security Policy, frame-ancestors). Auf anderen Seiten zeigt der Browser ihn nicht an.
• Planer und Website tauschen Nachrichten über postMessage aus (Größe, Artikelliste, Anfrage). Beide Seiten prüfen die Herkunft jeder Nachricht und ihr Format.
• Die einbettende Website muss in ihrer eigenen Content Security Policy nur die Adresse des Planers als frame-src und das Einbettungsskript erlauben.

Was der Planer lädt

• Skripte, Schriften, Decoder und 3D-Modelle kommen vom Server des Planers. Es gibt keine Anfragen an Dritte, keine Analyse durch Dritte und keine Werbung.
• Die Content Security Policy des Planers und der Website erlaubt nur eigene Quellen und kein eingebettetes Skript (kein unsafe-inline).
• Die Website selbst lässt sich nicht einbetten (frame-ancestors 'none') und erzwingt HTTPS.

Wo Daten liegen

• Pläne liegen im Browser der planenden Person (IndexedDB). Der Server speichert sie nicht.
• Kataloge, Terminanfragen und der Nutzungszähler liegen in Frankfurt (Google Cloud, europe-west3).
• Der Nutzungszähler enthält keine Namen, E-Mail- oder IP-Adressen.
• Die Statistik des Planers besteht aus Tagessummen je Ereignis, ohne Cookie, ohne IP-Adresse und ohne Planinhalt; jeder Anbieter kann sie im Studio abschalten.
• KI-Funktionen senden Eingaben erst dann an den KI-Dienst, wenn jemand sie benutzt.

Zugang

• Nicht öffentliche Kataloge und das Studio sind nur mit persönlicher, signierter Einladung oder Anmeldung erreichbar. Einladungen laufen ab und lassen sich einzeln sperren.
• Das Sitzungszeichen liegt in einem Cookie, das Skripte nicht lesen können, und gilt höchstens acht Stunden.
• Schreibende Anfragen nimmt der Server nur von der eigenen Website an; öffentliche Formulare haben Grenzen je Absender und Tag.

Was noch fehlt

Eine Prüfung durch Dritte (Penetrationstest, Zertifizierung), eine Zwei-Faktor-Anmeldung für das Studio und ein dokumentiertes Konzept für Datensicherung liegen noch nicht vor.

Schwachstelle melden

Schreiben Sie an davidrock@web.de. Bitte beschreiben Sie, wie sich das Problem nachstellen lässt, und geben Sie uns Zeit zur Behebung, bevor Sie es veröffentlichen.