Sicherheitsansatz
Sytance setzt technische und organisatorische Schutzmaßnahmen für den gehosteten Dienst, den Softwareentwicklungslebenszyklus und die unterstützenden Betriebsabläufe ein. Bei Auswahl und Prüfung der Maßnahmen berücksichtigen wir die verarbeiteten Informationen, die Dienstarchitektur, glaubhafte Bedrohungen und mögliche Auswirkungen auf Kunden.
Diese Seite bietet einen öffentlichen Überblick. Sie ist weder ein Auditbericht noch ein Zertifikat, Penetrationstestergebnis oder vertraglicher Sicherheitsanhang. Kundenspezifische Anforderungen an Sicherheit, Nachweise, Datenstandorte oder Benachrichtigungen müssen im jeweils geltenden Geschäftsprozess vereinbart werden.
Identität und Zugriff
- Der Zugriff erfolgt über individuelle Nutzerkonten und rollenbasierte Berechtigungen.
- Kundenadministratoren verwalten Mitgliedschaften und Rollenzuweisungen innerhalb ihrer Organisation und Arbeitsbereiche.
- Anfragen zu Kundeninhalten werden anhand von Zugriffsvorgaben für Mandanten, Arbeitsbereiche und einzelne Objekte geprüft.
- Authentifizierungssitzungen verwenden serverseitig gesetzte HTTP-only-Cookies und Schutzmaßnahmen gegen websiteübergreifende Anfragen in der Produktionsumgebung.
- Berechtigter administrativer Supportzugriff ist auf die Umgebung des betreffenden Kunden beschränkt und wird protokolliert.
Mandantentrennung und Datenschutz
- Anwendungs- und Datenbankkontrollen tragen dazu bei, die Aufzeichnungen verschiedener Mandanten voneinander zu trennen.
- Der Datenverkehr zwischen Browsern, APIs und Produktionsdienst wird an der öffentlichen Dienstgrenze während der Übertragung durch HTTPS geschützt.
- Kundendateien und Medien werden über authentifizierte Routen statt über uneingeschränkte öffentliche Links bereitgestellt.
- Für ausgewählte Vorschauen und Downloads werden zeitlich begrenzte Zugriffslinks verwendet.
- Bekannte Felder für Zugangsdaten, Token, Cookies und Geheimnisse werden aus gewöhnlichen Anwendungsprotokollen ausgeschlossen oder darin unkenntlich gemacht.
- Der Datenzugriff ist auf die erforderliche Dienstfunktion, Kundenweisung, Supportaufgabe oder operative Verantwortung beschränkt.
Sichere Entwicklung und Änderungen
- Bei Entwurf und Prüfung relevanter Funktionen berücksichtigen wir Sicherheitsanforderungen und Architektur.
- Codeprüfungen und automatisierte Kontrollen helfen, Fehler vor der Bereitstellung zu erkennen.
- Änderungen werden über kontrollierte Build- und Bereitstellungsprozesse ausgeliefert, die Entwicklungsarbeiten vom Produktionsbetrieb trennen.
- Abhängigkeiten und gemeldete Schwachstellen bewerten wir danach, wie relevant und ausnutzbar sie sind, wie stark sie exponiert sind und welche Auswirkungen sie auf den Dienst haben könnten.
Monitoring und Reaktion auf Vorfälle
Sicherheitsrelevante Authentifizierungs-, Berechtigungs-, Verwaltungs-, Anwendungs- und Infrastrukturereignisse werden, soweit angemessen, protokolliert oder überwacht, um Erkennung, Untersuchung und Rechenschaft zu unterstützen.
Für Authentifizierung und ausgewählte öffentliche Endpunkte gelten Ratenbegrenzungen und Maßnahmen gegen Missbrauch. Vermutete Vorfälle werden nach einem Verfahren bewertet, das Triage, Eindämmung, Untersuchung, Behebung, Wiederherstellung und die Auswertung der gewonnenen Erkenntnisse umfasst.
Erfordert ein Vorfall eine Benachrichtigung von Kunden oder Aufsichtsbehörden, nehmen wir diese nach Maßgabe des anwendbaren Rechts und der betreffenden Kundenvereinbarung vor.
Bei Verdacht auf eine Kompromittierung eines Kontos wenden Sie sich an support@sytance.com; eine vermutete Schwachstelle oder Offenlegung von Daten melden Sie an security@sytance.com. Nennen Sie das betroffene Konto oder System, den Zeitpunkt und das beobachtete Verhalten. Senden Sie keine Passwörter, Sitzungstoken oder unnötigen Kundendateien. Für weitere Nachweise können wir einen sicheren Übermittlungsweg vereinbaren.
Verarbeiten wir betroffene personenbezogene Daten für einen Kunden, richten sich Vorfallbenachrichtigungen und Zusammenarbeit nach Anhang A der Nutzungsbedingungen. Eine erste Mitteilung wird nicht bis zur Klärung aller Fakten aufgeschoben; weitere Informationen folgen im Verlauf der Untersuchung.
KI-gestützte Verarbeitung
KI-gestützte Aktionen laufen in authentifizierten Produktabläufen. Der Dienst übermittelt die für die angeforderte Funktion relevanten Anweisungen und Arbeitsbereichskontexte. Die resultierenden Ausgaben müssen weiterhin vom Kunden geprüft werden.
Schwachstellenmanagement
Mögliche Schwachstellen können bei Entwicklungsprüfungen, im Betriebsmonitoring, anhand von Abhängigkeitsinformationen, durch Meldungen von Kunden oder Forschenden sowie bei gezielten Sicherheitsbewertungen erkannt werden. Wir validieren Feststellungen und priorisieren sie anhand von Risikofaktoren wie Schweregrad, Ausnutzbarkeit, Exposition, betroffenen Daten und Nutzenden, Hinweisen auf aktive Ausnutzung und verfügbaren Abhilfemaßnahmen.
Externe Forschende können vermutete Schwachstellen über unser Verfahren zur koordinierten Offenlegung melden. Die Richtlinie beschreibt genehmigte Forschung, Meldeanforderungen, Reaktionsziele, den Schutz für gutgläubige Sicherheitsforschung und die Koordination der Offenlegung.
Sicherheitsanfragen und Nachweise
Bestehende und potenzielle Kunden können Sicherheitsfragen stellen oder unterstützende Informationen über hello@sytance.com oder ihren üblichen Geschäftskontakt anfordern. Die Anfragen sollten dem jeweiligen Bedarf angemessen sein. Bei Verdacht auf eine Kompromittierung eines Kontos oder ein den Dienst betreffendes Sicherheitsproblem wenden sich bestehende Kunden an support@sytance.com.
Melden Sie vermutete Schwachstellen vertraulich unter security@sytance.com und beachten Sie die Richtlinie zur Offenlegung von Schwachstellen.
Sicherheitsinformationen können unter angemessenen Vertraulichkeits- und Zugriffsvorkehrungen geteilt werden, damit keine Informationen über andere Kunden oder ausnutzbare technische Einzelheiten offengelegt werden. Eine Nachweisanfrage berechtigt nicht zu Penetrationstests. Vertragliche Audit-Rechte und gesetzliche Befugnisse von Aufsichtsbehörden richten sich weiterhin nach der anwendbaren Vereinbarung und dem Gesetz.
