Infrastruktur
5 umgesetzt - ✓
Plattform in Frankreich gehostet Anwendungen, Datenbank und Identitäten bei Scaleway, Paris (PAR2).
- ✓
Backups bei einem anderen Anbieter PostgreSQL wird laufend bei OVHcloud in Gravelines gesichert, mit Wiederherstellung zu einem Zeitpunkt.
- ✓
Statusseite außerhalb der Infrastruktur status.okstatus.eu läuft bei einem anderen Hoster, an einem anderen Standort, mit eigenen Sonden: Sie bleibt lesbar, wenn die Plattform es nicht ist.
- ✓
Infrastruktur als Code Die gesamte Infrastruktur ist in Git versioniert: Ein kompetenter Betreiber kann sie neu aufbauen.
- ✓
Sonden nach Region getrennt Jede Sonde authentifiziert sich mit eigener Kennung und erhält nur die Prüfungen ihrer Region.
Verschlüsselung
4 umgesetzt - ✓
TLS 1.2+ überall HSTS auf jedem öffentlichen Host.
- ✓
Kundengeheimnisse im Ruhezustand verschlüsselt Monitor-Zugangsdaten, Token der Alarmkanäle und API-Schlüssel in AES-256-GCM, mit einem getrennt von den Daten gespeicherten Schlüssel.
- ✓
Verschlüsselte Backups Serverseitig, AES-256.
- ✓
Ende-zu-Ende-verschlüsselter Push Web Push (RFC 8291): Der Push-Dienst des Browsers kann den Inhalt nicht lesen.
Zugang & Identität
4 umgesetzt - ✓
Anmeldung über Keycloak Passwort, Social Login oder Ihr eigener Identitätsanbieter.
- ✓
SSO über SAML / OIDC Im Enterprise-Tarif.
- ✓
Zwei-Faktor-Authentifizierung (TOTP) Für jedes Konto verfügbar, je Organisation erzwingbar, Pflicht für unsere interne Konsole.
- ✓
Serverseitig durchgesetzte Rollen Eigentümer, Admin, Mitglied, Leser.
Nachvollziehbarkeit
4 umgesetzt - ✓
Vollständiges Audit-Log Jedes Anlegen, Ändern und Löschen: wer, was, wann, von wo.
- ✓
CSV-Export des Logs Im Dashboard, im Enterprise-Tarif.
- ✓
Aktionen des Teams getrennt protokolliert
- ✓
Selbst gehostete Reichweitenmessung Matomo unter matomo.clearcloud.fr, in Frankreich, ohne Mess-Cookies.
Backup & Fortführung
4 umgesetzt - ✓
RPO 15 Minuten · RTO 4 Stunden Höchstens 15 Minuten Datenverlust, Wiederanlauf in unter 4 Stunden.
- ✓
Wiederherstellung vierteljährlich getestet Letzter Test am 28. September 2026: vollständige Datenbank in 2 min 22 s wiederhergestellt.
- ✓
30 Tage Aufbewahrung der Backups
- ✓
90 Tage Vorankündigung bei Einstellung Dienst und Export bleiben während der Frist verfügbar, anteilige Erstattung (AGB, Art. 9.3).
Software-Lieferkette
4 umgesetzt - ✓
Images aus festgelegten Basis-Images neu gebaut
- ✓
Schwachstellen-Scan in der CI Eine CRITICAL-Schwachstelle blockiert die Veröffentlichung des Images.
- ✓
Täglicher erneuter Scan im Cluster
- ✓
Abhängigkeitsprüfung bei jedem Build
Daten & Datenschutz
4 umgesetzt - ✓
Aufbewahrung je Tarif begrenzt 90 Tage, 6, 12 oder 24 Monate je nach Tarif, danach tägliche automatische Löschung.
- ✓
JSON-Export jederzeit In allen Tarifen. REST-API und Terraform zusätzlich in Max und Enterprise.
- ✓
Rückgabe oder Löschung innerhalb von 30 Tagen Am Vertragsende.
- ✓
Kein Support-, CRM- oder Fehler-Tracking-Tool eines Drittanbieters Keines erhält Ihre Daten.
Verantwortungsvolle Offenlegung
3 umgesetzt - ✓
security.txt veröffentlicht /.well-known/security.txt gemäß RFC 9116.
- ✓
Eingangsbestätigung innerhalb von 2 Werktagen
- ✓
Verzicht auf rechtliche Schritte Für Forschung in gutem Glauben, ohne Datenvernichtung, Verletzung der Privatsphäre oder Dienstunterbrechung.
Noch nicht umgesetzt
2 Lücken -
SOC-2- oder ISO-27001-ZertifizierungAuf der Roadmap, nicht erreicht.
-
Penetrationstest durch DritteInterner Test am 3. November 2026 erledigt; ein Test durch einen unabhängigen Pentester ist geplant.