Sicherheit

Wie Ihre Daten geschützt werden

• Verschlüsselt bei der Übertragung und im Ruhezustand. TLS 1.2+ überall; Speicher auf Plattformebene verschlüsselt.
• Trennung der Arbeitsbereiche. Jeder Datensatz trägt eine Arbeitsbereichskennung, und jede Abfrage ist darauf beschränkt — auch die Endpunkte, die auf einen einzelnen Datensatz wirken. Eine erratene Kennung aus einem Konto erreicht also keine Daten eines anderen.
• Umgang mit Passwörtern. Passwörter werden gehasht mit scryptmit den von OWASP empfohlenen Parametern — — jedes mit einem eigenen zufälligen Salt, und nie in wiederherstellbarer Form gespeichert oder protokolliert. Die Prüfung läuft in konstanter Zeit, wir verlangen mindestens 10 Zeichen und lehnen Passwörter ab, die in bekannten Datenlecks vorkommen. scrypt istspeicherintensiv: Jeder Rateversuch braucht neben Zeit auch 128 MB Speicher — das macht Angriffe mit Grafikkarten teuer, die gewöhnliches Passwortknacken sonst billig machen. Konten aus unserem früheren Verfahren werden bei der nächsten Anmeldung automatisch umgestellt.
• Ihr Konto existiert erst, wenn Sie nachweisen, dass die Adresse Ihnen gehört. Bei der Registrierung wird eine ausstehende Anmeldung gespeichert und Ihnen ein Link gesendet; Konto, Arbeitsbereich und Sitzung entstehen erst, wenn Sie ihn anklicken. Das beseitigt eine ganze Angriffsklasse, statt sich dagegen zu wehren — niemand kann ein Konto auf Ihre E-Mail-Adresse registrieren, ein Passwort setzen und darauf warten, dass Sie sich registrieren und es übernehmen.
• Automatisierte Anmeldeversuche werden abgefangen. Anmeldung, Registrierung, Passwort-Zurücksetzen und Kontaktformular sind durch eine datenschutzfreundliche Bot-Prüfung und Ratenbegrenzungen geschützt — eine Liste geleakter Passwörter durchzuprobieren kostet mehr, als es bringt. Die Limits zählen für das Konto , das angegriffen wird, ebenso wie für die Adresse, von der der Versuch kommt — denn ein Angreifer mit vielen Adressen umgeht eine reine Adresssperre, indem er die Adresse wechselt. Wiederholte Fehlversuche für ein Konto werden schrittweise verlangsamt statt gesperrt, für Minuten, nie dauerhaft. Das Zurücksetzen des Passworts wird getrennt von der Anmeldung gezählt, sodass niemand, der absichtlich Ihre Anmeldeversuche aufbraucht, auch den Weg versperren kann, über den Sie wieder hineinkommen.
• Zwei-Faktor-Anmeldung. Drei Optionen: Passkeys (Face ID, Touch ID, Windows Hello oder ein Hardware-Schlüssel), eine Authenticator-App oder ein per E-Mail gesendeter Code. Passkeys sind die stärkste und einzige Phishing-resistente Option, weil die Signatur an closerev.com gebunden ist. E-Mail-Codes sind die schwächste — wer Ihr Postfach erreicht, erreicht auch den Code —, und das sagen wir dort, wo Sie sie aktivieren. Einmal-Wiederherstellungscodes decken ein verlorenes Gerät ab. Sobald ein Faktor aktiv ist, gilt er für jeden Zugang zum Konto, auch für „Mit Google anmelden“: Ein zweiter Anmeldeweg ist kein Weg daran vorbei. Der Inhaber eines Arbeitsbereichs kann die Zwei-Faktor-Anmeldung zudem für alle darin verlangen, damit niemand allein mit einem Passwort an die Daten kommt. Um eine Methode hinzuzufügen, brauchen Sie eine, die Sie bereits haben, und wir senden Ihnen eine E-Mail, wenn eine hinzukommt. Sonst könnte jemand, der ein Gerät in die Hände bekommt, auf dem Sie angemeldet waren, seinen eigenen Authenticator hinzufügen und auch nach Ihrer Passwortänderung Zugriff behalten. Die Benachrichtigung geht an Ihre Adresse, nicht auf den Bildschirm dessen, der es getan hat, und enthält einen Link, der jedes Gerät abmeldet — auch seines. Methoden können hinzugefügt, aber nicht entfernt werden. Sonst könnte jemand, der ein Gerät in die Hände bekommt, auf dem Sie angemeldet waren, die Methoden entfernen, die er nicht hat, und die behalten, die er hat — dann schützt genau das Gestohlene Ihr Konto. Gerät verloren? Ändern Sie Ihr Passwort, was alle anderen Sitzungen sofort abmeldet, und schreiben Sie uns: Wir prüfen Ihre Identität und entfernen die Methode, und diese Zurücksetzung wird im manipulationssicheren Protokoll unten festgehalten.
• Die riskantesten Aktionen fragen noch einmal nach. Konto schließen, Passwort ändern, alles exportieren oder eine arbeitsbereichsweite Sicherheitseinstellung ändern — dafür müssen Sie nachweisen, dass Sie es noch sind: mit dem Code Ihrer Authenticator-App, falls Sie eine haben, sonst mit Ihrem Passwort. Ein Sitzungscookie sagt, dass sich jemand angemeldet hat; es sagt nicht, dass die Person an der Tastatur noch Sie sind, und bei diesen wenigen Aktionen ist genau das die Frage. Bei den meisten gilt der Nachweis 30 Minuten, eine Reihe von Verwaltungsaufgaben fragt also nur einmal. Eine arbeitsbereichsweite Pflicht ein- oder auszuschalten — Zwei-Faktor-Anmeldung, Single Sign-on — fragt jedes Mal, in beide Richtungen: Eine Einstellung, die senkt, was nötig ist, um an Ihre Daten zu kommen, darf nie auf einem Nachweis für etwas anderes beruhen.
• Single Sign-on. Arbeitsbereiche mit Enterprise und Agency können verlangen, dass sich alle über ihren eigenen Identitätsanbieter per OpenID Connect anmelden. Eine Domain muss per DNS nachgewiesen werden, bevor sie genutzt werden kann — niemand kann also Single Sign-on für eine Domain einrichten, die er nicht kontrolliert. Sobald es Pflicht ist, funktionieren Passwörter und die Google-Anmeldung für diese Domain nicht mehr — mit einer bewussten Ausnahme, dem Inhaber des Arbeitsbereichs, damit ein falsch konfigurierter Anbieter ein Unternehmen nicht aus seinen eigenen Daten aussperren kann. So erstellte Sitzungen gelten eine Woche statt einen Monat, weil Single Sign-on allein den Zugriff nicht entzieht, wenn jemand geht. Das Client Secret, das Sie uns geben, wird vor dem Speichern verschlüsselt.
• Sitzungen.Undurchsichtige, ablaufende Tokens in httpOnly-, Secure- und SameSite-Cookies mit dem Präfix, das verhindert, dass eine andere Website auf einer benachbarten Domain ein Cookie schreibt, das unsere Server als Ihres lesen würden. Sie sind serverseitig widerrufbar, und eine Passwortänderung macht alle anderen Sitzungen sofort ungültig. Anfragen, die etwas ändern, müssen von CloseRev selbst stammen; ein Formular auf einer fremden Website, das an unsere sendet, wird abgewiesen, bevor es Ihre Daten erreicht. Sitzungstokens werden nur als Hash gespeichert, eine Kopie unserer Datenbank taugt also nicht, um sich als irgendjemand anzumelden. Eine Sitzung endet nach 30 Tagen oder nach 7 Tagen ohne Nutzung. Und wenn Ihr Konto in einem Browser angemeldet wird, den wir noch nicht kennen, senden wir Ihnen eine E-Mail — mit einem Link, der jedes Gerät abmeldet, falls Sie es nicht waren.
• Links per E-Mail. Bestätigungs- und Zurücksetzungslinks sind einmalig nutzbar und laufen ab, und wir speichern nur einen SHA-256-Hash jedes Tokens — ein Datenleck ergäbe keine funktionierenden Links. Die Einmaligkeit erzwingt die Datenbank in einem Schritt, zwei gleichzeitige Klicks können also nicht beide erfolgreich sein.
• Zahlungen. Kartendaten gehen direkt an Stripe und erreichen nie unsere Server — so bleiben wir außerhalb des Bereichs der Kartendatenverarbeitung.
• Audit-Protokoll. Uploads, Zuordnungen, Prüfentscheidungen, Exporte und Löschungen werden pro Arbeitsbereich protokolliert. Zusätzlich wird jedes Mal protokolliert, wenn jemand bei CloseRev eine interne Konsole öffnet, die Ihr Konto sehen kann — wer, was und wann. Wir bewahren dieses Protokoll auf für 24 Monate, den längsten Zeitraum, den ein Tarif Ihre Daten aufbewahrt — die Frage „Hat sich das jemand angesehen?“ bleibt also beantwortbar, solange die Daten selbst existieren. Diese Einträge sind verkettet: Jeder wird mit einem Hash versiegelt, der den vorherigen einschließt, und die Datenbank verweigert es, einen versiegelten Eintrag zu ändern oder neu zu versiegeln. Wird ein Eintrag nachträglich entfernt oder bearbeitet, bricht die Kette an dieser Stelle, und eine nächtliche Prüfung meldet, wo. Eine Kopie des neuesten Siegels wird zudem jede Nacht in einen Speicher mit separaten Zugangsdaten geschrieben, sodass das Protokoll und sein eigener Nachweis nicht gemeinsam umgeschrieben werden können.
• Echtes Löschen. Das Löschen eines Imports entfernt seine Datensätze, seine Zuordnungsergebnisse und die hochgeladene Originaldatei aus dem Speicher — nicht nur eine Markierung in einer Zeile.
• Exporte lassen sich gefahrlos öffnen.Eine Tabellenkalkulation behandelt eine Zelle, die mit , , oder beginnt, als auszuführende Formel — ein Wert, den jemand in eine von Ihnen hochgeladene CSV geschrieben hat, könnte sonst zum Befehl auf dem Rechner werden, der Ihren Export öffnet. Wir entschärfen solche Zellen so, dass es Speichern und erneutes Öffnen übersteht, und lassen normale Zahlen und negative Beträge unverändert.

Datenminimierung

Für den Abgleich braucht es eine Telefonnummer oder E-Mail-Adresse und einen Betrag. Sie entscheiden, welche Spalten Sie zuordnen, und uns ist lieber, Sie laden weniger hoch. Besondere Kategorien personenbezogener Daten sind ganz ausgeschlossen — siehe die Richtlinie zur zulässigen Nutzung.

Was wir noch nicht getan haben

Wir sagen das lieber offen, als eine Vertrauensseite mehr andeuten zu lassen, als wahr ist:

• Keine SOC-2- oder ISO-27001-Zertifizierung. Wir sind ein junges Produkt und haben noch kein Audit durchlaufen.
• Noch kein Penetrationstest durch Dritte. Noch nicht beauftragt. Diese Zeile ändert sich, wenn er durchgeführt wurde, nicht vorher.
• Keine vom Kunden wählbare Datenresidenz. Die Speicherregion ist derzeit die Standardregion der Plattform.

Wenn einer dieser Punkte Ihren Beschaffungsprozess blockiert, sagen Sie es uns — so wissen wir, womit wir anfangen sollten.

Wer bei CloseRev Ihre Daten sehen kann

• Im Normalfall niemand. Das Produkt ist Self-Service, und der Support muss Ihre Datensätze nicht lesen. Es gibt bewusst keine Funktion „Als dieser Kunde anmelden“ und keine Identitätsübernahme — sobald es so etwas gibt, wird es zum kürzesten Weg zu den Daten aller Kunden.
• Die interne Konsole kann Ihre hochgeladenen Datensätze überhaupt nicht lesen. Sie zeigt Konto- und Abrechnungsinformationen sowie die Anzahl dessen, was Sie verarbeitet haben. Auf die Verkaufs- oder Lead-Datensätze selbst hat sie keinen Zugriff.
• Protokolliert werden Lesezugriffe, nicht nur Schreibzugriffe. Alles, was sich eine Administratorin oder ein Administrator ansieht, wird mit Wer, Was, Wann und Woher protokolliert. Wenn Sie je fragen, wer bei CloseRev Ihr Konto angesehen hat, kommt die Antwort aus einem Protokoll und nicht aus dem Gedächtnis.
• Der Zugang erfordert Single Sign-on mit mehreren Faktoren. Die Konsole liegt hinter Cloudflare Access und prüft die verifizierte Identität zusätzlich gegen eine Zulassungsliste — es gibt also kein Passwort von uns, das man per Phishing abgreifen könnte.

Wie wir testen, was wir ausliefern

Bei jeder Änderung laufen zwei Prüfungen gegen den Code, denn über Isolation nachzudenken ist nicht dasselbe, wie sie zu verifizieren:

• Jede Abfrage, die Kundendaten berührt, wird erfasst und geprüft. Eine Prüfung extrahiert jede Anweisung und hält eine geprüfte Referenz vor — eine neue oder umgeschriebene Abfrage, die nicht auf einen Arbeitsbereich beschränkt ist, muss also angesehen werden, statt unterzugehen.
• Die Isolation wird über echtes HTTP getestet, nicht nur durchdacht. In einer echten Kopie unserer Laufzeitumgebung werden drei getrennte Arbeitsbereiche angelegt, und jeder Endpunkt, der eine Kennung annimmt, wird nach den Daten eines anderen Arbeitsbereichs gefragt — über denselben Code, den die Website ausführt, mit derselben Datenbank, demselben Speicher und denselben Sitzungen. Ein Test, der nicht scheitern kann, ist wertlos, deshalb läuft neben jedem eine Kontrolle, die belegt, dass der rechtmäßige Inhaber seine Daten weiterhin erhält.
• Seiten werden im Browser gemessen, nicht nach Augenmaß — jede Seite, hell und dunkel, in Desktop- und Smartphone-Breite, auf Überlauf, Abschneiden und Kontrast.
• Datenbankänderungen spielt ein Werkzeug ein, das Buch führt und sich weigert, etwas doppelt, in falscher Reihenfolge oder dann einzuspielen, wenn die aufgezeichnete Historie und der Code nicht mehr übereinstimmen.

Eine schriftliche Sicherheitsprüfung zu Mandantentrennung, Authentifizierung, Uploads, Abrechnung, öffentlichen Tokens und Datenlebenszyklus ist Voraussetzung für die allgemeine Verfügbarkeit. Sie wurde wiederholt durchgeführt, zuletzt in zwei eigenen Durchgängen vor dem Start, gegen die Live-Zahlungskonfiguration und in einer echten Kopie der Laufzeitumgebung, in die wir ausliefern. Beide Berichte halten fest, was nicht nachgewiesen wurde, ebenso deutlich wie das, was nachgewiesen wurde.

Backups, Aufbewahrung und Löschung

• Sie legen die Aufbewahrungsfrist fest pro Arbeitsbereich, innerhalb dessen, was Ihr Tarif aufbewahrt. Ein nächtlicher Job löscht Importe, die darüber liegen — die Datensätze, die Zuordnungsergebnisse und die Original-CSVs im Objektspeicher — und schreibt, was er getan hat, in das Aktivitätsprotokoll Ihres Arbeitsbereichs.
• Löschen heißt löschen. Das Entfernen eines Imports löscht seine Datensätze und Dateien. Das Schließen Ihres Kontos löscht das Konto und, wenn er Ihnen gehört, den Arbeitsbereich mit allen zugehörigen Dateien. Rechnungen werden nur aufbewahrt, wo das Steuerrecht es verlangt.
• Backups sind die der Plattform, mit Wiederherstellung zu einem beliebigen Zeitpunkt über die letzten 30 Tage der Datenbank. Sie dienen dazu, uns von einem eigenen Fehler zu erholen, nicht als zweite Kopie, die Sie abfragen könnten.
• Eine Wiederherstellung kann eine Löschung nicht stillschweigend rückgängig machen. Das ist die eine Stelle, an der „Löschen heißt löschen“ mehr als einen Löschbefehl brauchte: Die Datenbank zurückzusetzen, um einen anderen Fehler zu beheben, würde sonst alles zurückbringen, was seither entfernt wurde, und niemand wüsste es. Deshalb wird jede Löschung protokolliert — was entfernt wurde, für welchen Arbeitsbereich, wann und warum, ohne die Daten selbst — und das erneute Anwenden dieser Einträge ist ein Schritt unseres Wiederherstellungsverfahrens statt etwas, woran man denken muss. Hochgeladene Dateien fallen gar nicht unter dieses Zurücksetzen; ist eine Datei aus dem Objektspeicher gelöscht, ist sie weg.

Wenn etwas schiefgeht

• Verletzungen des Schutzes personenbezogener Daten: Wir benachrichtigen betroffene Kunden unverzüglich und innerhalb von 72 Stunden, nachdem wir davon erfahren, mit dem, was wir wissen und was wir unternehmen. Diese Zusage ist vertraglich — sie steht im AVV (DPA), nicht nur hier.
• Ausfälle, die Datenintegrität oder Zugriff betreffen: Wir schreiben den Inhabern der Arbeitsbereiche eine E-Mail, statt darauf zu warten, dass jemand eine Seite prüft, und noch einmal, wenn es behoben ist. Der Zustand der Komponenten wird veröffentlicht auf unserer Statusseite, die misst, statt von Hand aktualisiert zu werden.

Warum diese Seite so konkret ist

Den Algorithmus und seine Kostenparameter zu nennen, ist Absicht — und genau das verlangen Sicherheitsstandards, statt dass wir uns etwas herausnehmen. Ein System sollte sicher sein, wenn alles außer den Schlüsseln öffentlich ist; dieses Prinzip ist älter als die Branche, und deshalb veröffentlicht das NIST seine kryptografischen Standards offen, statt sie vage zu beschreiben. Ein Design, das nur hält, solange niemand weiß, wie es funktioniert, ist kein Design, das hält.

Was Sie hier nicht finden, ist etwas tatsächlich Geheimes: keine Softwareversionen oder Patchstände, keine internen Hostnamen oder Netzwerkaufbau, kein Schlüsselmaterial und keine Schwellenwerte, auf die ein Angreifer hinarbeiten könnte — wie viele Versuche eine Sperre auslösen oder wie lange ein Limit gilt. Die Zahlen auf dieser Seite sind Zusagen an Sie, keine Einstellungen, auf die man zielen könnte.

Wenn Sie uns prüfen und hier etwas nicht konkret genug ist, um Ihre Frage zu beantworten, fragen Sie. Wir schreiben es lieber auf, als dass Sie raten müssen.

Eine Schwachstelle melden

E-Mail security@closerev.com, oder lesen Sie die maschinenlesbare Fassung unter /.well-known/security.txt. Wir bestätigen den Eingang innerhalb von 2 Werktagen, teilen Ihnen innerhalb von 10 Werktagen mit, ob wir es reproduzieren konnten, und halten Sie auf dem Laufenden, bis es geschlossen ist. Wir bitten um 90 Tage vor einer Veröffentlichung, weniger, wenn die Korrektur früher erscheint.

Bitte greifen Sie nicht auf fremde Daten zu, ändern oder behalten Sie sie nicht, führen Sie keine automatisierten Scans durch, die den Dienst für Kunden beeinträchtigen, und versuchen Sie kein Social Engineering bei unserem Team oder unseren Dienstleistern. Innerhalb dieser Grenzen gehen wir nicht gegen Forschende vor, die in gutem Glauben handeln, und nennen Sie gern, wenn Sie das möchten.

Weiterführend

Datenschutzerklärung · Auftragsverarbeitungsvertrag · Unterauftragsverarbeiter