Wir verkaufen Ihnen Compliance – deshalb sollten wir unsere eigene nicht nur behaupten, sondern zeigen können. Diese Seite listet konkret auf, was technisch tatsächlich eingesetzt wird, nicht was gut klingt.
Selbst die leistungsfähigsten Computer von morgen sollen Ihre Daten von heute nicht knacken können.
Klassisch verschlüsselte Daten haben ein stilles Ablaufdatum: Angreifer können sie schon heute unbemerkt abfangen und aufbewahren, um sie erst in einigen Jahren zu entschlüsseln, sobald leistungsfähige Quantencomputer verfügbar sind – Fachleute nennen das "Harvest now, decrypt later". Für Dokumente, die Sie bei uns hochladen, setzen wir deshalb von der ersten Zeile Code an auf eine hybride Verschlüsselungsarchitektur: AES-256-GCM für die Dateien selbst, kombiniert mit einem hybriden Schlüsselaustausch aus klassischem ECDH und ML-KEM-768 (FIPS 203, dem NIST-Standard-Nachfolger von Kyber) für die Schlüsselweitergabe im Team – demselben Ansatz, den Cloudflare und Chrome bereits produktiv in TLS einsetzen. Verschlüsselt wird direkt in Ihrem Browser, bevor die Datei unser System überhaupt erreicht. Unter Compliance-Werkzeugen für kleine und mittlere Unternehmen in Deutschland ist das aktuell keine Selbstverständlichkeit; die EU schreibt Anforderungen an quantensichere Kryptografie erst schrittweise bis 2030 in die NIS2-Regulierung. Wir beobachten die Entwicklung der Kryptographie nicht nur passiv, sondern forschen aktiv an der nächsten Generation kryptographischer Verfahren und entwickeln Prototypen dazu, um Standards frühzeitig zu übernehmen.
Wenn Sie ein Dokument freigeben, wird es mit Ihrem eigenen Schlüssel unterschrieben – ML-DSA-65 nach FIPS 204, ebenfalls ein quantensicheres Verfahren. Damit ist beweisbar, dass genau diese Datei freigegeben wurde und seither unverändert ist. Den geheimen Schlüssel besitzen ausschließlich Sie; wir können weder unterschreiben noch die Unterschrift verändern. Selbst nachprüfen – im Browser, ohne Konto, ohne Server.
Ihre Daten liegen in einer Postgres-Datenbank bei Supabase in der Region eu-central-1 (Frankfurt). Die Website selbst wird über Vercel ausgeliefert, Schulungsvideos über Backblaze B2 in der Region eu-central-003 (Amsterdam). Alle drei Anbieter werden als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden, Details in der Datenschutzerklärung.
Wir trennen Kundendaten nicht nur in der Anwendung, sondern direkt in der Datenbank: Row-Level-Security-Regeln erzwingen, dass jede Nutzerin ausschließlich auf ihre eigenen Datensätze zugreifen kann – selbst ein Fehler im Anwendungscode würde diese Trennung nicht umgehen.
Passwörter werden nie im Klartext gespeichert, sondern von unserem Auth-Anbieter gehasht. Beim Anlegen oder Ändern zeigen wir Ihnen live eine Checkliste (Länge, Groß-/Kleinschreibung, Zahl, Sonderzeichen), damit Sie ein robustes Passwort wählen.
Die gesamte Website und alle Formulare laufen ausschließlich über HTTPS/TLS – Ihre Eingaben sind auf dem Weg zu uns immer verschlüsselt, nie im Klartext unterwegs.
Ihre Fragebogen-Angaben werden bei jeder Änderung als Verlaufseintrag gespeichert (Audit-Trail) – Sie können jederzeit nachvollziehen, wann sich was geändert hat, nicht nur den aktuellen Stand sehen.
Sie können Ihre Compliance-Angaben, Ihr Team und Ihren Verlauf jederzeit selbst im Kundenbereich unwiderruflich zurücksetzen – ohne dafür bei uns anfragen zu müssen.
Genauso wichtig wie das, was wir einsetzen, ist das, was wir gar nicht erst einbauen.
Diese Seite ist die kurze, verständliche Zusammenfassung. Die rechtlich verbindlichen Details – Rechtsgrundlagen, Speicherfristen, Ihre Betroffenenrechte – stehen in unserer Datenschutzerklärung.
Schreiben Sie uns – wir beantworten technische Nachfragen persönlich, nicht mit einem Textbaustein.
Kontakt aufnehmen