Vertrauen

Sicherheit

Fassung 0.3 (Entwurf) · Stand 4. Oktober 2026

In Dokumenten steckt das, was Unternehmen am wichtigsten ist: Rechnungen, Verträge, Kundendaten. Diese Seite beschreibt, wie wir das schützen, was wir noch nicht haben, und wie Sie ein Problem melden.

1. Umgang mit Ihren Daten

• Übertragung mit TLS 1.2 oder höher; Dateien, Datenbanken und Backups sind verschlüsselt gespeichert.
• Erzeugte Dateien werden über signierte URLs ausgeliefert, die nach [KLÄREN: standardmäßig 1 Stunde] ablaufen. Wer den Link hat, kann die Datei bis dahin öffnen — behandeln Sie Links wie Geheimnisse.
• Dateien werden am Ende Ihrer Aufbewahrungsfrist automatisch gelöscht; die Fristen stehen in § 11 der AGB.
• Anfrage-Payloads werden standardmäßig nicht protokolliert. Sie können die Protokollierung je Workspace einschalten.
• Workspaces sind in der Datenschicht logisch getrennt, abgesichert durch automatisierte Tests.
• Wir nutzen Ihre Inhalte nicht zum Training von Modellen des maschinellen Lernens.
• Kundeninhalte werden in der Europäischen Union gespeichert und gerendert, auf Servern in Deutschland.

2. Isolation beim Rendern

Beim Rendern wird Eingabe ausgeführt, für die wir nicht einstehen können: Ihr HTML, Ihr CSS und bei den URL-Endpunkten die Seite eines Dritten. Jeder Render läuft deshalb in einer Sandbox ohne Zugriff auf Daten anderer Kunden und mit eingeschränktem ausgehendem Netzverkehr. Anfragen an private, interne und Loopback-Adressen werden blockiert — weshalb die Nutzungsrichtlinie den Versuch auch untersagt. [KLÄREN: eingesetzte Sandbox-Technik und Egress-Proxy]

3. Zugriff und Schlüssel

• Mitarbeitendenzugriff nach dem Minimalprinzip, mit Zwei-Faktor-Authentifizierung und personalisierten Konten, protokolliert und regelmäßig überprüft.
• API-Schlüssel werden nur als Hash gespeichert; ein Schlüssel lässt sich nach dem Anlegen nicht erneut anzeigen. Schlüssel lassen sich rotieren [KLÄREN: und einschränken?].
• Kundenkonten unterstützen Zwei-Faktor-Authentifizierung [KLÄREN]; administrative Aktionen erscheinen im Auditprotokoll.

4. Verfügbarkeit und Backups

Backups sind verschlüsselt, werden regelmäßig erstellt und in der Wiederherstellung getestet [KLÄREN: Turnus von Backup und Restore-Test]. Verfügbarkeitszusagen stehen im SLA. Eine Statusseite zeigt laufende und vergangene Störungen [KLÄREN: existiert].

5. Entwicklung und Änderungen

Änderungen durchlaufen Code-Review und automatisierte Tests. Die CI prüft Abhängigkeiten und sucht nach versehentlich eingecheckten Geheimnissen. Entwicklung und Produktion sind getrennt; Produktivdaten werden nicht zur Entwicklung genutzt. [KLÄREN: wie umgesetzt]

6. Sicherheitsvorfälle

Wir haben einen dokumentierten Prozess mit festen Rollen. Betrifft ein Vorfall personenbezogene Daten, die wir für Sie verarbeiten, benachrichtigen wir Sie innerhalb von [KLÄREN: 48] Stunden nach Kenntnis, wie in § 10 des AV-Vertrags geregelt. Sicherheitsrelevante Störungen veröffentlichen wir auf der Statusseite.

7. Was Ihr Einkauf von uns bekommt

• Anlage 2 des AV-Vertrags — die Maßnahmen dieser Seite als verbindliche vertragliche Zusage, nicht als Werbeaussage.
• Die schriftliche Beantwortung Ihres Sicherheitsfragebogens, einmal jährlich und kostenfrei.
• Eine unterschriebene Fassung des AV-Vertrags samt Standardvertragsklauseln auf Anfrage.

Externe Zertifizierungen wie SOC 2 oder ISO 27001 bestehen nicht. [KLÄREN: Wenn ihr eine anstrebt, hier benennen — mit einem Datum, das ihr haltet. Ein öffentlich verpasstes Datum kostet mehr als ein leerer Fahrplan.]

8. Schwachstellen melden

Finden Sie ein Sicherheitsproblem, schreiben Sie an security@dynamicdocumentapi.com mit Schritten zur Reproduktion und Ihrer Einschätzung der Auswirkung. Wir bestätigen den Eingang binnen [KLÄREN: 2 Werktagen], halten Sie auf dem Laufenden und nennen Sie nach der Behebung gern als Finder.

Bitte testen Sie nur gegen Ihren eigenen Workspace, greifen Sie nicht auf fremde Daten zu, führen Sie keine Überlastungs- oder Spam-Tests durch und geben Sie uns angemessene Zeit zur Behebung vor einer Veröffentlichung. Wer sich daran hält, hat von uns nichts zu befürchten. [KLÄREN: Gibt es eine Prämie? Wenn nein, das sagen, statt eine anzudeuten.]

Änderungen