FAQ — Sicherheit & Datenschutz

Alle Daten werden verschlüsselt übertragen. Sensible Daten wie Integrationsschlüssel, Zugangsdaten zu Servern und Anbietern, Zugangsdaten für Backups und gespeicherte Geheimnisse liegen mit AES-256-GCM verschlüsselt in der Datenbank. Passwörter speichern wir nur als Hash. Der Dienst läuft mit eingeschränkten Rechten, und Zugriffe auf Zielsysteme unterliegen Schutzregeln gegen Missbrauch.

Auf Servern in Deutschland. Auch die KI-API betreiben wir in einem eigenen Rechenzentrum. Wo wir Dienstleister einsetzen, etwa für Zahlungen, Rechnungen, SMS oder Domains, sind sie im Auftragsverarbeitungsvertrag und in der Datenschutzerklärung genannt.

Aktivieren Sie unter Einstellungen einen zweiten Faktor, am besten einen Passkey oder Security Key. Passkeys verlangen immer PIN oder Biometrie. Mehrfache Fehlversuche sperren die Anmeldung zeitweise. Mit Microsoft oder Google melden Sie sich nur an, wenn Sie das Konto vorher verknüpft haben, neue Konten entstehen dadurch nie. Siehe Konto, Anmeldung & Profil.

Nur mit Ihrer Freigabe, wenn etwas geändert werden soll. Der Support kann eine Organisation lesend ansehen, um Fragen zu klären. Schreiben darf er nur, wenn Sie unter Einstellungen → Sicherheit eine zeitlich begrenzte Freigabe erteilen (15 Minuten bis 4 Stunden) und Sie diese jederzeit widerrufen können. Konto-Einstellungen wie Passwort, E-Mail und Passkeys bleiben immer gesperrt. Jeder Zugriff wird protokolliert.

Das Secret eines API-Zugangs wird nur einmal angezeigt. Wir speichern nur einen Hash davon und können es nicht wiederherstellen, bei Verlust erstellen Sie einen neuen Zugang. Zugriffstoken sind kurzlebig und auf die gewählten Berechtigungen (Scopes) beschränkt. Für Claude, ChatGPT und andere Apps erscheint immer ein Zustimmungsfenster, das Sie in den Einstellungen widerrufen können.

Oberflächliche Checks allein könnten Sie in falscher Sicherheit wiegen: Eine Website wäre vielleicht gar nicht so sicher, wie es scheint. Für bestimmte, besonders aussagekräftige aktive Prüfungen (z. B. tiefergehende, beweisführende Tests einzelner Schwachstellenarten) verlangen wir deshalb zusätzlich zum Nachweis der Domain-Inhaberschaft eine ausdrückliche Freigabe und Haftungsfreistellung (AGB Ziffer 4a) für genau diese Domain. Die Freigabe erteilen Sie entweder per hochgeladenem Dokument oder über eine Bestätigungsseite, die die berechtigte Person ausfüllt — bei Agenturen also der Endkunde, der über die Domain entscheiden darf, nicht die Agentur selbst. Wir prüfen jede Freigabe von Hand, bevor sie wirksam wird, und sie gilt nur für die genannte Domain. Siehe Domain verifizieren.

Nur Sie und die Mitglieder Ihrer Organisation, je nach Rolle. Ergebnisse sind nie öffentlich. Wenn Sie etwas weitergeben, tun Sie das gezielt per Freigabelink, der zeitlich begrenzt und widerrufbar ist.

Nein. Hochgeladener Code wird zur Analyse verarbeitet und danach gelöscht, gespeichert werden nur die Befunde. Eine Ausnahme ist die automatische KI-Bereinigung per SFTP/FTP. Dabei legen wir vor jeder Änderung ein Backup Ihres Servers an, das als Rollback dient. Es liegt verschlüsselt bei uns, wird nach 30 Tagen gelöscht, und nur Ihre Organisation kann es herunterladen.

Für KI-Analysen übertragen wir nur technische Scan-Daten wie Befunde, Domain-Adresse und Noten, keine personenbezogenen Daten Ihrer Besucher. Vor jeder Analyse erscheint ein Transparenz-Hinweis. Sie können einen eigenen KI-Anbieter mit EU-Standort oder ein selbst betriebenes Modell hinterlegen.

Messwerte wie Last, Speicher, Festplatten und Netzwerk, laufende Dienste und Prozesse, anstehende Updates und installierte Server-Software. Keine Dateiinhalte, keine Benutzerdaten. Jede Meldung ist signiert. Der Agent nimmt keine beliebigen Befehle entgegen, er kann sich nur selbst aktualisieren und entfernen.

Keine Cookies und keine Profile. Das Widget speichert nichts auf dem Gerät und erstellt keinen Fingerabdruck. Für die Bewertung nutzen wir technische Signale der einzelnen Anfrage, ein Wiedererkennen über mehrere Besuche findet nicht statt. Details und die Verarbeitung im Auftrag stehen im Auftragsverarbeitungsvertrag.

Nur ein technisches Inventar: Versionen von WordPress, PHP, Plugins und Themes, Einstellungen zur Absicherung und Statusinformationen. Keine Beiträge, Kommentare oder Personendaten Ihrer Besucher. Die Dateiprüfung überträgt nur Pfade und Kennungen auffälliger Dateien. Das Plugin schlägt einen Text für Ihre Datenschutzerklärung vor.

Ja. Sie schließen ihn online unter Einstellungen ab, er gilt für alle Dienste der Plattform und nennt die eingesetzten Unterauftragsverarbeiter. Bei neuen Versionen bitten wir Sie um erneute Zustimmung.

Administratoren sehen im Audit-Log alle sicherheitsrelevanten Aktionen: Anmeldungen, Rollenwechsel, Zugriffe, Konfigurationsänderungen. Für DNS-Zonen gibt es zusätzlich ein Änderungsprotokoll je Zone mit Rücknahme.