Sicherheit

Wir befolgen Sicherheitspraktiken, die sich an ISO/IEC 27001 und SOC 2 orientieren, verfügen jedoch derzeit über keine Zertifizierung (siehe unten). Das Programm liegt in der Verantwortung unserer Entwicklungsleitung, wird mindestens jährlich überprüft und gilt für alle Mitarbeitenden, Auftragnehmer und Unterauftragsverarbeiter, die auf Kundendaten zugreifen.

• Bei der Übertragung: TLS 1.2 oder höher für alle Verbindungen zum Dienst. HSTS ist auf der öffentlichen Website aktiviert.
• Im Ruhezustand: AES-256 für verwalteten Datenbank- und Objektspeicher.
• Secrets: API-Schlüssel und Zugangsdaten werden in einem verwalteten Secrets-Speicher aufbewahrt und nach einem dokumentierten Zeitplan rotiert.

• Rollenbasierte Zugriffskontrolle mit minimalen Berechtigungen als Standard.
• Verpflichtende Multi-Faktor-Authentifizierung für alle administrativen Zugriffe auf Produktionssysteme und Quellcode-Repositories.
• Der Zugriff auf Produktionssysteme ist auf eine kleine Gruppe von Entwicklern mit dokumentiertem betrieblichem Bedarf beschränkt und wird protokolliert.
• SSO (Google) wird für Kundenkonten unterstützt; SAML/SCIM ist im Agency-Tarif verfügbar.

• Hosting im Edge-Netzwerk von Cloudflare mit DDoS-Schutz und Web Application Firewall.
• Verwaltetes Postgres auf Supabase (EU-Region) mit automatisierten Backups und Point-in-Time-Recovery.
• Netzwerksegmentierung zwischen öffentlicher Ebene, Anwendungsebene und Datenebene.
• Zentrale Protokollierung und kontinuierliche Überwachung auf ungewöhnliche Aktivitäten.

• Alle Änderungen durchlaufen vor dem Merge ein Code-Review und automatisierte Tests.
• Bei jedem Commit werden Abhängigkeiten gescannt, statische Analysen durchgeführt und Secrets gesucht.
• Produktions-Deployments sind nachvollziehbar und können rückgängig gemacht werden.
• Entwickler erhalten jährlich Schulungen zu sicherer Entwicklung und Datenschutz.

• Datenbank-Backups werden kontinuierlich erstellt und mindestens 7 Tage aufbewahrt; tägliche Snapshots werden 30 Tage aufbewahrt.
• Wiederherstellungsverfahren werden jährlich anhand dokumentierter RTO- und RPO-Ziele getestet.
• Kritische Infrastruktur ist für höhere Ausfallsicherheit über mehrere Regionen oder Verfügbarkeitszonen verteilt.

Wir verfügen über einen dokumentierten Plan zur Reaktion auf Sicherheitsvorfälle, der Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung umfasst. Betroffene Kunden werden über bestätigte Verletzungen des Schutzes personenbezogener Daten unverzüglich und innerhalb von 72 Stunden benachrichtigt, wie vorgeschrieben in unserer DPA.

Sicherheitsforscher sind eingeladen, vermutete Schwachstellen zu melden an security@citations.io. Bitte beachte die Vorgaben in unserer Richtlinie zur zulässigen Nutzung - wir werden keine rechtlichen Schritte gegen Forschung in gutem Glauben einleiten, die diesen Vorgaben entspricht, und wir werden Forschende (mit ihrer Zustimmung) namentlich würdigen, sobald eine Fehlerbehebung veröffentlicht wurde.

Datenschutzgesetze

Der Dienst ist so konzipiert, dass er Kunden bei der Einhaltung der UK GDPR, der EU-DSGVO und des California Consumer Privacy Act (in der durch den CPRA geänderten Fassung) unterstützt. Siehe unsere Datenschutzerklärung und DPA.

SOC 2 / ISO 27001

SOC 2 Type II steht auf unserer Compliance-Roadmap. Wir sind zwar noch nicht zertifiziert, haben die oben beschriebenen Kontrollen aber bereits implementiert. Kunden mit einer Vertraulichkeitsvereinbarung können unseren aktuellen Sicherheitsfragebogen und eine Architekturübersicht anfordern.

• Wähle starke, einzigartige Passwörter und aktiviere MFA für dein Konto.
• Passe die Zugriffsrechte deines Teams zeitnah an, wenn Personen dazukommen oder das Team verlassen.
• Behandle API-Schlüssel und Zugangsdaten für Integrationen als Geheimnisse.
• Melde den Verdacht auf eine Kompromittierung deines Kontos an security@citations.io und zwar umgehend.