Sicherheit
Wo die Daten liegen und wie HocDoc sie schützt, in verständlicher Form.
Stand:
Hosting und Speicherort
Datenbank, Anmeldung und Dateien von HocDoc liegen bei Supabase in Frankfurt (Region eu-central-1). Dazu gehören alle Angebote, Kontakte, Annahmen und Zertifikate.
Der Mailversand (Resend), das Fehler-Monitoring (Sentry) und die Produkt-Analytics (PostHog) laufen jeweils in der Region EU des Anbieters.
Welche Dienste wir einsetzen und was sie verarbeiten, steht in der Liste der Subprozessoren.
Trennung der Workspaces
Jeder Datensatz gehört zu genau einem Workspace. Die Datenbank prüft bei jedem Zugriff selbst, ob die angemeldete Person Mitglied dieses Workspace ist und welche Rolle sie hat (Row Level Security). Diese Prüfung gilt für jede Tabelle und greift auch dann, wenn ein Zugriff an der App vorbei erfolgt.
Es gibt vier Rollen: Inhaber, Admin, Mitglied und Betrachter. Betrachter lesen nur, Einstellungen und Team verwalten Inhaber und Admins.
Test und Produktion laufen in getrennten Datenbanken.
Anmeldung
- Anmeldung mit E-Mail-Adresse und Passwort. Die E-Mail-Adresse muss bestätigt sein.
- Zwei-Faktor-Anmeldung mit einer Authenticator-App (TOTP), freiwillig je Konto. Die Regel gilt auch in der Datenbank: Ein Konto mit zweitem Faktor kommt ohne Code nicht an die Daten.
- Zehn Wiederherstellungscodes für den Fall, dass das Gerät fehlt. Gespeichert wird nur ein Hash.
- Eine Mail an das Konto, wenn das Passwort geändert, die Zwei-Faktor-Anmeldung ein- oder ausgeschaltet oder ein Wiederherstellungscode verwendet wurde.
- Ein Passwortwechsel beendet alle anderen Sitzungen des Kontos.
- API-Keys werden nur als Hash gespeichert. Verlässt ihr Ersteller den Workspace oder verliert er die Rolle Admin, widerruft die Datenbank seine Keys.
Verschlüsselung beim Transport
Die App, die Angebotsseiten und die Verbindungen zu unseren Dienstleistern laufen über HTTPS.
Protokoll der Annahme
Eine Annahme bestätigt der Empfänger mit einem Code, den er per E-Mail erhält. Der Code gilt 15 Minuten.
- Versendete Versionen eines Angebots sind unveränderlich.
- Jedes Ereignis (Versand, Öffnung, Code-Abfrage, Annahme) wird protokolliert und lässt sich nicht nachträglich ändern oder löschen. Jedes Ereignis trägt den Hash seines Vorgängers.
- Mit der Annahme speichert HocDoc ein Abbild des angenommenen Dokuments, dessen Hash, Zeitpunkt, IP-Adresse und Browser-Kennung und erzeugt daraus ein Zertifikat als PDF.
Ob ein Zertifikat echt ist, kann jeder auf der Prüfseite prüfen. Die Datei bleibt dabei im Browser, übertragen wird nur ihr SHA-256-Wert.
Datensparsamkeit gegenüber Dienstleistern
Dienstleister erhalten nur, was sie für ihre Aufgabe brauchen.
- Fehler-Monitoring: nur Fehler, ohne IP-Adresse, Cookies, Formulardaten und Inhalte von Anfragen. Vom Konto geht nur die ID mit, nie E-Mail-Adresse oder Name. Zugangs-Token in Adressen werden maskiert.
- Produkt-Analytics: nur in der angemeldeten App. Gesendet werden IDs und Zählwerte, nie E-Mail-Adressen, Namen, Titel oder Inhalte von Angeboten. Keine Aufzeichnung von Sitzungen. Auf den Angebotsseiten wird nichts gesendet.
- Hintergrund-Jobs: Der Dienst erhält nur IDs. Adressen, Namen und Inhalte lädt die App erst beim Versand selbst aus der Datenbank.
Entwicklung und Änderungen
- Jede Änderung am Code läuft über einen Pull Request mit automatischen Tests.
- Die Datenbank wird nur über versionierte Migrationen geändert, zuerst in der Testumgebung, dann in Produktion.
Verfügbarkeit
Die Erreichbarkeit von App und Website wird alle drei Minuten von außen geprüft. Den aktuellen Zustand zeigt die Statusseite.
Zertifizierungen
HocDoc hat derzeit keine Zertifizierung nach SOC 2 oder ISO 27001.
Sicherheitslücke melden
Haben Sie eine Sicherheitslücke gefunden, schreiben Sie bitte an kontakt@leadscape.de.