Sicherheit

Architektur

UptimeGlobe läuft auf einer vollständig verwalteten Serverless-Plattform, betrieben von einem erstklassigen Infrastrukturanbieter. Es gibt keine dauerhaft laufenden Server von uns, keine SSH-Zugänge, deren Schlüssel wir erneuern müssten, und keine Betriebssysteme, die wir patchen müssten – eine ganze Klasse von Sicherheitslücken gehört schlicht nicht zu unserer Angriffsfläche. Der gesamte Datenverkehr, nach außen wie intern, läuft über TLS.

Ihr Konto

• Passwörter werden mit PBKDF2-SHA256 gehasht (100.000 Iterationen, Salt pro Nutzer). Wir speichern oder protokollieren nie ein Passwort im Klartext, und die Antworten bei der Anmeldung sind so gestaltet, dass sich die Existenz eines Kontos nicht über Zeitmessung ausforschen lässt.
• Zwei-Faktor-Authentifizierung (TOTP) steht jedem Konto zur Verfügung, auch im Tarif Free.
• Sitzungen verwenden ein kurzlebiges Token mit 15 Minuten Gültigkeit plus ein rotierendes Aktualisierungstoken, das nur einmal verwendet werden kann. Wird ein bereits rotiertes Aktualisierungstoken erneut verwendet – das Kennzeichen einer gestohlenen Sitzung –, werden alle Sitzungen des Kontos widerrufen. Passwortänderungen und -zurücksetzungen bewirken dasselbe.
• Bot-Schutz: Registrierung und Anmeldung werden auf automatisierten Missbrauch geprüft, ohne dass Sie ein CAPTCHA lösen müssen.

Ihre Zugangsdaten und Daten

• Zugangsdaten für Benachrichtigungen – Slack-Tokens, Webhook-URLs, Schlüssel von SMS-Anbietern – werden im Ruhezustand mit AES-256-GCM verschlüsselt, mit einem Schlüssel, der außerhalb der Datenbank liegt. Die API gibt sie nur geschwärzt zurück, und Fehlermeldungen werden bereinigt, damit eine fehlschlagende Integration ihr eigenes Geheimnis nicht preisgeben kann.
• Die Trennung der Kundenkonten wird in der Datenzugriffsschicht selbst durchgesetzt: Jede Abfrage auf Daten eines Kundenkontos wird automatisch auf Ihre Organisation beschränkt, und unsere Linter weisen Code zurück, der diese Schnittstelle umgeht. Es bleibt nicht jedem einzelnen Endpunkt überlassen, daran zu denken.
• API-Schlüssel werden pro Ressource und pro Aktion (Lesen/Schreiben) berechtigt, nur einmal bei der Erstellung angezeigt, gehasht gespeichert und können jederzeit widerrufen werden.
• Zahlungsdaten: Kartendaten berühren unsere Systeme nie. Sobald kostenpflichtige Abrechnung läuft, übernimmt ein spezialisierter Zahlungsanbieter den Bezahlvorgang und die Speicherung der Kartendaten.

Rechte an Ihren Daten

Sie können Ihre Daten exportieren und Ihr Konto löschen – die Löschung entfernt die Daten Ihres Kontos tatsächlich endgültig und setzt nicht nur eine Markierung. Einzelheiten in der Datenschutzerklärung.

Stand der Compliance

UptimeGlobe verfügt noch über keine Zertifizierung nach SOC 2 oder ISO 27001 – wir sind ein junges, vom Gründer betriebenes Produkt und geben nicht vor, etwas anderes zu sein. Diese Seite beschreibt die tatsächlichen Schutzmaßnahmen, die heute bestehen; sie wird aktualisiert, wenn sich unser Sicherheitsniveau weiterentwickelt.

Eine Sicherheitslücke melden

Etwas gefunden? Nutzen Sie das Kontaktformular: Wählen Sie das Thema Etwas anderes und beginnen Sie Ihre Nachricht mit „SECURITY“. Beschreiben Sie die Schritte zur Reproduktion und die Auswirkungen, die Sie vermuten. Wir bestätigen den Eingang innerhalb von 2 Werktagen, halten Sie während der Behebung auf dem Laufenden und nennen Sie auf Wunsch namentlich. Bitte greifen Sie beim Testen nicht auf Daten anderer Nutzer zu – ein Machbarkeitsnachweis mit Ihrem eigenen Konto genügt immer.