Trust Center
Sicherheit, Datenschutz und Compliance bei ChaosDesk
Was Ihre Support-Daten schützt, wo sie liegen, wer uns bei der Verarbeitung hilft und wo unser Compliance-Programm steht.
Zuletzt aktualisiert
Überblick
ChaosDesk ist in der privaten Beta. Die gesamte Plattform läuft auf einem Server in Falkenstein, Deutschland, hinter Cloudflare, mit Docker Compose. Das reicht für die ersten Kunden, und wir sagen offen, was es nicht ist: Es gibt noch keinen zweiten Server, kein automatisches Failover und keine Verfügbarkeitszusage, das Wiederherstellungspunktziel liegt bei 6 Stunden, und wir haben keine Sicherheitszertifizierung. Alles auf dieser Seite beschreibt dieses Setup und sagt, wo die Produktionsplattform mehr leisten wird. Die rechtlichen Dokumente unten sind Entwürfe, die noch anwaltlich geprüft werden.
Datenstandort
Alles liegt in Deutschland: Server, Datenbank und Suche laufen am Hetzner-Standort Falkenstein, Anhänge und externe Datenbank-Backups in DigitalOcean Spaces in Frankfurt. Support-Daten verlassen die EU nur über die aufgeführten Unterauftragsverarbeiter, auf Grundlage der Standardvertragsklauseln.
Trennung der Workspaces
Jede Zeile trägt ihren Workspace, und die Datenbank setzt das mit Row-Level Security durch. Suchindizes, Dateien, Caches und Echtzeitkanäle sind genauso getrennt. Tests über Workspace-Grenzen laufen bei jeder Änderung.
Verschlüsselung
TLS 1.2 oder neuer mit HSTS für jede Verbindung zu uns und TLS innerhalb des Stacks. Unsere Hosting- und Speicheranbieter verschlüsseln ihre Festplatten und den Objektspeicher. Integrationsgeheimnisse nutzen einen Schlüssel, der nur Ihrem Workspace gehört.
Sichere Entwicklung
Statische Analyse (Semgrep, PHPStan), Prüfung von Abhängigkeiten und Geheimnissen in der CI, ein ZAP-Baseline-Scan auf Staging, SSRF-Schutz bei jedem ausgehenden Aufruf sowie bereinigter Rich Text und bereinigte Hilfe-Center-Themes.
Audit und Zugriff
Unveränderliche Ticket-Historie, Admin- und Zugriffsprotokolle, die Sie exportieren oder streamen können. Wir sehen Ihren Workspace nur, wenn Sie Support-Zugriff gewähren, und jede solche Sitzung steht in Ihrem Audit-Log.
KI mit Datenschutz
Die KI-Funktionen sind in der privaten Beta ausgeschaltet: Es ist kein KI-Anbieter angebunden, daher hat kein Tickettext unsere Server verlassen. Werden sie eingeschaltet, werden personenbezogene Daten zuerst maskiert, nie zum Training von Modellen genutzt, und Admins können KI vollständig abschalten.
Im Detail
Sicherheitsmaßnahmen
- Verschlüsselung bei der Übertragung
- TLS 1.2+ (TLS 1.3 bevorzugt) an der Edge und zum Ursprung, HSTS (2 Jahre, mit Subdomains) bei jeder App- und API-Antwort, TLS innerhalb des Stacks zu Datenbank, Cache und Queue.
- Verschlüsselung im Ruhezustand
- Anbieterseitige Verschlüsselung der Serverfestplatten und des Objektspeichers für Anhänge und Backups. Passwörter werden mit Argon2id gehasht; API-Tokens und Portal-Sitzungen werden als SHA-256-Hashes gespeichert. Envelope-Schlüssel pro Workspace (XChaCha20-Poly1305) schützen Integrations-, Kanal- und SSO-Geheimnisse; wird der Schlüssel gelöscht, sind sie unlesbar, auch in Backups. LUKS2-Volume-Verschlüsselung und clientseitig verschlüsselte Backups kommen mit der Produktionsplattform.
- Authentifizierung
- Mit Argon2id gehashte Passwörter, MFA (Authenticator-App, Passkeys, Sicherheitsschlüssel), Anmeldung mit Google oder Microsoft, SSO mit SAML und OpenID Connect, SCIM-Provisionierung, Sitzungs- und Passwortrichtlinien, IP-Allowlists (Enterprise).
- Backups und Wiederherstellung
- Tägliche Backups der gesamten Serverfestplatte, 7 Tage aufbewahrt, alle 6 Stunden ein geprüfter Datenbank-Dump und nächtlich ein Such-Dump in den Objektspeicher eines zweiten Anbieters, 30 Tage aufbewahrt. Das Wiederherstellungspunktziel der Beta liegt daher bei 6 Stunden. Wiederherstellungsskripte werden an Wegwerfkopien geübt; die erste Übung auf Produktionshardware, kontinuierliche Archivierung für Point-in-Time-Recovery und eine unveränderliche externe Kopie kommen mit der Produktionsplattform.
- Überwachung
- Eine unabhängige Statusseite prüft jede Minute aus dem Netz von Cloudflare die Website, die App, die API, einen Workspace, das Hilfe-Center und den Echtzeit-Hub und alarmiert uns per E-Mail und Chat; Fehler gehen an Sentry (EU-Region). Audit-Logs erfassen Aktionen von Admins und Mitarbeitern. Metriken und Alarme innerhalb des Stacks und eine formale Rufbereitschaft kommen mit der Produktionsplattform.
- Schwachstellenmanagement
- Prüfung der Abhängigkeiten (Composer und npm), Suche nach Geheimnissen über die gesamte Historie (gitleaks) und statische Analyse (Semgrep) bei jeder Änderung, ein wöchentlicher geplanter Lauf, ein ZAP-Baseline-Scan auf Staging, eine Software-Stückliste pro Version und ein Programm zur verantwortungsvollen Offenlegung. Scans der Container-Images und ein externer Penetrationstest sind vor dem Launch geplant.
- Missbrauchsschutz
- Prüfung bei der Anmeldung mit Cloudflare Turnstile, Versandlimits und Überwachung der Reputation, blockierte verwechselbare Workspace-Namen, Links zum Melden von Missbrauch auf gehosteten Seiten, Malware-Scans von Anhängen (ClamAV) und ein Verfahren zur Entfernung.
- Menschen
- Ein kleines Team. Mitarbeiterkonten nutzen MFA, der Serverzugang erfolgt nur per SSH-Schlüssel, die der Gründer verwaltet, und Support-Zugriff auf einen Workspace braucht Ihre Zustimmung und wird protokolliert. Verwaltete und verschlüsselte Laptops, Hintergrundprüfungen, Sicherheitsschulungen und eine vierteljährliche Überprüfung der Zugriffe sind in unseren Mitarbeiterrichtlinien festgehalten und werden eingeführt, aber noch nicht geprüft.
Compliance-Fahrplan
Der Stand von heute
Zertifizierungen brauchen Zeit. Wir zeigen, was umgesetzt ist, was vorbereitet wird und was noch nicht geplant ist.
| Thema | Status | Details |
|---|---|---|
| DSGVO | Umgesetzt | Hosting in der EU, Vertrag zur Auftragsverarbeitung, Werkzeuge zum Exportieren und Löschen der Daten von Endnutzern, Aufbewahrungsrichtlinien und Schwärzung. |
| Auftragsverarbeitungsvertrag | Entwurf, final vor dem Launch | Unser Standard-AVV, bei Bedarf mit den EU-Standardvertragsklauseln, Meldung von Datenpannen innerhalb von 48 Stunden. |
| Unterauftragsverarbeiter | Veröffentlicht | Die vollständige Liste mit Zweck und Standort. Änderungen kündigen wir 30 Tage im Voraus an. |
| Externer Penetrationstest | Noch nicht erfolgt | Umfang: App, API, Hilfe-Center, Messenger und Trennung der Workspaces; geplant vor dem öffentlichen Launch. Es wurde noch kein Test durchgeführt, daher gibt es noch keinen Bericht. |
| SOC 2 Typ I | In Vorbereitung | Richtlinien sind entworfen und warten auf ihre Einführung (Zugriff, Vorfallreaktion, Verschlüsselung, Lieferantenmanagement, Mitarbeitersicherheit). Kein Prüfer beauftragt, kein Prüfungszeitraum festgelegt. |
| SOC 2 Typ II | Geplant | Folgt nach Typ I und dem Beobachtungszeitraum. |
| ISO 27001 | Noch nicht geplant | Wir prüfen das erneut, wenn Kunden danach fragen. |
| Barrierefreiheit (WCAG 2.1 AA) | In Arbeit | Automatische axe-core-Prüfungen von App, Hilfe-Center, Messenger und Anmeldung bei jedem End-to-End-Lauf; ein schwerer oder kritischer Fund lässt den Build scheitern. Die manuelle Prüfung mit Tastatur und Screenreader steht noch aus, und unser Bericht zur Barrierefreiheit (VPAT) ist ein Entwurf. |
Unterauftragsverarbeiter
Sieben Anbieter helfen uns heute beim Betrieb von ChaosDesk: Hetzner (Hosting, Deutschland), Cloudflare (DNS, Proxy, TLS, die Anmeldeprüfung und die Statusseite), DigitalOcean Spaces (Anhänge und externe Backups, Frankfurt), Resend (E-Mail, EU-Region), Google Workspace (unser eigenes Postfach), Sentry (Fehlerberichte, EU-Region) und Paddle (Zahlungen, in der Beta nur im Sandbox-Modus). Die Liste der Unterauftragsverarbeiter nennt jeden, was er tut, wo er Daten verarbeitet und auf welcher Grundlage übermittelt wird. Workspace-Inhaber werden 30 Tage vor Änderungen informiert.
Freizugebende IP-Adressen
Wenn Ihre Systeme nur Verkehr aus bekannten Quellen annehmen: Die Adressen, von denen unsere Webhooks, der App-Proxy und der Kundendaten-Connector kommen, stehen auf der Seite IP-Adressen (auf Englisch). Es sind heute die Adressen der privaten Beta; sie ändern sich einmal zum öffentlichen Launch, mit 30 Tagen Vorlauf, wobei beide Sätze in diesen 30 Tagen antworten, und mit einer E-Mail an die Workspace-Admins.
Status und Verfügbarkeit
Live-Verfügbarkeit und Vorfallhistorie: status.chaosdesk.io. Sie läuft im Netz von Cloudflare, nicht auf unserem Server, und antwortet daher auch, wenn wir ausgefallen sind. Jede Minute prüft sie diese Website, die Anwendung, die API mit Datenbank, Queue, Cache und Suche, einen Workspace-Host, das Hilfe-Center und den Echtzeit-Hub, markiert eine Prüfung erst nach zwei Fehlschlägen in Folge als ausgefallen und antwortet maschinenlesbar unter /api/status auf demselben Host.
Während der privaten Beta bieten wir keine Verfügbarkeitszusage: Der gesamte Stack läuft auf einem Server, ein Neustart oder ein Vorfall beim Anbieter ist also sichtbare Ausfallzeit. Die auf der Preisseite genannten Verfügbarkeitswerte gelten ab dem öffentlichen Launch auf der Produktionsplattform, und die Service-Level-Vereinbarung dazu muss noch geschrieben werden.
Reaktion auf Vorfälle
Wir haben einen schriftlichen Prozess für Vorfälle mit Schweregraden, einer verantwortlichen Person und einer Nachbetrachtung für jeden schweren Vorfall. Betrifft ein Sicherheitsvorfall personenbezogene Daten in Ihrem Workspace, informieren wir Sie unverzüglich und innerhalb von 48 Stunden, nachdem wir davon erfahren haben, mit den Fakten, die Sie für Ihre eigene 72-Stunden-Meldung nach Art. 33 DSGVO brauchen, und halten Sie bis zum Abschluss auf dem Laufenden.
Schwachstelle melden
Schreiben Sie an [email protected]. Wir bestätigen den Eingang innerhalb eines Werktags und gehen nicht rechtlich gegen Forschung in gutem Glauben vor. Regeln und Umfang: verantwortungsvolle Offenlegung, maschinenlesbarer Kontakt: security.txt.
Missbrauch melden
Phishing, Spam oder schädliche Inhalte in einem Hilfe-Center, einer Community oder einem Messenger, die ChaosDesk hostet, oder E-Mails, die über uns versendet wurden: Nutzen Sie den Link „Missbrauch melden“ unten auf der jeweiligen Seite oder schreiben Sie an [email protected] mit der URL oder den vollständigen E-Mail-Headern. Meldungen zu Phishing und Malware prüfen wir innerhalb von 24 Stunden und entfernen bestätigte Fälle.
Sicherheitsprüfungen
Wir beantworten Sicherheitsfragebögen (CAIQ, SIG Lite oder Ihre eigenen) und können unsere Richtlinienentwürfe und den Entwurf unseres Berichts zur Barrierefreiheit (VPAT) unter NDA teilen. Einen Penetrationstest- oder Prüfbericht gibt es noch nicht; die Tabelle oben zeigt den Stand. Schreiben Sie an [email protected] oder [email protected].