Sicherheit in jeder Schicht verankert
Datenresidenz in der EU, TLS 1.2+ bei der Übertragung, Verschlüsselung sensibler Token auf Feldebene, eine Offenlegungsrichtlinie nach RFC 9116 und eine schriftlich zugesicherte Reaktion auf Sicherheitsvorfälle. Hier steht genau, was getan wird, mit wem Daten geteilt werden und wie sich ein Problem melden lässt.
Konkrete Zusagen statt Floskeln
Die vier Kennzahlen, die für Workspace-Administratoren bei der Bewertung anhand einer Enterprise-Checkliste zählen.
So lässt sich ein Befund melden
Koordinierte Offenlegung, im Klartext, ohne vorab zu unterzeichnende Geheimhaltungsvereinbarungen. In gutem Glauben handelnde Forschende sind vor rechtlichen Schritten geschützt.
Bestätigen
Persönliche Antwort von [email protected] zur Bestätigung des Eingangs & Vergabe einer Tracking-ID.
Triage
Schweregrad bewertet (CVSS-konform), Reproduktion bestätigt, internes Ticket mit Offenlegungsfrist eröffnet.
Behebung
Verbindliche Zielvorgaben nach Schweregrad: Kritisch <30 Tage, Hoch <60 Tage, Mittel <90 Tage. Forschende bleiben durchgehend informiert.
Bestätigen
Schriftliche Anerkennung des Befunds und, mit Zustimmung der forschenden Person, ein öffentlicher Dank in den Release Notes.
Im Geltungsbereich Bitte melden
- ks-agents.com und alle Subdomains (Produktion, Staging, Marketing).
- Die REST- & GraphQL-APIs von KS-Agents.
- Die Slack-App von KS-Agents — Slash-Befehle, Events API, OAuth-Flow, Interaktivität.
- Der Microsoft-Teams-Bot von KS-Agents.
- Alle kundenseitigen Dashboards, einschließlich eingebetteter Ansichten.
Außerhalb des Geltungsbereichs Nicht relevant
- Social Engineering, Phishing, physische Angriffe.
- Volumetrische DoS-/DDoS-Angriffe oder Fuzzing von Rate-Limits.
- Fehlende Best-Practice-Header ohne nachweisbare Auswirkung.
- Schwachstellen in genutzten Drittanbieterdiensten (bitte beim Anbieter melden).
- Unvalidierte Scanner-Ausgaben ohne eigens erstellten PoC.
Tiefengestaffelte Verteidigung, Schicht für Schicht
Was tatsächlich umgesetzt wird — nicht das, was eine geschönte Marketingseite verspricht. Jede Zeile unten verweist auf konkreten Code, konkrete Konfiguration oder einen konkreten Vertrag.
Identität & Zugriff
Authentifizierungsoptionen, die den Beschaffungsanforderungen von Unternehmen entsprechen.
- Entra ID SSO (OIDC) für mandantenweite Anmeldung
- Google-OAuth- & LinkedIn-OAuth-Fallbacks
- SCIM-2.0-Benutzerbereitstellung
- MFA für Mitarbeiterkonten verpflichtend
- Benutzerbezogene Berechtigungsvergabe in der Slack-Ebene
Datenschutz
TLS bei der Übertragung, Verschlüsselung sensibler Token auf Feldebene, Speicherung innerhalb der EU.
- TLS 1.2+ für sämtlichen Datenverkehr, HSTS-Preload
- Fernet (AES-128-CBC + HMAC-SHA256) für Bot-Token & Datensätze des Audit-Moduls
- Umgebungsspezifischer Master-Key, je Umgebung rotiert
- Tägliche Datenbank-Snapshots, die letzten 7 werden aufbewahrt
- Cloudflare R2, EU-Jurisdiktion, für Kundenmedien
Härtung der Integrationen
Speziell für die Slack- und Teams-Integrationen.
- HMAC-SHA256-Verifizierung bei jedem Slack-Webhook
- 5-minütige Zeitstempeltoleranz (Replay-Schutz)
- Event-ID-Deduplizierung über Redis (1-Stunden-TTL)
- Mandantenübergreifende Isolation auf Datenbankebene durchgesetzt
- Magic-Login-Token: 2-Minuten-TTL, einmalig nutzbar, atomarer Einlöseprozess
Wer Daten verarbeitet – und wo
Das Minimum, das für den Betrieb der Plattform erforderlich ist. Mit jedem Anbieter außerhalb der EU sind Standardvertragsklauseln unterzeichnet. Vollständige Liste und DPAs unter /legal/subprocessors/.
| Anbieter | Zweck | Region |
|---|---|---|
| Hetzner | Anwendungs- + Datenbank-Hosting | EU · Finnland |
| Cloudflare R2 | Objektspeicher (Medien, Exporte) | EU-Jurisdiktion |
| OpenAI | LLM-Inferenz (Text, Embeddings) | EU-Endpoint, sofern verfügbar |
| Google Cloud (Vertex AI) | LLM-Inferenz (Sprache, Text) | europe-west4 (NL) |
| Microsoft Azure OpenAI | LLM-Inferenz (EU-Fallback) | Sweden Central |
| Requesty | LLM-Routing-Ebene (ZDR) | Zustandsloser Proxy |
| Stripe | Abrechnung & Abonnements | Global, SCC unterzeichnet |
| Postmark / Resend | Transaktionale E-Mails | USA, SCC unterzeichnet |
| Iubenda | Datenschutzrichtlinie & Einwilligungsverwaltung | EU |
Ehrlich darüber, was vorhanden ist – und was nicht
Transparenz darüber, welche Frameworks aktiv umgesetzt sind und welche auf der Roadmap stehen. Keine Marketingversprechen ohne Substanz.
Aktiv umgesetzt Vorhanden
- DSGVO — DPA verfügbar unter /legal/dpa/, Löschung nach Art. 17 innerhalb von 30 Tagen.
- RFC 9116 — security.txt veröffentlicht & aktuell.
- EU Data Privacy Framework — Schrems-II-konform, SCCs unterzeichnet, sofern Daten die EU verlassen.
- Internes, kontinuierliches KI-Pentesting (Shannon-Tool).
Auf der Roadmap Noch nicht
- Formaler externer Penetrationstest.
- Verschlüsselung im Ruhezustand für das Postgres-Volume (LUKS) und Datenbank-Snapshots.
Etwas gefunden? Bitte zuerst uns informieren.
Meldungen, die in gutem Glauben und im Rahmen dieser Richtlinie erfolgen, sind vor rechtlichen Schritten geschützt. Für jeden anerkannten Befund erhalten Forschende eine schriftliche Bestätigung.
[email protected]