Warum sind meine Daten sicher?
Die Sicherheit Ihrer Daten hat bei Flixcheck oberste Priorität. Um dem Anspruch gerecht zu werden, Ihre Daten bestmöglich zu schützen, wurden diverse Sicherheitsmaßnahmen getroffen, die Ihnen in diesem Artikel erläutert werden. Die technischen Details sind blau gekennzeichnet – sie sind für die technisch versierten Leser sicher interessant.
Verschlüsselung
Selbstverständlich werden Ihre Daten nach den neusten Standards verschlüsselt. Dies gilt während des Transports (auf dem Weg von Ihrem Gerät zu unserem Server) ebenso wie für ruhende Daten (gespeichert in unserer Datenbank und Datei-Ablage).
Transportverschlüsselung
Um Ihre Daten sicher von Ihrem Computer oder Smartphone an die Server zu übertragen, werden moderne Sicherheitsmethoden eingesetzt, wie sie von allen großen Websites bekannt sind. Mithilfe eines Zertifikats werden Ihre Daten vor dem Versand sicher verschlüsselt und nur der Flixcheck-Server kann die Daten wieder entschlüsseln, um sie weiter zu verarbeiten und (dann natürlich wieder verschlüsselt) speichern zu können. Ein bekannter Test für die Verschlüsselungs-Einstellungen und -Maßnahmen einer Website ist Qualys® SSL Labs. Dieser attestiert ein A+ Rating.
Es werden nur die sicheren TLS-Versionen 1.2 und 1.3 eingesetzt. Darüberhinaus ist HSTS aktiviert, um eine Downgrade- und Man-in-the-middle-Attacke zu verhindern. Für die Verschlüsselung wird RSA mit 2048 bits eingesetzt und Zertifikate von LetsEncrypt, die alle 60 Tage gewechselt werden.
Verschlüsselung ruhender Daten
Die Infrastruktur von Flixcheck befindet sich in ISO-27001-zertifizierten Rechenzentren der Deutschen Telekom. Um ebenfalls deren hohe Sicherheitsstandards für den Schutz Ihrer Daten einzusetzen, werden einige Services der Deutschen Telekom eingesetzt. Zum einen werden hochgeladene Dateien wie Bilder, PDF-Dokumente oder Excel-Dateien im sogenannten "Object Storage Service" gespeichert. Dort ist die "server-side encryption" für alle von Ihnen hochgeladenen Dateien aktiviert. Zum anderen werden alle Daten, die in der Datenbank stehen, auf virtuelle Festplatten des sogenannten "Elastic Volume Services" geschrieben. Dieser stellt ebenfalls eine "EVS Disk Encryption" zur Verfügung, der aktiviert ist.
Hier finden Sie die technischen Details zur Server-side encrpytion des Object Storage Services und EVS Disk Encryption.
Angriffsabwehr
Die Sicherheitsmaßnahmen gehen über das reine Verschlüsseln Ihrer Daten hinaus. Flixcheck stellt sicher, dass die Anwendung nur den Personen Zugriff gewährt, die Ihnen die entsprechende Anfrage zugesandt hat. Dies wird durch eine Datentrennung realisiert, die jeden Datensatz mit einem Benutzer eindeutig verknüpft und erst nach dessen erfolgreicher Anmeldung das Öffnen der Daten zulässt. Für die Anmeldung muss der Benutzer ein sicheres Passwort wählen, das gewissen Kriterien entspricht (mind. 8 Zeichen, Sonderzeichen, Groß- und Kleinbuchstaben).
Die Datentrennung erfolgt logisch mit internen Object-IDs. Login-Versuche werden protokolliert und bei zu vielen Fehlversuchen ein Delay eingesetzt, das einen erneuten Versuch erst nach einem gewissen, mit jedem Fehlversuch wachsenden Zeitraum zulässt. Dieser Delay ist IP-basiert, um eine Account-Lock-out-Attacke zu verhindern. Für den Login kann neben der klassischen Benutzername-Passwort-Kombination auch das Single-Sign-On-Protokoll SAMLv2 (und somit Keycards, 2FA und weitere Methoden) verwendet werden. Brute-Force-Attacken werden durch entsprechende Gegenmaßnahmen abgewehrt, die die Requests je Sekunde je IP zählt und bei Überschreiten eines Thresholds blockiert. DDoS-Attacken werden vom Cloud-Anbieter (Deutsche Telekom) abgewehrt.
Versand des Links
Die Flixcheck-Anwendung selbst ist durch die oben erläuterten Verschlüsselungs- und Sicherheitsmaßnahmen geschützt. Sobald Sie die Website geöffnet haben, befinden Sie sich im gesicherten Bereich. Um dorthin zu gelangen, erhalten Sie einen personalisierten Link. Dieser erreicht Sie – sollte der Versender keine eigene Methode einsetzen – via SMS oder E-Mail.
Wird der Link per SMS versandt, so geschieht dies über einen Dienstleister, der den Inhalt der SMS verschlüsselt von uns erhält und dann an den entsprechenden Netzbetreiber weitergibt. Beim E-Mail-Versand läuft dies ebenfalls über einen Dienstleister. Die Daten sind dabei ebenfalls auf dem Weg von Flixcheck zum Dienstleister verschlüsselt. Ob die E-Mail vom Dienstleister zu Ihrem E-Mail-Anbieter verschlüsselt ist, hängt von der Konfiguration Ihres Anbieters ab. Es wird aber stets versucht, einen verschlüsselten Kanal zu öffnen.
Bei beiden Versandwegen ist relevant, dass hier lediglich der personalisierte Link übermittelt wird. Erst im gesicherten, verschlüsselten Bereich von Flixcheck geben Sie Ihre Daten ein. Nach Absenden des Vorgangs ist der personalisierte Link gesperrt und Ihre Daten sind darüber nicht einsehbar.
Beim Versand des Links übergeben wir den Inhalt der Nachrichten stets via TLS an den Dienstleister. Die Sicherheit der SMS-Zustellung auf das Mobiltelefon liegt ausschließlich beim Mobilfunkanbieter. Der E-Mail-Dienstleister nutzt für den eigentlichen Versand der E-Mail opportunistic TLS. Der Link selbst beinhaltet einen zufällig generierten Code, der eindeutig den Vorgang identifiziert. Die Codes können nicht geraten werden, da eine entsprechend strikte Brute-Force-Prevention eingesetzt wird, die bereits nach wenigen Fehlversuchen das Raten blockiert.
Related Articles
Antiviren-Software bei Flixcheck
Wir haben keine Antiviren-Software installiert. Dies ist aus zwei Perspektiven schlüssig: 1. Weder verarbeiten wir hochgeladene Dateien noch führen wir diese aus. Sie werden lediglich – Bit für Bit – im Object Storage Service der Open Telekom Cloud ...Single Sign-On
Single Sign-On Flixcheck bietet die Möglichkeit, den Login mittels Single Sign-On (SSO) zu automatisieren. Vorteile: -Sicherheit: Durch die Anmeldung innerhalb Ihrer IT werden alle Sicherheitsvorgaben Ihres Unternehmens eingehalten. -Schnelligkeit: ...Einfache Elektronische Signatur (EES) vs. Fortgeschrittene Elektronische Signatur
Einfache Elektronische Signatur (EES) vs. Fortgeschrittene Elektronische Signatur Der Unterschied zu unserer hauseigenen, kostenlosen einfachen elektronischen Signatur ist der, dass bei der FES biometrische Daten aufgenommen werden, die für die ...Kündigung/Löschung Account in Testphase
Da wir ein junges Unternehmen sind und immer gerne sehr nah an unseren Interessenten und Kunden sein möchten, würden wir uns sehr freuen, wenn Sie uns Ihren Grund für die Kündigung in der Testphase nennen. Grundsätzlich brauchen Sie Ihren ...Sprachen Paket
Sprachen Paket Mit dem Flixcheck Sprachen Paket können Sie sämtliche Texte, sei es im Portal, der Webapp, in SMS oder E-Mails auf andere Sprachen umstellen. Aktuell sind die neben Deutsch die folgenden Sprachen enthalten: - Englisch - Französisch - ...