Sicherheit

Eine E-Mail-Adresse, ein Name, falls angegeben, Ihre Sprache und Zeitzone, Zeitpunkt und Browser (User-Agent) Ihrer letzten Anmeldung, die Kennung Ihres Google-Kontos, wenn Sie sich mit Google anmelden, die Liste der Unternehmen, die Sie beobachten, die Regeln, die Sie geschrieben haben, alle Ziele für Warnungen, die Sie hinzufügen — E-Mail-Adressen, Slack-Kanäle oder Webhook-URLs — und die Adressen der Personen, die Sie in Ihr Konto einladen. Wird eine E-Mail von uns abgewiesen oder als Spam gemeldet, speichern wir außerdem die Adresse und den Grund, damit wir sie nicht mehr anschreiben. Das ist der gesamte Bestand an Kundendaten. Der Graph selbst wird aus öffentlichen Offenlegungen über Unternehmen zusammengesetzt und gehört uns; eine Verletzung des Datenbestands würde also nichts über Sie offenlegen, was nicht ohnehin im Internet veröffentlicht ist.

Wir sehen nie eine Kartennummer. Stripe stellt das Kartenformular, die Rechnungen und die Zahlungsmethode selbst bereit; wir erhalten nur den Tarif und dessen Status.

• TLS bei der Übertragung. Im Ruhezustand liegen Datenbank, gespeicherte Dateien und Backups auf vollständig verschlüsselten Datenträgern, und die Zugangsdaten, die der Dienst für Sie verwahrt — Webhook-Geheimnisse, Slack-Tokens, Tokens für Partnerverbindungen — sind zusätzlich spaltenweise verschlüsselt.
• Anwendung und Daten bei Hetzner in Deutschland gehostet, in der Europäischen Union.
• Zugang zur Produktion hat allein der Gründer. Jedes Infrastrukturkonto verlangt Mehr-Faktor-Authentifizierung, die Server akzeptieren nur SSH-Schlüssel, die Mitarbeiterkonsole verlangt einen TOTP-Code als zweiten Faktor, und alle mit Zugang sind an eine schriftliche Vertraulichkeitsverpflichtung gebunden.
• Anmeldung per Magic Link oder „Mit Google anmelden“, damit es kein Passwort gibt, das wiederverwendet, geleakt oder Ihnen abgephisht werden kann. Ein Anmeldelink funktioniert einmal, läuft nach 15 Minuten ab, wird nur als Digest gespeichert und verlangt einen Klick auf einer Bestätigungsseite — ein E-Mail-Scanner, der ihn öffnet, meldet also niemanden an.
• Hetzners automatische Server-Backups, 7 Tage lang aufbewahrt.
• Prüfung von Abhängigkeiten und Schwachstellen bei jeder Änderung, wobei aktiv ausgenutzte Schwachstellen mit Vorrang gepatcht werden.
• Mitarbeitervorgänge werden in einem nur erweiterbaren Audit-Protokoll festgehalten und 12 Monate aufbewahrt.

Der Graph-Datenbestand liegt hinter einer internen Schnittstelle innerhalb der Anwendung, und der Code, der Ihr Konto bedient, erreicht ihn nur über diese Schnittstelle — ein Architekturtest lässt den Build fehlschlagen, wenn etwas an ihr vorbeigreift. Das begann als Entscheidung, den Datenbestand portabel zu halten, und es hat eine Folge für die Sicherheit, die man aussprechen sollte: Ein Lesezugriff auf den Datenbestand trägt keine Kundenkennung, weil die Schnittstelle nirgends eine unterbringen könnte. Beobachtungslisten, Regeln und Bestände liegen auf der Anwendungsseite und verweisen auf Unternehmen über Kennungen.

Dieses Produkt ist reiner Self-Service, und das ist eine dauerhafte Beschränkung, keine Phase. Damit entfallen Enterprise-SSO und SAML, individuelle oder granulare Rollen und Berechtigungen, Arbeitsbereiche für mehrere Mandanten, individuelle Verträge und ausgefüllte Sicherheitsfragebögen auf Anfrage. Die Anmeldung erfolgt per Magic Link oder „Mit Google anmelden“ — in beiden Fällen eine bestätigte Adresse, keine IdP-Integration. Kolleginnen und Kollegen können zu einem Konto eingeladen werden (Inhaber oder Mitglied, mit einer vom Tarif begrenzten Platzzahl), aber es gibt keine SSO-gesteuerte Bereitstellung und kein individuelles Berechtigungsmodell über diese beiden Rollen hinaus.

Wir sind weder nach SOC 2 noch nach ISO 27001 zertifiziert. Wenn Ihr Einkaufsprozess eines von beidem verlangt, passen wir noch nicht zu Ihnen, und Sie sollen das lieber hier erfahren als nach drei Wochen E-Mail-Verkehr.

Was wir stattdessen bieten, ist eine kurze, konkrete Beschreibung eines kleinen Systems — diese Seite, der AVV und unsere eigene Unterauftragsverarbeiter-Liste — und die Möglichkeit, mit einem Klick zu kündigen, wenn wir es nicht mehr wert sind.

Sicherheitsmeldungen richten Sie an security@nthparty.io. Wir bestätigen innerhalb von zwei Werktagen, wir sagen Ihnen, was wir gefunden haben und wann es behoben ist, und wir drohen niemandem, der in gutem Glauben meldet. Wir haben kein Budget für ein Bug-Bounty-Programm und tun nicht so als ob.

Den Zustand des Dienstes veröffentlichen wir auf status.nthparty.io, gehostet von Better Stack, und geplante Wartungsarbeiten kündigen wir dort vorher an. Offenlegungen werden in jeder Stufe täglich geprüft.