Sicherheit

Infrastruktur

Anwendungs-Server laufen auf Hetzner Cloud in Nürnberg, Deutschland. Datenbank (Postgres 17 mit pgvector) und Cache (Redis 7) laufen als Docker-Container auf demselben VPS hinter einer Firewall, die nur den öffentlichen App-Port (443) freigibt. E-Mail-Versand und -Empfang über AWS SES in eu-central-1; persistenter Storage (Logos, Backups) auf S3 in derselben Region.

Daten im Ruhezustand

Postgres-Daten liegen auf verschlüsseltem Blockstorage auf Hetzner-Volume-Ebene. S3-Buckets sind mit AES-256 SSE serverseitig verschlüsselt. Passwörter werden als bcrypt-Hashes (Cost-Factor 12) gespeichert. DB-Backups werden mit demselben SSE-S3-Verfahren verschlüsselt und über IAM geschützt.

Daten beim Transport

Sämtlicher öffentlicher Traffic terminiert HTTPS bei nginx mit TLS 1.2+ (1.3 bevorzugt), Zertifikate via Let's Encrypt automatisch erneuert. Interner Service-zu-Service-Traffic (Backend ↔ DB ↔ Redis) läuft über das Docker-Bridge-Netz und ist nicht öffentlich erreichbar. Ausgehende API-Calls an Subprozessoren (OpenAI, Vapi, Twilio, SES) nutzen TLS-pinned HTTP-Clients.

Zugriffsschutz

Anwendungszugriff erfordert ein JWT, ausgegeben per Passwort-Auth. JWT-Secret und DB-Passwort liegen serverseitig in einer nur vom App-User lesbaren .env-Datei. AWS-Zugriff via langlebige IAM-Keys, scoped auf das Minimum pro Service (getrennte Keys für SES vs. S3 vs. Backups). Admin-Aktionen werden in einer unveränderlichen Audit-Tabelle protokolliert. Impersonation-Tokens sind kurzlebig (15min) und audit-geloggt.

Backups

Postgres-Backup nach S3 alle 4 Stunden via `pg_dump --format=custom --compress=9`. Backups sind versioniert, verschlüsselt und lifecycle-gemanagt (Hot → IA → Glacier → 400 Tage Expire). Bucket-Policy verbietet bucket-level Delete. Restore ist dokumentiert und wird monatlich geprobt. Vollständiger Runbook: BACKUP.md im Repo. Redis läuft mit AOF-Persistenz (everysec fsync).

Incident-Response

Sentry erfasst Fehler mit clientseitig angewendeter PII-Filterung. Bei Sicherheitsvorfällen mit personenbezogenen Daten benachrichtigen wir betroffene Verantwortliche unverzüglich (Zielwert: innerhalb 72h gemäß Art. 33 DSGVO) mit einer Zusammenfassung von Umfang, Auswirkung und Behebung. Koordination: security@prezio.app.

Compliance

Wir arbeiten unter DSGVO (Deutschland / EU). Derzeit nicht SOC-2/ISO-27001-zertifiziert — formale Zertifizierungen sind auf der Roadmap, sobald Teamgröße und Umsatz die Audit-Kosten rechtfertigen. Wir verpflichten uns, SOC-2-konforme Kontrollen (Access-Management, Change-Management, Verschlüsselung, Logging, Backup, Vendor-Management) auch ohne formales Zertifikat anzuwenden.

Responsible Disclosure

Sicherheitslücke gefunden? E-Mail an security@prezio.app mit Reproduktionsschritten. Wir verpflichten uns zur Bestätigung innerhalb 48h und Behebung kritischer Issues innerhalb 7 Tagen. Wir betreiben aktuell kein bezahltes Bug-Bounty-Programm, würdigen Beitragende aber öffentlich im Changelog (nach Zustimmung).