Unsere Sicherheit

Sämtliche Datenübertragungen erfolgen TLS-verschlüsselt (mindestens TLS 1.2, bevorzugt TLS 1.3) zwischen Browser, Anwendung, Datenbank und Transkriptions-Engine. HSTS ist auf allen öffentlichen Endpunkten aktiv; HTTP-Anfragen werden auf HTTPS umgeleitet und Cipher-Suites sind nach Mozilla-„Modern"-Profil konfiguriert.

Daten ruhen verschlüsselt: Backups werden mit AES-256 gesichert, Datenbankvolumes sind voll festplattenverschlüsselt. Passwörter werden ausschließlich mit bcrypt (Cost ≥ 10) gespeichert. API-Keys werden gehasht abgelegt und nur einmalig bei Erstellung im Klartext angezeigt.

Administrative Zugriffe auf Produktionssysteme laufen ausschließlich über SSH mit asymmetrischer Schlüsselauthentifizierung — Passwort-Login ist deaktiviert. Sämtliche Mitarbeiter-Accounts auf Plattform- und Cloud-Konsolen sind durch TOTP-basierte Zwei-Faktor-Authentifizierung geschützt.

• Rollenbasierte Zugriffskontrolle (RBAC) mit Least-Privilege-Prinzip
• Quartalsweise Überprüfung aller Zugriffsberechtigungen
• Vollständiges Audit-Log aller administrativen Zugriffe (Wer, Wann, Was, Woher)
• Im Normalbetrieb haben Aliru-Mitarbeiter keinen Lese-Zugriff auf Transkriptionsinhalte
• Kundenseitig: optionale TOTP-2FA, Backup-Codes, eigenes Audit-Log pro Account

Jede Workspace (intern „Directory") ist logisch über eine UUID gegen alle anderen abgegrenzt. Jede Datenbank-Abfrage prüft den Directory-Kontext der aktuellen Anfrage — ein Cross-Tenant-Lesezugriff ist technisch nicht möglich, da die Anwendungsschicht keine ungeprüfte Query gegen die Datenbank zulässt. Backups, Audit-Logs und Caches folgen derselben Trennung.

• Tägliche automatisierte Backups; Aufbewahrung 14 Tage rollierend
• Backups verschlüsselt (AES-256) und auf separater Hardware in einem zweiten Rechenzentrum
• Halbjährliche dokumentierte Restore-Tests
• RTO (Recovery Time Objective): 4 Stunden bei Totalausfall
• RPO (Recovery Point Objective): maximal 24 Stunden Datenverlust
• Statusseite unter deepscript.com/status mit Minuten-Probe und 90 Tage Incident-Historie

Wir betreiben einen dokumentierten Incident-Response-Prozess mit klarer Eskalationskette: Detection → Containment → Analyse → Remediation → Customer Notification → Post-Mortem.

• Meldung von Datenpannen an Kunden binnen 24 Stunden nach Bekanntwerden
• Inhalt der Meldung: Art der Verletzung, Kategorien und ungefähre Zahl betroffener Daten, ergriffene Maßnahmen, Ansprechpartner
• Behördenmeldung nach Art. 33 DSGVO (72-Stunden-Frist) liegt beim Verantwortlichen — wir unterstützen mit allen notwendigen Informationen
• Post-Mortem zu jedem Vorfall mit Wurzelursachen-Analyse und Maßnahmen zur Wiederholung

Jährlich beauftragen wir einen unabhängigen externen Sicherheitsdienstleister mit einem Penetrationstest gegen die Web-Anwendung und die öffentliche REST-API. Findings werden risikogewichtet priorisiert; kritische Befunde sind innerhalb von 14 Tagen behoben. Eine Executive-Summary stellen wir Geschäftskunden auf Anfrage unter NDA zur Verfügung.

Intern führen wir vierteljährlich eine TOM-Wirksamkeitsprüfung durch — die aktuelle Version ist in Anlage 1 des Auftragsverarbeitungsvertrags dokumentiert.

• Code-Review-Pflicht für alle Änderungen an Produktionscode
• Dependency-Scanning auf jeden Build (pnpm audit) — keine bekannten kritischen CVEs in Produktion
• Automatisierte CI mit Type-Check, Unit-Tests und E2E-Tests vor jedem Deployment
• Strikte Trennung von Entwicklungs-, Staging- und Produktivumgebung — keine Echtdaten in nicht-produktiven Systemen
• Secrets in produktiven Konfigurationen über verschlüsselte Umgebungsvariablen; keine Secrets im Code-Repository

Unsere Speech-to-Text-Engine fällt unter die Kategorie „begrenztes Risiko" der EU-KI-Verordnung (Verordnung (EU) 2024/1689). Es findet keine biometrische Identifikation, kein Social-Scoring und keine automatisierte Entscheidung mit rechtlicher Wirkung statt. Detail dazu in der KI-Compliance-Erklärung (Anlage 4 zum AVV).

• Verpflichtung aller Mitarbeiter auf Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO
• Jährliche Pflichtschulung zu Datenschutz und Informationssicherheit
• Onboarding-Schulung für jeden neuen Mitarbeiter mit Zugriff auf Produktionssysteme
• Off-Boarding-Prozess mit sofortigem Widerruf aller Zugänge bei Vertragsende