Vertrauensrahmen für die Bewertungsphase
Project 4.0 ist als ernsthaftes operatives System mit isolierten Umgebungen, Zugriffskontrolllogik und strukturierter Architektur gebaut. Diese Seite beschreibt die spezifischen Sicherheitsmaßnahmen, die Ihre Daten schützen.
Geeignet für Gespräche, in denen
- Sicherheit und Vertrauen von Anfang an wichtig sind
- das System aus mehreren Blickwinkeln bewertet wird
- die Arbeit mit operativen Daten Vertrauen erfordert
- DSGVO-Konformität eine Anforderung ist
Authentifizierung und Zugriffskontrolle
Die Plattform nutzt mehrere Ebenen für sichere Identifizierung und Zugriffsverwaltung:
🔐 Zwei-Faktor-Authentifizierung (2FA)
TOTP-Authenticator-Mechanismus mit Wiederherstellungscodes. Eine zusätzliche Schutzschicht bei der Anmeldung — über das Passwort hinaus wird eine zweite Bestätigung benötigt.
🔑 Firebase Auth + OAuth
E-Mail/Passwort und Google OAuth für Flexibilität in Unternehmensumgebungen. Benutzerdefinierte Claims für Rollen: Admin, Superuser, Poweruser, Mitarbeiter.
🛡️ Kontoschutz
Automatischer Session-Timeout nach 1 Stunde Inaktivität. Kontosperrung nach mehreren fehlgeschlagenen Anmeldeversuchen.
Mandantenumgebungs-Isolation
Jede Organisation arbeitet in einer vollständig isolierten Umgebung (Multi-Tenant-Architektur). Die Daten eines Mandanten sind niemals für einen anderen zugänglich:
- Firestore-Isolation — alle Daten liegen unter dem Pfad
/{tenantId}/data/... - Sicherheitsregeln — Mandantengrenzen werden bei jedem Lesen/Schreiben überprüft
- Benutzerdefinierte Claims —
tenant,employeeid,adminClaims auf dem Firebase Auth Token - Serverseitige Durchsetzung — Cloud Function Schreibvorgänge laufen über Admin SDK mit Mandantenverifizierung
- Null-Tenant-Bypass-Prävention — erzwungene Non-Null-Prüfung auf jeder Ebene
Datenschutz
- HTTPS-Erzwingung — gesamte Plattform mit Weiterleitung auf HTTPS
- Anti-Forgery-Token — Schutz auf allen Formularen
- Path-Traversal-Prävention — Validierung bei jedem Datei-Upload
- Dateigrößenlimits — kontrollierte maximale Upload-Größe
- GCP Secret Manager — API-Schlüssel aus dem Code migriert
- Response-Kompression — Optimierung + Sicherheit
DSGVO-Konformität und Audit Trail
Project 4.0 deckt DSGVO-Anforderungen mit eingebauten Mechanismen ab:
- Personenbezogene Daten herunterladen — jeder Benutzer kann seine persönlichen Daten herunterladen
- Personenbezogene Daten löschen — Recht auf Löschung auf Anfrage
- Korrelations-IDs — jede Aktion kann mit einer eindeutigen Kennung nachverfolgt werden (
mob_/cf_/net_Präfix UUID) - Audit Trail — vollständige Änderungshistorie mit Zeitstempel und Benutzer-ID
- Firestore-Schreibrechte — geschlossen (
allow write: if false) — alle Schreibvorgänge laufen ausschließlich über Cloud Functions
Bei Bedarf stellen wir für Enterprise-Kunden detaillierte technische Dokumentation für ein Security Review bereit.
Sicherheit in Zahlen
| Zwei-Faktor-Authentifizierung | ✅ TOTP |
| Mandantenisolation | ✅ vollständig |
| DSGVO-Konformität | ✅ |
| HTTPS | ✅ erzwungen |
| Secret Management | GCP Secret Manager |
| Session-Timeout | 1 Stunde |
| Korrelations-IDs | schichtübergreifendes Tracing |
Wenn Sie weitere Informationen zu Sicherheit und Vertrauen benötigen, besprechen wir das im richtigen Kontext.
Wir bereiten das passende nächste Gespräch basierend auf Ihrer Bewertungsphase und den Informationen vor, die Sie benötigen. Für Enterprise-Prozesse stellen wir die vollständige Dokumentation für ein Security Review bereit.
Kontaktieren Sie uns