Sicherheit & Datenverarbeitung
Sicherheit ist nicht das Hauptthema dieser App. Wichtig ist sie uns trotzdem.
Du lässt einen Roboter deine Website lesen und Bilder davon speichern. Für authentifizierte Scans kannst du uns einen Login übergeben. Diese Seite beantwortet, was damit passiert — in der Reihenfolge, in der deine IT-Abteilung fragt.
Alles, was wir über dich speichern, auf einem Bildschirm
Vier Zeilen. Wenn deine Datenschutzbeauftragte die lange Version will, sagt der Auftragsverarbeitungsvertrag dasselbe in Rechtssprache.
Lösche eine Website, verschwinden ihre Screenshots und Befunde binnen 24 Stunden. Schließe den Arbeitsbereich, ist binnen 30 Tagen alles weg außer gesetzlich vorgeschriebenen Rechnungsdaten. Beides sind Schaltflächen in der App, keine E-Mail an uns.
Was der Scanner mit deiner Website macht — und was er nie tut
Die Frage hinter der Frage ist meist „bricht das etwas, oder löst es unser Monitoring aus?". Kurze Antwort: nein — und das kannst du der Person sagen, die die Logs beobachtet.
Der Scanner macht
- Lädt Seiten in einem echten Chromium-Browser, inklusive JavaScript
- Weist sich als OpenForAllBot/1.0 von festen IP-Adressen aus, die du auf eine Positivliste setzen kannst
- Bleibt auf der ausgewählten Origin und innerhalb deines Seitenlimits
- Bremst sich selbst — etwa eine Seite alle zwei Sekunden, ein Browser pro Website
Was der Scanner nicht macht
- Sendet ein Formular ab, legt etwas in den Warenkorb oder löst eine Zahlung aus
- Sucht nach Schwachstellen — das ist kein Penetrationstest und findet keinen
- Folgt einer Weiterleitung zu einer internen Adresse, Loopback oder einem privaten Bereich
- Scannt eine Domain, die niemand in deinem Arbeitsbereich als eigene bestätigt hat
IP und Bot-Kennung anzeigen
Auf eine Positivliste setzen? Manche Websites blockieren bekannte Bots standardmäßig. Erlaube die feste IP und den Bot-Namen, damit der Scan zuverlässig durchkommt.- Aktuelle Scanner-IP
88.99.161.204- Bot-Kennung
OpenForAllBot/1.0
Zugriff, Konten und wer was sehen kann
Authenticator-App. Das Geheimnis bleibt bei uns und wird nie an einen externen Identitätsanbieter gesendet. Wiederherstellungscodes werden einmalig angezeigt und nur als Hashes gespeichert.
Eine Agentur kann eine Kundin in den Arbeitsbereich einladen, ohne den Rest des Portfolios offenzulegen. Die Trennung wird serverseitig durchgesetzt, nicht durch versteckte Menüpunkte.
Anmeldungen, Rechteänderungen, Löschungen und unterdrückte Befunde werden in deinem Arbeitsbereich erfasst und exportierbar — nicht nur für uns sichtbar.
Der Support kann deinen Arbeitsbereich nicht betreten, ohne dass du den Zugriff für eine Sitzung freischaltest. Tun wir es, steht es in deinem Auditprotokoll, wo du es sehen kannst.
Feste Antworten
Vier Fragen aus jedem Fragebogen
Hier beantwortet, damit du sie prüfen kannst, bevor du uns schreibst. Braucht dein Prozess etwas, das wir nicht haben, ist es besser, das gleich zu wissen.
Kein ISO 27001, kein SOC 2. Unsere technischen und organisatorischen Maßnahmen sind schriftlich dokumentiert und werden auf Anfrage versendet.
Montag bis Freitag. Scans sind Warteschlangenarbeit — ein verzögerter Scan wartet auf den Morgen statt auf eine Bereitschaftsrotation.
Direkt an dich und schriftlich, mit dem, was wir zu dem Zeitpunkt wissen — nicht nur ein Update auf einer Statusseite.
Hetzner, Stripe, Postmark, Cloudflare. Die aktuelle Liste ist versioniert, Änderungen werden 30 Tage im Voraus angekündigt.
Frag uns direkt
Zwei verschiedene Gespräche, ein Formular.
Wähle im Support-Formular „Sicherheit & Datenverarbeitung" — es geht direkt an die Person, die antworten kann, mit deinem Fragebogen, falls vorhanden.
- Beschaffung: AVV, technische Maßnahmen, Unterauftragsverarbeiterliste, Hosting und Aufbewahrung — meist innerhalb von zwei Arbeitstagen beantwortet.
- Eine Schwachstelle in OpenForAll gefunden? Mail security@openforall.io — wir antworten innerhalb von zwei Arbeitstagen, schicken dir keine Anwälte, und nennen dich auf Wunsch als Entdeckerin.
Support-Formular · Thema
- dein Fragebogen oder AVV-Muster, falls vorhanden
- Ob du authentifizierte Scans brauchst
- Etwaige Hosting- oder Aufbewahrungsvorgaben
Bitte keine Zugangsdaten, Token oder Inhalte eines laufenden Vorfalls in dieses Formular einfügen.