Vertrauen und Sicherheit
Sicherheit
Zuletzt aktualisiert: Juni 2026
Sicherheit ist eine Grundlage und kein nachträglicher Zusatz
Alle Kundendaten werden bei Speicherung und Übertragung verschlüsselt. Wir folgen branchenüblichen Standards für Zugriffskontrolle, die Verwaltung von Geheimnissen und die Reaktion auf Sicherheitsvorfälle.
Infrastruktur
- Verwaltete Datenbank: Anwendungsdaten liegen in einer verwalteten PostgreSQL-Datenbank (Supabase) mit verschlüsselten, automatischen Sicherungen.
- Verschlüsselung bei Speicherung: Datenbankvolumes werden standardmäßig mit AES-256 verschlüsselt.
- Verschlüsselung bei Übertragung: Der gesamte Datenverkehr nutzt TLS 1.2+, erzwungen auf der CDN-Ebene (Cloudflare). HTTP wird auf HTTPS umgeleitet.
- Edge-Netzwerk: Die Bereitstellung erfolgt über Cloudflare mit DDoS-Abwehr und WAF-Schutz.
Authentifizierung und Zugriffskontrolle
- Passwortlose Authentifizierung: Wir nutzen Anmeldelinks und WebAuthn-Passkeys. Es gibt keine Passwörter, die gestohlen werden können.
- Sitzungscookies: HttpOnly, Secure, SameSite=Lax. Sitzungen werden kryptografisch mit einem regelmäßig gewechselten Geheimnis signiert.
- Interner Zugriff: Produktionssysteme erfordern MFA. Der Datenbankzugriff ist über rollenbasierte Berechtigungen auf namentlich benannte Entwickler beschränkt.
Zahlungen
Zahlungen werden ausschließlich von Stripe verarbeitet (PCI-DSS Level 1-konform). Papigrows sieht, speichert oder überträgt niemals Kartennummern. Stripe-Tokens sind die einzigen Zahlungsdaten, die wir aufbewahren.
Integrationen mit Drittanbietern
OAuth-Tokens für CMS-Verbindungen (Webflow, Shopify) werden vor dem Schreiben in die Datenbank mit AES-256-GCM verschlüsselt. Wir fordern nur die notwendigen OAuth-Berechtigungen an.
Verantwortungsvolle Meldung von Schwachstellen
Wenn du eine Sicherheitslücke entdeckst, melde sie bitte an [email protected]. Wir streben an, Meldungen innerhalb von 24 Stunden zu bestätigen und kritische Probleme innerhalb von 72 Stunden zu beheben. Gegen Forschende, die in gutem Glauben handeln, gehen wir nicht rechtlich vor.
GDPR und Datenverarbeitung
In unserer Datenschutzerklärung findest du alle Einzelheiten zur Datenerhebung, Aufbewahrung, deinen Rechten nach GDPR und unserer auf Anfrage erhältlichen Vereinbarung zur Auftragsverarbeitung (DPA).
Kontakt
Sicherheitsanfragen: [email protected]
Allgemeiner Kontakt: [email protected]