Sicherheit

Anforderungen, Lastenhefte und Prüfstände sind oft vertraulich. Auf dieser Seite beschreiben wir, wie der Engineering Toolbox Requirements Manager (ETRM) Ihre Daten schützt.

Orientierung an OWASP ASVS

Die Entwicklung orientiert sich am Sicherheitsstandard OWASP ASVS (Application Security Verification Standard); angestrebt wird Stufe 2. Eine Zertifizierung besteht nicht. Der ASVS ist ein frei verfügbarer Anforderungskatalog der OWASP Foundation für die Sicherheit von Webanwendungen.

Verschlüsselte Übertragung

Der ETRM ist ausschließlich über HTTPS erreichbar. Alle Daten zwischen Ihrem Browser oder Ihren Skripten und dem ETRM werden verschlüsselt übertragen.

Zugriff nur für Projektmitglieder

Projekte gehören zu einer Gruppe. Inhalte, Bilder und Anhänge eines Projekts sehen nur Mitglieder dieser Gruppe, und jede Aktion richtet sich nach der Rolle des Mitglieds (Lesen, Kommentieren, Bearbeiten, Administrieren). Für alle anderen ist ein Projekt nicht sichtbar. Details stehen unter Rollen und Berechtigungen.

Nachvollziehbare Änderungen

Jede Änderung an einem Artefakt wird mit Datum und Person festgehalten, ebenso Links, Bilder, Schlagworte und die Einbindung in Module. Frühere Versionen eines Artefakts bleiben einsehbar und lassen sich wiederherstellen. Sicherheitsrelevante Ereignisse werden protokolliert.

Schutz der Anmeldung

Passwörter werden nicht im Klartext gespeichert, sondern nur als Prüfwert. Wiederholte fehlgeschlagene Anmeldeversuche und automatisierte Zugriffe werden erkannt und gebremst. Links zum Zurücksetzen des Passworts gelten nur begrenzt und lassen sich nur einmal verwenden.

Zugangsschlüssel für die API

Schlüssel für die REST-API werden nur beim Anlegen einmal angezeigt und danach ausschließlich als Prüfwert gespeichert. Sie können einen Schlüssel jederzeit widerrufen und auf Lesen beschränken.

Keine Analyse- oder Tracking-Dienste von Drittanbietern

Im ETRM laufen keine Analyse- oder Tracking-Dienste von Drittanbietern, und es werden nur technisch notwendige Cookies gesetzt. Eigene, rein zahlenmäßige Auswertungen, etwa wie oft Seiten aufgerufen oder Werbebanner angezeigt werden, erfolgen auf unserem Server ohne IP-Adressen, ohne Cookies und ohne Bezug zu Personen. Schriftarten und Skripte kommen vom eigenen Server; Inhalte von Drittanbietern werden nur dort geladen, wo sie gebraucht werden: bei der Zahlung über Stripe und bei Videos in der Hilfe nach Ihrem Klick.

Datensicherung

Datenbank und hochgeladene Dateien werden täglich gesichert.

Zahlungsdaten

Zahlungen wickelt der Zahlungsdienstleister Stripe ab. Kreditkarten- und Kontodaten werden direkt bei Stripe eingegeben und nicht im ETRM gespeichert.

Sicherheitshinweise melden

Wenn Ihnen eine mögliche Sicherheitslücke auffällt, schreiben Sie uns bitte über die Kontaktdaten im Impressum (Link unten auf jeder Seite) und veröffentlichen Sie den Hinweis nicht, bevor wir ihn prüfen konnten. Wir antworten so schnell wie möglich.