Sicherheit
Sicherheit nach OWASP ASVS 5.0
Wir bewerten Complass gegen den internationalen Standard für sichere Webanwendungen und legen unseren Stand offen. Gezählt werden nur vollständig umgesetzte Anforderungen.
Stand je Level
Stand 21.10.2026, Version 2.05.2 · Selbstbewertung, geführt im Kontrollregister
- Level 1 · Grundschutz 98 % umgesetzt 61 von 62 umgesetzt
- Level 2 · Standard für Unternehmensdaten 93 % umgesetzt 188 von 203 anwendbaren Anforderungen umgesetzt, 1 bewusst akzeptiertes Restrisiko (nicht mitgezählt)
- Level 3 · Hochkritische Anwendungen 85 % umgesetzt Freiwillig über den Standard hinaus. Level 3 ist für Systeme wie Zahlungsverkehr gedacht. Stand 21.10.2026
- 203Anforderungen Level 1 und 2
- 188davon vollständig umgesetzt
- > 10.000automatische Tests je Änderung
- 21.10.2026letzter Prüfstand
Begründete Ausnahmen (nicht als erfüllt gezählt)
-
Schlüssellänge fremder Anbieter (V11.2.3, Level 2): RSA-2048 von Identitätsanbietern und Passkey-Geräten – zulässig nach NIST SP 800-131A bis Ende 2030.
Warum?
Complass selbst verschlüsselt durchgängig mit mindestens 128 Bit Sicherheit (256-Bit-Schlüssel). Identitätsanbieter wie Microsoft oder Google und viele Passkey-Geräte signieren aber mit RSA-2048 (112 Bit). Diese Schlüssel akzeptieren wir gemäß NIST SP 800-131A bis Ende 2030; ab 2031 verlangen wir mindestens RSA-3072. Würden wir RSA-2048 heute ablehnen, wäre die Anmeldung per SSO und Passkey nicht mehr möglich.
Geprüfte Bereiche
Alle 17 Kapitel des Standards sind bewertet.
- Kodierung und Bereinigung
- Validierung und Geschäftslogik
- Web-Frontend
- API und Webdienste
- Datei-Verarbeitung
- Authentifizierung
- Sitzungen
- Autorisierung
- Tokens
- OAuth und OIDC
- Kryptografie
- Sichere Kommunikation
- Konfiguration
- Datenschutz
- Sichere Entwicklung
- Protokollierung
- WebRTC
Jede Anforderung mit Status und Nachweis
Für Kunden, Interessenten mit Vertraulichkeitsvereinbarung und Prüfer im Trust Center.
Zugang zum Trust Center anfragenWas heißt „nicht anwendbar“?
Einige Anforderungen betreffen Technik, die Complass nicht einsetzt, etwa LDAP, LaTeX oder WebRTC. Sie zählen weder als umgesetzt noch als offen.
Wie zählen die Level?
Level 2 umfasst alle Anforderungen von Level 1. Die Angabe bei Level 2 zählt deshalb Level 1 und 2 zusammen.
Was das für Sie bedeutet
Zehn Dinge, die hinter den Zahlen stehen. Zu jedem finden Sie, wie viele Anforderungen dahinter im Kontrollregister umgesetzt sind.
-
Anmeldung wie bei Banken
Zwei-Faktor für alle, Passkeys, Schutz vor erratenen und bereits geleakten Passwörtern und eine Sperre gegen Durchprobieren.
Das heißt für Sie: Ein gestohlenes Passwort allein öffnet kein Konto.
V6 · 31 von 31 Anforderungen umgesetzt
-
Sitzungen, die niemand übernimmt
Sichere Cookies, Abmeldung auf allen Geräten und erneute Bestätigung bei kritischen Aktionen.
Das heißt für Sie: Ein vergessenes Browserfenster wird nicht zum Einfallstor.
V7 · 18 von 18 Anforderungen umgesetzt
-
Jeder sieht nur, was er darf
Strikte Trennung der Unternehmen, Rechte je Person und Bereich, auf dem Server geprüft.
Das heißt für Sie: Berater, Lieferanten und Prüfer sehen nur das, was Sie freigeben.
V8 · 7 von 7 Anforderungen umgesetzt
-
Ihre Daten verschlüsselt, auch vor uns
Eigener Schlüssel je Kunde, Einblick durch uns nur mit Ihrer befristeten Freigabe; bei einer Löschung wird der Schlüssel vernichtet.
Das heißt für Sie: Auch wir kommen ohne Ihre Freigabe nicht an Ihre Inhalte.
V11 · V14 · 19 von 22 Anforderungen umgesetzt
-
Uploads ohne Risiko
Dateien werden geprüft, auf Schadsoftware untersucht und verschlüsselt außerhalb des öffentlich erreichbaren Verzeichnisses abgelegt.
Das heißt für Sie: Ein manipuliertes Dokument wird nicht zur Gefahr für Ihr Team.
V5 · 8 von 9 Anforderungen umgesetzt
-
Sicher übertragen
Verschlüsselte Verbindungen mit HSTS, eigener Server in Deutschland, ausgehende Verbindungen nur per https zu öffentlichen Adressen.
Das heißt für Sie: Ihre Daten bleiben unterwegs und im Betrieb unter Kontrolle.
V12 · V13 · 13 von 19 Anforderungen umgesetzt
-
Nachvollziehbar protokolliert
Prüfkette gegen nachträgliche Änderung und ein Protokoll auch für Lesezugriffe.
Das heißt für Sie: Sie sehen, wer wann was getan hat, und können es einem Prüfer zeigen.
V16 · 14 von 16 Anforderungen umgesetzt
-
Schutz gegen typische Angriffe
Eingaben werden geprüft, Ausgaben kodiert; Schutz gegen Einschleusen von Code, gefälschte Anfragen (CSRF) und Zugriffe auf interne Ziele.
Das heißt für Sie: Die häufigsten Angriffswege sind geschlossen, bevor sie genutzt werden.
V1 · V2 · V3 · 47 von 48 Anforderungen umgesetzt
-
Sichere Schnittstellen
Zugriff über die API nur mit Schlüssel, jeder Aufruf wird protokolliert.
Das heißt für Sie: Anbindungen an Ihre Werkzeuge öffnen keine Hintertür.
V4 · 2 von 4 Anforderungen umgesetzt
-
Sauber gebaut
Sicherheitsprüfungen laufen bei jeder Änderung, und die automatischen Tests sperren die Auslieferung, wenn einer fehlschlägt.
Das heißt für Sie: Sicherheit ist Teil der Entwicklung, nicht ein Anstrich am Ende.
V15 · 13 von 13 Anforderungen umgesetzt
Selbstbewertung mit nachprüfbarem Kontrollregister: Prüfer, Kunden und Interessenten mit Vertraulichkeitsvereinbarung sehen jede einzelne Anforderung mit Status und Nachweis im Trust Center.