Start / Sicherheit und Datenschutz
Sicherheit und Datenschutz
Ihre Compliance-Dokumentation beschreibt, wo Ihr Unternehmen verwundbar ist. Hier sehen Sie, wie Complass diese Daten schützt, wer was darf und wie Sie selbst die Kontrolle behalten.
Fünf Schichten zwischen dem Internet und Ihren Daten
- 1
Verschlüsselte Verbindung und Sicherheits-Header
Das Portal ist nur per HTTPS erreichbar, der Browser merkt sich das für ein Jahr (HSTS). Eine strenge Content-Security-Policy lässt nur Skripte, Styles und Schriften vom eigenen Server zu, und das Portal lässt sich nicht in fremde Seiten einbetten.
- 2
Anmeldung mit Passwort und MFA
Jede Person meldet sich mit Passwort und einem Code aus ihrer Authenticator-App an. Die MFA-Anmeldung ist für alle verpflichtend, auch für unsere eigenen Administratoren.
- 3
Rollen und granulare Rechte
Administrator, Bearbeiter oder Nur lesen, auf Wunsch beschränkt auf einzelne Projekte mit „Lesen“ oder „Bearbeiten“. Zusätzlich legen Ihre Administratoren je Person und Bereich (Regelwerk, Modul, Menüpunkt) kein Zugriff, Lesen oder Schreiben fest, dazu Sonderrechte wie Exportieren, Löschen oder Freigeben. Änderungen gelten sofort und stehen im Protokoll.
- 4
Strikte Mandantentrennung
Bei jedem Zugriff prüft der Server, ob das Projekt zu Ihrem Unternehmen gehört. Fremde Projekte gibt es aus Sicht des Portals nicht: Die Antwort lautet „nicht gefunden“.
- 5
Verschlüsselte Nachweisdateien
Hochgeladene Nachweise werden mit einem eigenen Schlüssel je Kunde verschlüsselt und außerhalb des öffentlich erreichbaren Verzeichnisses abgelegt. Herunterladen kann sie nur, wer das Projekt sehen darf.
Unsere Maßnahmen im Einzelnen
Anmeldung und Zugriff
Wer hinein darf und was er dort darf, entscheidet der Server bei jedem Aufruf.
- MFA-Pflicht
- Passkeys
- Anmeldung mit Firmenkonto (SSO)
- Passwörter mit Argon2id
- Stufenweise Kontosperre
- Rate Limiting und IP-Sperre
- Hinweis bei neuem Gerät
- Session-Timeout
- Erneute Bestätigung vor sensiblen Aktionen
- Rollen und granulare Rechte
- Rollenprofile
- Vier-Augen-Prinzip
- Mandantentrennung
- Lieferantenzugang
Alle Maßnahmen im Bereich ansehen (14)
MFA-Pflicht
Passwort und Code aus der Authenticator-App – oder ein Passkey, der beide Faktoren abdeckt – für jede Person, auch für unsere Administratoren.
Passkeys
Anmeldung mit Fingerabdruck, Face ID, Windows Hello oder einem Sicherheitsschlüssel. Ein Passkey deckt beide Faktoren ab; Passwort und Authenticator-App bleiben als Fallback.
Anmeldung mit Firmenkonto (SSO)
Anmeldung über Ihren Identitätsanbieter (OpenID Connect mit PKCE), z. B. Microsoft Entra ID, Google Workspace, Okta oder Keycloak. Ihre Administratoren können SSO für Ihr Unternehmen verpflichtend machen.
Passwörter mit Argon2id
Mindestens 12 Zeichen, gespeichert nur als Argon2id-Hash.
Stufenweise Kontosperre
Nach wiederholten Fehlversuchen gesperrt, bei weiteren Versuchen länger: 15 Minuten, 1 Stunde, 24 Stunden.
Rate Limiting und IP-Sperre
Anmeldeversuche je IP-Adresse sind begrenzt; bei Angriffsmustern wird die Adresse gesperrt und der Betrieb alarmiert.
Hinweis bei neuem Gerät
Meldet sich jemand von einem neuen Gerät an, erhält die Person eine E-Mail.
Session-Timeout
Abmeldung nach 30 Minuten Inaktivität, spätestens nach 10 Stunden (Standard; je Unternehmen 10–60 Minuten bzw. 4–12 Stunden).
Erneute Bestätigung vor sensiblen Aktionen
Für besonders sensible Aktionen verlangt Complass eine frische Bestätigung mit App-Code oder Passkey („Step-up“), auch innerhalb einer laufenden Session.
Rollen und granulare Rechte
Je Person und Bereich kein Zugriff, Lesen oder Schreiben, dazu Sonderrechte, auf Wunsch befristet.
Rollenprofile
Vorgefertigte Rollenprofile wie „Auditor extern“ lassen sich übernehmen und von Ihren Administratoren an Ihr Unternehmen anpassen.
Vier-Augen-Prinzip
Für Risikoakzeptanzen und Dokumentfreigaben können Ihre Administratoren ein Vier-Augen-Prinzip einstellen. Eingriffe von Complass in Ihre Daten (z. B. Passwort und MFA zurücksetzen, E-Mail-Adresse ändern, ein Projekt endgültig löschen) erfolgen bei uns immer erst nach Freigabe durch eine zweite Person.
Mandantentrennung
Jede Abfrage ist auf Ihr Unternehmen beschränkt; fremde Objekte sind „nicht gefunden“.
Lieferantenzugang
Lieferanten sehen nur die ihnen zugewiesenen Fragebögen und Nachweise; die Trennung wird automatisch getestet.
Wer darf was?
Rollen legen fest, was jemand grundsätzlich darf. Zusätzlich können Sie Bearbeiter und Leser auf einzelne Projekte beschränken und je Projekt „Lesen“ oder „Bearbeiten“ festlegen, nie mehr, als die Rolle erlaubt.
Tabelle der Rollen und Rechte anzeigen
| Rolle | Projekte ansehen | Inhalte bearbeiten | Dokumente freigeben | Projekte anlegen | Team verwalten | Exportieren | Projekte löschen |
|---|---|---|---|---|---|---|---|
| Administrator | alle | ja | ja | ja | ja | ja | ja1 |
| Bearbeiter | alle oder ausgewählte | ja2 | nein | ja3 | nein | ja | nein |
| Nur lesen | alle oder ausgewählte | nein | nein | nein | nein | ja | nein |
| Auditor„Nur lesen“ mit Ablaufdatum | ausgewählte, bis zum Ablaufdatum | nein | nein | nein | nein | ja | nein |
| Berater Complassnur mit Ihrer Freigabe | alle, solange freigegeben | ja | nein | nein | nein | ja | nein |
- In den Papierkorb, 30 Tage wiederherstellbar; nur nach Eingabe des Projektnamens.
- In allen oder nur in den Projekten, für die „Bearbeiten“ festgelegt ist.
- Nur mit Zugriff auf alle Projekte.
Bearbeiten setzt eine gültige Lizenz voraus; nach Lizenzende bleiben Ansehen und Export möglich. Der letzte Administrator eines Unternehmens kann nicht herabgestuft werden, damit Ihr Team nie ohne Verwaltung dasteht.
Die Tabelle zeigt die Voreinstellung der Rollen. Unter „Berechtigungen“ passen Ihre Administratoren die Rechte je Person granular an: je Bereich (jedes Regelwerk, jedes Modul, jeder Menüpunkt) kein Zugriff, Lesen oder Schreiben, dazu Sonderrechte wie Exportieren (auch je Bereich), Löschen, Dokumente freigeben, Meldestufen übermitteln, Assets importieren, Personen einladen und Berechtigungen verwalten, auf Wunsch befristet und über Rollenprofile. Es gilt immer die strengste Regel; „Nur lesen“ schreibt nie. Menüpunkte ohne Recht sind ausgeblendet, direkte Aufrufe lehnt der Server ab. Einzelne Personen lassen sich außerdem zu genau einem Objekt (z. B. einer Aufgabe oder einem Dokument) zum Kommentieren oder Mitbearbeiten einladen, ohne dass sie weitere Rechte erhalten. Die gefilterte Rechte-Matrix exportieren Sie als Nachweis (Excel, CSV, PDF).
Kein Einblick durch Admins ohne Ihre Freigabe
In der Oberfläche sehen Administratoren von Complass nur Verwaltungsdaten wie Firma, gebuchte Module und Nutzerzahl. Einblick in Ihre Inhalte gibt es nur mit Ihrer ausdrücklichen, befristeten Freigabe.
- Assets, Vorfälle, Schwachstellen, Aufgaben
- Projekte nur mit Beraterfreigabe
- Notfallzugang nur mit Ihrer Erlaubnis
- Support-Anhänge nur freigegeben
- Support-Session nur mit Freigabe
- Sichtbar und jederzeit beendbar
- Getrennte Rollen bei Complass
Alle Maßnahmen im Bereich ansehen (7)
Assets, Vorfälle, Schwachstellen, Aufgaben
Für Complass-Administratoren in der Oberfläche nicht zugänglich.
Projekte nur mit Beraterfreigabe
Projekte, Dokumente und Nachweise sehen unsere Berater nur, wenn Ihr Administrator den Beraterzugriff freigibt. Jede Session, in der ein Berater ein Projekt öffnet, steht mit der Zugriffsart in Ihrem Protokoll.
Notfallzugang nur mit Ihrer Erlaubnis
Nur wenn Sie ihn vorher erlaubt haben, mit Begründung und Freigabe durch eine zweite Person, höchstens 60 Minuten, nur lesend, im Protokoll und mit sofortiger E-Mail an Ihre Administratoren.
Support-Anhänge nur freigegeben
Anhänge von Support-Tickets sehen wir erst, wenn Ihr Administrator das Ticket freigegeben hat.
Support-Session nur mit Freigabe
Die betroffene Person gibt die Session frei, befristet auf 30, 60 oder 120 Minuten, standardmäßig nur lesend und ohne Dateien und Export. Schreibzugriff braucht zusätzlich die Zustimmung Ihres Administrators.
Sichtbar und jederzeit beendbar
Ein Band zeigt „Support-Session aktiv“, Sie beenden sie jederzeit. Jeder Seitenaufruf steht im Protokoll, Complass braucht für die Session zusätzlich MFA.
Getrennte Rollen bei Complass
Intern sind die Rollen getrennt, z. B. Technik, Vertrieb und Finanzen: Mitarbeitende sehen nur, was sie für ihre Aufgabe brauchen.
Verschlüsselung
Data in Transit und Data at Rest.
- Data in Transit
- Nachweisdateien je Kunde
- MFA-Secrets und Codes
Alle Maßnahmen im Bereich ansehen (3)
Data in Transit
Ausschließlich HTTPS, HSTS für ein Jahr einschließlich Subdomains.
Nachweisdateien je Kunde
Verschlüsselt mit eigenem Schlüssel je Kunde (XChaCha20-Poly1305), außerhalb des öffentlichen Verzeichnisses.
MFA-Secrets und Codes
MFA-Secrets verschlüsselt, Einladungslinks und Wiederherstellungsschlüssel nur als HMAC gespeichert.
Verschlüsselte Backups
Ein Backup ist nur so gut wie sein Schutz. Deshalb kann selbst jemand mit Zugriff auf den Server die Datenbank-Backups nicht lesen.
- Täglich
- Mit öffentlichem Schlüssel verschlüsselt
- Privater Schlüssel nicht auf dem Server
- Nachweisdateien bleiben verschlüsselt
- Veränderungen werden erkannt
- Bis zu 60 Tage und gezielte Wiederherstellung
- Kopie außerhalb des Servers
Alle Maßnahmen im Bereich ansehen (7)
Täglich
Tägliches Backup der Datenbank und aller Nachweisdateien.
Mit öffentlichem Schlüssel verschlüsselt
Das Datenbank-Backup wird mit libsodium (XChaCha20-Poly1305) für einen öffentlichen Schlüssel verschlüsselt.
Privater Schlüssel nicht auf dem Server
Den privaten Schlüssel zum Entschlüsseln bewahren wir ausschließlich offline auf.
Nachweisdateien bleiben verschlüsselt
Nachweisdateien werden in ihrer verschlüsselten Form (Schlüssel je Kunde) gesichert.
Veränderungen werden erkannt
Veränderte oder beschädigte Backups fallen beim Wiederherstellen auf und werden nicht eingespielt.
Bis zu 60 Tage und gezielte Wiederherstellung
Auf dem Server bleiben die letzten 30 täglichen Backups, außerhalb des Servers zusätzlich tägliche Stände, die vom Server aus nicht gelöscht werden können, und eine monatliche Offline-Kopie. Nach spätestens 60 Tagen wird jedes Backup gelöscht oder überschrieben; einzelne Projekte lassen sich gezielt als Kopie zurückholen.
Kopie außerhalb des Servers
Eine verschlüsselte Kopie jedes Backups liegt zusätzlich außerhalb des Servers in einem Rechenzentrum in Deutschland.
Hosting und Betrieb
Wo Complass läuft und wie wir den Betrieb im Blick behalten.
- Hosting in Deutschland
- Monitoring
- Täglicher Betriebsbericht
- Verfügbarkeit von außen prüfbar
- Nur der Einstiegspunkt ist öffentlich
Alle Maßnahmen im Bereich ansehen (5)
Hosting in Deutschland
Bei der Hetzner Online GmbH in Rechenzentren in Deutschland, mit Vertrag zur Auftragsverarbeitung.
Monitoring
Backups, Cronjobs, Speicher, Schwachstellen-Daten, E-Mail-Versand, Serverfehler und Antwortzeiten werden laufend geprüft; bei Auffälligkeiten wird Complass automatisch alarmiert.
Täglicher Betriebsbericht
Complass erhält täglich einen Bericht zum Zustand des Betriebs, ohne Kundeninhalte.
Verfügbarkeit von außen prüfbar
Eine Status-Adresse ohne Kundendaten erlaubt ein Monitoring der Verfügbarkeit von außen; das externe Monitoring wird eingerichtet.
Nur der Einstiegspunkt ist öffentlich
Datenbank, Nachweise, Backups und Programmcode sind vom Web aus gesperrt.
Anwendungssicherheit
Schutz gegen typische Angriffe auf Web-Anwendungen.
- Content-Security-Policy
- Sicherheits-Header und CSRF-Schutz
- Upload-Prüfung
- Sichere XML-Verarbeitung
- Netzwerkmitschnitte nur im Browser
- Automatische Sicherheits-Scans
- OWASP ASVS 5.0
Alle Maßnahmen im Bereich ansehen (7)
Content-Security-Policy
Nur Skripte, Styles und Schriften vom eigenen Server, keine Inline-Skripte, keine Einbettung in fremde Seiten.
Sicherheits-Header und CSRF-Schutz
Sicherheits-Header auf jeder Antwort, CSRF-Token für jede Änderung.
Upload-Prüfung
Hochgeladene Dateien werden nach Endung und tatsächlichem Inhalt geprüft, nur erlaubte Typen.
Sichere XML-Verarbeitung
XML-Importe (z. B. Nmap, Scanner, Excel) ohne Nachladen externer Ressourcen und ohne Auflösung externer Entitäten.
Netzwerkmitschnitte nur im Browser
PCAP-Dateien werden im Browser ausgewertet und nicht hochgeladen.
Automatische Sicherheits-Scans
Bei jeder Änderung am Code: statische Code-Analyse, Suche nach versehentlich gespeicherten Secrets, Prüfung aller Fremdkomponenten auf bekannte Schwachstellen, eine Stückliste der Software (SBOM) und ein dynamischer Scan der laufenden Anwendung.
OWASP ASVS 5.0
OWASP ASVS 5.0: Level 1 98 % · Level 2 93 % · Level 3 85 % (Selbstbewertung, Stand 21.10.2026). Eine begründete Ausnahme, offen ausgewiesen.
Alle Änderungen nachvollziehbar
Für Ihren Audit-Nachweis: wer hat wann was geändert.
- Änderungsverlauf je Objekt
- Versionen mit Freigabe
- Kommentar-Verlauf
- Audit-Export
- Kundenprotokoll
- Manipulationserkennbares Protokoll
Alle Maßnahmen im Bereich ansehen (6)
Änderungsverlauf je Objekt
Wer, wann, alter und neuer Wert, z. B. an Katalogeinträgen, Aufgaben und Phasen.
Versionen mit Freigabe
Frühere Fassungen von Dokumenten mit Freigabe (Name, Datum) und Versionen von Nachweisdateien bleiben abrufbar.
Kommentar-Verlauf
Bearbeitete Kommentare behalten ihre früheren Fassungen; zurückgezogene und ausgeblendete Kommentare bleiben erhalten.
Audit-Export
Ein verschlüsseltes Paket für interne und externe Audits: Projekte, Dokumente, Nachweise, Register und Protokoll, nur im Umfang der Leserechte der anfordernden Person. Den Download-Link erhält sie per E-Mail. Ein Manifest mit Prüfsummen belegt, dass das Paket unverändert ist; Sie prüfen es im Portal.
Kundenprotokoll
Anmeldungen, Exporte, Rechteänderungen, Löschungen und weitere wichtige Aktionen, filterbar und exportierbar für Ihre Administratoren.
Manipulationserkennbares Protokoll
Jeder Eintrag Ihres Kundenprotokolls und der Sicherheitsereignisse ist über eine Hash-Kette (HMAC-SHA-256) mit dem vorherigen verknüpft; Änderungen oder Löschungen werden bei der Prüfung sichtbar. Den Prüfstatus (zuletzt geprüft, Prüfwert) sehen Sie im Kundenprotokoll und im Export.
Datenschutz und Kontrolle
Ihre Daten gehören Ihnen.
- Keine Werbe-Tracker
- Löschfristen
- Export jederzeit, kein Lock-in
- Anbieterwechsel ohne Kosten
- Lesezugriff nach Vertragsende
- Datenlöschung auf Wunsch
Alle Maßnahmen im Bereich ansehen (6)
Keine Werbe-Tracker
Im Kundenbereich keine Tracking- oder Analyse-Tools, keine externen Schriften oder Skripte; auf der öffentlichen Website Besucherstatistik ohne Cookies (Plausible, EU); nur technisch notwendige Cookies: die Session und, wenn Sie eine Sprache wählen, Ihre Sprache.
Löschfristen
IP-Adressen im Protokoll werden nach 90 Tagen gekürzt, Protokolleinträge nach 24 Monaten gelöscht, Anfragen von Interessenten nach 12 Monaten.
Export jederzeit, kein Lock-in
Dokumente, Tabellen, Berichte und das Compliance-Paket mit allen Nachweisdateien jederzeit exportierbar.
Anbieterwechsel ohne Kosten
Wechsel zu einem anderen Anbieter oder in Ihr eigenes System mit festen Fristen und Export der Daten Ihres Unternehmens in offenen Formaten. Ablauf und Formate beschreibt die Seite „Anbieterwechsel und Datenexport“.
Lesezugriff nach Vertragsende
Nach Vertragsende bleiben Ihre Inhalte lesbar und exportierbar, nur das Bearbeiten ist gesperrt.
Datenlöschung auf Wunsch
Im Portal: zuerst Export, dann Bestätigung mit Passwort, MFA, Firmenname und E-Mail, 7 Tage Wartefrist, Löschbestätigung als PDF.
Schwachstellendaten ohne Datenabfluss
Der Abgleich mit öffentlichen Schwachstellendaten findet auf unserem Server statt.
- Spiegel öffentlicher Quellen
- Keine Kundendaten nach außen
Alle Maßnahmen im Bereich ansehen (2)
Spiegel öffentlicher Quellen
NVD, CISA KEV, EPSS und ENISA EUVD werden auf den Server geladen.
Keine Kundendaten nach außen
Angaben aus Ihrem Asset-Inventar werden für den Abgleich nicht an externe Dienste übermittelt.
Transparenz
Was wir einsetzen, wie wir Complass weiterentwickeln und wie Sie uns Sicherheitslücken melden.
- Unterauftragsverarbeiter
- Support über Ihren Administrator
- Versionsverlauf
- Sicherheitslücke melden
- Inhalte mit KI-Unterstützung
Alle Maßnahmen im Bereich ansehen (5)
Unterauftragsverarbeiter
Für die Inhalte, die Sie im Portal erfassen, setzen wir die Hetzner Online GmbH (Hosting) ein. Mit dem Zusatzmodul „Alarmierung per SMS und Anruf“ kommt die sms77 io GmbH (seven.io) für Telefonnummer und Alarmtext hinzu.
Support über Ihren Administrator
Fehler, Wünsche und Fragen gehen gebündelt über Ihren Administrator an uns. Stand und Antworten sehen Sie im Ticket, bis „erledigt in Version …“. Tickets anderer Kunden sehen Sie nie, und umgekehrt.
Versionsverlauf
Was sich ändert, steht je Version unter „Neuigkeiten“.
Sicherheitslücke melden
Hinweise auf Sicherheitslücken bitte an security@complass.de; Kontakt auch unter /.well-known/security.txt.
Inhalte mit KI-Unterstützung
Inhalte werden mit Unterstützung von KI erstellt und von unseren Fachleuten gegen die Originaltexte geprüft.
Was passiert, wenn …?
Sicherheit zeigt sich im Alltag. Diese Fälle kommen in jedem Unternehmen vor, so geht Complass damit um.
… ein Passwort in falsche Hände gerät?
Ohne den Code aus der Authenticator-App kommt niemand hinein. Nach 5 falschen Passwörtern wird die Anmeldung mit Passwort aus diesem Netz gesperrt, nach 5 falschen Codes das ganze Konto, zunächst für 15 Minuten, bei erneuter Sperre innerhalb von 24 Stunden länger. So kann niemand, der nur Ihre E-Mail-Adresse kennt, Sie aussperren. Die Person und Ihre Administratoren erhalten bei einer Sperre eine E-Mail. Meldet sich jemand von einem neuen Gerät an, wird die Person ebenfalls per E-Mail informiert. Fehlgeschlagene Anmeldungen erscheinen in Ihrem Protokoll.
… jemand das Unternehmen verlässt?
Ihr Administrator deaktiviert den Zugang unter „Team und Zugänge“. Alle offenen Sessions dieser Person enden damit sofort, eine Anmeldung ist nicht mehr möglich. Der Platz im Benutzerkontingent wird frei.
… jemand den Browser offen lässt?
Nach 30 Minuten ohne Eingabe meldet das Portal automatisch ab, spätestens nach 10 Stunden ist eine neue Anmeldung mit MFA nötig. Administratoren eines Unternehmens können dafür 10 bis 60 Minuten und 4 bis 12 Stunden wählen. Jede Person sieht ihre aktiven Sessions und kann andere Geräte abmelden.
… das Smartphone mit der App verloren geht?
Mit Ihrem Wiederherstellungsschlüssel melden Sie sich einmalig an und richten direkt eine neue App ein. Ohne Schlüssel setzt Ihr Administrator die MFA-Anmeldung auf Anfrage zurück; das Passwort bleibt, bisherige Sessions verfallen.
Weitere Fälle ansehen (5)
… ein Auditor Einblick braucht?
Legen Sie einen Zugang mit der Rolle „Nur lesen“ an, beschränkt auf das betreffende Projekt und mit Ablaufdatum. Nach diesem Datum ist keine Anmeldung mehr möglich, ohne dass jemand daran denken muss.
… Complass Sie unterstützen soll?
Unsere Berater sehen Ihre Projekte erst, wenn Ihr Administrator den Beraterzugriff freigibt, jeweils für höchstens 90 Tage. Jede Session, in der ein Berater ein Projekt öffnet, steht in Ihrem Protokoll, und die Freigabe lässt sich mit einem Klick entziehen. Einen Notfallzugang gibt es nur, wenn Ihr Unternehmen ihn vorher erlaubt hat: mit erneuter Anmeldung, Freigabe durch eine zweite Person aus unserem Team, höchstens 60 Minuten und nur lesend; Ihre Administratoren werden sofort per E-Mail informiert. Setzt unser Team den Zugang einer Person zurück (Passwort und MFA-Anmeldung), ändert ihre E-Mail-Adresse oder löscht ein Projekt endgültig, geschieht das nur nach Freigabe durch eine zweite Person aus unserem Team, und Ihre Administratoren erhalten dazu eine E-Mail. Den Link zum Neueinrichten erhält die Person selbst per E-Mail; unser Team bekommt ihn nie zu sehen. Das gilt auch für Fachleute, die Complass für einzelne Einsätze beauftragt: Sie arbeiten im Auftrag von Complass und nur über den freigegebenen Beraterzugriff.
… Complass Ihre Sicht sehen soll, um zu helfen?
Sie behalten die Kontrolle über Support-Zugriffe: Unser Support sieht Ihre Sicht nur mit Ihrer Freigabe, die Sie selbst im Ticket oder unter „Mein Konto“ erteilen. Sie ist befristet (30 Minuten bis 2 Stunden), standardmäßig nur lesend, ohne Dateien und ohne Export, und jederzeit mit einem Klick beendbar. Ihre Kontoseite, Passwort und MFA-Anmeldung, Team, Berechtigungen und Abo bleiben gesperrt. Der Start wird Ihnen und Ihren Administratoren gemeldet, und jeder Seitenaufruf steht in Ihrem Protokoll. Freigaben, Releases, Abnahmen, Risikoakzeptanzen und Kenntnisnahmen kann der Support auch mit Schreibzugriff nicht erteilen; was er anlegt oder ändert, ist im Verlauf mit „im Support erstellt von …“ gekennzeichnet.
… ein Projekt versehentlich gelöscht wird?
Löschen dürfen nur Administratoren (bzw. Personen, denen Ihre Administratoren das Recht „Löschen“ geben), und nur nach Eingabe des Projektnamens und Bestätigung mit dem aktuellen App-Code oder Passkey. Das Projekt liegt dann 30 Tage im Papierkorb und lässt sich mit einem Klick wiederherstellen. Frühere Fassungen von Dokumenten und Checklisten bleiben erhalten, zusätzlich gibt es ein tägliches Backup.
… die Lizenz endet?
Ihre Projekte bleiben lesbar und exportierbar, nur das Bearbeiten ist gesperrt. Das Compliance-Paket als ZIP enthält Dokumente, Tabellen, Berichte und alle Nachweisdateien mit Prüfsummen.
Was wir bewusst nicht tun
- Keine Werbe-Tracker, keine Analyse im Kundenbereich
- Kein Verkauf oder Weitergabe Ihrer Daten
- Kein Training von KI mit Ihren Daten
- Keine Fernsteuerungs-Tools Dritter
Einzelheiten zur Verarbeitung personenbezogener Daten finden Sie in der Datenschutzerklärung.
Technische Details für Ihre IT
Für IT-Leitung und Informationssicherheitsbeauftragte: die Maßnahmen im Einzelnen.
Anmeldung und Passwörter
- Passwörter mit mindestens 12 Zeichen; abgelehnt werden u. a. Passwörter, die die E-Mail-Adresse, den eigenen Namen oder den Firmennamen enthalten, zu einfach aufgebaut sind, zu den verbreitetsten Passwörtern gehören oder in bekannten Datenlecks aufgetaucht sind.
- Für die Prüfung auf Datenlecks verlassen nur die ersten 5 Zeichen eines Hashwerts des Passworts den Server (k-Anonymität); das Passwort selbst wird nie übertragen.
- Einheitliche Fehlermeldung und angeglichene Laufzeit, damit sich nicht erkennen lässt, ob eine E-Mail-Adresse registriert ist.
- Stufenweise Sperre nach 5 Fehlversuchen (15 min, 1 h, 1 Tag; der Zähler verfällt nach 24 Stunden ohne Fehlversuch): Falsche Passwörter sperren nur die Anmeldung mit Passwort aus dem Netz, aus dem sie kommen, falsche Codes das ganze Konto. Zusätzlich gilt ein Rate Limiting von 30 Anmeldeversuchen je IP-Adresse in 15 Minuten, auch für Passkeys.
- Zugänge entstehen nur über Einladungslinks: 72 Stunden gültig, einmal verwendbar, auch bei gleichzeitigen Aufrufen.
- Ausgehende Verbindungen (Egress), etwa zum Anbieter der Anmeldung mit Firmenkonto oder zu Sicherheitshinweisen der Hersteller, gehen nur per https an öffentliche Adressen; Weiterleitungen werden einzeln geprüft. Interne Netze des Rechenzentrums sind so nicht erreichbar.
Schutz vor Angriffen auf die Anmeldung
- Stufenweise Sperre: Nach 5 falschen Passwörtern ist die Anmeldung mit Passwort aus diesem Netz 15 Minuten gesperrt, nach 5 falschen Codes das ganze Konto; bei erneuter Sperre innerhalb von 24 Stunden verlängert sie sich stufenweise (15 min, 1 h, 1 Tag). Eine erfolgreiche Anmeldung setzt den Zähler zurück. Auch in einer offenen Session zählen falsche Passwörter und Codes; nach 5 Fehlversuchen endet die Session.
- Rate Limiting je Verbindung: höchstens 30 Anmeldeversuche je IP-Adresse in 15 Minuten; nach wiederholten Fehlversuchen antwortet die Anmeldung verzögert (bis 2 Sekunden). Viele Fehlversuche über viele verschiedene Adressen von einer Verbindung sperren diese für die Anmeldung vorübergehend.
- Gleiche Meldung und gleiche Antwortzeit für unbekannte Adresse, falsches Passwort und gesperrtes Konto: Von außen lässt sich nicht erkennen, ob ein Konto existiert oder gesperrt ist.
- Benachrichtigung: Bei einer Sperre erhalten die Person und die Administratoren Ihres Unternehmens eine E-Mail; Administratoren können die Sperre aufheben. Bei einer Anmeldung von einem bisher unbekannten Gerät erhält die Person eine E-Mail (abschaltbar unter „Mein Konto“). Erkannt wird ein bekanntes Gerät an einem signierten Geräte-Cookie, auch wenn sich die IP-Adresse ändert, sonst grob über Browser, Betriebssystem und Netzbereich, ohne Standortdienste.
- Alarmierung des Betriebs: Fehlversuche, Sperren, IP-Sperren und Zugriffe auf typische Angriffsziele werden als Sicherheitsereignisse erfasst. Bei Häufungen, bei gesperrten Verbindungen und bei Ereignissen an Konten unserer Administratoren wird unser Betrieb sofort per E-Mail alarmiert; täglich erhält er einen Bericht.
- Ihre Administratoren sehen die Sicherheitsereignisse an den Konten Ihres Unternehmens (fehlgeschlagene Anmeldungen, Sperren, neue Geräte) mit Filter und Export.
MFA-Anmeldung
- TOTP nach RFC 6238 (6 Stellen, 30 Sekunden), kompatibel mit gängigen Authenticator-Apps. Jeder Code ist nur einmal gültig (Replay-Schutz).
- Der QR-Code zur Einrichtung wird im Browser erzeugt, das Secret geht an keinen externen Dienst.
- Ein Wiederherstellungsschlüssel (28 Zeichen), einmal verwendbar, danach Pflicht zur Neueinrichtung der App, jederzeit neu erzeugbar.
- Ohne eingerichtete MFA gibt es keinen Zugriff; die Einrichtung wird bei der ersten Anmeldung erzwungen.
Sessions und Schutz vor Angriffen
- Session-Cookie mit __Host-Präfix, Secure, HttpOnly und SameSite=Strict; neue Session-ID nach jeder Anmeldestufe.
- Abmeldung nach 30 Minuten Inaktivität, spätestens nach 10 Stunden (Standard; je Unternehmen 10–60 Minuten bzw. 4–12 Stunden).
- Bei Passwort- oder MFA-Wechsel enden alle anderen Sessions der Person, bei Deaktivierung alle.
- CSRF-Token für jede Änderung.
- Content-Security-Policy ohne Inline-Skripte und ohne externe Quellen (default-src 'self', frame-ancestors 'none', object-src 'none'), dazu X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy und Cache-Control: no-store.
Verschlüsselung
- Data in Transit: ausschließlich HTTPS, HSTS für ein Jahr inklusive Subdomains.
- Nachweisdateien: libsodium secretstream (XChaCha20-Poly1305) in Blöcken zu 64 KiB, Schlüssel je Kunde per KDF aus dem Hauptschlüssel abgeleitet. Ablage unter Zufallsnamen außerhalb des Webroots (Verzeichnisse 0700, Dateien 0600).
- MFA-Secrets: verschlüsselt mit libsodium secretbox (XSalsa20-Poly1305).
- Passwörter: nur als Argon2id-Hash gespeichert, ältere Hashes werden bei der nächsten Anmeldung automatisch erneuert. Einladungslinks und Wiederherstellungsschlüssel: nur als HMAC-SHA-256 gespeichert.
- Backup der Nachweisdateien: enthält die Dateien in ihrer verschlüsselten Form.
- Datenbank-Backup: hybrid verschlüsselt (libsodium: Dateischlüssel je Backup, Inhalt mit XChaCha20-Poly1305, Dateischlüssel versiegelt für den öffentlichen Backup-Schlüssel). Der private Schlüssel liegt nicht auf dem Server.
Nachweisdateien
- Erlaubt sind nur bestimmte Dateitypen; geprüft werden Endung und tatsächlicher Inhalt.
- Abruf nur mit Zugriff auf das Projekt bzw. die Aufgabe: als Download oder, bei PDF, Bildern und Textdateien, als Ansicht im Browser. Beides immer in einer abgeschotteten Umgebung (Sandbox) ohne Skripte.
- Gleicher Dateiname ergibt eine neue Version, frühere Versionen bleiben abrufbar. Gelöschte Dateien werden nach 30 Tagen endgültig entfernt.
Backup und Wiederherstellung
- Tägliches Backup der Datenbank (konsistente, komprimierte und verschlüsselte Kopie) und der Nachweisdateien, die letzten 30 Backups werden aufbewahrt.
- Papierkorb für alle Einträge (Projekte, Risiken, Vorfälle, Aufgaben, Assets, Nachweisdateien und mehr): 30 Tage wiederherstellbar, danach endgültig gelöscht.
- Frühere Fassungen: die letzten 100 je Dokument (freigegebene dauerhaft), die letzten 50 Stände je Checkliste.
- Eigener Schlüssel je Kunde in den Backups: Bei einer Löschung wird er vernichtet; die Daten sind dann in den meisten Backups sofort, in allen spätestens mit deren Ablauf unlesbar.
- Einzelne Projekte lassen sich aus einem Backup als Kopie neben dem aktuellen Stand zurückholen, ohne bestehende Daten zu überschreiben.
Zugriffe durch Complass
- Berater sehen Kundenprojekte nur mit Freigabe durch einen Administrator des Kunden; Beraterzugriffe stehen im Kundenprotokoll (Beraterzugriff je Session und Projekt, Notfallzugang bei jedem Projektaufruf mit seiner Nummer).
- Notfallzugang nur, wenn der Kunde ihn vorher erlaubt hat, mit schriftlicher Begründung, erneuter Anmeldung und Freigabe durch eine zweite Person, höchstens 60 Minuten, nur lesend, im Kundenprotokoll und mit sofortiger E-Mail an die Administratoren des Kunden.
- Support-Sessions nur mit Freigabe der betroffenen Person, befristet, standardmäßig nur lesend, gestartet mit dem MFA-Code unseres Administrators in einer eigenen Session (Ihre Session wird nie übernommen), jederzeit durch Sie beendbar; jeder Seitenaufruf steht im Kundenprotokoll.
- Unterstützungsaktionen unserer Administratoren, z. B. Passwort und MFA zurücksetzen oder Sessions beenden, erscheinen ebenfalls in Ihrem Protokoll.
Betrieb
- Hosting bei der Hetzner Online GmbH auf Servern in Deutschland.
- Öffentlich erreichbar ist nur der Einstiegspunkt des Portals; Datenbank, Nachweisdateien, Backups und Programmcode sind vom Web aus gesperrt.
- Monitoring: Verfügbarkeit, Backups, Cronjobs, Speicher, Schwachstellen-Daten, E-Mail-Versand, Serverfehler, Antwortzeit und PHP werden laufend geprüft; Alarme gehen per E-Mail an Complass. Keine Kundeninhalte im Monitoring.
Häufige Fragen zur Sicherheit
Wer kann meine Daten sehen?
Die Personen Ihres Unternehmens, denen Ihre Administratoren Zugriff geben, im Rahmen ihrer Rechte. Complass sieht in der Oberfläche nur Verwaltungsdaten; Inhalte nur mit Ihrer Beraterfreigabe, in einer von Ihnen freigegebenen Support-Session oder im protokollierten Notfallzugang, wenn Sie ihn vorher erlaubt haben.
Kann Complass technisch auf die Daten zugreifen?
Als Betreiber verwalten wir den Server und die Schlüssel für die Verschlüsselung der Nachweisdateien. Zugriffe außerhalb der Oberfläche sind durch den Vertrag zur Auftragsverarbeitung geregelt und auf den Betrieb beschränkt.
Was passiert bei einem Sicherheitsvorfall bei Complass?
Wir informieren betroffene Kunden unverzüglich. Verletzungen des Schutzes personenbezogener Daten melden wir nach der DSGVO, als Auftragsverarbeiter zunächst an Sie als Verantwortlichen.
Ist Complass zertifiziert?
Nein. Wir beschreiben auf dieser Seite, welche Maßnahmen umgesetzt sind; Fragen Ihrer IT-Sicherheit beantworten wir gern im Detail.
Fragen Ihrer IT-Sicherheit?
Wir beantworten Ihre Fragen zur Sicherheit von Complass gern, auch im Rahmen einer Vorführung.
Wie wir nach OWASP ASVS 5.0 bewerten
Oder per E-Mail an info@complass.eu.