Sicherheit · Nachweise
Sicherheit, die Sie nachprüfen können
Wir prüfen Complass selbst, laufend und nachvollziehbar dokumentiert. Was unabhängige Dienste von außen messen, können Sie mit einem Klick selbst nachprüfen.
Stand: 22.10.2026 · Version 2.05.2
Von unabhängigen Diensten gemessen
Diese Ergebnisse liefern öffentliche Prüfdienste, nicht wir. Der Link zeigt jeweils das aktuelle Ergebnis des Dienstes.
-
Qualys SSL Labs A+
- Nur TLS 1.2 und 1.3
- HSTS für ein Jahr, inkl. Subdomains
- Zertifikat gültig, automatisch erneuert
-
Mozilla HTTP Observatory A+
- 12/12 Tests
- Strenge Content-Security-Policy
- Schutz vor Einbetten in fremde Seiten
- Sichere Cookies
-
security.txt nach RFC 9116 vorhanden
- Fester Kontakt für Sicherheitsmeldungen
- Gültig bis 28.09.2027
- Deutsch und Englisch
Die Noten zeigen unseren Stand vom 22.10.2026. Die Dienste messen öffentlich erreichbare Eigenschaften unserer Website. Sie arbeiten nicht in unserem Auftrag und vergeben kein Siegel.
Unsere eigenen Prüfungen
Wir prüfen uns selbst, mit eigenen Werkzeugen und ohne externe Berater. Das sagen wir offen, denn es bedeutet: Wir prüfen nicht einmal im Jahr, sondern bei jeder Änderung.
-
OWASP ASVS 5.0 Level 1 bis 3 · Selbstbewertung
- 98 % Level 1
- 93 % Level 2
- 85 % Level 3
Jede Anforderung einzeln gegen Code und Betrieb bewertet. Ein Level nennen wir erst erfüllt, wenn alles umgesetzt ist.
Begründete Ausnahmen (nicht als erfüllt gezählt)
-
Schlüssellänge fremder Anbieter (V11.2.3, Level 2): RSA-2048 von Identitätsanbietern und Passkey-Geräten – zulässig nach NIST SP 800-131A bis Ende 2030.
Warum?
Complass selbst verschlüsselt durchgängig mit mindestens 128 Bit Sicherheit (256-Bit-Schlüssel). Identitätsanbieter wie Microsoft oder Google und viele Passkey-Geräte signieren aber mit RSA-2048 (112 Bit). Diese Schlüssel akzeptieren wir gemäß NIST SP 800-131A bis Ende 2030; ab 2031 verlangen wir mindestens RSA-3072. Würden wir RSA-2048 heute ablehnen, wäre die Anmeldung per SSO und Passkey nicht mehr möglich.
-
Automatische Scans bei jeder Änderung
- Statische Code-Analyse
- Suche nach versehentlich gespeicherten Secrets
- Prüfung aller Fremdkomponenten auf bekannte Schwachstellen
- Stückliste der Software (SBOM)
- Dynamischer Scan der laufenden Anwendung
-
Prüfung jeder neuen Funktion vor jeder Freigabe
- Rechte
- Mandantentrennung
- Eingaben
10.000+ automatische Tests sperren jede Auslieferung, wenn einer fehlschlägt.
Was ist OWASP ASVS, und was bedeuten Level 1, 2 und 3?
Der Standard
Der Application Security Verification Standard (ASVS) ist ein offener Prüfstandard der gemeinnützigen OWASP Foundation. Er legt in mehreren hundert einzelnen Anforderungen fest, was eine sichere Webanwendung leisten muss: von Anmeldung, Sessions und Rechten über die Prüfung von Eingaben bis zu Verschlüsselung und Logging. Die aktuelle Version 5.0 ist 2025 erschienen.
Die drei Level
- Level 1
- Grundschutz gegen naheliegende, leicht auszunutzende Angriffe. Die Mindeststufe für jede Anwendung.
- Level 2
- Der Standard für Anwendungen mit sensiblen oder geschäftskritischen Daten, etwa personenbezogenen Daten oder Unterlagen zur Informationssicherheit. Baut auf Level 1 auf.
- Level 3
- Die höchste Stufe für besonders kritische Systeme. Baut auf Level 2 auf.
Unser Stand
OWASP ASVS 5.0: Level 1 98 % · Level 2 93 % · Level 3 85 % (Selbstbewertung, Stand 21.10.2026). Eine begründete Ausnahme, offen ausgewiesen. So zählen wir
Wir haben jede Anforderung der Level 1 und 2 einzeln gegen den Code und den Betrieb von Complass bewertet und je Anforderung einen Beleg festgehalten. Die Bewertung wiederholen wir vollständig je Hauptversion; bei jedem Release prüfen wir die betroffenen Anforderungen erneut.
Was es nicht ist
Kein Zertifikat: OWASP stellt keine Zertifikate aus und prüft Anwendungen nicht selbst. Unsere Angabe ist eine Selbstbewertung durch Complass.
Die ausführliche Zuordnung je Anforderung mit Umsetzung, Nachweis und Prüfschritten enthält unser Sicherheitsdossier, das Kunden und Interessenten nach Abschluss einer Vertraulichkeitsvereinbarung erhalten. Schreiben Sie uns an info@complass.eu, Betreff „Sicherheitsdossier“.
Ergebnis in Kürze
Wir veröffentlichen eine knappe Zusammenfassung. Einzelne Befunde nennen wir nicht öffentlich, damit niemand sie ausnutzen kann.
- Keine offenen kritischen Befunde – über alle Prüfungen bis 22.10.2026
- Jede Prüfung dokumentiert – mit Datum, Uhrzeit und geprüftem Stand, auch ohne Befund
- Hosting in Deutschland – Server der Hetzner Online GmbH
- Löschung wirkt auch in den Backups – eigener Backup-Schlüssel je Kunde, mit der Löschung vernichtet
Sicherheitshinweise
Derzeit gibt es keine veröffentlichten Sicherheitshinweise. Schwachstellen melden Sie an security@complass.de (siehe security.txt).
So prüfen wir
Alle Angaben auf dieser Seite beruhen auf eigenen Prüfungen oder öffentlichen Prüfdiensten. Complass ist nicht von einer externen Stelle zertifiziert.
| Prüfart | Wer prüft | Takt |
|---|---|---|
| Bewertung nach OWASP ASVS 5.0 | Complass, Selbstbewertung | Vollständig je Hauptversion, betroffene Anforderungen je Release |
| Statische und dynamische Scans | Complass, automatisiert | Bei jeder Änderung am Code |
| TLS, Header, security.txt | Öffentliche Prüfdienste | Nach jedem Release, jederzeit selbst nachprüfbar |
Security-Bericht und Sicherheitsdossier anfordern
Für Ihre Lieferantenbewertung: Den Security-Bericht mit Antworten auf die üblichen Fragen eines Sicherheitsfragebogens erhalten Sie von uns ohne Vertraulichkeitsvereinbarung, ausgestellt auf Ihr Unternehmen. Für Audits und tiefere Prüfungen gibt es zusätzlich das Sicherheitsdossier mit Umsetzung, Nachweis und Prüfschritten je Anforderung, nach Abschluss einer Vertraulichkeitsvereinbarung. Schreiben Sie uns an info@complass.eu.
Oder per E-Mail an info@complass.eu.
Sicherheitslücke gefunden? Schreiben Sie an security@complass.de. Hinweise zur Meldung stehen in unserer security.txt.