Trust Center
Alles, was wir Ihnen darüber sagen können, wie die Plattform abgesichert ist, wo Ihre Daten liegen und welche Zertifizierungen wir besitzen — auch die, die wir nicht besitzen.
Rahmenwerke, an denen wir uns orientieren oder die wir aktiv anstreben — den aktuellen Zertifizierungsstand finden Sie unten.
Datenstandort & Datenschutz
Gespeichert in Kanada, auf Servern, die wir selbst betreiben.Primärer Datenspeicher
Kanada 🇨🇦
Kontodaten, Scan-Ergebnisse und Protokolle werden in Toronto, Kanada, auf Servern gespeichert, die uns gehören und die wir selbst betreiben. Verschlüsselte nächtliche Backups werden zusätzlich in Cloudflare R2 kopiert, das keinen festen Standort hat; den Schlüssel besitzen nur wir. Jeder unten aufgeführte Unterauftragsverarbeiter erhält nur, was sein Dienst benötigt.
Verschlüsselung im Ruhezustand
AES-256-GCM
Geheimnisse und gespeicherte Zugangsdaten werden mit AES-256-GCM verschlüsselt. Der Verschlüsselungsschlüssel ist vom Signaturschlüssel der Tokens getrennt, liegt ausschließlich in der Serverumgebung und wird niemals in die Datenbank, die Backups oder das Repository geschrieben.
Verschlüsselung bei der Übertragung
TLS 1.3
Der gesamte API- und Web-Verkehr nutzt TLS 1.3 mit Perfect Forward Secrecy. Die Cipher Suites sind auf die stärksten verfügbaren Konfigurationen beschränkt.
Kein Mitschnitt von Datenverkehr
Nie
Wir schneiden niemals Netzwerkverkehr mit und speichern ihn nicht. Was ein Scan ausgibt — die Ausgabe des Werkzeugs und die daraus gewonnenen Befunde — wird gespeichert, damit Sie es lesen und Berichte erstellen können, und nach 90 Tagen gelöscht.
Was wir aufbewahren
Grundsätze der Datenverarbeitung
Verschlüsselung bei Übertragung und Speicherung
TLS 1.3 mit Perfect Forward Secrecy bei jeder Verbindung. Geheimnisse und gespeicherte Zugangsdaten werden mit AES-256-GCM verschlüsselt, unter einem Schlüssel, der vom Signaturschlüssel der Tokens getrennt gehalten wird.
Isolierte Ausführung
Scans laufen serverseitig in einem dedizierten Scan-Container, ein Prozess je Auftrag. Der Befehl wird in Tokens zerlegt, bevor Ihre Werte eingesetzt werden — es ist also keine Shell beteiligt —, und jede Abfrage ist auf Ihre Organisation beschränkt.
An SOC 2 ausgerichtete Kontrollen
Die Infrastruktur ist an den SOC 2 Trust Services Criteria (Sicherheit, Verfügbarkeit, Vertraulichkeit, Datenschutz) ausgerichtet. Das Type-II-Audit ist noch nicht abgeschlossen — die Tabelle unten nennt für jedes Rahmenwerk den genauen Stand.
Append-only-Audit-Protokoll
Privilegierte Aktionen werden in ein reines Anfüge-Audit-Protokoll geschrieben, auf Ihre Organisation beschränkt und aus dem Dashboard abfragbar. Protokolle werden ein Jahr aufbewahrt.
MFA, SSO und Rollen
Mehrfaktor-Authentifizierung über TOTP mit Einmal-Backup-Codes. SAML 2.0, OIDC und LDAP / Active Directory Single Sign-on im Enterprise-Tarif. Die rollenbasierte Zugriffskontrolle wird auf dem Server durchgesetzt, nicht in der Oberfläche.
Gepflegte Werkzeugkette
Scanner-Images und ihre Schwachstellenvorlagen werden von uns neu gebaut und ausgerollt. Sie aktualisieren nie einen Scanner und patchen nie eine Kali-Maschine.
Datenminimierung
Wir speichern Scan-Metadaten und Befunde, keinen rohen Netzwerkverkehr. Die Aufbewahrung ist konfigurierbar, und Sie können Ihre Daten jederzeit exportieren oder löschen. Art. 5 Abs. 1 lit. c DSGVO.
Plattformüberwachung
Rate Limiting mit Kostenstufen an jedem Endpunkt, statistische Anomalieerkennung auf Kontoaktivität und Health-Watchdogs, die einen ausgefallenen Dienst neu starten, ohne auf einen Menschen zu warten.
security.txt (RFC 9116)
Unsere Sicherheitskontaktdatei, vollständig konform mit IETF RFC 9116. Wird von Suchmaschinen und Sicherheitsforschern automatisch gefunden.
# CyberSec Pro Security Policy
# RFC 9116 Compliant
Contact: mailto:security@cyber-sec-pro.com
Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments
Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Hiring: https://cyber-sec-pro.com/careers
Preferred-Languages: en, tr
Canonical: https://cyber-sec-pro.com/.well-known/security.txt
Expires: 2027-07-31T23:59:59.000Z
Responsible Disclosure
1Geltungsbereich
Im Geltungsbereich:
- cyber-sec-pro.com und seine Subdomains
- app.cyber-sec-pro.com — die SaaS-Plattform
- api.cyber-sec-pro.com — die REST-API
Außerhalb des Geltungsbereichs:
- Social Engineering und Phishing
- Denial of Service (DoS/DDoS)
- Physische Sicherheit
- Dienste Dritter, die wir nicht betreiben
2Meldeweg
Melden Sie Sicherheitslücken an: security@cyber-sec-pro.com
Meldevorlage:
- Betreff: [SECURITY] kurze Beschreibung
- Betroffenes Asset: URL oder Endpunkt
- Art der Schwachstelle: XSS, SQLi, IDOR, …
- Schritte zur Reproduktion: 1, 2, 3 …
- Auswirkung: Datenabfluss, Rechteausweitung, …
- CVSS-Score (optional)
- Proof of Concept oder Screenshots
3Reaktions-SLA
- Erste Rückmeldung: ≤ 24 hours
- Statusmeldung: ≤ 72 hours
- Behebung oder Ausnahme: ≤ 90 days
4Safe Harbor
- Gegen Meldungen, die dieser Richtlinie entsprechen, gehen wir nicht rechtlich vor
- Die Identität der meldenden Person wird vertraulich behandelt
- Nach der Behebung erfolgt die Aufnahme in die Hall of Fame
- Tests ohne schriftliche Erlaubnis sind untersagt
Compliance-Rahmenwerke
4/10 ErfülltZielzeiten bei Sicherheitsvorfällen
Zielwerte dafür, wie schnell wir handeln, sobald ein Vorfall erkannt oder an security@cyber-sec-pro.com gemeldet wurde. CyberSec Pro wird von einer Person betrieben; die Uhr läuft daher täglich von 07:00 bis 23:00 Uhr Toronto-Zeit, und eine Meldung, die nachts eingeht, startet sie um 07:00 Uhr. Gesetzliche Fristen für die Meldung einer Datenpanne laufen rund um die Uhr. Es sind Zielwerte, keine vertraglichen Zusagen. Das Vorgehen folgt den Phasen von NIST SP 800-61: Erkennen, Eindämmen, Beseitigen, Wiederherstellen, Auswerten.
| Priorität | Reaktion | Benachrichtigung | Behebung |
|---|---|---|---|
| P0 — Kritisch | ≤ 1 Stunde | ≤ 4 Stunden | ≤ 24 Stunden |
| P1 — Hoch | ≤ 4 Stunden | ≤ 24 Stunden | ≤ 72 Stunden |
| P2 — Mittel | ≤ 24 Stunden | ≤ 72 Stunden | ≤ 7 Tage |
| P3 — Niedrig | ≤ 3 Tage | ≤ 7 Tage | ≤ 30 Tage |
Unterauftragsverarbeiter
Dritte, die in unserem Auftrag personenbezogene Daten verarbeiten (Art. 28 DSGVO). Jeder Auftragsverarbeitungsvertrag ist Teil der Bedingungen des Anbieters und wurde mit dem Konto akzeptiert; gesondert unterzeichnete Exemplare haben wir nicht. Ausnahme ist Gmail: ein Privatkonto, für das Google keinen AVV anbietet.
| Anbieter | Zweck | Standort | DPA |
|---|---|---|---|
| Stripe, Inc. | Zahlungsabwicklung | Vereinigte Staaten (EU-SCC + DPF) | ✓ In Kraft |
| Cloudflare, Inc. | DDoS-Schutz, WAF, CDN, TLS-Terminierung, cookielose Web-Analyse, Weiterleitung eingehender E-Mails | Globales Edge-Netz (EU-SCC + DPF) | ✓ In Kraft |
| Brevo (Sendinblue SAS) | Transaktions-E-Mails, mit Erfassung von Link-Klicks | EU (EU-SCC) | ✓ In Kraft |
| Google (Gmail) | Unser Posteingang: E-Mails an unsere Adressen | Vereinigte Staaten (EU-SCC + DPF) | Keiner |
| Cloudflare R2 | Externe Speicherung verschlüsselter Datenbanksicherungen, jeweils 30 Tage aufbewahrt | Automatische Platzierung, keine Jurisdiktion festgelegt (verschlüsselt; nur wir haben den Schlüssel) | ✓ In Kraft |
| Google Analytics | Aggregierte Nutzungsstatistik der Website | Vereinigte Staaten (EU-SCC + DPF) | ✓ In Kraft |
Zuletzt aktualisiert: November 2026. Änderungen an dieser Liste veröffentlichen wir hier und in der Datenschutzerklärung am Tag ihres Inkrafttretens. Zuletzt: Brevo hat am 29. September 2026 Mailjet ersetzt, nachdem Mailjet unser Konto geschlossen hatte. Am 30. Oktober 2026 wurde die Brevo-Zeile ergänzt: Brevo erfasst Klicks auf Links, und zwar schon von Anfang an. Seit dem 4. November 2026 leitet Gmail keine ausgehenden E-Mails mehr weiter; es ist nur noch unser Posteingang.
Auftragsverarbeitungsvertrag (AVV)
Jeder Kunde kann einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erhalten: Fordern Sie ihn an, und wir senden ihn Ihnen zur Unterzeichnung. Personenbezogene Daten aus der EU und dem Vereinigten Königreich gelangen auf Grundlage der Angemessenheitsbeschlüsse, die beide für Kanada gefasst haben, zu uns nach Kanada; für diese Übermittlung sind daher keine Standardvertragsklauseln nötig. Unsere Datenschutzerklärung nennt jeden Unterauftragsverarbeiter, seinen Standort und die Daten, die er erhält.
Umfang des AVV
- Zweck und Mittel der Verarbeitung
- Kategorien personenbezogener Daten und betroffener Personen
- Die Liste der Unterauftragsverarbeiter und wie neue genehmigt werden
- Technische und organisatorische Maßnahmen (TOM)
- Meldung von Verletzungen, unverzüglich und binnen 72 Stunden
- Internationale Übermittlungen und die Garantie, auf der jede beruht
Datenschutz-Folgenabschätzung
✓ Genehmigt, November 2026Im November 2026 haben wir für den gesamten Dienst eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt, einschließlich Scans, Geräteerkennung und wöchentlicher Netzwerkprüfungen. Es handelt sich um eine Selbstbewertung, die von unserem Gründer genehmigt wurde; weder ein Datenschutzbeauftragter (keiner ist benannt oder erforderlich) noch eine Aufsichtsbehörde hat sie geprüft. Kein verbleibendes Risiko wurde als hoch eingestuft. Wir überprüfen sie jedes Jahr und vor jeder Änderung an den personenbezogenen Daten, die wir verarbeiten. Kunden können eine Kopie anfordern.
Sicherheitstests & Audits
Laufende interne Sicherheitstests mit unserer eigenen Plattform und manueller Prüfung. Unabhängige Penetrationstests durch Dritte sind geplant; zusammenfassende Berichte stehen Enterprise-Kunden nach Abschluss unter NDA zur Verfügung.
Nuclei 3.11 + Wapiti 3.2, run against production
Umfang: https://app.cyber-sec-pro.com — TLS, Header, CORS, Vorlagen für Fehlkonfiguration und Offenlegung sowie Tests auf XSS, SQLi und Open Redirect
Ergebnisse: 0 kritisch, 0 hoch, 0 mittel, 14 informativ. Wapiti: 0 Schwachstellen.
CyberSec Pro Security Team (internal)
Umfang: Authentifizierung, Autorisierung, Umgang mit Geheimnissen, API-Schlüssel, MFA, SSO und Sitzungsverwaltung im gesamten Repository
Ergebnisse: Mehrere Kontrollen erwiesen sich in der Produktion als wirkungslos und wurden neu gebaut; die von ihnen geschützten Geheimnisse wurden rotiert. Jede Korrektur ist durch einen Regressionstest abgesichert.
Security Hall of Fame
Wir danken den Forscherinnen und Forschern, die Schwachstellen im Einklang mit unserer Responsible-Disclosure-Richtlinie melden.
Mit einer Schwachstellenmeldung könnten Sie die erste Person in unserer Hall of Fame sein.
Schwachstelle meldenSicherheitskontakt
Sicherheit: security@cyber-sec-pro.com
Recht/AVV: legal@cyber-sec-pro.com
Datenschutz: privacy@cyber-sec-pro.com
Trust Center zuletzt aktualisiert: September 2026 · Richtlinienversion: 2.2.0 · Nächste Überprüfung: März 2027