Sicherheitsrichtlinie

Wir behandeln Sicherheit als Produktanforderung und beschreiben nur Kontrollen, die im aktuellen Dienst implementiert oder betrieblich erforderlich sind.

• ›Sicherheitsrelevante Routen laufen serverseitig in der Next.js-Anwendung
• ›Geschützte Dashboard- und Admin-Routen erfordern authentifizierte Sitzungen
• ›Admin-Funktionen sind auf konfigurierte Admin-E-Mail-Adressen beschränkt

Aktuelle Codebase-Kontrollen umfassen:

• ›NextAuth Google OAuth mit JWT-Sitzungen und 8 Stunden Sitzungsdauer
• ›Minimale Sitzungsansprüche; OAuth-Tokens werden nicht der Browsersitzung offengelegt
• ›Zod-Validierung für Kontakt-, Dashboard-, Angebots-, Status- und KI-Payloads
• ›Upstash-gestütztes Rate Limiting für öffentliche und authentifizierte Schreib-Routen
• ›Hostvalidierung, CSP, Frame-Blocking, Content-Type-Schutz, Referrer Policy und Permissions Policy
• ›Prisma-Abfrage-APIs statt ad hoc SQL-String-Erstellung

Wir schützen Daten durch Zugriffskontrolle, Sicherheitskontrollen von Anbietern, verschlüsselten Transport und beschränkten betrieblichen Zugriff.

• ›Produktionsdatenbank-Zugangsdaten werden in Umgebungsvariablen gespeichert
• ›SMTP-, KI-, Redis- und OAuth-Secrets sind nur serverseitig
• ›Öffentliche Bankdaten sind von Secrets getrennt und per Umgebung konfigurierbar

Das Dashboard enthält eine Kontolöschroute für angemeldete Nutzer. Sie löscht Projektanfragen und Angebotsdaten, die der authentifizierten E-Mail-Adresse zugeordnet sind.

• ›Löschung erfordert eine aktive authentifizierte Sitzung
• ›Die UI verlangt vor der Löschung eine eingegebene Bestätigung
• ›Nach der Löschung wird der Nutzer abgemeldet

Externe OAuth-Konten bleiben beim OAuth-Anbieter verwaltet.

Wenn wir eine personenbezogene Datenschutzverletzung oder einen Sicherheitsvorfall feststellen, untersuchen, begrenzen, dokumentieren und benachrichtigen wir Betroffene oder Behörden, soweit anwendbares Recht dies verlangt.

• ›Eine DSGVO-Behördenmeldung wird unter der 72-Stunden-Anforderung geprüft, soweit anwendbar
• ›Nutzerbenachrichtigung hängt von Risiko, gesetzlichen Anforderungen und verfügbaren Kontaktdaten ab

Melden Sie vermutete Schwachstellen an info@swarpfoundation.com mit ausreichenden Details zur Reproduktion und Validierung.

• ›Greifen Sie nicht auf fremde Daten zu, ändern, zerstören oder exfiltrieren Sie diese nicht
• ›Führen Sie keine Denial-of-Service-, Spam-, Social-Engineering- oder physischen Angriffe durch
• ›Geben Sie uns angemessene Zeit zur Untersuchung vor öffentlicher Offenlegung

Wir beanspruchen keine ISO-27001-Zertifizierung, abgeschlossene Drittanbieter-Audits oder formelle Penetrationstest-Zertifizierung, sofern dies nicht separat veröffentlicht ist. Sicherheitsangaben müssen an implementierte Kontrollen und dokumentierte Anbieterzusagen gebunden bleiben.