Unsere eigene Sicherheitslage
Wir verkaufen Datensicherheit. So gehen wir mit Ihrer um – klar formuliert, genauso wie unser Produkt seine Findings erklärt.
Datenverarbeitung
Wir lesen die minimalen Metadaten, die zur Bewertung von Sicherheitslage und Datenflüssen nötig sind. Wo eine Inhaltsprüfung erforderlich ist (Flow Guard), werden Inhalte vorübergehend zur Klassifizierung verarbeitet und nicht über das Urteil und dessen Beweisauszug hinaus aufbewahrt.
Erkenntnisse, Bewertungen und ihre Belege werden verschlüsselt im Ruhezustand gespeichert. Sie können Ihre Workspace-Daten jederzeit exportieren oder löschen — die Löschung ist eine Produktfunktion, kein Support-Ticket.
Ausschließlich OAuth-Scopes
Konnektoren authentifizieren sich über OAuth oder Anbieter-APIs mit den engsten Scopes, die die von Ihnen aktivierte Engine unterstützen. Wir listen jeden Scope, den wir anfordern, und den Grund dafür pro Konnektor in der Dokumentation auf.
Keine Endpunkt-Agenten, keine Netzwerk-Appliances, keine Browser-Erweiterungen. Durch den Widerruf der OAuth-Berechtigung wird unser Zugriff sofort getrennt — Ihr Notausschalter ist der Identitätsanbieter, den Sie bereits kontrollieren.
Plattformsicherheit
8200.dev meldet sich über Google Workspace OAuth an – es gibt kein Passwort, das gestohlen werden könnte. Organisationen können Enterprise Single Sign-on hinzufügen (SAML mit Okta, Azure AD, Google oder OneLogin), Multi-Faktor-Authentifizierung organisationsweit durchsetzen (TOTP-Authenticator-Apps plus einmalige Backup-Codes) und den Zugriff auf vertrauenswürdige IP-Bereiche beschränken (IPv4 und IPv6).
Der Zugriff innerhalb des Produkts folgt standardmäßig dem Least-Privilege-Prinzip: fein granulares benutzerdefiniertes RBAC aus funktionsbezogenen Berechtigungseinheiten, Sitzungsrichtlinien (maximale Dauer, Leerlauf-Timeout und erzwungene Abmeldung) sowie ein vollständiges, ausschließlich anfügbares Audit-Protokoll pro Organisation, das Sie als CSV, JSON oder CEF an Ihr SIEM streamen oder exportieren können.
Jede Version wird durch eine Suite von über 2.000 automatisierten Tests, i18n-Paritätsprüfungen über 13 Sprachen hinweg und ein Produktions-Build-Gate abgesichert – dieselbe technische Sorgfalt, die wir von den Systemen erwarten, die wir schützen.
Heute aufdeckend, präventiv sobald Sie Schreibzugriff gewähren
Da wir agentenlos arbeiten und über lesegeschränkte OAuth-Berechtigungen verbinden, erkennen und erklären wir heute eine riskante Berechtigung, einen Datenfluss oder eine richtlinienwidrige Agentenaktion – können sie aber noch nicht an der Quelle blockieren. Überall dort, wo das Produkt zeigt, „was blockiert würde“, ist dies klar als SIMULATION gekennzeichnet. Wir behaupten niemals eine Live-Durchsetzung, über die wir nicht verfügen.
Eine präventive Live-Durchsetzung erfordert erweiterte Schreibberechtigungen auf dem Connector sowie eine ausdrückliche Zustimmung pro Connector. Wenn Sie diese gewähren, wird aus „würde blockieren“ ein „blockiert“ – ohne Änderung daran, wie ein Urteil zustande kommt, sondern nur daran, wo es durchgesetzt wird. Die genauen Berechtigungen und die Zustimmungsschritte sind dokumentiert, bevor Sie sie aktivieren.
Keine offensiven Funktionen
8200.dev enthält keinerlei Exploitation-, Lateral-Movement- oder offensive Werkzeuge. Die Plattform beobachtet Konfigurationen, bewertet Datenflüsse und setzt Richtlinien über die von Ihnen autorisierten Anbieter-APIs durch — nichts weiter.
Audit-Protokollierung
Jede Aktion, die die Plattform durchführt — jeder Scan, jede Erkenntnis, jede Blockierung und jede Konfigurationsänderung — wird in ein reines Anfügeprotokoll (Append-only) geschrieben. In den Tarifen Business und Enterprise lässt es sich exportieren.
Unsere eigenen Admin-Aktionen in Ihrem Workspace werden im selben Protokoll erfasst und sind für Sie einsehbar. Wir haben keine stille Hintertür zu Ihren Daten, und wir haben dafür gesorgt, dass Sie das überprüfen können.
Eine Schwachstelle melden
Etwas gefunden? Schreiben Sie an [email protected]. Wir bemühen uns, Meldungen innerhalb von 48 Stunden zu bestätigen, und wir knebeln keine Forscher, die in gutem Glauben handeln.
Wir verfolgen eine koordinierte Offenlegung mit einem Zeitfenster von 90 Tagen: Wir arbeiten ab dem Moment Ihrer Meldung an einer Behebung, halten Sie auf dem Laufenden und bitten Sie, die öffentliche Offenlegung für bis zu 90 Tage oder bis zur Auslieferung der Behebung zurückzuhalten, je nachdem, was zuerst eintritt.