Sicherheit | Shifton

Wir nehmen Sicherheit ernst. Und das ist nicht nur eine Aussage, sondern eine Art, wie wir unser Produkt planen, entwickeln und liefern.

Infrastruktur-Sicherheit

Shiftons Dienste und Daten werden in der EU-Region gehostet

Netzwerk

Alle unsere Server befinden sich innerhalb unserer eigenen Virtual Private Cloud (VPC) mit Netzwerkzugriffskontrolllisten (ACLs), die unerlaubte Anfragen an unser internes Netzwerk verhindern.

Berechtigungen und Authentifizierung

Der Zugriff auf Kundendaten ist auf autorisierte Mitarbeiter beschränkt, die ihn für ihre Arbeit benötigen.

Verschlüsselung

Alle Daten werden bei der Übertragung mit starker Verschlüsselung verschlüsselt. Alle Endpunkte, ob Schnittstellen oder APIs, sind auf HTTPS-Zugriff beschränkt. Wir erzwingen bewährte Verfahren wie die Verwendung von TLS 1.3, HSTS und CAA und erzielen stets beste Ergebnisse bei
Qualys SSL Labs Test

Vorfallreaktion

Wir implementieren ein Protokoll zur Behandlung von Sicherheitsereignissen, das Eskalationsverfahren, schnelle Minderung und Nachanalyse umfasst.

Katastrophenwiederherstellung, Backups und Überwachung

Wir haben eine multi-regionale Wiederherstellungs- und Failover-Bereitstellung, die die Sicherheit der Kundendaten und hohe Verfügbarkeit gewährleistet. Wir überwachen alle Systemkomponenten und reagieren effektiv auf auftretende Probleme.

Produktsicherheitsmerkmale

SSO

Shifton unterstützt auf OpenID basierende SSO für zwei der beliebtesten Anbieter

Microsoft Entra ID (vormals Azure AD) – unterstützt sowohl persönliche als auch Firmenkonten. Shifton ist ein verifizierter Microsoft-Partner und unsere Lösung hält sich an alle bewährten Verfahren und ist für eine einfache Installation durch IT-Teams im

Azure Marketplace verfügbar.

Google Workspace-Konten, sowohl persönliche als auch geschäftliche

Berechtigungen

Shifton implementiert ein ausgeklügeltes RBAC-System und bietet mehrere integrierte Rollen für alle Kunden an. In Kombination mit einer mehrstufigen Hierarchie ermöglicht es unterschiedliche, fein abgestufte Zugriffsebenen für die App festzulegen.

Passwörter

Alle Passwörter werden mit der bcrypt-Bibliothek einseitig gehasht und nie im Klartext gespeichert.

Enterprise-Funktionen

Enterprise-Kunden können für zusätzliche Sicherheitsfunktionen berechtigt sein, darunter

Zusätzliche benutzerdefinierte Rollen
Möglichkeit zur Kontrolle der Passwortstärke
Möglichkeit zur Kontrolle von Anmeldefunktionen (Login/Passwort, Microsoft SSO, Google SSO)
Möglichkeit, die Einladung auf spezifische Domain(s) zu beschränken

Sicherheitsverpflichtung für Mitarbeiter

Richtlinien

Wir haben strenge, klare Richtlinien in Bezug auf Sicherheit und Datenschutz. Alle Mitarbeiter absolvieren Schulungen, um mit allen Änderungen vertraut und auf dem neuesten Stand zu sein.

Vertraulichkeit

Alle Arbeitsverträge der Mitarbeiter enthalten eine Vertraulichkeitsvereinbarung.

Subprozessoren

Wie jedes moderne SaaS-Produkt nutzen wir andere Plattformen, um einige Funktionen zu implementieren. Keines dieser Produkte und Dienste hat Zugriff auf Kundendaten, außer dem Minimum, das für die Funktionalität erforderlich ist.

Stripe

Wir verwenden Stripe als unseren Zahlungsdienstleister. Details zu deren Sicherheit und PCI-Konformität finden Sie auf der
Sicherheitsseite von Stripe.

Microsoft

Wird für SSO (Entra ID) und Website-Analyse verwendet

Google

Wird für Website-Analyse, SSO, Zustellung von Push-Benachrichtigungen, die Maps-Plattform und andere Funktionen verwendet

Integration mit Crisp

Um eine sichere und komfortable Kommunikation mit unseren Kunden zu gewährleisten, nutzen wir Crisp.chat – eine moderne Live-Chat- und Support-Plattform, die hohe Sicherheitsstandards erfüllt.

Sie können die Sicherheitspraktiken von Crisp.chat überprüfen.