Sicherheit bei Shifton | Datenschutz & Verschlüsselung

Zuletzt aktualisiert: 10. April 2025

Wir nehmen Sicherheit ernst. Und das ist nicht nur eine Aussage, sondern die Art und Weise, wie wir unser Produkt planen, entwickeln und bereitstellen.

Infrastruktursicherheit

Die Dienste und Daten von Shifton werden in der EU-Region gehostet

Netzwerk

Alle unsere Server befinden sich in unserer eigenen virtual private cloud (VPC) mit network access control lists (ACLs), die verhindern, dass unbefugte Anfragen in unser internes Netzwerk gelangen.

Berechtigungen und Authentifizierung

Der Zugriff auf Kundendaten ist auf autorisierte Mitarbeiter beschränkt, die ihn für ihre Arbeit benötigen.

Verschlüsselung

Alle Daten werden bei der Übertragung mit hochgradiger Verschlüsselung verschlüsselt. Alle Endpunkte, ob Schnittstellen oder APIs, sind auf HTTPS-Zugriff beschränkt. Wir setzen bewährte Verfahren wie die Verwendung von TLS 1.3, HSTS und CAA durch und erzielen stets das beste Ergebnis beim
Qualys SSL labs test

Reaktion auf Vorfälle

Wir setzen ein Protokoll zur Behandlung von Sicherheitsereignissen um, das Eskalationsverfahren, schnelle Schadensbegrenzung und eine nachträgliche Analyse umfasst.

Notfallwiederherstellung, Backups und Überwachung

Wir verfügen über eine Wiederherstellungs- und Failover-Bereitstellung über mehrere Regionen, die die Sicherheit der Kundendaten und eine hohe Verfügbarkeit gewährleistet. Wir überwachen alle Systemkomponenten und reagieren effektiv auf auftretende Probleme.

Sicherheitsfunktionen des Produkts

SSO

Shifton unterstützt OpenID-basiertes SSO für die beiden beliebtesten Anbieter

Microsoft Entra ID (ehemals Azure AD) – unterstützt sowohl private als auch geschäftliche Konten. Shifton ist ein verifizierter Microsoft-Partner, und unsere Lösung hält alle bewährten Verfahren ein und kann von IT-Teams einfach installiert werden über
Azure Marketplace
Google workspace-Konten, sowohl privat als auch geschäftlich

Berechtigungen

Shifton implementiert ein ausgereiftes RBAC-System und bietet mehrere integrierte Rollen für alle Kunden. In Kombination mit einer mehrstufigen Hierarchie ermöglicht es das Festlegen unterschiedlicher, fein abgestufter Zugriffsebenen.

Passwörter

Alle Passwörter werden mit der bcrypt-Bibliothek einseitig gehasht und niemals im Klartext gespeichert.

Enterprise-Funktionen

Enterprise-Kunden können Anspruch auf zusätzliche Sicherheitsfunktionen haben, darunter

Zusätzliche benutzerdefinierte Rollen
Möglichkeit, die Passwortstärke zu steuern
Möglichkeit, die Anmeldemöglichkeiten zu steuern (Login/Passwort, Microsoft SSO, Google SSO)
Möglichkeit, Einladungen auf bestimmte Domain(s) zu beschränken

Sicherheitsverpflichtung der Mitarbeiter

Richtlinien

Wir haben strenge, klare Richtlinien in Bezug auf Sicherheit und Datenschutz. Alle Mitarbeiter absolvieren Schulungen, um mit allen Änderungen vertraut und auf dem neuesten Stand zu sein.

Vertraulichkeit

Alle Mitarbeiterverträge enthalten eine Vertraulichkeitsvereinbarung.

Unterauftragsverarbeiter

Wie jedes moderne SaaS-Produkt nutzen wir andere Plattformen, um einige Funktionen umzusetzen. Keines dieser Produkte und keiner dieser Dienste hat Zugriff auf Kundendaten, über das für die Funktionalität erforderliche Minimum hinaus

Stripe

Wir verwenden Stripe als unseren Zahlungsabwickler. Details zu deren Sicherheit und PCI-Konformität finden Sie auf der
Sicherheitsseite von Stripe.

Microsoft

Wird für SSO (Entra ID) und Website-Analyse verwendet

Google

Wird für Website-Analyse, SSO, die Zustellung von Push-Benachrichtigungen, die Maps-Plattform und andere Funktionen verwendet

Integration mit Crisp

Um eine sichere und komfortable Kommunikation mit unseren Kunden zu gewährleisten, verwenden wir Crisp.chat – eine moderne Live-Chat- und Support-Plattform, die hohe Sicherheitsstandards erfüllt.

Sie können die Sicherheitspraktiken von Crisp.chat einsehen.