Sicherheit bei ExpiryEdge
So schützen wir Ihre Compliance-Daten
ExpiryEdge läuft auf Google Cloud und Firebase. Darauf aufbauend trennen wir die Daten jedes Kunden, setzen Rollen auf unseren Servern durch und protokollieren wichtige Aktionen. Diese Seite erklärt, was wir heute tun.
Zum Trust CenterWie wir Ihre Daten schützen
Die wichtigsten Schutzmaßnahmen, die heute umgesetzt sind.
Verschlüsselung
Verbindungen laufen ausschließlich über HTTPS (TLS). Google Cloud verschlüsselt gespeicherte Daten (AES-256). Zugriffstoken für verbundene Tools verschlüsseln wir zusätzlich selbst (AES-256-GCM).
Google-Cloud-Infrastruktur
Der Dienst wird auf Google Cloud und Firebase in den USA betrieben. Die Infrastruktur von Google ist u. a. nach ISO 27001 und SOC 2 zertifiziert; diese Zertifikate gelten für Google, nicht für ExpiryEdge selbst.
Anmeldung und Zwei-Schritt-Verifizierung
Anmeldung mit E-Mail und Passwort, Google oder Microsoft. Jede Person kann die Zwei-Schritt-Verifizierung mit einer Authenticator-App einschalten, Administratoren können sie verlangen. Single Sign-on (SAML) ist geplant.
Rollen und Berechtigungen
Die Rollen Administrator, Bearbeiter und Leser werden bei jeder Anfrage auf unseren Servern geprüft. Ein ausgeblendeter Button ist nie der einzige Schutz.
Trennung zwischen Kunden
Jede Anfrage wird gegen die Organisation der angemeldeten Person geprüft. Datensätze anderer Organisationen verhalten sich so, als gäbe es sie nicht. Die Datenbankregeln setzen dieselbe Trennung um.
Sitzungseinstellungen
Administratoren können eine automatische Abmeldung bei Inaktivität und eine maximale Sitzungsdauer festlegen. Entfernte oder deaktivierte Personen verlieren den Zugriff innerhalb von etwa einer Minute.
Aktivitätsprotokoll
Änderungen, Anmeldungen und Sicherheitseinstellungen werden in einem Aktivitätsprotokoll erfasst, das Nutzer nicht bearbeiten können. Standardmäßig 12 Monate aufbewahrt, mit Export und Manipulationsprüfung.
Sicherungen
Die Datenbank wird täglich in einen separaten Speicher-Bucket exportiert, und ein schriftliches Wiederherstellungsverfahren liegt vor.
Ihre Daten bleiben Ihre Daten
Administratoren können jederzeit alle Daten der Organisation exportieren. Enterprise-Kunden können zusätzlich Aufbewahrungsregeln und Legal Holds festlegen.
Enterprise-Modus
Schaltet Analyse, Sitzungsaufzeichnung und Marketing-Hinweise in der App für den ganzen Arbeitsbereich ab. Im Enterprise-Tarif standardmäßig an.
Kontrollierter Zugriff durch Mitarbeitende
Unser internes Admin-Werkzeug erfordert ein persönliches Mitarbeiterkonto mit Zwei-Schritt-Verifizierung, und jeder Zugriff auf einen Kunden-Arbeitsbereich wird protokolliert.
Verantwortungsvolle Offenlegung
Sicherheitsforschende können Probleme vertraulich an security@expiryedge.com melden. Wir gehen nicht gegen Forschung in gutem Glauben vor.
Zertifizierungen
Ein ehrlicher Überblick über unseren Stand. Wir aktualisieren ihn, sobald sich etwas ändert.
Zuletzt geprüft: Oktober 2026SOC 2 Type I
In Vorbereitung. Prüfer und Datum des Berichts veröffentlichen wir hier, sobald die Prüfung abgeschlossen ist.
SOC 2 Type II
Geplant nach Type I.
ISO 27001
Nicht zertifiziert. Unser Cloud-Anbieter (Google Cloud) ist nach ISO 27001 zertifiziert.
HIPAA
Wir schließen derzeit keine Business Associate Agreements ab.
Unabhängiger Penetrationstest
Noch nicht durchgeführt. Die Zusammenfassung teilen wir danach mit Kunden unter NDA.
Auftragsverarbeitungsvertrag (DSGVO)
Für die Daten Ihres Arbeitsbereichs handeln wir als Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag ist auf Anfrage erhältlich.
Wenn etwas schiefgeht
Wir arbeiten nach einem schriftlichen Notfallplan. Betrifft ein Sicherheitsvorfall personenbezogene Daten, für die Sie verantwortlich sind, informieren wir Ihre Konto-Administratoren unverzüglich, damit Sie Ihre eigenen gesetzlichen Fristen einhalten können (zum Beispiel die 72 Stunden nach Art. 33 DSGVO). Wir teilen Ihnen mit, was passiert ist, welche Daten betroffen sind, was wir unternommen haben und was Sie tun sollten.
Sicherheitslücke melden
Wenn Sie eine Sicherheitslücke in ExpiryEdge gefunden haben, melden Sie diese bitte vertraulich an security@expiryedge.com. Nennen Sie die betroffene URL oder Komponente, die Schritte zur Reproduktion und die erwartete Auswirkung. Wir bestätigen Meldungen innerhalb von 2 Werktagen, geben innerhalb von 5 Werktagen eine erste Einschätzung und streben an, kritische Probleme innerhalb von 7 Tagen und schwerwiegende innerhalb von 30 Tagen zu beheben. Ein bezahltes Bug-Bounty-Programm gibt es nicht.
Unterauftragsverarbeiter
Wir nutzen wenige Anbieter, um den Dienst zu betreiben, etwa Google Cloud, Stripe und unsere E-Mail-Anbieter. Die vollständige Liste mit Standort und der Angabe, ob ein Anbieter im Enterprise-Modus genutzt wird, finden Sie auf unserer Seite zu Unterauftragsverarbeitern.
Alle Unterauftragsverarbeiter ansehenFragen zur Sicherheit
Kurze Antworten auf häufige Fragen.
Die Daten Ihres Arbeitsbereichs werden auf Google Cloud in den USA gespeichert. Tägliche Sicherungskopien liegen in einem separaten Speicher-Bucket in der Europäischen Union. Hosting in der EU ist geplant, aber noch nicht verfügbar.
Ja. Daten werden bei der Übertragung per HTTPS (TLS) und im Ruhezustand von Google Cloud (AES-256) verschlüsselt. Zugriffstoken für verbundene Tools wie Asana und ClickUp verschlüsseln wir zusätzlich selbst.
Nur Personen in Ihrer Organisation, entsprechend der Rolle, die Sie vergeben (Administrator, Bearbeiter oder Leser). Unser internes Admin-Werkzeug, das unsere Mitarbeitenden für den Support nutzen, verlangt Zwei-Schritt-Verifizierung und protokolliert jeden Zugriff auf einen Kunden-Arbeitsbereich. Wir verkaufen Ihre Daten nicht.
Noch nicht. Single Sign-on (SAML / OIDC) und automatische Benutzerverwaltung (SCIM) sind geplant. Schon heute können Sie die Zwei-Schritt-Verifizierung für alle Personen in Ihrem Arbeitsbereich verlangen.
Administratoren können jederzeit alle Daten der Organisation exportieren, auch vor der Kündigung. Wenn Sie Ihre Daten löschen lassen möchten, wenden Sie sich an support@expiryedge.com. Löschanfragen bearbeiten wir innerhalb von 30 Tagen.
Fragen zur Sicherheit?
Wir beantworten gerne Ihre Fragen und senden Ihnen unser Sicherheitspaket zur Prüfung.
Sicherheit: security@expiryedge.com
Support: support@expiryedge.com