1.Kontrollen im Überblick
Trennung der Kunden
Eine Instanz je Kunde mit eigenem Datenbankbenutzer, eigenem Hauptschlüssel und eigenem Provisionierungs-Token. Zwei Instanzen teilen weder Daten noch Geheimnisse.
Identität & Zugriff in der Anwendung
Rollen und Rechte werden serverseitig durchgesetzt, nicht nur in der Oberfläche; personengebundene Konten, Least Privilege, Need-to-know. Passwörter werden ausschließlich als scrypt-Hash gespeichert. Anmeldewege sind zusätzlich gedrosselt (eigene Grenze für Authentifizierung, gemeinsam über alle Prozesse einer Instanz).
Eine Mehrfaktor-Authentifizierung für Anwendungskonten ist derzeit nicht Bestandteil des Produkts; sie ist für eine kommende Version geplant.
Sitzungen
Sitzungs-Cookies sind HttpOnly (kein Zugriff aus JavaScript), SameSite=Lax und in Produktion Secure mit __Host--Präfix, das Cookie-Shadowing durch Subdomains ausschließt. Schreibende Anfragen werden gegen die erlaubte Herkunft geprüft.
Administrativer Zugang
Server sind ausschließlich über SSH-Schlüssel erreichbar; Passwort-Anmeldung und Root-Login mit Passwort sind abgeschaltet. Die Datenbank ist nicht öffentlich erreichbar, sondern nur über das interne Netz der Instanz bzw. den Loopback des Hosts.
Verschlüsselung & Secrets
Der Datenverkehr läuft über TLS; die Zertifikate holt der Server der Instanz selbst und erneuert sie automatisch. Hinterlegte Zugangsdaten in den Einstellungen (etwa SMTP oder Integrationen) werden mit AES-256-GCM unter dem Hauptschlüssel der Instanz verschlüsselt. Schlüssel und Zugangsdaten liegen getrennt vom Quellcode; jede Instanz hat eigene.
Backups & Wiederherstellung
Tägliche Sicherung der Datenbank auf Host-Ebene (nicht im Anwendungs-Stack, damit sie nicht mit ihm ausfällt), Aufbewahrung 7 Tage plus 4 Wochen. Die Sicherung wird vor dem Verlassen des Servers verschlüsselt und anschließend per SFTP auf einen getrennten Offsite-Speicher geladen; dort hat der Server nur Schreibrecht. Für die Wiederherstellung gibt es ein eigenes Prüfskript.
Grenzen & Missbrauchsschutz
Durchsatzgrenzen je Aufrufer für lesende, schreibende und Anmelde-Anfragen; Begrenzung der Anfragegröße; Schutz gegen Credential Stuffing auf den Anmeldewegen.
Uploads
Hochgeladene Dateien werden als nicht vertrauenswürdig behandelt: Größen- und Typprüfung, Auslieferung mit bereinigtem MIME-Typ, keine Ausführung auf dem Server. Sie liegen in der Datenbank der jeweiligen Instanz, nicht bei einem Objektspeicher Dritter.
Protokollierung
Fachliche Änderungen laufen über einen Ereignisstrom, der zugleich als Audit-Spur dient; sicherheitsrelevante Anmeldeereignisse werden gesondert festgehalten. Logs bleiben auf der Instanz — es gibt keinen externen Monitoring- oder Fehler-Tracking-Dienst.
Änderungen am Code
Änderungen laufen über Review vor dem Zusammenführen; Abhängigkeiten und Schwachstellen werden bewertet. Entwicklungs- und Produktionsumgebungen sind getrennt, Testdaten sind keine Kundendaten.
Unterauftragsbearbeiter
Dienstleister werden vor Einsatz geprüft und vertraglich gebunden. Die vollständige aktuelle Liste steht unter /unterauftragsbearbeiter.
2.Zertifizierungen
XGait ist derzeit nicht nach ISO 27001 oder SOC 2 zertifiziert, und es liegt kein externer Penetrationstest-Bericht vor. Wir nennen hier nur Nachweise, die tatsächlich bestehen — kommt ein Nachweis hinzu, wird diese Seite aktualisiert.
3.Meldungen
Sicherheits- oder Datenschutzmeldungen können an service@xgait.com gerichtet werden. Bitte keine produktiven Exploit-Tests ohne vorherige schriftliche Freigabe durchführen.