Sicherheits­richtlinie

1. Unser Anspruch

Die Sicherheit Ihrer Daten hat für uns höchste Priorität. Monetra verarbeitet geschäftskritische Buchhaltungsdaten — Rechnungen, Kundenstammdaten, Zahlungsinformationen. Wir setzen technische und organisatorische Maßnahmen ein, um diese Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen.

Diese Richtlinie beschreibt die implementierten Sicherheitsmaßnahmen sowie den Prozess zur verantwortungsvollen Meldung von Sicherheitslücken.

2. Technische Schutzmaßnahmen

Transportverschlüsselung

Alle Verbindungen zwischen Client und Server erfolgen ausschließlich über HTTPS mit TLS 1.2 oder TLS 1.3. HTTP-Verbindungen werden automatisch auf HTTPS umgeleitet. Das HSTS-Header (Strict-Transport-Security, max-age 63072000) stellt sicher, dass Browser ausschließlich verschlüsselte Verbindungen aufbauen.

Authentifizierung und Session-Management

• Passwort-Hashing: Passwörter werden mit bcrypt (Kostenfaktor 12) gehasht und niemals im Klartext gespeichert oder übertragen.
• JWT-Zugangstokens: Kurzlebig (15 Minuten), signiert mit HS256. Nach Ablauf ist automatisch eine Token-Erneuerung erforderlich.
• Refresh-Tokens: Langlebig (7 Tage), aber ausschließlich als httpOnly-Cookie gesetzt — nicht per JavaScript zugreifbar, daher resistent gegen XSS-Angriffe.
• Rate Limiting: Login-Versuche sind pro IP auf maximal 10 Versuche pro Minute begrenzt. Wiederholte Fehlversuche führen zu einer temporären Sperrung — Schutz gegen Brute-Force-Angriffe.
• E-Mail-Verifizierung: Neue Benutzerkonten werden erst nach Bestätigung per E-Mail aktiviert. Nicht bestätigte Konten werden nach 48 Stunden automatisch gelöscht.
• Sicheres Passwort-Reset: Passwort-Reset-Links sind zeitlich begrenzt (1 Stunde) und einmalig verwendbar.

Rollenbasierte Zugriffskontrolle (RBAC)

Jeder Benutzer erhält nur die Berechtigungen, die seiner Rolle entsprechen:

Die Rollenprüfung erfolgt serverseitig bei jeder API-Anfrage — eine clientseitige Umgehung ist nicht möglich.

Mandantentrennung (Multi-Tenancy)

Jedes Unternehmen (Tenant) ist vollständig isoliert. Alle Datenbankabfragen sind mit der tenantId des authentifizierten Benutzers verknüpft. Ein Zugriff auf Daten fremder Tenants ist auf Datenbankebene ausgeschlossen.

Sicherheits-Header

Alle Antworten enthalten folgende HTTP-Sicherheitsheader:

• X-Frame-Options: SAMEORIGIN — Schutz vor Clickjacking
• X-Content-Type-Options: nosniff — Verhindert MIME-Sniffing
• Referrer-Policy: strict-origin-when-cross-origin
• Permissions-Policy — Deaktiviert Kamera, Mikrofon, Geolocation
• Content-Security-Policy — Einschränkung erlaubter Ressourcenquellen
• Strict-Transport-Security — Erzwingt HTTPS für 2 Jahre
• Access-Control-Allow-Origin (CORS) — API-Anfragen werden ausschließlich von autorisierten Ursprüngen (app.monetra.at) akzeptiert

Input-Validierung und API-Schutz

• Serverseitige Validierung: Alle eingehenden Daten werden vor Verarbeitung typisiert und validiert — unabhängig von der clientseitigen Eingabeprüfung.
• Parametrisierte Datenbankabfragen: Prisma ORM verwendet ausschließlich Prepared Statements, SQL-Injection ist strukturell ausgeschlossen.
• Dependency-Monitoring: Produktionsabhängigkeiten werden regelmäßig auf bekannte Sicherheitslücken (CVE) geprüft und aktualisiert.

Datenbankschutz

• Der Datenbankserver (PostgreSQL 16) ist ausschließlich über das interne Docker-Netzwerk erreichbar — kein öffentlicher Port.
• Alle Datenbankabfragen werden über Prisma ORM mit parametrisierten Queries ausgeführt — SQL-Injection ist strukturell ausgeschlossen.
• Monetärwerte werden als NUMERIC(15,2) (nicht als Float) gespeichert — Rundungsfehler sind ausgeschlossen.
• Datenbankbenutzer operiert mit minimalen Rechten (Principle of Least Privilege) — kein Superuser-Zugriff aus der Applikation.

3. Infrastruktur und Hosting

Standort

Monetra wird ausschließlich auf Servern der Hetzner Online GmbH in Deutschland (EU) betrieben. Alle Kerndaten — Datenbank, Applikation, Uploads und Backups — verbleiben in der Europäischen Union. Ein Datentransfer in Drittländer findet nur statt bei optionaler Nutzung von:

• KI-Funktionen: Anthropic (Claude, USA) und OpenAI (GPT-4o-mini, USA) — auf Basis von Standardvertragsklauseln (SCC)
• Zeiterfassung: Timely (Norwegen/EWR), Toggl Track (EU), Clockify (USA/SCC), Mite (EU)

Alle Drittland-Transfers erfolgen ausschließlich auf Basis geeigneter Garantien gemäß Art. 46 DSGVO (Standardvertragsklauseln) oder bei EWR-Ländern gemäß Angemessenheitsbeschluss.

DDoS- und Netzwerkschutz

Der gesamte eingehende Datenverkehr wird über Cloudflare geleitet. Cloudflare übernimmt DNS-Auflösung, DDoS-Abwehr und Netzwerksicherheit auf Infrastrukturebene. Die IP-Adressen der produktiven Server sind dadurch nicht öffentlich sichtbar.

Containerisolierung

Die Anwendung läuft in isolierten Docker-Containern (Backend, Frontend, Datenbank, Proxy). Jeder Container hat nur die minimal notwendigen Netzwerkberechtigungen. Der Datenbankcontainer ist nicht vom Internet erreichbar.

Datensicherung

Die PostgreSQL-Datenbank wird täglich automatisch gesichert. Backups werden verschlüsselt aufbewahrt und für mindestens 30 Tage vorgehalten. Im Fehlerfall kann der Dienst aus einem aktuellen Backup wiederhergestellt werden.

Monitoring

Der Betrieb wird kontinuierlich überwacht. Fehler und Anomalien werden protokolliert. Logdaten werden nach spätestens 14 Tagen automatisch gelöscht — kein langfristiges Vorhalten von Zugriffslogs.

4. Zahlungssicherheit

Monetra speichert keine Zahlungsdaten (Kreditkartennummern, IBAN). Die gesamte Zahlungsabwicklung erfolgt über Stripe, einen PCI-DSS-zertifizierten Zahlungsdienstleister. Monetra erhält nach einem Checkout-Vorgang ausschließlich eine Referenz-ID und den Subscription-Status von Stripe — keine sensiblen Zahlungsdaten.

5. Verantwortungsvolle Offenlegung (Responsible Disclosure)

Wir schätzen die Arbeit von Sicherheitsforschern und freuen uns über verantwortungsvolle Meldungen von Sicherheitslücken. Wenn Sie eine Schwachstelle in Monetra entdecken, bitten wir Sie:

• Die Schwachstelle nicht öffentlich zu machen, bevor wir sie beheben konnten
• Keine Daten Dritter einzusehen, zu verändern oder zu löschen
• Keine automatisierten Scans oder DoS-Angriffe durchzuführen
• Die Schwachstelle per E-Mail an uns zu melden

Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen und streben eine Behebung kritischer Schwachstellen innerhalb von 14 Tagen an. Nach der Behebung informieren wir Sie und können auf Wunsch eine öffentliche Danksagung aussprechen.

Für verantwortungsvolle Meldungen, die zu einer tatsächlichen Sicherheitsverbesserung führen, bieten wir nach eigenem Ermessen eine Anerkennung an.

6. Nicht im Scope

Folgende Arten von Berichten fallen nicht in den Scope unseres Responsible-Disclosure-Programms:

• Social-Engineering-Angriffe gegen Mitarbeiter oder Kunden
• Physische Angriffe auf Infrastruktur
• Denial-of-Service-Angriffe (DoS/DDoS)
• Schwachstellen in Drittanbieter-Diensten (Stripe, Hetzner etc.) — diese bitte direkt an den jeweiligen Anbieter melden
• Berichte ohne reproduzierbare Schritte
• Ergebnisse automatisierter Scans ohne manuelle Verifikation

7. Aktualisierung dieser Richtlinie

Diese Sicherheitsrichtlinie wird bei wesentlichen Änderungen der Sicherheitsarchitektur oder des Disclosure-Prozesses aktualisiert. Das Datum der letzten Änderung ist oben angegeben.