Sicherheit bei CRA Evidence

CRA Evidence wird auf AWS in der Europäischen Union gehostet. Alle Kundendaten werden bei der Übertragung und im Ruhezustand verschlüsselt. Wir nutzen Kontrollen zur Mandantentrennung, um die Daten Ihrer Organisation von anderen Kunden getrennt zu halten.

Verschlüsselung

• Bei Übertragung: TLS 1.2 oder höher bei allen Verbindungen (HTTPS erzwungen)
• Im Ruhezustand: AES-256-Verschlüsselung auf allen Datenspeichern
• Schlüsselmanagement: Dedizierter Schlüsselverwaltungsdienst; Schlüssel werden nie der Anwendungsschicht offengelegt
• Anmeldedaten: Passwörter mit speicherintensiven Algorithmen gehasht; API-Schlüssel vor der Speicherung gehasht (Klartext wird nie aufbewahrt)

Authentifizierung und Zugriffskontrolle

• Anmeldung: E-Mail/Passwort, OAuth (Google, Microsoft, GitHub), SAML SSO
• MFA: TOTP-basierte Multi-Faktor-Authentifizierung mit Backup-Codes; Organisationen können MFA für alle Mitglieder erzwingen
• Rollen: Vier Rollen pro Organisation (Eigentümer, Admin, Mitglied, Betrachter), nach dem Prinzip der geringsten Berechtigung
• API-Schlüssel: Definierte Berechtigungen, einzeln widerrufbar
• SSO-Durchsetzung: Organisationen können SAML SSO für alle Mitglieder vorschreiben

Mandantentrennung

CRA Evidence ist eine Multi-Tenant-Plattform, die darauf ausgelegt ist, Arbeitsbereiche, Nachweise, Produkte, SBOMs, Schwachstellen und Compliance-Dokumente jedes Kunden logisch von anderen Kunden zu trennen.

• Kundenarbeitsbereiche werden durch Zugriffskontrollen und Autorisierungsprüfungen auf Anwendungsebene getrennt
• Produktsicherheits- und Compliance-Datensätze sind auf die besitzende Organisation beschränkt
• Dateispeicher und Audit-Datensätze werden nach Kundenarbeitsbereich getrennt
• Zugriffe auf Kundendaten werden für Nachvollziehbarkeit und Untersuchungen protokolliert

Schwachstellenmanagement

• Schwachstellen-Wissensdatenbank: Mehrquellen-Schwachstelleninformationen werden regelmäßig aus autoritativen öffentlichen Quellen aktualisiert und als unabhängige Verifizierungsschicht genutzt.
• Abhängigkeitsüberwachung: Automatisierte Prüfungen der Anwendungsabhängigkeiten
• Patch-Management: Regelmäßige Updates von Anwendungs- und Infrastrukturkomponenten

Datenaufbewahrung

• Aktive Kontodaten: Aufbewahrt während das Abonnement aktiv ist
• Gelöschte Konten: Daten werden innerhalb von 30 Tagen nach Anfrage entfernt
• Audit-Logs: 10 Jahre aufbewahrt gemäß den Anforderungen von CRA Artikel 13(14)
• Backups: Verschlüsselte tägliche automatisierte Snapshots

DSGVO und Datenschutz

• Auftragsverarbeitungsvertrag (AVV/DPA): Auf Anfrage verfügbar (privacy@craevidence.com)
• Verzeichnis von Verarbeitungstätigkeiten (VVT/ROPA): Geführt gemäß Art. 30 DSGVO
• Unterauftragsverarbeiter: Veröffentlichte Liste mit 30-tägiger Änderungsbenachrichtigung
• Datenportabilität: SBOM-Export in Standardformaten (CycloneDX, SPDX)
• Datenlöschung: Konto und alle zugehörigen Daten werden innerhalb von 30 Tagen nach Anfrage gelöscht
• Datenschutzrichtlinie: Unsere Datenschutzrichtlinie lesen

Compliance

Unsere Compliance

• DSGVO-konform (EU 2016/679): VVT, AVV, Unterauftragsverarbeiterliste, Datenschutzrichtlinie
• EU-Datenresidenz: alle Daten in der Europäischen Union gehostet
• RFC 9116: security.txt veröffentlicht
• ISO 29147/30111 ausgerichtet: Koordinierter Schwachstellen-Offenlegungsprozess

Zertifizierungen des Infrastrukturanbieters

Unser Infrastrukturanbieter unterhält SOC 1/2/3, ISO 27001, ISO 27017, ISO 27018 und C5 (deutsches BSI) Zertifizierungen für die von uns genutzte EU-Region.

Roadmap

• Unabhängiger Penetrationstest (geplant)
• SOC 2 Type II (geplant)
• ISO 27001 (in Evaluierung)

Wir bauen unsere Compliance-Postur parallel zu unserem Produkt auf. Diese Seite spiegelt wider, wo wir heute stehen.

Schwachstellenoffenlegung

Wir begrüßen verantwortungsvolle Sicherheitsforschung. Wenn Sie eine Schwachstelle in unserer Plattform entdecken, melden Sie diese bitte.

Wie melden

• E-Mail: security@craevidence.com
• Antwort: Bestätigung innerhalb von 24 Stunden, erste Bewertung innerhalb von 7 Werktagen

Geltungsbereich

• Im Umfang: *.craevidence.com, die CRA Evidence API, die CRA Evidence CLI
• Außerhalb des Umfangs: Drittanbieterdienste, Social Engineering, Denial-of-Service-Angriffe

Safe Harbor

Wir werden keine rechtlichen Schritte gegen Sicherheitsforscher unternehmen, die:

• In gutem Glauben handeln
• Datenschutzverletzungen, Datenzerstörung oder Dienstunterbrechungen vermeiden
• Ergebnisse umgehend melden und angemessene Zeit für die Behebung einräumen

CVD-Richtlinie

Wir folgen den Standards ISO 29147/30111 für die Koordinierte Schwachstellenoffenlegung.

Kontakt

• Sicherheitsmeldungen: security@craevidence.com
• Datenschutzanfragen: privacy@craevidence.com
• AVV-Anfragen: privacy@craevidence.com

Zuletzt aktualisiert: Juni 2026.