Sicherheit & Datenschutz

Operate nimmt Datensicherheit und Datenschutz ernst. Diese Anleitung erklärt, wie wir Ihre sensiblen Unternehmens- und Finanzdaten schützen.

Verschlüsselung

Verschlüsselung bei der Übertragung

Alle Daten, die zu und von Operate übertragen werden, sind mit TLS verschlüsselt (TLS 1.3 wird unterstützt):

• durchgehend HTTPS (kein unverschlüsseltes HTTP)
• Perfect Forward Secrecy (PFS)
• HSTS (HTTP Strict Transport Security) erzwungen
• keine Herabstufung auf unverschlüsseltes HTTP (HSTS)

Verschlüsselung im Ruhezustand

Zugangsdaten, Tokens und archivierte Belege werden mit AES-256-GCM verschlüsselt; die Verschlüsselung im Ruhezustand stellt unser Datenbankanbieter bereit:

• Verschlüsselung auf Datenbankebene
• verschlüsselte Sicherungen
• verschlüsselter Dateispeicher für hochgeladene Dokumente
• getrennte Schlüssel je Organisation (Mandantentrennung)

Schlüsselverwaltung

• eigener Schlüssel für die Zwei-Faktor-Authentifizierung (MFA_ENCRYPTION_KEY) für TOTP-Geheimnisse
• JWT-Geheimnisse für die Signatur der Sitzungstoken
• Verschlüsselung auf Anwendungsebene mit PBKDF2-Schlüsselableitung (100.000 Iterationen)

Authentifizierung & Zugriffssteuerung

Anmeldung

Anmeldung mit Passwort

• Passwörter werden mit bcrypt gehasht (Kostenfaktor 12)
• keine Speicherung im Klartext
• Passwortanforderungen: mindestens 8 Zeichen, Groß- und Kleinschreibung, Ziffern
• Kontosperre nach 5 Fehlversuchen
• Passwortrücksetzung über einen sicheren E-Mail-Token (gültig für 1 Stunde)

Google OAuth 2.0

• kein zusätzliches Passwort zu verwalten
• die Anmeldung übernimmt Google
• wir erhalten ausschließlich die bestätigte E-Mail-Adresse und Profilangaben
• jederzeit in den Google-Kontoeinstellungen widerrufbar

Zwei-Faktor-Authentifizierung (MFA)

• zeitbasierte Einmalkennwörter (TOTP) über Google Authenticator oder eine beliebige kompatible App
• 10 einmalig verwendbare Wiederherstellungscodes (bcrypt-gehasht)
• Ratenbegrenzung: 5 Versuche je 15 Minuten, danach Sperre
• TOTP-Geheimnisse verschlüsselt gespeichert (AES-256-GCM)

Sitzungsverwaltung

• JWT (JSON Web Tokens) für die Sitzungsverwaltung
• kurzlebige Zugriffstoken (15 Minuten)
• Aktualisierungstoken werden bei jeder Verwendung gewechselt
• Sitzungsablauf nach 30 Tagen Inaktivität
• sichere HTTP-only-Cookies (für JavaScript nicht zugänglich)
• SameSite-Cookie-Richtlinie (verhindert CSRF-Angriffe)

Rollenbasierte Zugriffssteuerung (RBAC)

Operate kennt fünf Rollen innerhalb einer Organisation:

Sicherheit von API-Schlüsseln

API-Schlüssel für Integrationen:

• mit Präfix: op_live_... (Produktion) oder op_test_... (Testumgebung)
• gehasht gespeichert (SHA-256)
• mit Geltungsbereich: READ_ONLY, READ_WRITE oder ADMIN
• je Schlüssel ratenbegrenzt
• jederzeit sofort wechselbar oder widerrufbar
• Zeitpunkt der letzten Verwendung wird protokolliert

Anonymisierung personenbezogener Daten für die KI-Verarbeitung

Bevor Daten an Claude AI übermittelt werden, maskiert Operate personenbezogene Daten automatisch:

Was anonymisiert wird

So funktioniert es

1. Vor der KI-Anfrage: Der Maskierungsdienst von Operate erkennt sensible Daten und ersetzt sie
2. Verarbeitung durch die KI: Claude AI sieht ausschließlich anonymisierte Platzhalter
3. Nach der KI-Antwort: Die Platzhalter werden wieder durch die Originaldaten ersetzt, bevor Ihnen die Antwort angezeigt wird

Was NICHT an die KI übermittelt wird

• vollständige Kunden- und Lieferantennamen (nur IDs oder anonymisierte Verweise)
• Bankkontonummern
• Zugangsdaten oder Passwörter
• Steuerliche Identifikationsnummern
• Privatadressen
• vollständige E-Mail-Adressen

Mandantentrennung

Jede Datenbankabfrage wird automatisch auf Ihre Organisation eingegrenzt:

So funktioniert es

-- Every query automatically includes:
WHERE organizationId = 'your_org_id'

Das bedeutet:

• Sie können die Daten einer anderen Organisation niemals sehen
• Zeilenbasierte Sicherheit auf Datenbankebene (RLS)
• organisationsübergreifende Datenabflüsse sind ausgeschlossen
• durchgesetzt auf ORM-Ebene (Prisma-Middleware)

Prüfpfad

Jeder Datenzugriff wird protokolliert:

• wer auf welche Daten zugegriffen hat
• wann der Zugriff erfolgt ist
• IP-Adresse und Browserkennung
• ausgeführte Aktion (lesen, anlegen, ändern, löschen)

Unveränderbare Prüfprotokolle nach der BAO

Operate unterstützt die Aufzeichnungs- und Aufbewahrungspflichten der österreichischen Bundesabgabenordnung (BAO) (§§ 131 und 132 BAO) mit einem Prüfprotokoll mit Hash-Kette, abgeschlossenen Geschäftsjahren, die keine neuen Buchungen mehr annehmen, und einer Archivkategorie für steuerrelevante Belege mit einer Aufbewahrungsfrist von sieben Jahren nach § 132 BAO:

Was protokolliert wird

• alle Rechnungserstellungen und -änderungen
• Ausgabendatensätze
• Kategorisierungen von Buchungen
• Bankabstimmungen
• Benutzeraktionen (Anmeldung, Änderungen an Einstellungen)
• API-Anfragen

Unveränderbarkeit

Das Prüfprotokoll ist eine SHA-256-Hash-Kette: jede Änderung oder Löschung eines Eintrags wird bei der täglichen Integritätsprüfung erkannt und als TAMPERED bzw. CHAIN_GAP ausgewiesen. Die Anwendung bietet keine Funktion zum Bearbeiten oder Löschen von Protokolleinträgen.

Aufbewahrung

• Buchhaltungsunterlagen: sieben Jahre (§ 132 BAO)
• Prüfprotokolle: sieben Jahre
• Benutzerdaten: bis zur beantragten Kontolöschung
• Chatnachrichten: 90 Tage (können früher gelöscht werden)

Sicherheits-Header

Operate setzt strenge Sicherheits-Header ein, um verbreitete Angriffe auf Webanwendungen zu verhindern:

Content Security Policy (CSP)

Content-Security-Policy:
  default-src 'self';
  script-src 'self' 'nonce-{random}';
  style-src 'self' 'nonce-{random}';
  img-src 'self' data: https:;
  font-src 'self';
  connect-src 'self' https://api.anthropic.com;
  frame-ancestors 'none';

Verhindert:

• Cross-Site-Scripting (XSS)
• Clickjacking
• unbefugte Skriptausführung

Weitere Sicherheits-Header

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
X-Frame-Options: DENY
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: geolocation=(), microphone=(), camera=()

DSGVO-Konformität

Operate hält die Datenschutz-Grundverordnung (DSGVO) vollständig ein.

Ihre Rechte

Recht auf Auskunft

• laden Sie jederzeit alle Ihre Daten herunter
• Einstellungen > Datenschutz > Meine Daten exportieren
• enthalten sind: Rechnungen, Ausgaben, Kunden, Buchungen, Chatverlauf

Recht auf Berichtigung

• Sie können Ihre Daten jederzeit ändern oder korrigieren
• keine Einschränkungen bei der Aktualisierung von Angaben

Recht auf Löschung (Recht auf Vergessenwerden)

• Einstellungen > Datenschutz > Konto löschen
• alle personenbezogenen Daten werden innerhalb von 30 Tagen gelöscht
• Buchhaltungsunterlagen werden aufgrund der gesetzlichen Aufbewahrungspflicht anonymisiert und nicht gelöscht

Recht auf Datenübertragbarkeit

• Export der Daten im JSON-, CSV- oder PDF-Format
• kompatibel mit anderen Buchhaltungsprogrammen

Recht auf Einschränkung der Verarbeitung

• pausieren Sie die KI-Verarbeitung Ihrer Daten
• Einstellungen > Datenschutz > KI-Funktionen deaktivieren

Widerspruchsrecht

• Abmeldung von Werbe-E-Mails (werden ohne Einwilligung nie versendet)
• Abmeldung von der Analyse des Nutzungsverhaltens

Datenverarbeitung

Rechtsgrundlage: Vertragserfüllung (Bereitstellung des von Ihnen bestellten Dienstes)

Verantwortlicher: Operate Financial Services GmbH

Auftragsverarbeiter:

• Anthropic (Claude AI) – Chatverarbeitung mit Anonymisierung personenbezogener Daten
• AWS (Amazon Web Services) – Speicherung von Dokumenten (S3)
• finAPI – Bankanbindungen (optional)
• Stripe – Zahlungsabwicklung (optional)

Datenübermittlungen:

• KI-Verarbeitung: USA (Anthropic) – mit Anonymisierung personenbezogener Daten
• Standardvertragsklauseln (SCC) vorhanden

Datenschutz durch Technikgestaltung

• Datenminimierung: Wir erheben nur, was notwendig ist
• Zweckbindung: Wir verwenden Daten nur für die genannten Zwecke
• Speicherbegrenzung: Wir löschen Daten, sobald sie nicht mehr benötigt werden
• Pseudonymisierung: Wir anonymisieren Daten, wo immer das möglich ist

Sicherheit der Bankanbindung

Bankanbindung über finAPI

Bankanbindung über finAPI (BaFin-lizenzierter Kontoinformationsdienst):

• Authentifizierung über OAuth (keine Speicherung von Zugangsdaten)
• ausschließlich lesender Zugriff (Zahlungen können nicht ausgelöst werden)
• erneute starke Kundenauthentifizierung (SCA) spätestens alle 180 Tage (je nach Bank früher)
• ausdrückliche Zustimmung je Konto

So funktioniert die Bankanbindung

Banken (finAPI)

1. Sie wählen Ihre Bank aus
2. Sie werden auf die offizielle Anmeldeseite Ihrer Bank weitergeleitet
3. Sie melden sich bei Ihrer Bank an (nicht bei Operate)
4. Sie erteilen Operate den lesenden Zugriff
5. Das OAuth-Token wird verschlüsselt gespeichert
6. Ihre Bankzugangsdaten werden von Operate NIEMALS gespeichert

Operate verbindet Bankkonten über finAPI; ob sich Ihre Bank anbinden lässt, hängt vom Bankenverzeichnis von finAPI ab. Anbindungen an US-Banken stehen nicht zur Verfügung.

Worauf wir zugreifen können

• Kontostände
• Buchungsverlauf
• Kontodaten (Bezeichnung, Art, Währung)

Was wir NICHT können

• Zahlungen oder Überweisungen auslösen
• Kontoeinstellungen ändern
• auf andere als die von Ihnen ausgewählten Konten zugreifen
• Ihr Online-Banking-Passwort einsehen

Zugriff widerrufen

Sie können Ihre Bank jederzeit trennen:

• Einstellungen > Bankkonten > Verbindung trennen
• oder den Zugriff in den Drittanbieter-Einstellungen Ihrer Bank widerrufen

Meldung von Sicherheitslücken

Richtlinie zur verantwortungsvollen Offenlegung

Wenn Sie eine Sicherheitslücke entdecken:

1. E-Mail: security@operate.guru
2. Betreff: „Security Vulnerability Report“
3. Bitte angeben:
   • Beschreibung der Sicherheitslücke
   • Schritte zur Reproduktion
   • mögliche Auswirkungen
   • Ihre Kontaktdaten (optional)

Bitte NICHT:

• die Sicherheitslücke öffentlich machen
• die Sicherheitslücke über einen Machbarkeitsnachweis hinaus ausnutzen
• auf die Daten anderer Nutzerinnen und Nutzer zugreifen

Unsere Zusage

• Empfangsbestätigung innerhalb von 24 Stunden
• Prüfung und Bestätigung innerhalb von 7 Tagen
• Behebung kritischer Probleme innerhalb von 30 Tagen
• Nennung auf unserer Sicherheitsseite (sofern gewünscht)

Sicherheitszertifizierungen & Konformität

Bereits erfüllt

• ✅ DSGVO (Datenschutz-Grundverordnung)
• ✅ Bankanbindung über finAPI (BaFin-lizenzierter Kontoinformationsdienst)
• ✅ BAO (Unterstützung der Aufzeichnungspflichten nach §§ 131 und 132 BAO: Prüfprotokoll mit Hash-Kette, gesperrte Geschäftsjahre)
• ✅ TLS 1.3-Verschlüsselung
• ✅ Absicherung gegen die OWASP Top 10

Reaktion auf Sicherheitsvorfälle

Für den unwahrscheinlichen Fall einer Sicherheitsverletzung:

Unser Ablauf

1. Erkennung: automatisierte Überwachung und automatisierte Prüfungen bei jedem Release
2. Eindämmung: betroffene Systeme werden innerhalb einer Stunde isoliert
3. Untersuchung: Umfang und Auswirkung werden innerhalb von 24 Stunden ermittelt
4. Benachrichtigung: betroffene Nutzerinnen und Nutzer werden innerhalb von 72 Stunden per E-Mail informiert (DSGVO-Vorgabe)
5. Behebung: die Sicherheitslücke wird geschlossen und der Patch ausgerollt
6. Nachbetrachtung: öffentlicher Bericht darüber, was passiert ist und wie wir es behoben haben

Was Sie erhalten

• eine klare Erklärung, was vorgefallen ist
• welche Daten betroffen waren
• welche Maßnahmen wir ergriffen haben
• welche Schritte Sie selbst setzen sollten (falls erforderlich)
• einen zeitlichen Ablauf der Ereignisse

Bisherige Vorfälle

Bis heute keine Sicherheitsverletzungen (Stand Februar 2026).

Datensicherung & Wiederherstellung

Sicherungsstrategie

• Häufigkeit: automatisierte tägliche Sicherungen
• Aufbewahrung: 7 Tage
• Verschlüsselung: Sicherungen werden verschlüsselt gespeichert
• Point-in-Time-Recovery: für die Datenbank verfügbar

Wiederherstellungszeit- und Datenverlust-Ziele veröffentlichen wir derzeit nicht, und wir nennen keinen Rhythmus für Wiederherstellungsübungen.

Datenschutz bei den KI-Funktionen

Speicherung von Chatnachrichten

• standardmäßig 90 Tage gespeichert
• können unter Einstellungen > Datenschutz früher gelöscht werden
• nach 90 Tagen anonymisiert (Namen und E-Mail-Adressen entfernt, für Auswertungen aufbewahrt)

KI-Training

Ihre Daten werden NIEMALS zum Training von Claude AI oder eines anderen KI-Modells verwendet.

Gemäß den Commercial Terms von Anthropic:

"We don't train our generative models on your inputs or outputs."

Abschalten der KI

Sie können die KI-Funktionen vollständig deaktivieren:

• Einstellungen > Datenschutz > KI-Assistent deaktivieren
• die Chat-Oberfläche wird ausgeblendet
• es werden keine Daten an Anthropic übermittelt
• ausschließlich manuelle Abläufe

Integrationen von Drittanbietern

Wenn Sie Dienste von Drittanbietern verbinden, können diese auf Ihre Daten zugreifen:

Sie können jede Integration jederzeit unter Einstellungen > Integrationen widerrufen.

Empfehlungen für Nutzerinnen und Nutzer

Ihr Konto absichern

1. Starkes Passwort verwenden: mindestens 12 Zeichen, Groß- und Kleinschreibung, Ziffern, Sonderzeichen
2. MFA aktivieren: zusätzliche Schutzebene (Einstellungen > Sicherheit)
3. Zugangsdaten nicht teilen: jede Person sollte ein eigenes Konto haben
4. Google OAuth nutzen: kein Passwort, das verwaltet werden oder abhandenkommen kann
5. Auf gemeinsam genutzten Geräten abmelden: bleiben Sie an öffentlichen Rechnern nie angemeldet

Ihre API-Schlüssel schützen

1. Niemals in Git einchecken: nehmen Sie .env in die .gitignore auf
2. Umgebungsvariablen verwenden: Schlüssel nicht fest im Quellcode hinterlegen
3. Regelmäßig wechseln: erzeugen Sie alle 90 Tage neue Schlüssel
4. Nur-Lese-Schlüssel verwenden: wenn kein Schreibzugriff nötig ist
5. Nutzung beobachten: prüfen Sie die Aktivität Ihrer API-Schlüssel im Entwicklerportal

Bankanbindungen sicher betreiben

1. Zugriffe regelmäßig prüfen: sehen Sie alle 6 Monate die verbundenen Konten durch
2. Nicht genutzte Konten trennen: entfernen Sie alte Geschäftskonten
3. Buchungen beobachten: prüfen Sie abgerufene Buchungen auf Auffälligkeiten
4. Eigenes Geschäftskonto verwenden: getrennt vom privaten Bankkonto

Kontakt & Unterstützung

Fragen zur Sicherheit

E-Mail: security@operate.guru

Fragen zum Datenschutz

E-Mail: support@operate.guru (Datenschutzbeauftragter)

Allgemeine Unterstützung

E-Mail: support@operate.guru

Notfallkontakt

Für dringende Sicherheitsvorfälle außerhalb der Geschäftszeiten: security@operate.guru

---

Zuletzt aktualisiert: 7. Februar 2026

Diese Dokumentation zu Sicherheit und Datenschutz wird laufend aktualisiert. Sehen Sie gelegentlich nach der neuesten Fassung.