Filetransfer
Rechtliches

Sicherheit

Datenschutz regelt, was wir mit Daten tun dürfen. Sicherheit sorgt dafür, dass niemand sonst etwas damit tun kann. Hier steht offen, wie wir das machen.

1. Unser Grundsatz

Wir halten Daten dort, wo wir sie selbst im Griff haben: auf einem eigenen Server in Deutschland, hinter zwei Schlössern, verschlüsselt und jede Nacht gesichert. Fremde Dienste nutzen wir nur, wo es nicht anders geht – und dann nur mit dem Nötigsten. Sicherheit ist bei uns nicht angenommen, sondern geprüft.

2. Diese Website

  • tsme.at besteht aus fertigen, statischen Seiten – ohne Datenbank und ohne Redaktionssystem mit Login, das angegriffen werden könnte.
  • Die Verbindung ist immer verschlüsselt (HTTPS).
  • Das Kontaktformular schickt deine Anfrage direkt an unseren eigenen Server – ohne Formular-Dienst eines Dritten. Gegen Spam schützen eine unsichtbare Falle und eine Zeitprüfung, ganz ohne Captcha-Dienst.
  • Cookies, die nicht unbedingt nötig sind, gibt es nur mit deiner Zustimmung (siehe Datenschutz).

3. Unser Server

  • Ein eigener Server bei Hetzner im Rechenzentrum Nürnberg (Deutschland) mit automatischen Sicherheits-Updates.
  • Von außen sind nur die nötigsten Zugänge offen; die Wartung ist nur mit kryptografischem Schlüssel möglich, nicht mit Passwort.
  • Die Datenplatte ist verschlüsselt. Nach einem Neustart muss sie erst von Hand entsperrt werden.

4. Zugang zum Cockpit

Unser Verwaltungssystem – das Cockpit – ist doppelt abgesichert. Zuerst steht das Zugangstor Pangolin davor, das wir selbst betreiben: Ohne Anmeldung dort ist das Cockpit von außen nicht einmal zu sehen. Danach folgt die Anmeldung mit Passwort und Zwei-Faktor-Code.

  • Nach mehreren Fehlversuchen wird der Zugang gesperrt.
  • Jede Änderung wird protokolliert; das Protokoll kann nur ergänzt, nicht verändert werden.
  • Jedes Formular ist gegen untergeschobene Anfragen geschützt (CSRF), die Anwendung läuft mit strenger Content-Security-Policy.
  • Firma, Vereine und Privates sind als eigene Bereiche strikt getrennt.

5. Kundenportal und Links

  • Kund:innen melden sich mit einem Einmal-Link per E-Mail an – es gibt kein Passwort, das gestohlen werden könnte.
  • Ein Portal-Zugang sieht ausschließlich die eigenen Daten.
  • Freigabe-, Unterschrifts- und Portal-Links speichern wir nur als Prüfwert (SHA-256). Sie laufen ab, lassen sich widerrufen, und jeder Abruf wird protokolliert.

6. Verschlüsselung

  • Übertragung: ausschließlich TLS mit HSTS.
  • Speicherung: verschlüsselte Datenplatte (LUKS2); Zugangsdaten und Schlüssel in der Datenbank zusätzlich verschlüsselt (libsodium).
  • Geheimnisse stehen nie im Programmcode.

7. Sicherung

  • Jede Nacht eine verschlüsselte Sicherung auf einen getrennten Speicher, aufbewahrt 30 Tage bzw. 12 Monate.
  • Zusätzlich monatlich eine verschlüsselte Kopie in einem eigenen, Ende-zu-Ende-verschlüsselten Tresor.
  • Die Wiederherstellung wird regelmäßig geprüft – eine Sicherung zählt erst, wenn sie sich auch zurückspielen lässt.

8. KI-Dienste

Wir arbeiten mit KI – mit klaren Grenzen. Bevor etwas an einen KI-Dienst geht, werden Zugangsdaten, IBAN, Kontonummern, E-Mail-Adressen und Telefonnummern automatisch geschwärzt; Nachrichten erscheinen nur als Anzahl. Laut Anbieter werden diese Daten nicht zum Training verwendet. Welche Dienste wir einsetzen, steht in der Datenschutzerklärung.

9. Was wir bewusst nicht tun

  • Wir speichern keine Passwörter zu deinen Websites oder Systemen in unserem Verwaltungssystem – nur Verweise.
  • Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.
  • Keine Daten deiner Mitarbeiter:innen, Mitglieder oder Kund:innen bei uns.
  • Keine KI-Auswertung von Nachrichten oder Bankdaten.
  • Website-Statistik zählen wir selbst, ohne Cookies und ohne Google Analytics.

10. Websites unserer Kund:innen

  • Die Websites, die wir betreuen, werden laufend auf Erreichbarkeit, SSL-Zertifikat und Domain-Ablauf überwacht.
  • Fällt eine Seite aus oder läuft ein Zertifikat ab, entsteht sofort eine Aufgabe mit Benachrichtigung.
  • Neue Websites testen wir zuerst auf einem geschützten Vorschau-Server, bevor sie live gehen.

11. Eine Lücke gefunden?

Wenn dir eine Sicherheitslücke auf unseren Seiten auffällt, schreib uns bitte an office@tsme.at. Wir kümmern uns sofort darum und danken für jeden Hinweis.

Stand: Oktober 2026