Sicherheit & Datenschutz

1. Grundprinzipien

• Integrität: Nachweise sollen nachvollziehbar bleiben und spätere Änderungen erkennbar machen (z. B. über Prüfsummen/Referenzen, je nach Konfiguration).
• Vertraulichkeit: Zugriff auf geschützte Bereiche ist rollen- und berechtigungsbasiert. Datenzugriffe werden nach dem „Need-to-know“-Prinzip gesteuert.
• Verfügbarkeit: Betrieb und Wartung zielen auf stabile Erreichbarkeit, nachvollziehbare Deployments und schnelle Fehlerbehebung.
• Datensparsamkeit: Wir verarbeiten und speichern nur Daten, die für die Bereitstellung des Dienstes erforderlich sind. Umfang und Details hängen vom Funktionsumfang und der Nutzung ab.

2. Zugriffsschutz & Rollen (RBAC)

Der Zugang zu Konten und administrativen Funktionen erfolgt über Authentifizierung und Sitzungsverwaltung. Berechtigungen innerhalb von Organisationen werden rollenbasiert (RBAC) vergeben. Sensible Aktionen (z. B. Erstellen/Ändern/Widerrufen von Nachweisen, Bulk-Import, Integrationen) werden serverseitig geprüft und gegen unautorisierte Ausführung abgesichert.

3. Transport- & Kommunikationssicherheit

Daten werden bei der Übertragung typischerweise per TLS geschützt. Für Integrationen (z. B. API/Webhooks) werden je nach Konfiguration Authentifizierungs- und Signaturmechanismen eingesetzt (z. B. API-Keys/Secrets, Webhook-Signaturen). Konkrete technische Ausprägungen können je nach Hosting/Konfiguration variieren.

4. Daten- & Dokumentenspeicherung (off-chain)

Dokumente/Anhänge (z. B. PDFs) werden in der Regel off-chain gespeichert und über Referenzen mit Nachweisen verknüpft. Zugriffe werden nach Berechtigungen gesteuert; für öffentliche Verifikationsseiten werden Inhalte so minimiert, dass nur der erforderliche Verifikationskontext sichtbar ist. Je nach Konfiguration können zeitlich begrenzte Zugriffsmethoden oder tokenbasierte Abrufe genutzt werden.

5. Protokollierung, Audit-Trail & Missbrauchsprävention

Zur Fehleranalyse, Stabilität und Angriffserkennung können technische Protokolle (z. B. Server-Logs) anfallen. Zusätzlich kann ein Audit-Trail relevanter Aktionen geführt werden (z. B. Erstellung, Statuswechsel, Bulk-Import, Webhook-Zustellungen), um Nachvollziehbarkeit und Missbrauchserkennung zu unterstützen. Details zur Verarbeitung personenbezogener Daten findest du in der Datenschutzerklärung.

6. Integrität, Verifikation & Blockchain-Referenzen

Certifylize kann technische Integritätsmechanismen nutzen, z. B. kryptografische Prüfsummen (Hashes), Referenzen und – je nach Anwendungsfall – Blockchain-Anker. Wichtig: Verifikation bedeutet eine technische Konsistenz-/Integritätsprüfung und ersetzt keine rechtliche oder behördliche Prüfung. Sicherheitsstufen (z. B. S1–S4) können je nach Produktkonfiguration unterschiedliche Schutz- und Nachweismerkmale bereitstellen.

7. Verantwortlichkeiten (Aussteller/Verifizierer)

Aussteller/Kunden sind verantwortlich für die Inhalte, die sie in Nachweisen/Zertifikaten oder Metadaten bereitstellen (z. B. Produktdaten, Dokumente, Aussagen, Gültigkeiten) sowie für die datenschutzkonforme Ausgestaltung ihrer Prozesse. Verifizierer sollten bei kritischen Fällen zusätzliche Nachweise einfordern. Certifylize stellt die technische Plattform, Verifikationspfade und Integrationsschnittstellen bereit.

8. Meldung von Sicherheitsvorfällen

Wenn du eine Sicherheitslücke vermutest oder melden möchtest, kontaktiere uns bitte über support@certifylize.com. Bitte sende keine sensiblen Daten unverschlüsselt.