# Sicherheitsrichtlinie – Kanera > Kanera-Sicherheitspraktiken, gemeinsame Verantwortlichkeiten und verantwortungsvolle Richtlinie zur Meldung von Schwachstellen. Canonical page: https://www.kanera.app/de/security Sicherheit # Sicherheitsrichtlinie Sicherheit ist Teil der Art und Weise, wie Kanera aufgebaut, betrieben und dokumentiert wird, insbesondere für Teams, die zwischen gehosteter und selbstgehosteter Bereitstellung wählen. Effektiv 20. August 2026 · Version 2 Auf einen Blick Bereitstellung Hosted Kanera wird von uns betrieben. Das selbst gehostete Kanera wird von Ihnen betrieben. Zugang Nutzen Sie strenge Kontokontrollen, begrenzte Berechtigungen und eine sorgfältige Arbeitsbereichsverwaltung. Berichte Senden Sie Sicherheitsberichte an security@kanera.app. ## Sicherheitsmodell Hosted Kanera ist mit mehrschichtigen Kontrollen für Anwendungssicherheit, Infrastruktur, Überwachung, Zugriffsverwaltung und Betriebsüberprüfung ausgestattet. Das selbst gehostete Kanera gibt Ihrem Team die Kontrolle über die Laufzeitumgebung. Diese Kontrolle bedeutet auch, dass Ihr Unternehmen für die Härtung der Bereitstellung, Patches, Backups, Netzwerkgefährdung und Überwachung verantwortlich ist. ## Aktuelle Anwendungskontrollen Die folgenden Kontrollen beschreiben die aktuelle Kanera-Implementierung, die am 20. August 2026 überprüft wurde. Sie stellen keine Zusicherung dar, dass Kanera über eine unabhängige Sicherheitszertifizierung oder Prüfmeinung verfügt. Wir aktualisieren diesen Abschnitt, wenn sich die Kontrollen oder die Architektur wesentlich ändern. - Passwörter werden mit Argon2id mithilfe einer expliziten speicherintensiven Konfiguration gehasht. Bei der Anmeldeüberprüfung wird außerdem ein zeitlich ausgeglichener Pfad verwendet, um Kontoaufzählungssignale zu reduzieren. - Aktualisierungstoken sind zufällig, werden nur als SHA-256-Hashes gespeichert, bei der Verwendung rotiert und als Familie widerrufen, wenn eine Wiederverwendung erkannt wird. Das Produktionsaktualisierungscookie ist HttpOnly, Secure, SameSite=Lax und auf Authentifizierungsrouten beschränkt. - Die zeitbasierte Einmalpasswort-MFA umfasst verschlüsselte Geheimnisse, als Hashes gespeicherte Einmal-Wiederherstellungscodes, Wiedergabeschutz und Versuchssperre. Organisationsadministratoren können MFA für den Zugriff von Mitgliedern und Vorstandsgästen auf ihre Daten verlangen. - Authentifizierung, Passwortzurücksetzung, MFA, öffentliche API, MCP und andere sensible Routen verwenden Ratenbegrenzungen oder Versuchskontrollen. Cloudflare Turnstile kann gehostete Anmelde- und Passwort-Zurücksetzungsflüsse schützen. - Organisations-, Arbeitsbereichs-, Board-, Gast-, API-Schlüssel- und OAuth-Berechtigungen werden serverseitig erzwungen. Arbeitsbereich-API-Schlüssel haben Lese-, Schreib- oder Admin-Bereiche; Persönliche Schlüssel folgen den aktuellen Berechtigungen des Besitzers; OAuth verwendet exakte Umleitungs-URIs und PKCE. - API-Schlüssel, OAuth-Tokens, Bestätigungscodes, Einladungstokens und Client-Geheimnisse werden als Hashes gespeichert. MFA und konfigurierte Integrationsgeheimnisse werden im Ruhezustand verschlüsselt. - HTTP-Antworten verwenden Steuerelemente wie HSTS, Content-Type-Sniffing-Schutz, Frame-Einschränkungen, eine Referrer-Richtlinie, eine Inhaltssicherheitsrichtlinie und eine Berechtigungsrichtlinie. - Der mandantenübergreifende Supportzugriff ist auf autorisierte Plattformadministratoren beschränkt, zeitlich begrenzt, widerrufbar, im Produkt sichtbar angegeben und mit Betreiber, Zielorganisation, Grund, IP-Adresse, Benutzeragent, Start-, Ablauf- und Endzeitpunkt erfasst. Administrative Änderungen werden in einen separaten Prüfpfad geschrieben. ## Verantwortlichkeiten für das Selbst-Hosting - Führen Sie Kanera hinter HTTPS mit vertrauenswürdigen Zertifikaten aus. - Halten Sie Kanera, Abhängigkeiten, Betriebssysteme, Container, Datenbanken und Reverse-Proxys auf dem neuesten Stand. - Beschränken Sie den Administratorzugriff, schützen Sie Geheimnisse und wechseln Sie die Anmeldeinformationen bei Bedarf. - Aktivieren und konfigurieren Sie die optionalen selbstgehosteten Backup-Tools von Kanera oder stellen Sie einen gleichwertigen Backup-Prozess bereit und testen Sie dann die Wiederherstellung regelmäßig. - Überprüfen Sie die Netzwerkgefährdung, Firewallregeln, Speicherberechtigungen und Integrationsanmeldeinformationen. ## Ihre Sicherheitsverantwortung - Verwenden Sie ein eindeutiges Passwort und aktivieren Sie die Multi-Faktor-Authentifizierung, sofern verfügbar oder von Ihrer Organisation gefordert. - Halten Sie Ihre Browser, Geräte, Kanera-Bereitstellung und angeschlossenen Tools auf dem neuesten Stand und schützen Sie Geräte und Backups vor unbefugtem Zugriff. - Gewähren Sie Benutzern, API-Schlüsseln, OAuth- oder MCP-Clients, Webhooks und anderen Integrationen nur die Berechtigungen, die sie benötigen, und überprüfen Sie diesen Zugriff regelmäßig. - Entfernen Sie ungenutzte Benutzer und Integrationen, widerrufen Sie Anmeldeinformationen und Sitzungen, von denen Sie glauben, dass sie gefährdet sind, und melden Sie den Verdacht auf unbefugten Kontozugriff umgehend. - Überprüfen Sie die Sicherheits- und Datenschutzpraktiken von Drittanbietern, bevor Sie vertrauliche, persönliche oder regulierte Informationen über eine Integration senden. ## Datenschutz Workspace-Inhaber kontrollieren, welche Benutzer eingeladen werden, welchen Zugriff sie erhalten und welche Inhalte in Kanera platziert werden. Kanera sollte nicht zum Speichern streng regulierter Daten verwendet werden, es sei denn, Ihre Organisation hat die Bereitstellung, Konfiguration, Vertragsbedingungen und rechtlichen Anforderungen für diese Verwendung überprüft. Für gehostetes Kanera sind unsere vertraglichen Sicherheits-, Vorfallbenachrichtigungs-, Unterauftragsverarbeiter-, Unterstützungs-, Prüfungs- und Löschverpflichtungen im Datenverarbeitungszusatz festgelegt. Wir benachrichtigen betroffene Kunden unverzüglich über einen bestätigten Verstoß gegen den Schutz personenbezogener Daten und stellen vernünftigerweise verfügbare Informationen zur Verfügung, um ihre Reaktion zu unterstützen. - [Nachtrag zur Datenverarbeitung](https://www.kanera.app/de/dpa) - [Unterauftragsverarbeiter](https://www.kanera.app/de/subprocessors) ## Schwachstellen melden Verdächtige Schwachstellen per E-Mail an security@kanera.app senden; Verwenden Sie keine öffentliche Ausgabe. Geben Sie die betroffene Komponente, Version, URL, Endpunkt oder Bereitstellungsmodus an; Reproduktionsschritte oder ein minimaler Proof of Concept; wahrscheinliche Auswirkung; relevante Anfragen, Protokolle oder Screenshots mit entfernten Geheimnissen; und Ihre bevorzugten Kontaktdaten und ob Sie einen öffentlichen Kredit wünschen. Wir sind bestrebt, eine Meldung innerhalb von 3 Werktagen zu bestätigen und innerhalb von 10 Werktagen eine erste Einschätzung zu übermitteln oder weitere Informationen anzufordern. Dabei handelt es sich um Zielvorgaben, nicht um Garantien. Der Umfang umfasst Authentifizierung und Autorisierung, Mandantenisolierung, Private-Board-Zugriff, gespeicherte Geheimnisse und Token-Leaks, Uploads und Dateiverarbeitung, APIs, OAuth, MCP, Webhooks, Echtzeitfunktionen, Abrechnungsgrenzen und die standardmäßige selbstgehostete Bereitstellung. Social Engineering, Spam, Erkenntnisse, die nur auf absichtlich schwachen Entwicklungseinstellungen beruhen, und Denial-of-Service-Tests gegen die Produktion ohne schriftliche Genehmigung fallen nicht in den Geltungsbereich. Wir veröffentlichen derzeit keinen PGP-Schlüssel und normale E-Mails sind kein Ende-zu-Ende-verschlüsselter Berichtskanal. Senden Sie keine Live-Anmeldeinformationen oder persönlichen Daten. Fragen Sie in der ersten E-Mail, ob wir einen sichereren Austausch für sensible Beweise arrangieren sollen. - [Senden Sie eine E-Mail an das Sicherheitsteam](mailto:security@kanera.app) - [Maschinenlesbarer Sicherheitskontakt](https://www.kanera.app/.well-known/security.txt) ## Safe Harbor und Offenlegung Wenn Sie in gutem Glauben handeln, nur Konten, Daten und Systeme testen, die Ihnen gehören oder über die Sie ausdrücklich die Erlaubnis zum Testen haben, sich an den oben genannten Rahmen halten, Datenschutzverletzungen und Dienstunterbrechungen vermeiden, nur auf die Mindestdaten zugreifen, die zum Nachweis des Problems erforderlich sind, stoppen und melden, wenn Sie auf die Daten einer anderen Person stoßen, diese Daten nicht aufbewahren oder offenlegen und sich an geltendes Recht halten, behandeln wir die Forschung als für die Zwecke unserer Richtlinie genehmigt und werden keine rechtlichen Schritte gegen Sie wegen der Forschung selbst einleiten. Dies stellt keine Erlaubnis dar, Systeme oder Infrastruktur Dritter außerhalb unserer Kontrolle zu testen, Social Engineering oder physische Angriffe zu nutzen oder eine Zahlung zu verlangen. Bitte geben Sie uns vor der Veröffentlichung eine angemessene Gelegenheit zur Untersuchung und Abhilfe. Wir erarbeiten mit Ihnen einen Zeitplan für die Offenlegung, der auf Schweregrad, betroffenen Benutzern, Fixverfügbarkeit und Bereitstellungsbedarf basiert, und sind bestrebt, Sie über wichtige Meilensteine ​​auf dem Laufenden zu halten. Wenn Sie glauben, dass eine dringende Offenlegung erforderlich ist, erläutern Sie security@kanera.app das Risiko, damit wir uns koordinieren können. Löschen Sie Testdaten und vertrauliche Beweise, wenn sie nicht mehr benötigt werden. Wenn Sie unbeabsichtigt auf persönliche Daten, Anmeldeinformationen oder Kundeninhalte zugreifen, beenden Sie den Test, kopieren oder teilen Sie diese nicht und teilen Sie uns mit, worauf zugegriffen wurde, damit wir angemessen reagieren können. ## Versionsgeschichte Version 2 tritt am 20. August 2026 in Kraft. Sie unterscheidet die Implementierungsprüfung von der unabhängigen Zertifizierung und verknüpft die vertraglichen Vorfall- und Sicherheitsverpflichtungen im DPA. Version 1 trat am 16. Juli 2026 in Kraft. ## Machine-readable resources - [Kanera AI index](https://www.kanera.app/llms.txt) - [Kanera documentation index](https://www.kanera.app/docs/llms.txt) - [Agent discovery guidance](https://www.kanera.app/agents.md)