Vertrauensaussagen tragen einen Status.

Unternehmenswebsite

Eine minimale öffentliche Datenoberfläche.

• Transportsicherheit

  Deployment-Konfiguration

  Caddy verwaltet Let's-Encrypt-Zertifikate für arctelix.com und www.arctelix.com; HTTP-Anfragen werden auf HTTPS umgeleitet.

• Security-Header

  Umgesetzt

  Content Security Policy, HSTS, Frame-Verbot, MIME-Typ-Schutz sowie Referrer- und Permissions-Policies werden bei jeder Antwort gesetzt.

• Keine öffentlichen Uploads, Konten oder Tracking

  Umgesetzt

  Die öffentliche Unternehmenswebsite hat keinen Datei-Upload, keine Besucherkonten, keine Analytics-Beacons und keine Marketing-Pixel. Die private Operations-Konsole ist auf autorisierte Administratoren beschränkt.

• Kontrollen des Kontaktformulars

  Umgesetzt

  Same-Origin- und CSRF-Prüfungen, serverseitige Validierung, Grössen- und Rate-Limits, Honeypot, keine Protokollierung von Nachrichteninhalten.

• Zustellung von Anfragen

  Posteingang aktiv · SMTP ausstehend

  Der verschlüsselte Operations-Posteingang speichert geprüfte Anfragen auch ohne E-Mail-Zustellung. SMTP-Benachrichtigung und Antworten bleiben deaktiviert, bis ein verifiziertes Postfach eingerichtet ist.

Infrastruktur

Deutsches Hosting ist keine Schweizer Datenresidenz.

Firmensitz

Luzern, Schweiz

Produktionsserver

Hetzner, Falkenstein, Deutschland

DNS und TLS

Autoritatives IONOS-DNS · Caddy · Let's Encrypt

Container

Non-Root-Benutzer, schreibgeschütztes Dateisystem, Health-Checks

Rate-Limit der Anwendung

5 Anfragen / 15 Minuten pro Client

Netzwerkgrenze des Servers

UFW erlaubt nur SSH, HTTP und HTTPS

Unternehmenspraxis

Keine weitreichenden Garantien, bevor die Belege vorliegen.

• Umgang mit Kundendaten

  Pro Mandat

  Bearbeitungsstandorte, Unterauftragsbearbeiter und Aufbewahrung werden pro Mandat in einer schriftlichen Vereinbarung zur Auftragsbearbeitung festgelegt.

• Backups und Wiederherstellung

  In Umsetzung

  Deployment-Leitlinien existieren; Produktionsziele und Restore-Tests erfordern eine benannte verantwortliche Person.

• Zertifizierungen

  Keine beansprucht

  Es wird keine ISO-, SOC- oder sonstige Zertifizierung beansprucht. Künftige Audit-Ergebnisse werden mit Umfang und Datum veröffentlicht.

• Nutzung für Modelltraining

  In Prüfung

  Ein öffentliches Versprechen, dass keine Daten für das Modelltraining verwendet werden, wird erst abgegeben, wenn technische Kontrollen und Anbieterverträge verifiziert sind.

Sicherheitsmeldungen

Ein Kanal für verantwortungsvolle Offenlegung braucht noch eine verifizierte Adresse.

Sicherheitskontakt

Verifizierung ausstehend