Sicherheit

Verschlüsselte Verbindung und Sicherheits-Header

Die Anwendung wird ausschließlich über HTTPS ausgeliefert. Der Server setzt HSTS mit einer Gültigkeit von einem Jahr (inklusive Subdomains), eine Content-Security-Policy, X-Content-Type-Options: nosniff, eine Referrer-Policy sowie eine Permissions-Policy, die Kamera, Mikrofon, Standort und Zahlungsschnittstelle sperrt. Antworten der Programmierschnittstelle werden nicht zwischengespeichert (no-store).

Mediendateien von Kunden werden mit einer eigenen, abschottenden Sicherheitsrichtlinie ausgeliefert, damit eine direkt geöffnete Datei keine Skripte in der Anwendung ausführen kann.

Nachlesen: AVV, Anhang 2

Hosting in Deutschland

Anwendung und Datenbank laufen auf einem eigenen Server der Hetzner Online GmbH im Rechenzentrum Falkenstein; Mediendateien und Sicherungen liegen auf einer Hetzner Storage Box in der EU. Der Nachweis über die Registry-Abfrage und die Fälle, in denen Inhalte die EU verlassen (Veröffentlichung auf Plattformen mit Sitz außerhalb der EU), stehen unter Datenstandort.

Nachlesen: Datenstandort, AVV, Anhang 2

Trennung der Kunden (Mandanten)

Jeder Kunde ist ein eigener, serverseitig getrennter Mandant. Zugriff auf Arbeitsbereiche, Beiträge, Medien und Berichte wird auf dem Server geprüft, nicht nur durch ausgeblendete Schaltflächen. Wer in einem Kundenbereich Editor und in einem anderen nur Leser ist, hat nur im ersten Schreibrechte.

Nachlesen: AVV, Anhang 2

Rollen und nachvollziehbare Freigaben

Es gibt die Rollen Owner, Admin, Editor, Kunden-Freigeber (Client Approver) und Viewer. Die Rechte werden bei jeder schreibenden Aktion serverseitig geprüft. Eine Selbstfreigabe ist gesperrt. Jede Freigabe und jede Änderungsanforderung wird am Beitrag der entscheidenden Person und dem Zeitpunkt zugeordnet; Entscheidungen über einen Gast-Freigabelink erscheinen als „Kundenfreigabe (Gast-Link)“, ohne dass Kanalyo eine Identität des Gastes behauptet.

Veröffentlicht wird nur, was in Ihrem Arbeitsbereich freigegeben wurde, sofort per Klick oder zu dem Termin, den ein Mensch für genau diesen Beitrag festgelegt hat. Antworten auf Kommentare und Nachrichten werden nur nach dem Klick eines Nutzers gesendet.

Nachlesen: AVV, Anhang 2, Plattform-Daten

Zugriffsschlüssel der verbundenen Kanäle

Die Zugriffsschlüssel (Tokens) der verbundenen Plattform-Konten werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert und nicht im Klartext protokolliert. Sie werden nur für den jeweiligen Arbeitsbereich verwendet. Beim Trennen eines Kanals wird der Schlüssel sofort gelöscht.

Nachlesen: AVV, Anhang 2, Datenlöschung

Persönliche API-Schlüssel

Persönliche Schlüssel für die API und den MCP-Server werden nur als nicht umkehrbarer SHA-256-Prüfwert mit einem kurzen Präfix gespeichert; der Klartext wird einmalig bei der Erstellung angezeigt. Ein Schlüssel hat nie mehr Rechte als die Person, der er gehört, ist jederzeit widerrufbar und kann ein Ablaufdatum haben (höchstens 2 Jahre). Je Schlüssel gelten höchstens 60 Aufrufe pro Minute und 5.000 pro Tag. Über Schlüssel lässt sich nichts freigeben, veröffentlichen oder löschen.

Nachlesen: AVV, Anhang 2, Entwickler

Anmeldung und Sitzungen

Die Anmeldung erfolgt über das YJAR Portal oder über einen einmaligen E-Mail-Link, der 30 Minuten gültig ist; von diesem Link wird nur ein Prüfwert gespeichert. Das Sitzungs-Cookie ist in Produktion mit „Secure“, „HttpOnly“ und „SameSite=Lax“ gesetzt und trägt den Präfix „__Host-“. Eine Sitzung gilt 8 Stunden gleitend, höchstens 7 Tage, und wird bei Abmeldung oder Entzug der Zugriffsrechte sofort widerrufen.

Nachlesen: AVV, Anhang 2, Datenschutzerklärung

Schutz vor manipulierten Eingaben

Eingehende Ereignisse von Meta (Webhooks) werden anhand der Signatur (X-Hub-Signature-256) geprüft, bevor sie verarbeitet werden. Fremdtexte aus Kommentaren, Nachrichten und Bewertungen werden vor dem Speichern bereinigt und nie als HTML ausgegeben. Schreibende Anfragen aus der Browser-Sitzung werden zusätzlich anhand der Herkunft (Origin) geprüft.

Nachlesen: AVV, Anhang 2

Protokollierung

Sicherheitsrelevante Aktionen (Freigaben, Kanalverbindungen, Rollenänderungen, Kontolöschungen) werden in einem Audit-Protokoll mit Zeitstempel und handelnder Person erfasst. Schreibende Aufrufe über einen API-Schlüssel stehen dort mit der E-Mail-Adresse der Person und dem Schlüssel-Präfix. Zugriffsprotokolle des Webservers (IP-Adresse, Zeitstempel, Adresse) werden nach 14 Tagen gelöscht.

Nachlesen: AVV, Anhang 2, Datenschutzerklärung

Begrenzung von Anfragen und Überwachung

Der Webserver begrenzt die Anfragehäufigkeit für Anmeldung und Schnittstellen. Ein Wächter prüft minütlich die laufenden Dienste, die öffentliche Erreichbarkeit, dass eine nicht angemeldete Anfrage weiterhin abgewiesen wird, sowie Arbeitsspeicher und Systemlast. Eine Verfügbarkeitszusage ist damit nicht verbunden.

Nachlesen: AVV, Anhang 2

KI-Textvorschläge und Kennzeichnung

Die Textvorschläge der KI-Redaktion kommen von einem Sprachmodell, das YJAR selbst auf eigener Infrastruktur in Deutschland betreibt. Eingaben und Ergebnisse gehen nicht an externe KI-Anbieter und werden nicht zum Training verwendet. Gleiche Anfragen werden bis zu 24 Stunden nur im Arbeitsspeicher vorgehalten; in der Datenbank liegt nur ein Verbrauchszähler ohne Inhalte. Ergebnisse sind Entwürfe: Ein Mensch prüft und gibt frei. Beiträge, deren Text aus einem KI-Vorschlag stammt, tragen die Kennzeichnung „KI-generiert“; auch über die Schnittstelle kann ein Entwurf mit aiGenerated als KI-erstellt markiert werden.

Nachlesen: AVV, Anhang 2, Datenstandort

Datensicherung

Die Datenbank wird täglich automatisch gesichert: 7 Tage lokal und zusätzlich extern für 60 Tage. Ein automatisierter Wiederherstellungstest läuft wöchentlich. Gelöschte Daten können in Sicherungen bis zu 60 Tage nachwirken; wird eine Sicherung eingespielt, wiederholen wir die Löschung unverzüglich.

Nachlesen: AVV, Anhang 2, Datenlöschung

Löschfristen

Wird ein Konto gelöscht, laufen ein Abo bis zum Ende des bezahlten Zeitraums und danach die Deaktivierung; 14 Tage später werden die Daten endgültig gelöscht (Beiträge, Medien, Kanalverbindungen samt Schlüssel, Postfach, Kennzahlen, Berichte, API-Schlüssel, Nutzer, Sitzungen, Protokolle). Nach einer Testphase ohne Buchung oder nach Vertragsende werden Daten 90 Tage später gelöscht, mindestens 14 Tage vorher angekündigt. Rechnungs- und Zahlungsdaten bleiben nur, soweit eine gesetzliche Aufbewahrungspflicht besteht.

Nachlesen: AVV, § 9, Datenschutzerklärung, Datenlöschung

Was wir nicht behaupten

• Zertifizierungen: Für Kanalyo liegt kein Zertifikat oder Prüfbericht (etwa ISO 27001 oder SOC 2) vor, und es wird keines behauptet. Aussagen zu Zertifizierungen des Rechenzentrums sind Aussagen des Hosters, die hier nicht unabhängig geprüft wurden.
• Externe Prüfung: Ein veröffentlichter Bericht über einen unabhängigen Penetrationstest liegt derzeit nicht vor.
• Zusagen zu Verfügbarkeit oder Reaktionszeiten: Diese Seite enthält keine; für Datenpannen gelten die Fristen im Auftragsverarbeitungsvertrag.
• Ende-zu-Ende-Verschlüsselung der Inhalte: Beiträge, Kommentare und Medien werden auf dem Server verarbeitet; eine Ende-zu-Ende-Verschlüsselung wird nicht behauptet. Gesondert verschlüsselt gespeichert sind die Zugriffsschlüssel der Kanäle.

Sicherheitslücke melden

Schreiben Sie an info@yjar.de mit dem Betreff „Sicherheitslücke Kanalyo“. Die maschinenlesbare Fassung steht unter /.well-known/security.txt (Sprachen: Deutsch, Englisch). Eine feste Bearbeitungszeit sagen wir nicht zu.

• Beschreiben Sie, was Sie gefunden haben, wo (Adresse oder Funktion) und wie sich das nachvollziehen lässt.
• Rufen Sie keine Daten anderer Kunden ab und ändern oder löschen Sie keine fremden Daten; zum Nachweis genügt ein Hinweis auf die Art des Zugriffs.
• Führen Sie keine Lasttests und keine Angriffe auf Verfügbarkeit durch und nutzen Sie keine Social-Engineering-Methoden gegen Personen.
• Schicken Sie keine Zugangsdaten, Schlüssel oder personenbezogenen Daten Dritter mit. Enthalten Details sensible Inhalte, beschreiben Sie sie zunächst nur allgemein; wir fragen bei Bedarf nach.
• Ein Bug-Bounty-Programm gibt es nicht.

Betrifft die Meldung personenbezogene Daten, gelten für uns die Pflichten und Fristen aus dem Auftragsverarbeitungsvertrag (§ 10). Allgemeine Fragen und Störungen gehören nicht hierher, sondern zu Hilfe und Kontakt.