Worklenz setzt praxisnahe Sicherheitskontrollen ein, um die Plattform und die uns anvertrauten Informationen zu schützen. Wir nutzen ergänzende Maßnahmen für Übertragung, Authentifizierung, Autorisierung, Anwendungsverhalten, Bereitstellung und Wiederherstellung.
Sicherheitskontrollen
Sichere Kommunikation
Worklenz unterstützt HTTPS/TLS zum Schutz von Daten während der Übertragung. Produktionsumgebungen verwenden Sicherheits-Header wie Content Security Policy, HSTS, Clickjacking-Schutz, MIME-Type-Schutz, Referrer Policy und Permissions Policy.
Anwendungsschutz
Wir setzen CSRF-Schutz für zustandsändernde Anfragen, Anfragevalidierung und -bereinigung, Schutz vor Parameter Pollution, Ratenbegrenzung für ausgewählte Endpunkte sowie Maßnahmen zur Erkennung verdächtiger SQL-Injection-Muster ein.
Identität und Zugriff
Passwörter werden vor der Speicherung gehasht. Der Zugriff auf Organisationen, Projekte und kundenorientierte Bereiche wird durch authentifizierte Konten, Mitgliedschaften und Berechtigungen gesteuert. Das Kundenportal verwendet einen separaten Authentifizierungsablauf gegenüber der sitzungsbasierten Authentifizierung der Hauptanwendung.
Datenschutz und Wiederherstellung
Sofern unterstützt, werden sensible Integrations-Token vor der Speicherung verschlüsselt. Kunden behalten das Eigentum an den an Worklenz übermittelten Inhalten. Die Produktionsdaten von Worklenz Cloud werden durch regelmäßige automatisierte Backups geschützt; selbst gehostete Organisationen können eigene Backups, Aufbewahrungsfristen und Wiederherstellungsverfahren konfigurieren.
Cloud und Self-Hosting
Worklenz ist Open Source und kann selbst gehostet werden. Organisationen, die diese Option wählen, kontrollieren ihre Infrastruktur, Netzwerke, Überwachung, Backups, Wiederherstellung, Zugriffskontrollen und Betriebsprozesse.
Die Produktionsdienste von Worklenz Cloud laufen in einer verwalteten Cloud-Umgebung. Der Produktionszugriff ist auf autorisierte Teammitglieder beschränkt und durch mehrschichtige Identitäts- und Netzwerkkontrollen geschützt.
Sicherheitsbetrieb
Änderungen werden über einen Pull-Request-Workflow entwickelt und vor dem Zusammenführen geprüft. Continuous-Integration-Prüfungen validieren Änderungen am Backend, Frontend und Kundenportal. Automatisierte Abhängigkeitsüberwachung unterstützt die laufende Wartung; Fehlerüberwachung und Echtzeitwarnungen helfen bei der Untersuchung von Anwendungsfehlern und sicherheitsrelevanten Ereignissen.
CeyDigital unterhält ein nach ISO 9001:2015 zertifiziertes Qualitätsmanagementsystem. ISO 9001:2015 ist eine Zertifizierung für Qualitätsmanagement und keine Zertifizierung für Informationssicherheit.
Umgang mit Sicherheitslücken
Wir begrüßen verantwortungsvolle Meldungen von Sicherheitsforschern und der Community. Bestätigte Sicherheitslücken werden über den Entwicklungs- und Releaseprozess von Worklenz bewertet, priorisiert und behoben. Unter Sicherheitslücke melden finden Sie die vertraulichen Meldekanäle.
Gemeinsame Verantwortung
- Verwenden Sie starke, eindeutige Zugangsdaten und entfernen Sie nicht mehr benötigte Zugriffe.
- Überprüfen Sie die Berechtigungen für Organisationen, Projekte und Kundenportale regelmäßig.
- Prüfen Sie Berechtigungen, bevor Sie Integrationen von Drittanbietern verbinden.
- Halten Sie bei Self-Hosting Worklenz und die unterstützende Infrastruktur aktuell.
- Schützen Sie Infrastruktur und Backup-Speicher und testen Sie Wiederherstellungsverfahren regelmäßig.
Häufige Fragen
Kann Worklenz selbst gehostet werden?
Ja. Worklenz ist Open Source und kann in einer von Ihrer Organisation kontrollierten Umgebung bereitgestellt werden.
Wer sichert eine selbst gehostete Bereitstellung ab?
Die Organisation, die die Bereitstellung betreibt, ist für Hosting-Umgebung, Netzwerkkonfiguration, Betriebssysteme, Datenbank, Backup-Speicher, Überwachung, Zugriffskontrollen und Aktualisierungsprozess verantwortlich.
Wie beantrage ich die Löschung eines Kontos?
Folgen Sie dem in unserer Datenschutzerklärung beschriebenen Prozess zur Kontolöschung.
Sicherheitslücke melden
Wir begrüßen verantwortungsvolle Meldungen von Sicherheitsforschern und der Community. Veröffentlichen Sie vermutete Sicherheitslücken nicht in öffentlichen GitHub-Issues, Diskussionen oder sozialen Netzwerken. Senden Sie eine private GitHub-Sicherheitsmeldung (bevorzugt) oder schreiben Sie an [email protected] beziehungsweise [email protected]. Fügen Sie eine klare Beschreibung, mögliche Auswirkungen, Schritte oder einen Proof of Concept zur Reproduktion sowie die betroffenen Komponenten bei.
Lesen Sie auch unsere Datenschutzerklärung, Nutzungsbedingungen und die Open-Source-Sicherheitsrichtlinie.
