Sicherheitsübersicht

Zuletzt aktualisiert: 26. August 2026

Dieses Dokument beschreibt, wie supportpages.io Ihre Daten schützt. Wir legen unsere Sicherheitspraktiken offen, weil Vertrauen Transparenz voraussetzt.

Infrastruktur

Hosting-Standort

Anbieter: Hetzner
Standort: Finnland (EU)
Rechtsordnung: Es gelten die Datenschutzgesetze der EU

Warum Finnland?

Wir haben uns für Hosting in der EU entschieden, weil:
- die Einhaltung der DSGVO einfacher ist, wenn Daten in der EU bleiben
- Hetzner über starke Sicherheitspraktiken verfügt
- Finnland strenge Datenschutzgesetze hat

Physische Sicherheit

Die Rechenzentren von Hetzner bieten:
- Sicherheitspersonal vor Ort rund um die Uhr
- Biometrische Zugangskontrollen
- Videoüberwachung
- Redundante Strom- und Kühlungsversorgung

Authentifizierung

So melden Sie sich an

Ausschließlich GitHub OAuth – Wir speichern keine Passwörter
Sichere Tokens – GitHub stellt die Authentifizierungs-Tokens bereit
Sitzungsverwaltung – Sichere HTTP-only-Cookies

Was wir speichern

GitHub-Nutzer-ID (nicht Ihr Passwort)
GitHub-OAuth-Token (für den API-Zugriff)
Sitzungs-Tokens (damit Sie angemeldet bleiben)

Sicherheit der Tokens

Der Zugriff über die GitHub App, mit dem wir Ihre Repositorys lesen, ist kurzlebig und auf die von Ihnen gewählten Repositorys beschränkt
Gespeicherte Zugriffstokens liegen in unserer in der EU gehosteten Datenbank, erscheinen nie in Protokollen und werden nie mit anderen Nutzern geteilt
Sie können unseren Zugriff jederzeit in GitHub widerrufen

Daten bei der Übertragung

Verschlüsselung

TLS 1.2+ für alle Verbindungen
Ausschließlich HTTPS – HTTP wird auf HTTPS umgeleitet
HSTS – Browser merken sich, HTTPS zu verwenden

Was das bedeutet

Wenn Sie supportpages.io nutzen:
- Ist die Verbindung Ihres Browsers verschlüsselt
- Können Daten bei der Übertragung nicht abgefangen werden
- Können selbst wir Daten während der Übertragung nicht einsehen (Ende-zu-Ende-Verschlüsselung)

API-Sicherheit

Alle externen API-Aufrufe erfolgen über HTTPS
Webhook-Payloads werden signiert und verifiziert
API-Tokens erscheinen nie in Protokollen

Gespeicherte Daten

Datenbank

Verschlüsselte Speicherung
Regelmäßige Backups (ebenfalls verschlüsselt)
Backups werden in derselben Region (Finnland) gespeichert

Was wir speichern

Nutzerkonten und Einstellungen
Projektkonfigurationen
Erzeugte Dokumentation
Nutzungsanalysen

Was wir nicht speichern

Ihren Rohcode (vorübergehend verarbeitet, dann gelöscht)
Ihr GitHub-Passwort
Nicht erforderliche personenbezogene Daten

Umgang mit Code

Dies ist der sensibelste Teil unserer Arbeit. So schützen wir Ihren Code:

Erstanalyse der Codebasis

Auslöser – Sie verbinden SupportPages mit einem Repository (Cloud-Analyse) und starten den ersten Durchlauf
Isolierung – Ihr Code wird in eine sichere, abgeschottete Sandbox-Umgebung kopiert
Analyse – KI liest Ihren Code, um Struktur und Zweck zu verstehen
Bereinigung – Die isolierte Umgebung wird zerstört, Ihr Code wird gelöscht
Speicherung – Nur die erzeugte Zusammenfassung und Metadaten werden gespeichert

Analyse von Pull Requests

Benachrichtigung – GitHub benachrichtigt uns über einen gemergten PR
Isolierung – Eine neue Sandbox-Umgebung wird erstellt
Analyse – KI analysiert die Änderungen im Kontext Ihrer Codebasis
Bereinigung – Die Umgebung wird zerstört, Ihr Code wird gelöscht
Speicherung – Nur die erzeugte Dokumentation wird gespeichert

Analyse auf Ihrer eigenen Infrastruktur (SupportPages Agent, Beta)

Die beiden oben beschriebenen Abläufe betreffen die Cloud-Analyse. Alternativ können Sie die Analyse mit dem SupportPages Agent, den Sie bei der Registrierung wählen, auf einer von Ihnen kontrollierten Infrastruktur ausführen. Der Agent befindet sich in der Beta und wird schrittweise für einzelne Teams freigeschaltet.

Wo er läuft – Innerhalb Ihres Coding-Agents (als Skill und MCP-Server) oder als Schritt in Ihrer CI/CD-Pipeline, der bei jedem Merge ausgeführt wird
Was er liest – Den Code, der auf diesem Rechner oder Runner bereits ausgecheckt ist. Er klont nichts von uns, und wir besitzen kein Zugriffstoken für Ihr Repository
Was er an SupportPages sendet – Den erzeugten Artikelinhalt, über HTTPS
Was er nie sendet – Ihren Quellcode, Diffs oder Dateiinhalte

In diesem Modus erhält, verarbeitet oder speichert SupportPages Ihren Code zu keinem Zeitpunkt. Die oben beschriebenen Schritte zu Sandbox und Bereinigung entfallen, da der Code Ihre Umgebung nie verlässt.

Sicherheitsmaßnahmen

Isolierte Umgebungen – Ihr Code läuft in abgeschotteten Containern
Flüchtige Verarbeitung – Jede Analyse nutzt eine neue Umgebung
Keine dauerhafte Speicherung – Umgebungen werden nach jeder Nutzung zerstört
Keine Aufbewahrung von Code – Ihr Quellcode wird nie in unserer Datenbank gespeichert
Ein einziger KI-Anbieter – Code wird ausschließlich mit unserem KI-Anbieter (Anthropic) geteilt

Unser KI-Anbieter

Gemäß unserem Auftragsverarbeitungsvertrag mit Anthropic:
- Verarbeitet Anthropic Ihren Code, um Dokumentation zu erstellen
- Speichert Anthropic Ihren Code nach Abschluss der Verarbeitung nicht
- Trainiert Anthropic keine Modelle mit Ihren Daten
- Gibt Anthropic Ihren Code nicht an Dritte weiter

Zugriffskontrollen

Interner Zugriff

Prinzip der minimalen Rechte – Mitarbeitende greifen nur auf das zu, was sie benötigen
Kein routinemäßiger Zugriff auf Code – Wir sehen uns Ihren Code nicht an
Audit-Protokollierung – Zugriffe werden protokolliert

Wann wir auf Daten zugreifen könnten

Fehlersuche – Wenn Sie einen Fehler melden und uns bitten, ihn zu untersuchen
Sicherheitsvorfälle – Wenn wir einen Sicherheitsvorfall untersuchen müssen
Gesetzliche Anforderungen – Wenn wir gesetzlich dazu verpflichtet sind

Wir informieren Sie, wenn wir auf Ihre Daten zugreifen (sofern dies nicht gesetzlich untersagt ist).

Kundenzugriff

Sie greifen nur auf Ihre eigenen Daten zu
Projekte sind zwischen Nutzern voneinander isoliert
Für jeden Zugriff ist eine Authentifizierung erforderlich

Überwachung

Was wir überwachen

Anwendungsfehler und Ausnahmen
Performance-Kennzahlen
Sicherheitsereignisse (fehlgeschlagene Anmeldungen usw.)

Was wir nicht überwachen

Den Inhalt Ihres Codes
Den Inhalt Ihrer Dokumentation
Ihre privaten Nutzungsmuster

Fehlerprotokollierung

Unsere Fehlerüberwachung filtert Folgendes heraus:
- Authentifizierungs-Tokens
- Code-Inhalte
- Sensible personenbezogene Daten

Fehlerprotokolle enthalten Diagnoseinformationen, aber nie Ihren Code.

Reaktion auf Sicherheitsvorfälle

Wenn etwas schiefgeht

Erkennung – Unsere Überwachung alarmiert uns bei Problemen
Bewertung – Wir bewerten Umfang und Auswirkungen
Eindämmung – Wir stoppen den Schaden
Benachrichtigung – Wir informieren Sie über den Vorfall (bei Datenschutzverletzungen innerhalb von 72 Stunden)
Behebung – Wir beseitigen die Ursache
Nachbetrachtung – Wir lernen daraus und verbessern uns

Meldung von Datenschutzverletzungen

Bei Verletzungen des Schutzes personenbezogener Daten verpflichten wir uns:
- Betroffene Kunden innerhalb von 72 Stunden zu benachrichtigen
- Einzelheiten zum Vorfall bereitzustellen
- Zu erläutern, welche Maßnahmen wir ergreifen

Sicherheit bei Drittanbietern

Auswahl von Unterauftragsverarbeitern

Bevor wir einen Unterauftragsverarbeiter einsetzen, prüfen wir, ob er:
- über angemessene Sicherheitszertifizierungen verfügt
- Auftragsverarbeitungsverträge unterzeichnet
- unsere Sicherheitsstandards erfüllt

Aktuelle Unterauftragsverarbeiter

Einzelheiten zur Sicherheit der einzelnen Anbieter finden Sie auf unserer Seite Unterauftragsverarbeiter.

Laufende Überprüfung

Wir überprüfen regelmäßig die Sicherheitspraktiken und Zertifizierungen unserer Unterauftragsverarbeiter.

Was wir nicht tun

Um es klar zu sagen: Wir
- verkaufen Ihre Daten nicht
- geben Code nicht an unbefugte Dritte weiter
- trainieren keine KI mit Ihren Daten
- speichern keine Passwörter
- verwenden keine Tracking-Cookies
- werten Ihren Code nicht über die Dokumentation hinaus aus

Ihre Verantwortung

Sicherheit ist eine gemeinsame Verantwortung. Sie sollten:
- Ihr GitHub-Konto absichern (2FA verwenden)
- Erzeugte Dokumentation vor der Veröffentlichung prüfen
- Sicherheitsbedenken umgehend melden
- Den Zugriff widerrufen, wenn Sie den Dienst nicht mehr nutzen

Sicherheitsprobleme melden

Sie haben eine Schwachstelle gefunden? Teilen Sie es uns mit:

E-Mail: security@supportpages.io

Wir schätzen eine verantwortungsvolle Offenlegung. Wir werden:
- den Eingang innerhalb von 24 Stunden bestätigen
- Sie über den Stand unserer Untersuchung auf dem Laufenden halten
- Sie (wenn Sie möchten) bei der Behebung namentlich nennen
- keine rechtlichen Schritte gegen Forschende einleiten, die in gutem Glauben handeln

Zertifizierungen und Compliance

Aktueller Stand

DSGVO-konform – Hosting in der EU, Auftragsverarbeitungsvertrag verfügbar
SOC 2 – Noch nicht (auf unserer Roadmap)

Roadmap

Mit unserem Wachstum planen wir:
- eine Zertifizierung nach SOC 2 Type II
- eine Zertifizierung nach ISO 27001

Fragen

Sie haben Fragen zur Sicherheit? Kontaktieren Sie uns:

E-Mail: security@supportpages.io

Gern besprechen wir unsere Sicherheitspraktiken ausführlicher, unterzeichnen Geheimhaltungsvereinbarungen für vertrauliche Gespräche oder füllen Sicherheitsfragebögen aus.

Sicherheit ist nie „fertig“. Wir verbessern unsere Praktiken kontinuierlich. Dieses Dokument gibt unseren aktuellen Stand zum oben genannten Datum wieder.