Sicherheit & Datenschutz.Was die App schützt, und was nicht.
Hier steht, was tatsächlich umgesetzt ist. Was fehlt, steht weiter unten ebenfalls.
Hosting in Deutschland
- Wir betreiben StaffDeck beim Hoster Uberspace aus Mainz. Die Server stehen in Deutschland.
- Dort liegen Datenbank und Dateien: eure Inhalte, hochgeladene Dokumente und Bilder und die Chiffretexte aus Chat und Vault.
Zugang und Anmeldung
- Die App meldet sich mit einem persönlichen Zugangstoken am Server an, das im Gerät hinterlegt wird. Läuft es ab oder wird es entzogen, meldet die App sich selbst ab.
- Fehlversuche sind begrenzt: höchstens zehn je Kennung und höchstens hundert je IP-Adresse innerhalb von fünfzehn Minuten.
- Die Anmeldung verrät nicht, ob ein Konto existiert. Unbekannte Kennung und falsches Passwort führen zur selben Meldung.
- Auch das Zurücksetzen des Passworts bestätigt nie, ob es zu einer Adresse ein Konto gibt.
- Startpasswörter für neue Mitarbeitende kennt noch jemand anderes, deshalb müssen sie beim ersten Login geändert werden.
Getrennte Mandanten
- Jede App ist ein eigener Mandant. Die Zugehörigkeit hängt an jedem Datensatz und wird bei jedem einzelnen Zugriff serverseitig erzwungen, nicht erst in der Oberfläche.
- Auch der Zwischenspeicher des Servers ist nach Mandant getrennt, bei persönlichen Inhalten zusätzlich nach Benutzer.
- Jeder Mandant hat ein eigenes Speicherkontingent, im Standard zwei Gigabyte. Der Verbrauch ist nach Bereichen aufgeschlüsselt einsehbar.
Dateien und Bilder
- Bilder und Medien sind nur über signierte Adressen erreichbar. Die Signatur läuft nach 24 Stunden ab, eine kopierte Adresse ist danach wertlos.
- Downloads bekommen eine eigene, kurzlebige Adresse mit fünf Minuten Gültigkeit.
- Pro Ordner und pro Datei lässt sich das Herunterladen unterbinden. Der Inhalt ist dann nur in der App lesbar.
- Der Screenshot-Schutz lässt sich für die gesamte App aktivieren. In der Dokumentenansicht und beim QR-Ticket ist er immer aktiv.
Ende-zu-Ende-Verschlüsselung
- Chat und Vault sind Ende-zu-Ende verschlüsselt. Ver- und entschlüsselt wird auf dem Gerät, der Server speichert ausschließlich Chiffretext. Auch die Verwaltung kann Chat-Nachrichten und Notizen nicht lesen, nicht exportieren und nicht wiederherstellen.
- Der Schlüssel entsteht aus einem eigenen Verschlüsselungs-Passwort, das den Server nie erreicht. Dazu gibt es einmalig einen Wiederherstellungs-Code. Wer beides verliert, verliert die Inhalte. Das ist keine Lücke im Support, sondern der Zweck.
- Eingesetzte Verfahren: X25519 für die Identität, XChaCha20-Poly1305 für Inhalte, Argon2id für das Passwort. App und Webversion nutzen denselben Krypto-Kern.
- Fotos, Sprachnachrichten und Standorte im Chat sind genauso verschlüsselt wie der Text. Link-Vorschauen erzeugt der Absender, Empfänger und Server rufen die verlinkte Seite nie auf.
- Push-Benachrichtigungen zu verschlüsselten Chats nennen den Absender, nie den Inhalt.
- Wer aus einer Gruppe entfernt wird, bekommt keinen Schlüssel für neue Nachrichten mehr. Wer später dazukommt, kann ältere Nachrichten nicht lesen. Wird eine Notiz-Freigabe entzogen, wird die Notiz mit einem neuen Schlüssel verschlüsselt.
- Jede Identität hat einen Fingerprint. Zwei Personen können ihn persönlich abgleichen und wissen dann sicher, dass sie füreinander verschlüsseln.
- Was der Server trotzdem sieht: wer mit wem chattet, wann und wie oft, Gruppennamen und Gruppenbilder, wer wem eine Notiz freigibt. Das sind Metadaten, und wir sagen es offen.
Rechte und Sichtbarkeit
- Dreizehn Berechtigungen, einzeln vergebbar. Sie hängen an der Gruppe und zusätzlich an der Person.
- Serverseitig gilt immer die Vereinigung aus Gruppen- und Einzelrechten. Unbekannte Rechte werden verworfen statt geraten.
- Einlasskontrolle ist ein eigenes Recht. Wer scannen darf, bekommt dadurch keinen Zugriff auf die Eventverwaltung.
- Ordner, Veranstaltungen und Meldungsvorlagen sind je Gruppe sichtbar. Bei Vorlagen getrennt für Ersteller und Bearbeiter.
Datenschutz im Alltag
- Meldungen lassen sich pro Vorlage anonym freischalten. Der Absender wird dann nicht gespeichert.
- Nachrichten können anonym gesendet werden, und der Absender legt fest, ob Antworten für alle Empfänger sichtbar sind oder nur für ihn.
- Wer nicht im Mitarbeiterverzeichnis erscheinen möchte, blendet sich selbst aus.
- Push-Nachrichten sind pro Kategorie und pro Dokumentenordner einzeln abwählbar.
- Kurznachrichten aus angebundenen Systemen haben eine Aufbewahrungsfrist, im Standard neunzig Tage. Danach werden sie automatisch gelöscht.
- Beim Abmelden löscht die App alle lokal gespeicherten Inhalte und den Bildzwischenspeicher.
- Wird ein Konto gelöscht, verschwindet die Person automatisch aus allen Teilnehmer- und Wartelisten, aus allen Gruppenchats und Notiz-Freigaben. Eigene Notizen, Chats zu zweit und der Schlüssel werden gelöscht.
Angebundene Systeme
- Zugangsdaten zu WebDAV- und Kalenderverbindungen werden verschlüsselt gespeichert und nie an ein Gerät zurückgegeben. Beim Bearbeiten bleibt das Passwortfeld leer.
- Wir empfehlen für diese Verbindungen ein App-Passwort statt des Kontopassworts. Es lässt sich einzeln widerrufen und funktioniert auch bei aktiver Zwei-Faktor-Anmeldung des Quellsystems.
- Jede Ping-Quelle hat einen eigenen Schlüssel, der jederzeit neu erzeugt werden kann. Der alte ist dann sofort ungültig.
- Die Ping-Schnittstelle nimmt höchstens sechzig Anfragen pro Minute und Quelle an und begrenzt die Größe jeder Anfrage.
Tacheles.Was wir heute nicht bieten.
Andere schreiben so etwas nicht auf ihre Webseite. Wir halten es für die nützlichere Information, bevor ihr euch entscheidet.
Keine Anmeldung über euer Firmenkonto
Single Sign-on und eine Anbindung an Active Directory gibt es nicht. Konten werden in der App verwaltet, per Einladung oder Personalnummer.
Keine Zwei-Faktor-Anmeldung
Die Anmeldung läuft über Kennung und Passwort. Ein zweiter Faktor ist derzeit nicht vorgesehen.
Verschlüsselung nur für Chat und Vault
News, Nachrichten, Dokumente und Meldungen liegen lesbar auf dem Server, damit sie durchsuchbar sind, auf einem neuen Gerät wieder da sind und die Verwaltung sie bearbeiten kann. Ende-zu-Ende verschlüsselt sind der Chat und der Vault, sonst nichts.
Keine Zertifizierung
Wir führen keine ISO-Zertifizierung und kein Testat. Wenn euer Vergabeverfahren das verlangt, sagt es uns früh, dann sparen wir euch die Prüfung.
Betrieb im eigenen Haus
Standardmäßig betreiben wir die App für euch, auf unseren Servern bei Uberspace in Deutschland. Wenn ihr sie im eigenen Rechenzentrum betreiben wollt, ist das als Vertragsoption vorgesehen. Die Fernwartung dafür schlägt monatlich zu Buche, den Betrag findet ihr auf der Preisseite. Auch die StaffDeck-App aus dem Store verbindet sich dann über eure Kundenreferenz mit eurem eigenen Server, eine eigene App braucht ihr dafür nicht.
Wenn ihr Unterlagen für eure Datenschutzbeauftragte oder eine Vergabestelle braucht, schreibt uns an . Wir schicken euch, was wir haben, und sagen ehrlich, was wir nicht haben.
Wie WebDAV, CalDAV und die Ping-Schnittstelle im Einzelnen eingerichtet werden, steht in der Dokumentation (öffnet in neuem Tab).
Lieber selbst nachsehen?Sehr gern.
Wir zeigen euch die App und die Verwaltung, und beantworten die Fragen, die euer Betriebsrat und eure IT stellen werden.