BETA-PROGRAMM HINWEIS Dieses Dokument gilt für das Kompunik Beta-Programm, ein kostenloses, nur auf Einladung zugängliches Forschungspilotprojekt, betrieben von Joss Gillet (Gründer von Kompunik). Dies ist ein experimenteller Prototyp ohne Servicegarantie.

Sicherheitsübersicht

Gültig ab: 1. Januar 2026 Zuletzt aktualisiert: 1. Januar 2026

Bei Kompunik sind die Sicherheit Ihrer Daten und die Integrität unserer Plattform grundlegend für alles, was wir entwickeln. Dieses Dokument bietet einen Überblick über die technischen und organisatorischen Sicherheitsmaßnahmen, die wir zum Schutz unserer Benutzer, ihrer Daten und des Lernerlebnisses umgesetzt haben.

1. Authentifizierung und Zugriffskontrolle

Wir setzen ein mehrschichtiges Authentifizierungssystem ein, um sicherzustellen, dass nur autorisierte Benutzer auf die Plattform und ihre Funktionen zugreifen können.

1.1 Authentifizierungsframework

Auth.js v5 mit JWT-Strategie (JSON Web Token) bietet sichere, zustandslose Authentifizierung
E-Mail- und Passwort-Authentifizierung mit bcrypt-Passwort-Hashing
Single Sign-On (SSO) über Google Workspace und Microsoft Entra ID für Organisationsbenutzer, unter Verwendung der Industriestandard-Protokolle OAuth 2.0 / OpenID Connect
Sitzungstoken werden in sicheren HttpOnly-SameSite-Cookies gespeichert, um webseitenübergreifende Angriffe zu verhindern

1.2 Multi-Faktor-Authentifizierung (MFA)

E-Mail-OTP (Einmalpasswort): Standardmäßig für alle Benutzer persönlicher Konten aktiviert. Ein zeitlich begrenzter Verifizierungscode wird bei der Anmeldung an Ihre registrierte E-Mail-Adresse gesendet.
TOTP (Zeitbasiertes Einmalpasswort): Optionale Authenticator-App-Unterstützung (z. B. Google Authenticator, Authy) für erhöhte Sicherheit, mit Backup-Wiederherstellungscodes
MFA-Richtlinie für Organisationen: Organisationsadministratoren können MFA für alle Benutzer ihrer Organisation vorschreiben und konfigurieren, welche MFA-Methoden zulässig sind

1.3 Rollenbasierte Zugriffskontrolle

Vier verschiedene Rollen mit abgestuften Berechtigungen: Lernender, Manager, Organisationsadministrator und Super-Administrator
Routenbasierte Zugriffsdurchsetzung in der Middleware stellt sicher, dass Benutzer nur auf Seiten und Funktionen zugreifen können, die ihrer Rolle entsprechen
API-Endpunktschutz mit Rollenüberprüfung bei jeder Server-Aktion

1.4 Sitzungsverwaltung

JWT-Token mit konfigurierbarem Ablauf und Aktualisierungslogik
Sichere Cookie-Attribute (HttpOnly, Secure, SameSite=Lax) zur Verhinderung von Sitzungsübernahmen und CSRF-Angriffen
Ratenbegrenzung an Authentifizierungsendpunkten zur Verhinderung von Brute-Force-Angriffen (5 Versuche pro 15 Minuten pro E-Mail-Adresse)

2. Datenverschlüsselung

Alle Daten werden sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt, um sie vor unbefugtem Zugriff zu schützen.

2.1 Verschlüsselung bei der Übertragung

TLS 1.2 oder höher wird für alle Verbindungen zwischen Benutzern und der Plattform erzwungen
HTTPS ist obligatorisch; HTTP-Verbindungen werden automatisch umgeleitet
HTTP Strict Transport Security (HSTS)-Header werden gesetzt, um Protokoll-Downgrade-Angriffe zu verhindern

2.2 Verschlüsselung im Ruhezustand

AES-256-Verschlüsselung für alle in MongoDB Atlas gespeicherten Daten
Verschlüsselte automatisierte Backups, verwaltet durch die MongoDB Atlas-Infrastruktur
Medieninhalte in DigitalOcean Spaces werden im Ruhezustand durch serverseitige Verschlüsselung geschützt

2.3 Signierte URLs für Medieninhalte

Audiotracks, Videos, Bilder und Zertifikate werden über zeitlich begrenzte signierte URLs mit einer (1) Stunde Gültigkeit bereitgestellt
Signierte URLs werden serverseitig generiert und können nach Ablauf nicht geteilt oder wiederverwendet werden
Hotlink-Schutz überprüft Ursprungs- und Referrer-Header der Anfrage

3. Datenschutz und Datenverarbeitung

Der Datenschutz ist von Beginn an in das Design der Plattform integriert und keine nachträgliche Ergänzung.

3.1 DSGVO-Konformität

Vollständige Einhaltung der Datenschutz-Grundverordnung (DSGVO) für alle EU-Betroffenen
Die Datenverarbeitung basiert auf klaren Rechtsgrundlagen: Vertragserfüllung, berechtigtes Interesse und ausdrückliche Einwilligung
Benutzer können ihre Betroffenenrechte (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) jederzeit ausüben

3.2 Datenschutz durch Voreinstellung

Benutzerprofile sind standardmäßig privat – keine personenbezogenen Informationen sind für andere Benutzer sichtbar, es sei denn, dies wird ausdrücklich aktiviert
Öffentliche Profile, Teilen-Karten und Community-Sichtbarkeit sind Opt-in-Funktionen
Datenschutzwahrende 404-Antworten für nicht existierende oder private Profile (keine Benutzeraufzählung)

3.3 Einwilligungsbasierte Datenweitergabe

Community-Funktionen (Beiträge, Kommentare, Kreise, Challenges) erfordern aktive Teilnahme
Peer-Vergleichsfunktionen erfordern die ausdrückliche Zustimmung sowohl der Organisation als auch des Benutzers
Avatar- und Profilsichtbarkeitseinstellungen sind granular und vom Benutzer steuerbar

3.4 Kein Drittanbieter-Tracking

Keine Analysedienste von Drittanbietern (kein Google Analytics, Mixpanel oder ähnliche)
Keine Werbe-Cookies oder webseitenübergreifende Tracking-Technologien
Kein Datenverkauf an Werbetreibende, Datenhändler oder sonstige Dritte
Alle Analysen werden intern aus unserer eigenen Datenbank mit anonymisierten, aggregierten Daten berechnet

3.5 Recht auf Löschung

Benutzer können die vollständige Kontolöschung beantragen
Kontodaten werden innerhalb von 30 Tagen nach dem Löschungsantrag gelöscht
Finanzunterlagen werden gemäß französischem Recht 7 Jahre aufbewahrt

4. Infrastruktur und Hosting

Unsere Infrastruktur ist auf Zuverlässigkeit, Sicherheit und Datenschutz ausgelegt.

4.1 Datenbank

MongoDB Atlas Cloud-gehostete Datenbank mit automatisierten Backups, Point-in-Time-Wiederherstellung und Verschlüsselung auf Cluster-Ebene
SOC 2 Type II zertifizierte Infrastruktur
Datenbankzugriff beschränkt auf Anwendungsdienstkonten mit dem Prinzip der geringsten Berechtigung

4.2 Inhaltsspeicherung

DigitalOcean Spaces (S3-kompatibler Objektspeicher) für Mediendateien, Zertifikate und hochgeladene Assets
Serverseitige Verschlüsselung im Ruhezustand
Zugriffskontrolle durch signierte URLs mit zeitlich begrenzter Gültigkeit

4.3 Anwendungs-Hosting

Next.js-Anwendung mit Node.js-Laufzeitumgebung
Isolierung von Umgebungsvariablen stellt sicher, dass Geheimnisse niemals clientseitigem Code ausgesetzt werden
Trennung von Server- und Client-Code zur Build- und Laufzeit

4.4 Automatisierte Backups

Datenbank-Backups werden von MongoDB Atlas automatisiert und verschlüsselt
Point-in-Time-Wiederherstellungsfähigkeit für die Notfallwiederherstellung
Medieninhalte werden in DigitalOcean Spaces mit integrierter Replikation redundant gespeichert

5. Anwendungssicherheit

Die Anwendung wird mit sicherheitsorientierten Entwicklungspraktiken über alle Schichten hinweg erstellt.

5.1 Eingabevalidierung

Alle Benutzereingaben werden serverseitig vor der Verarbeitung validiert
Strenge Typprüfung mit TypeScript über die gesamte Codebasis
Datei-Uploads werden nach Typ, Größe und Inhalt validiert (einschließlich SVG-Bereinigung zum Entfernen schädlicher Skripte)

5.2 Inhaltsbereinigung

Benutzergenerierte Inhalte (Community-Beiträge, Kommentare) werden als reiner Text mit dem integrierten XSS-Schutz von React dargestellt
Blog-Inhalte (von Administratoren erstellt) werden mit sanitize-html und einer strengen Positivliste sicherer HTML-Tags bereinigt
SVG-Uploads werden durch einen dedizierten Sanitizer verarbeitet, der Skripte, Ereignishandler und Fremdobjekte entfernt

5.3 Datenbanksicherheit

Ausschließlich parametrisierte Abfragen – alle MongoDB-Abfragen verwenden parametrisierte Filter, wodurch Injection-Schwachstellen vollständig eliminiert werden
Keine Verwendung von $where, eval() oder dynamischer Abfragekonstruktion
Datenbankoperationen sind in dedizierten Datenzugriffsschicht-Funktionen gekapselt

5.4 Ratenbegrenzung

Ratenbegrenzung wird an allen sensiblen Endpunkten durchgesetzt:
- Anmeldung: 5 Versuche pro 15 Minuten pro E-Mail-Adresse
- Registrierung: 5 Versuche pro Stunde pro E-Mail-Adresse
- Passwortzurücksetzung: 3 Versuche pro 15 Minuten
- API-Endpunkte: konfigurierbare Limits pro Route
- KI-gestützte Funktionen: tägliche Budgets pro Benutzer
Ratenbegrenzungs-Header (X-RateLimit-Remaining, X-RateLimit-Reset) informieren Clients über ihr verbleibendes Kontingent

5.5 Sicherheitsheader

Content Security Policy (CSP): Beschränkt Skript-, Style-, Bild- und Verbindungsquellen auf vertrauenswürdige Ursprünge
X-Content-Type-Options: nosniff zur Verhinderung von MIME-Typ-Verwechslungen
X-Frame-Options: SAMEORIGIN zur Verhinderung von Clickjacking
Referrer-Policy: strict-origin-when-cross-origin zur Begrenzung der Referrer-Offenlegung
Permissions-Policy: Beschränkt den Zugriff auf sensible Browser-APIs

5.6 CSRF-Schutz

Server-Aktionen verfügen über integrierten CSRF-Schutz durch Next.js-Framework-Mechanismen
Das SameSite=Lax-Cookie-Attribut verhindert Cross-Site-Request-Forgery
API-Routen sind durch Authentifizierung und Rollenüberprüfung geschützt

6. Mandantenisolierung für Organisationen

Organisationen auf der Plattform arbeiten in isolierten Umgebungen, um Datenlecks zwischen Mandanten zu verhindern.

6.1 Datenisolierung

Alle Datenbankabfragen für Organisationsdaten enthalten die Organisationskennung als obligatorischen Filter
Benutzer können nur auf Daten zugreifen, die ihrer eigenen Organisation gehören
Organisationsübergreifender Datenzugriff wird auf Datenbankabfrageebene verhindert

6.2 Zugriffskontrolle

Rollenbasierte Zugangskontrollen in der Middleware stellen sicher, dass Benutzer nur auf Routen zugreifen können, die ihrer Organisation und Rolle entsprechen
Organisationsadministratoren können nur Benutzer und Einstellungen innerhalb ihrer eigenen Organisation verwalten
Die Sichtbarkeit von Managern ist auf ihre zugewiesenen Teams beschränkt (Manager sehen nur die Lernenden ihres Teams)

6.3 Branding-Isolierung

Organisationsbranding (Logos, Anzeigenamen) ist pro Organisation isoliert
Benutzerdefiniertes Branding wirkt sich nicht auf andere Organisationen oder das globale Plattformerlebnis aus
Hochgeladene Branding-Assets werden in organisationsspezifischen Pfaden gespeichert

6.4 Community-Isolierung

Organisations-Community-Bereiche sind vollständig von der globalen Community getrennt
Beiträge, Kreise, Challenges und Übungsräume, die in einem Organisationsbereich erstellt werden, sind nur für Mitglieder dieser Organisation sichtbar
Organisations-Community-Funktionen können vom Organisationsadministrator aktiviert oder deaktiviert werden

6.5 Vertrags- und Platzverwaltung

Vertragsbedingungen und Platzzuweisungen werden pro Organisation verwaltet
Platzzuweisungen werden gegen Vertragslimits mit atomaren Datenbankoperationen validiert, um eine Überallokation zu verhindern
Platzänderungen lösen entsprechende Zugriffsmodifikationen aus (Übergangsfristen, Einschreibungsaktualisierungen)

7. Inhaltsmoderation

Community-Inhalte werden durch eine umfassende sechsstufige Pipeline moderiert, um eine sichere und respektvolle Umgebung aufrechtzuerhalten.

7.1 Moderationspipeline

Ratenbegrenzung: Verhindert schnelles Posten und Spam
HTML-Bereinigung: Entfernt jegliches HTML-Markup und potenzielle XSS-Vektoren aus Benutzereingaben
Textnormalisierung: Normalisiert Text zur Erkennung von Umgehungstechniken (Homoglyphen, Leet-Speak, Nullbreitezeichen)
Sperrlisten-Abgleich: Prüft Inhalte gegen sprachspezifische Sperrlisten verbotener Begriffe
KI-Klassifizierung: Inhalte werden durch die OpenAI Moderation API auf Hassrede, Gewalt, Belästigung und andere schädliche Inhaltskategorien analysiert
Menschliche Überprüfung: Markierte Inhalte werden zur manuellen Überprüfung an die Administrator-Moderationswarteschlange weitergeleitet

7.2 Automatische Markierung

Inhalte, die Sperrlisten- oder KI-Klassifizierungsschwellenwerte auslösen, werden automatisch zur Überprüfung zurückgehalten
Benutzer erhalten klare Rückmeldungen, wenn ihre Inhalte Änderungen erfordern

7.3 Meldung und Überprüfung

Alle Benutzer können Inhalte oder Verhalten über eine strukturierte Meldung mit vordefinierten Begründungskategorien melden
Meldungen werden verfolgt und eskaliert, wenn mehrere Meldungen für denselben Inhalt eingehen
Administratoren haben Zugang zu einer dedizierten Moderationswarteschlange mit Filter- und Aktionswerkzeugen

7.4 Fail-Open-Design

Wenn der KI-Moderationsdienst vorübergehend nicht verfügbar ist, werden Inhalte durchgelassen, um Dienstunterbrechungen zu vermeiden
Die automatisierte Moderation wird durch Community-Meldungen ergänzt, um Inhalte aufzufangen, die automatisierte Prüfungen umgehen

8. Zahlungssicherheit

Finanztransaktionen werden durch unsere Partnerschaft mit Stripe nach höchsten Sicherheitsstandards abgewickelt.

8.1 PCI-DSS-Konformität

Die gesamte Zahlungsabwicklung wird von Stripe durchgeführt, das nach PCI-DSS Level 1 zertifiziert ist (die höchste Stufe der Zahlungssicherheitszertifizierung)
Kompunik empfängt, verarbeitet oder speichert niemals Kreditkartennummern, CVV-Codes oder vollständige Zahlungskartendaten auf seinen Servern
Zahlungskartendaten werden direkt in die sicheren Zahlungselemente von Stripe eingegeben

8.2 Webhook-Sicherheit

Stripe-Webhook-Ereignisse werden vor der Verarbeitung durch kryptografische Signaturvalidierung verifiziert
Ereignis-ID-Deduplizierung verhindert die doppelte Verarbeitung desselben Zahlungsereignisses
Der Webhook-Endpunkt ist ratenbegrenzt, um Missbrauch zu verhindern

8.3 Idempotente Verarbeitung

Die Zahlungsaktivierung ist idempotent – die mehrfache Verarbeitung desselben Ereignisses erzeugt dasselbe Ergebnis ohne doppelte Belastungen oder Aktivierungen
Transaktionsaufzeichnungen bieten eine vollständige Prüfspur aller Zahlungsaktivitäten

9. Compliance und Standards

9.1 Aktuelle Compliance

DSGVO-Konformität für alle EU-Betroffenen, einschließlich dokumentierter Rechtsgrundlagen, Betroffenenrechte und Auftragsverarbeitungsverträge mit Unterauftragsverarbeitern
48-Stunden-Ziel für Vorfallreaktion bei Sicherheitsvorfällen – wir verpflichten uns, innerhalb von 48 Stunden nach Erkennung eines Vorfalls eine Untersuchung einzuleiten und mit der Behebung zu beginnen
Regelmäßige interne Sicherheitsüberprüfungen von Code, Abhängigkeiten und Infrastrukturkonfiguration
Abhängigkeitsprüfung durch automatisiertes Schwachstellen-Scanning von Drittanbieter-Paketen

9.2 Transparenzhinweise

Wir sind überzeugt davon, transparent über unsere aktuelle Sicherheitslage und unsere Verbesserungspläne zu sein:

SOC 2- und ISO 27001-Zertifizierungen sind für eine zukünftige Phase geplant, wenn die Organisation wächst
Ratenbegrenzung verwendet derzeit In-Memory-Speicher (geeignet für Einzelinstanz-Deployments); die Migration zu Redis-basierter verteilter Ratenbegrenzung ist für Multiinstanz-Produktionsumgebungen geplant
Sicherheitstests werden derzeit durch interne Überprüfungen durchgeführt; die Beauftragung eines externen Penetrationstest-Unternehmens ist geplant
Audit-Logging-Infrastruktur ist in Entwicklung, um umfassende Aktivitätsprotokolle für Compliance- und Forensikzwecke bereitzustellen

10. Verantwortungsvolle Offenlegung

Wenn Sie eine Sicherheitslücke in der Kompunik-Plattform entdecken, ermutigen wir Sie, diese verantwortungsvoll zu melden.

10.1 Wie Sie eine Meldung einreichen

Bitte senden Sie Schwachstellenberichte an compliance@kompunik.org mit:

Einer detaillierten Beschreibung der Schwachstelle
Schritten zur Reproduktion des Problems
Der potenziellen Auswirkung der Schwachstelle
Gegebenenfalls Vorschlägen zur Behebung

10.2 Unsere Verpflichtung

Wir bestätigen den Eingang Ihrer Meldung innerhalb von 48 Stunden
Wir untersuchen die Meldung und geben innerhalb von 5 Werktagen eine erste Einschätzung ab
Wir halten Sie über unseren Fortschritt bei der Behebung der Schwachstelle auf dem Laufenden
Wir werden keine rechtlichen Schritte gegen Forscher einleiten, die Schwachstellen in gutem Glauben melden und die Grundsätze der verantwortungsvollen Offenlegung befolgen

10.3 Geltungsbereich

Diese Richtlinie zur verantwortungsvollen Offenlegung umfasst die Kompunik-Webanwendung und ihre zugehörigen APIs. Dienste von Drittanbietern (Stripe, MongoDB Atlas, DigitalOcean) verfügen über eigene Kanäle zur Sicherheitsmeldung.

11. Kontakt

Wenn Sie Fragen zu unseren Sicherheitspraktiken haben oder ein Sicherheitsanliegen melden möchten, kontaktieren Sie uns bitte unter:

Joss Gillet (Founder of Kompunik) Avignon, Frankreich

Sicherheitsanfragen und Schwachstellenberichte: compliance@kompunik.org
Datenschutzanfragen: compliance@kompunik.org
Allgemeiner Support: contact@kompunik.org

Diese Sicherheitsübersicht gilt ab dem 1. Januar 2026.

Beta-spezifische Bedingungen

Experimenteller Charakter

Diese Plattform ist ein experimenteller Prototyp. Funktionen können ohne Vorankündigung geändert, entfernt oder fehlerhaft sein. Es wird keine Garantie für Verfügbarkeit, Betriebszeit oder Leistung gegeben.

Datenverarbeitung

Während der Beta gesammelte Daten können am Ende der Beta-Phase gelöscht werden. Obwohl wir angemessene Sorgfalt zum Schutz Ihrer Daten walten lassen, werden keine Garantien bezüglich Datenpersistenz oder Backup gegeben.

Nutzung von Feedback

Jedes Feedback, Vorschläge oder Ideen, die Sie während der Beta bereitstellen, können zur Verbesserung des Produkts ohne Vergütung oder Namensnennung verwendet werden.

Keine finanzielle Vergütung

Die Teilnahme an der Beta ist freiwillig und unbezahlt. Es gelten keine finanziellen Vergütungen, Gutschriften oder Erstattungen.

Haftungsbeschränkung

Joss Gillet (Gründer von Kompunik) haftet nicht für direkte, indirekte, zufällige oder Folgeschäden, die sich aus Ihrer Nutzung dieser Beta-Plattform ergeben. Die Nutzung erfolgt vollständig auf eigenes Risiko.

Vertraulichkeit (Optional)

Sie können auf Funktionen oder Inhalte stoßen, die noch nicht öffentlich verfügbar sind. Obwohl nicht rechtlich bindend, bitten wir Sie, unveröffentlichte Funktionen mit Diskretion zu behandeln.

Kein kommerzielles Verhältnis

Diese Beta stellt keinen kommerziellen Service, Vertrag oder Abonnement dar. Es werden keine Rechnungen ausgestellt und es gelten keine Service-Level-Vereinbarungen.