quotepilot
Sicherheit

So schützt QuotePilot eure Daten

Diese Seite beschreibt ehrlich, welche Sicherheitsmaßnahmen umgesetzt sind und was noch aussteht. Wir verzichten auf Marketing-Versprechen und benennen offene Punkte klar.

Hosting & Infrastruktur

  • Hosting auf Supabase (PostgreSQL, Auth, Storage) mit EU-Rechenzentrum (Frankfurt, AWS eu-central-1)
  • Next.js-Anwendung auf Vercel mit europäischen Edge-Nodes bevorzugt
  • Alle Verbindungen ausschließlich über TLS 1.2 / TLS 1.3 (HTTPS erzwungen)
  • Datenbankzugriff nur über serverseitige Supabase-Clients — niemals direkt vom Browser

Authentifizierung

  • Authentifizierung via Supabase Auth (JWT-basiert, httpOnly-Cookies)
  • Passwörter werden ausschließlich gehasht gespeichert (bcrypt via Supabase Auth)
  • Fehlermeldungen bei Login geben keine Information darüber, ob eine E-Mail existiert
  • Zugriffsschutz auf alle Dashboard-Routen — Weiterleitung zu /login ohne aktive Session

Datentrennung (Mandantenisolation)

  • Row Level Security (RLS) in PostgreSQL: Jeder Datenbankzugriff ist auf den eingeloggten Nutzer beschränkt
  • API-Routen prüfen serverseitig, ob die angefragte Ressource dem authentifizierten Nutzer gehört
  • Anfragen auf fremde Ressourcen geben 404 zurück — nicht 403 (kein Hinweis auf Existenz)
  • Keine user_id- oder plan-Werte aus dem Request-Body werden vertraut — alles wird server-seitig aus dem JWT gelesen

KI-Verarbeitung

  • KI-Anfragen laufen über Anthropic Claude — Kundendaten werden nicht für Training verwendet (API-Nutzungsbedingungen)
  • Roheingaben werden gekapselt und mit explizitem Systemkontext übergeben
  • KI-Ausgaben sind immer Entwürfe — kein automatischer Versand an Kunden
  • Token- und Anfrage-Limits werden serverseitig nach Plan erzwungen — nicht vom Client steuerbar

Eingabevalidierung & Schutz

  • Alle API-Eingaben werden mit Zod serverseitig validiert und bereinigt
  • Datei-Uploads: MIME-Typ- und Erweiterungsprüfung, max. 10 MB, gefährliche Typen blockiert
  • Dateinamen vom Client werden ignoriert — gespeichert wird ausschließlich unter UUID-Pfad
  • Honeypot-Felder und Mindestabsende-Zeit schützen das öffentliche Anfrageformular vor Bots
  • Rate Limiting auf allen API-Endpunkten (aktuell In-Memory; Produktion: Redis/Upstash)

DSGVO & Datenschutz

  • Verantwortlicher gem. Art. 4 Nr. 7 DSGVO: [Betreiber — siehe Impressum]
  • Auftragsverarbeitungsvertrag (AVV) steht unter /avv bereit
  • Kundendaten (Anfragen, Angebote) werden nicht an Dritte verkauft oder weitergegeben
  • Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO dokumentiert

Was noch nicht produktionsreif ist

  • Rate Limiting: aktuell In-Memory — für Produktion wird Upstash Redis benötigt
  • E-Mail-Verifizierungspflicht vor KI-Nutzung: noch nicht erzwungen
  • CAPTCHA auf Anmeldeformular: noch nicht implementiert
  • Admin-MFA: noch nicht implementiert
  • Malware-Scan bei Datei-Uploads: noch nicht implementiert
  • ZUGFeRD/XRechnung: auf der Roadmap, noch nicht verfügbar

Sicherheitslücke gefunden? Bitte melde sie verantwortungsvoll.

security@quote-pilot.de

Stand: Mai 2026 · Angaben ohne Gewähr auf Vollständigkeit