Sicherheit und Datenschutz

1Wo Daten verarbeitet werden

• Server-Funktionen (Check, API, MCP-Server, Konto, Bezahlung): Vercel, Region Frankfurt (fra1). Festgelegt in vercel.json für alle Funktionen des Projekts.
• Datenbank und Login: Supabase, Region Frankfurt.
• Statische Dateien wie HTML, CSS und Bilder liefert Vercel über sein weltweites Netz vom nächstgelegenen Standort aus. Sie enthalten keine Daten über Sie.
• Zahlung: Stripe. Vertragspartner in der EU ist Stripe Payments Europe, Limited in Irland.
• E-Mails: Resend. Kontodaten liegen dort in den USA.

Die Rechtsgrundlage für Übermittlungen in Drittländer steht je Dienst in der Tabelle unter Dienstleister.

2Was wir speichern und was nie

Nie gespeichert

• Vollständige Werte gefundener Schlüssel. Findet der Check ein Muster, das nach einem Schlüssel aussieht, nennt er Art und Fundstelle. Im Bericht und im Verlauf steht nur eine gekürzte Form, also der Anfang und die letzten Zeichen, etwa sk_live_…9f2A, bei Datenbank-Adressen Benutzer und Host ohne Passwort. Den vollständigen Wert zeigen, speichern und benutzen wir nie.
• Ihre API-Schlüssel im Klartext. Gespeichert wird nur der SHA-256-Hash und der Anfang des Schlüssels, damit Sie ihn wiedererkennen. Den vollständigen Schlüssel sehen Sie einmal beim Anlegen.
• Karten- und Kontodaten. Sie geben sie direkt bei Stripe ein. Sie erreichen unsere Server nicht.
• Daten für Analyse oder Werbung. Wir binden keine Tracking-Dienste ein und setzen keine Werbe-Cookies.

Ohne Konto

• Die eingegebene Adresse nutzen wir nur für den Check. Adresse und Ergebnis speichern wir nicht.
• Für das Limit von 20 Checks pro Stunde zählen wir Anfragen je IP-Adresse. Der Zähler liegt nur im Arbeitsspeicher und verfällt nach einer Stunde.

Mit Konto

• E-Mail-Adresse für Anmeldung und Benachrichtigungen
• Verlauf: Domain, Note, Punkte, Bericht, Zeitpunkt und ob der Check über Website, API, MCP oder die Überwachung kam
• Überwachte Seiten mit letzter Note und letztem Prüfzeitpunkt
• API-Schlüssel als Hash, mit Name, Anfang, letzter Nutzung und Sperrdatum
• Audit-Bestellungen und gekaufte Einzelberichte (Domain, Kauf-Mail, privater Link und der Bericht zum Zeitpunkt des Scans)
• Plan und Kundennummer bei Stripe

Was genau wir über Sie verarbeiten und wie lange, steht in der Datenschutzerklärung.

3Was der Check bei der geprüften Seite tut

Der Check liest nur, was ein Browser beim Besuch lädt: Antwort-Header, das HTML, die JavaScript-Dateien und Stylesheets derselben Website samt nachgeladener Teile und Konfigurationsdateien, die der Code selbst abruft, jeweils mit Größen- und Zeitgrenze. Dazu kommen ein TLS-Handschlag für das Zertifikat, die Datei /.well-known/security.txt und öffentliche DNS-Einträge (etwa SPF, DMARC, CAA, DNSSEC).

Er probiert keine Pfade durch, scannt keine Ports, sendet keine Angriffsmuster und meldet sich nirgends an. Gefundene Schlüssel benutzt er nie. Software-Versionen gleicht er mit öffentlichen Datenbanken ab, nie an der geprüften Seite. Die vollständige Liste steht unter So prüfen wir.

4Dienstleister (Unterauftragsverarbeiter)

Diese Dienste verarbeiten personenbezogene Daten in unserem Auftrag. Die Angaben stammen aus den verlinkten Verträgen und Seiten der Anbieter.

Stripe verarbeitet einen Teil der Daten als eigener Verantwortlicher, etwa zur Betrugsabwehr und zur Erfüllung gesetzlicher Pflichten. So steht es im AV-Vertrag von Stripe.

Öffentliche Datenquellen

Diese Quellen fragen wir für den Abgleich ab. Sie erhalten keine Daten über Sie und sind keine Auftragsverarbeiter.

5Technische Maßnahmen

Diese Maßnahmen setzt der Code von Hullwise um:

• Schutz vor Missbrauch des Checks (SSRF). Der Check ruft nur öffentliche Adressen ab. Private Netze, Loopback, Link-Local und damit Cloud-Metadaten-Adressen sind gesperrt, auch in IPv6 verpackt. Die Prüfung läuft bei jeder Verbindung erneut, damit ein Name nicht zwischen Prüfung und Abruf auf eine interne Adresse umspringt. Weiterleitungen folgt er von Hand, prüft jede Station und bricht nach fünf ab. Erlaubt sind nur http und https.
• HTTPS und HSTS. Hullwise läuft nur verschlüsselt. Der Header Strict-Transport-Security gilt zwei Jahre, auch für Subdomains, mit preload.
• Content-Security-Policy. Skripte, Styles und Verbindungen nur von der eigenen Domain, keine Einbettung in fremde Seiten (frame-ancestors 'none'), Formulare nur an Hullwise und an Stripe. Inline-Skripte sind derzeit erlaubt, weil Next.js sie braucht. Dazu X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy.
• Signierte Cookies. Eigene Cookies für Freischaltungen sind mit HMAC-SHA256 signiert und werden zeitkonstant verglichen. Sie sind HttpOnly, Secure und SameSite=Lax.
• API-Schlüssel als Hash. Schlüssel entstehen aus 24 zufälligen Bytes. In der Datenbank liegt nur der SHA-256-Hash. Gesperrte Schlüssel werden bei jeder Anfrage abgewiesen.
• Zeilenschutz in der Datenbank. Row Level Security ist auf allen Tabellen aktiv. Angemeldete Personen dürfen nur ihre eigenen Zeilen lesen. Geschrieben wird nur serverseitig.
• Keine Nutzung gefundener Schlüssel. Der Check probiert gefundene Zugänge nie aus und speichert ihre vollständigen Werte nicht.
• Limits. Anfragen sind je IP-Adresse oder Konto pro Stunde begrenzt.

Hullwise hat keine eigene Zertifizierung, etwa nach ISO 27001 oder SOC 2. Diese Seite beschreibt, was der Code tut.

6Sicherheitslücke melden

Haben Sie eine Lücke in Hullwise gefunden, schreiben Sie uns vertraulich. Wie das geht und was im Rahmen ist, steht unter Lücke bei Hullwise melden.

7AV-Vertrag

Verarbeiten wir für Ihr Unternehmen personenbezogene Daten in Ihrem Auftrag, etwa Konten Ihrer Mitarbeitenden oder Berichte zu Ihren Systemen, schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Unsere Vorlage für den AV-Vertrag können Sie lesen, drucken und uns ausgefüllt schicken.

8Fragen

Fragen Ihrer Einkaufs-, Datenschutz- oder IT-Abteilung beantworten wir unter cem@cdcapital-group.com.