Sicherheit und Datenschutz

Was die App schützt und wie wir KI einsetzen

Alles auf dieser Seite ist in der App umgesetzt. Die Daten liegen in der EU (Frankfurt).

Schutzmaßnahmen

Login ohne PasswörterEinmal-Links (30 Minuten gültig, nur einmal nutzbar, nur als Hash gespeichert), Bestätigung per Klick gegen Link-Scanner.
SitzungenSigniertes, httpOnly-Cookie. "Auf allen Geräten abmelden" macht alle Sitzungen sofort ungültig.
MissbrauchsschutzLogin-Mails: max. 5 pro Adresse und 20 pro IP in 15 Minuten. Migrations-Analysen: 5 pro Tag und Organisation.
Zugangsdaten der KundenCMS-, Clarity- und weitere Tokens AES-256-GCM-verschlüsselt in der Datenbank, nie im Klartext sichtbar.
MandantentrennungJede Abfrage ist an die Organisation gebunden. Assets nur für das eigene Team und OSTWERK abrufbar.
UploadsDateityp wird am Inhalt erkannt, nicht an der Endung. Kein SVG (Skriptgefahr). Max. 8 MB. Auslieferung mit Sandbox-Header.
Abrufe durch AgentsNur öffentliche Adressen (SSRF-Schutz gegen interne Netze und Cloud-Metadaten), jede Weiterleitung wird geprüft, Größe begrenzt.
Browser-SchutzContent-Security-Policy, HSTS, kein Einbetten (Clickjacking), nosniff, strenge Referrer-Policy, Server Actions nur von der eigenen Domain.
NachvollziehbarkeitJede sicherheitsrelevante Aktion und jeder Lauf eines Agenten wird protokolliert.

DatenexportInhaber laden unter Einstellungen jederzeit alle Daten ihres Kontos als Datei herunter, ohne Zugangsdaten.
CookiesDie App setzt nur technisch notwendige Cookies: deine Anmeldung und die gewählte Website. Keine Werbe- oder Analyse-Cookies.
ZugangsdatenZugänge zu CMS, Hosting und Analyse-Diensten trägst du nur in der App ein, nie per Mail. Sie liegen verschlüsselt und sind nie im Klartext sichtbar.

Welche KI wir einsetzenTexte, Analysen und Prüfungen erstellt Claude von Anthropic. Titelbilder für Beiträge erstellt Gemini von Google. Suchtrends kommen von DataForSEO, ohne KI.
Was die KI bekommtDie Inhalte, die für die Aufgabe nötig sind: öffentliche Seiten deiner Website, dein Änderungswunsch, dein Markenprofil und, wenn du sie verbunden hast, Suchdaten aus Search Console und Analytics. Zugangsdaten zu deinem CMS oder Hosting gibt die App nie an eine KI weiter.
Wer entscheidetDie KI schlägt vor, Menschen entscheiden. Jeder Vorschlag geht zuerst an unser Team und dann an dich. Live geht nur, was du freigegeben hast. Agenten veröffentlichen nie selbst.
NachvollziehbarIm Portal siehst du bei jedem Schritt, ob ein Agent oder eine Person ihn gemacht hat. Jeder Lauf eines Agenten steht mit Ergebnis im Protokoll.
GrenzenEin Agent darf keine Formulare auf fremden Seiten absenden, nur öffentliche Adressen abrufen und nichts außerhalb des Auftrags ändern. Bei Unklarem fragt er nach, statt zu raten.

Fragen zu Sicherheit oder Datenschutz: connect@ostwerk.at. Die Datenschutzerklärung steht unter ostwerk.at/legal/dsgvo.