Zum Inhalt springen

Vertrauen

Wie wir Route Royal sicher halten

Ihre Kunden, Deals und Dokumente liegen in Route Royal – sie zu schützen ist Teil des Produkts. So gehen wir dabei vor, und das beanspruchen wir noch nicht für uns.

Sprechen Sie mit uns über SicherheitSchwachstelle melden

  1. Eine Anfrage aus Ihrem Team

  2. HTTPSUnterwegs verschlüsselt
  3. AngemeldetWir wissen, wer fragt
  4. Ihre OrganisationEigene Daten, keine fremden
  5. BerechtigungenIst das erlaubt?
  6. ValidiertJedes Feld geprüft
  7. Ihre DatenErlaubt

An jedem Halt geprüft, dann durchgelassen.

Wo wir stehen

Nach den Standards gebaut, ehrlich bei den Siegeln

Wir folgen den unten genannten Rahmenwerken, weil sie gute Praxis sind. Route Royal ist nicht nach ISO 27001 zertifiziert und wurde keinem Audit nach SOC 2 unterzogen. Sobald sich das ändert, steht es auf dieser Seite.

  • ISO/IEC 27001

    Unsere Sicherheitsrichtlinien und -maßnahmen folgen ISO 27001 und ihrem Anhang A: Risiko, Zugriff, Lieferanten, Betrieb, Vorfälle und Kontinuität.

    Befolgt, nicht zertifiziert

  • SOC 2

    Wir arbeiten nach den Trust Services Criteria für Sicherheit, Verfügbarkeit und Vertraulichkeit.

    Befolgt, nicht zertifiziert

  • DSGVO

    Wir verarbeiten personenbezogene Daten so, wie es ein Auftragsverarbeiter soll: nur auf Ihre Weisung, auf Grundlage eines Auftragsverarbeitungsvertrags und unter Wahrung der Rechte der betroffenen Personen.

    Befolgt, nicht zertifiziert

  • OWASP Top 10

    Wir entwickeln die Plattform und ihre API gegen die häufigsten Risiken von Webanwendungen.

    Befolgt, nicht zertifiziert

Prinzipien

Sechs Prinzipien hinter jeder Entscheidung

  1. 01

    Minimale Rechte

    Menschen, Dienste und KI erhalten nur den Zugriff, den ihre Aufgabe erfordert, und verlieren ihn, sobald die Aufgabe erledigt ist.

  2. 02

    Mehrschichtige Sicherheit

    Keine Maßnahme steht für sich allein. Verschlüsselung, Berechtigungen, Validierung und Überwachung sichern sich gegenseitig ab.

  3. 03

    Standardmäßig sicher

    Die sichere Einstellung ist die, mit der Sie starten: HTTPS überall, Schlüssel nur als Hashes gespeichert und KI-Änderungen, die auf Sie warten.

  4. 04

    Datenschutz durch Technikgestaltung

    Die Daten jeder Organisation werden getrennt gehalten, und wir erheben nur, was der Dienst für seinen Betrieb braucht.

  5. 05

    Menschen entscheiden

    Q bereitet die Arbeit vor, doch nichts ändert sich, bevor die Person, die fragt, es bestätigt.

  6. 06

    Offenheit

    Wir sagen, was wir tun und was nicht, und wir informieren Sie schnell, wenn etwas schiefgeht.

In der Praxis

Wie wir die Plattform schützen

Die Maßnahmen hinter diesen Prinzipien, Bereich für Bereich.

Auf dieser Seite
  1. Infrastruktur
  2. Verschlüsselung
  3. Anwendungssicherheit
  4. Unser Team
  5. Route Royal entwickeln und ändern
  6. Überwachung und Reaktion
  7. KI und Ihre Daten

Infrastruktur

  • Route Royal läuft bei etablierten Cloud-Anbietern, deren Rechenzentren nach ISO 27001 zertifiziert und deren Dienste nach SOC 2 Type II geprüft sind.
  • Die physische Sicherheit der Rechenzentren, von der Zutrittskontrolle bis zur Überwachung rund um die Uhr, verantworten diese Anbieter, und ihre Audits decken sie ab.
  • Unsere Datenbank läuft auf einem verwalteten Dienst mit automatischen Backups.
  • Die Produktion ist von Entwicklung und Tests getrennt, und unsere Dienste laufen als Benutzer ohne erhöhte Rechte.

Verschlüsselung

  • Jede Verbindung zu Route Royal nutzt HTTPS, und Browser werden angewiesen, sich nie auf anderem Weg zu verbinden (HSTS).
  • Daten werden im Ruhezustand von unseren Datenbank- und Speicheranbietern verschlüsselt.
  • Zugangsdaten, die Sie uns für verbundene Dienste geben, etwa Ihr Sumsub-Token, werden vor dem Speichern verschlüsselt.

Anwendungssicherheit

  • Die Daten jeder Organisation werden getrennt gehalten. Anfragen werden mit der Organisation, für die sie bestimmt sind, und den Berechtigungen der anfragenden Person abgeglichen.
  • API-Schlüssel werden nur als Hashes gespeichert, mit einem kurzen Präfix, damit Sie sie auseinanderhalten können. Öffentliche Schlüssel erlauben nur Lesezugriff; geheime Schlüssel bleiben auf Ihrem Server.
  • Webhooks werden mit einem eigenen Secret je Abonnement signiert (HMAC-SHA256), damit Sie prüfen können, dass sie von uns stammen.
  • Jede Anfrage wird validiert, für die API gelten Ratenlimits, und Browser erhalten strenge Sicherheits-Header, darunter eine Content Security Policy.

Probieren Sie es aus: Was wir von einem Schlüssel behalten

Was wir speichern

Präfix
sk_demo_…
SHA-256-Hash

Wird in Ihrem Browser berechnet, also verlässt nichts, was Sie eingeben, diese Seite. Ein Hash lässt sich nicht in den Schlüssel zurückverwandeln, deshalb können nicht einmal wir ihn lesen.

Unser Team

  • Mitarbeitende greifen nur dann auf Produktivsysteme und Kundendaten zu, wenn ihre Rolle es erfordert; Zugriffe werden überprüft und entzogen, sobald das nicht mehr der Fall ist.
  • Die Konten unserer Mitarbeitenden sind durch Multi-Faktor-Authentifizierung geschützt.
  • Alle im Team unterzeichnen eine Vertraulichkeitsvereinbarung und erhalten beim Einstieg eine Sicherheitsschulung.
  • Wir sehen uns Ihre Daten nur an, wenn Sie uns im Rahmen des Supports darum bitten oder wenn wir es müssen, um den Dienst zu schützen oder gesetzliche Pflichten zu erfüllen.

Route Royal entwickeln und ändern

  • Änderungen werden geprüft und getestet, bevor sie in die Produktion gehen.
  • Jeder Build prüft unsere Abhängigkeiten auf bekannte Schwachstellen, scannt den Code und bricht bei kritischen Befunden ab. Ein wöchentlicher Durchlauf erfasst neue Sicherheitshinweise.
  • Wir kopieren keine Kundendaten in Entwicklungs- oder Testumgebungen.

Überwachung und Reaktion

  • Unsere Dienste werden per Tracing und Metriken überwacht, und das Team wird alarmiert, wenn etwas auffällig aussieht.
  • Jede Anmeldung landet im Anmeldeverlauf der Person, und Änderungen bei Single Sign-on, Verzeichnissynchronisierung und Buchungen landen im Audit-Log Ihrer Organisation.
  • Bei einem Vorfall dämmen wir ihn ein, beheben die Ursache und werten aus, was wir daraus gelernt haben. Betrifft er Ihre Daten, informieren wir Sie unverzüglich mit dem, was wir wissen, damit Sie Ihren eigenen Pflichten nachkommen können.

KI und Ihre Daten

  • Q arbeitet als die Person, die fragt, im Rahmen ihrer Berechtigungen, und jede Änderung von Q wartet auf ihre Bestätigung.
  • Claude und ChatGPT, über MCP verbunden, haben nur die Berechtigungen der Person, die sie verbunden hat, und erreichen die Daten eines Kunden nur über eine aktive Servicefreigabe.

Probieren Sie es aus: Q hat eine Änderung vorbereitet

3 Deals von „Angebot“ nach „Gewonnen“ verschieben

Ihre Seite

Sicherheit, die Sie steuern

Sicherheit ist geteilte Verantwortung. Diese Einstellungen legt Ihre Organisation selbst fest.

Sicherheit und Compliance

Zwei-Faktor-Anmeldung, Single Sign-on und Verzeichnissynchronisierung, Rollen, Servicefreigaben und das Audit-Log.

KI und Q

Was Q tun kann und wie Claude und ChatGPT sich verbinden, im Rahmen der Berechtigungen jeder Person.

Entwickler

Öffentliche und geheime Schlüssel, API-Schlüssel mit festgelegtem Umfang und signierte Webhooks für Ihre eigenen Entwicklungen.

Verantwortungsvolle Offenlegung

Eine Schwachstelle gefunden?

Schreiben Sie uns an security@routeroyal.com. Beschreiben Sie, was Sie gefunden haben, wie es sich reproduzieren lässt und was es betreffen könnte. Wir antworten Ihnen, halten Sie während der Behebung auf dem Laufenden und nennen Sie auf Wunsch namentlich.

security@routeroyal.com

Bei Ihrer Suche bitten wir Sie

  • nur mit Ihrem eigenen Konto und Ihren eigenen Daten zu testen
  • niemals Daten anderer zu lesen, zu ändern oder zu löschen
  • den Dienst nicht zu beeinträchtigen, keinen Spam zu senden und nicht zu versuchen, unsere Mitarbeitenden zu täuschen
  • uns angemessen Zeit für die Behebung zu geben, bevor Sie das Problem weitergeben

Fragen

Was Sicherheitsteams uns fragen

Ist Route Royal nach ISO 27001 oder SOC 2 zertifiziert?

Noch nicht. Wir folgen ISO 27001 und den Trust Services Criteria von SOC 2, haben aber kein Zertifikat und keinen Prüfbericht, den wir teilen könnten. Unsere Hosting- und Datenbankanbieter sind selbst zertifiziert und geprüft.

Wo werden unsere Daten gehostet?

Bei etablierten Cloud-Anbietern, deren Rechenzentren nach ISO 27001 zertifiziert und nach SOC 2 geprüft sind. Die Unternehmen, die Ihre Daten verarbeiten, stehen in unserer Liste der Unterauftragsverarbeiter, und wir können sie im Rahmen einer Sicherheitsprüfung mit Ihnen durchgehen.

Füllen Sie unseren Sicherheitsfragebogen aus?

Ja. Senden Sie ihn an security@routeroyal.com, und wir beantworten ihn – oder gehen unsere Maßnahmen in einem Gespräch mit Ihrem Team durch.

Was passiert bei einem Sicherheitsvorfall?

Wir dämmen ihn ein, beheben die Ursache und werten aus, was passiert ist. Betrifft er Ihre Daten, informieren wir Sie unverzüglich mit dem, was wir bis dahin wissen, damit Sie Ihren eigenen Pflichten nachkommen können, etwa der Meldung an die Aufsichtsbehörde innerhalb der 72 Stunden, die die DSGVO dafür vorsieht.

Wie sichern wir unsere eigene Organisation ab?

Schalten Sie die Zwei-Faktor-Anmeldung ein, verbinden Sie Single Sign-on und Verzeichnissynchronisierung, geben Sie jeder Person die Rolle, die ihre Aufgabe erfordert, und prüfen Sie das Audit-Log. Wie das geht, zeigt Sicherheit und Compliance.

Dokumente

Die Unterlagen dahinter

Fragen Sie uns

Alles, was Sie über Sicherheit wissen wollen

Sie prüfen Route Royal für Ihr Unternehmen oder haben etwas gefunden, das wir beheben sollten? Für beides gibt es einen eigenen Weg, und beide führen direkt zu uns.

Sicherheitsprüfungen

Sie führen eine Sicherheitsprüfung durch?

Ihr Fragebogen

  1. Wo werden unsere Daten gehostet?
  2. Wer kann unsere Daten sehen?
  3. Was passiert bei einem Vorfall?
  1. Wir beantworten ihn
  2. Oder gehen unsere Maßnahmen in einem Gespräch mit Ihrem Team durch
Sprechen Sie mit uns über Sicherheit

Fragebogen per E-Mail senden

Verantwortungsvolle Offenlegung

Eine Schwachstelle gefunden?

Ihre Meldung

  1. Was Sie gefunden haben
  2. Wie es sich reproduzieren lässt
  3. Was es betreffen könnte
  1. Wir antworten Ihnen
  2. Wir halten Sie während der Behebung auf dem Laufenden
  3. Wir nennen Sie auf Wunsch namentlich
security@routeroyal.com

Meldung verfassensecurity.txt