Warum Sicherheit bei Compliance-Software keine Nebenrolle spielen darf
EU Widerrufs-Button Pro bewahrt den Verlauf jeder einzelnen Widerrufsanfrage zehn Jahre lang auf. Damit dieser Verlauf im Streitfall überhaupt etwas wert ist, muss die Datenintegrität jederzeit garantiert sein. Wir setzen dafür zwölf konkrete Sicherheits-Maßnahmen ein.
AES-256 Encryption at Rest
Alle Daten auf der Disk AES-256-verschlüsselt. Selbst bei physischer Daten-Trägung wären die Daten unleserlich.
TLS 1.3 in Transit
Alle Datenverbindungen TLS 1.3-verschlüsselt. Forward Secrecy. Mindestens A+ bei SSL Labs.
EU-Region Hosting (Frankfurt)
Cloudflare D1 + S3-Backup in EU-Region. Kein Drittland-Transfer für Hauptverarbeitung.
Tägliche Backups (30d Retention)
Automatisierte tägliche Backups mit 30 Tagen Aufbewahrung. Point-in-Time-Recovery möglich.
Authentication via Shopify-OAuth
Keine eigenen Passwörter - Shopify-OAuth-Token mit minimalsten Scopes (read_orders, write_orders).
Pseudonymisierung
Email und IP nur als SHA-256-Hash gespeichert. Klartext-Email nur in aktiver Bearbeitung sichtbar.
Multi-Factor Authentication (MFA)
MFA pflicht für alle ECOMBEAT-Mitarbeiter-Konten. Hardware-Keys (YubiKey) für Admin-Zugriff.
Role-Based Access Control
Strikte RBAC: Support-Team sieht nur aktiv-bearbeitete Tickets, kein Bulk-Zugriff auf Audit-Trails.
Incident-Response-Plan
24/7-On-Call für Sicherheitsvorfälle. Datenpannen werden binnen 72h gemäß DSGVO Art. 33 gemeldet.
Vulnerability-Scanning
Wöchentlich automatisierte Penetration-Tests via Snyk + GitHub Dependabot. Critical-Patches binnen 24h.
Web Application Firewall (WAF)
Cloudflare WAF mit DDoS-Schutz, Bot-Mitigation und Rate-Limiting.
Security Headers
Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options.
Zertifizierungen (in Vorbereitung)
EU Widerrufs-Button Pro arbeitet aktiv an folgenden Zertifizierungen:
- SOC 2 Type II - Audit-Beginn Q3 2026, voraussichtliche Zertifizierung Q1 2027
- ISO 27001 - Pre-Audit Q4 2026, voraussichtliche Zertifizierung Q2 2027
- BSI C5 (Bundesamt für Sicherheit) - In Evaluation
Penetration-Tests
Quartärliche externe Penetration-Tests durch zertifizierte Security-Auditoren. Letzter Test: 03/2026. Keine kritischen Findings. Auf Anfrage stellen wir den Audit-Report bereit (NDA erforderlich).
Datenpannen-Meldung
Im Falle einer Datenpanne (Art. 4 Nr. 12 DSGVO) informieren wir dich als Verantwortlichen unverzüglich, spätestens jedoch binnen 24 Stunden nach Kenntnis. Du als Verantwortlicher hast dann 72h für die Meldung an die zuständige Aufsichtsbehörde (Art. 33 DSGVO).
Verantwortliche Offenlegung
Wenn du eine Sicherheitslücke entdeckt hast: security@euwiderruf.com. Wir reagieren binnen 24h. Bug-Bounty-Programm in Planung für Q3 2026.
Status-Page
Echtzeit-Statusinformationen unter status.euwiderruf.com. Inkludiert Uptime-History, geplante Wartungen, aktive Incidents.