Diese Seite trennt live verfügbare Schutzmaßnahmen von geplanten Härtungen. Sie ist bewusst nüchtern: keine eigenen ISO-, SOC-2- oder Pentest-Behauptungen, solange diese Nachweise nicht vorliegen; Zertifizierungen des Rechenzentrumsbetreibers (AWS) nennen wir als solche.
Rechnungsdaten und Dokumente werden in Frankfurt gespeichert (AWS eu-central-1, ISO 27001/SOC 2 zertifiziertes Rechenzentrum). Die Anwendung läuft in der EU-Region Frankfurt. Vercel Inc. (USA, DPF-zertifiziert) ist Auftragsverarbeiter mit EU-Standardvertragsklauseln.
Transport per TLS 1.3, Speicherung at rest mit AES-256 beim Hoster. Schlüssel- und Provider-Betrieb folgen der Hosting-Plattform.
Der Parser wird gegen den offiziellen KoSIT-Validator geprüft. Das ist kein externes KoSIT-Zertifikat und keine KoSIT-Zertifizierung.
Aktive Datenbank-Trigger schützen archivierte Rechnungen und Audit-relevante Datensätze vor nachträglicher Veränderung; 8 Jahre Aufbewahrung gilt für alle Pläne.
Zentrale Audit-Events dokumentieren sicherheits- und abrechnungsrelevante Aktionen; Log-Ausgaben werden über zentrale Redaction-Helfer bereinigt.
Für jede Rechnung lässt sich ein GoBD-orientiertes Beweispaket herunterladen: Rechnungsidentität, Datei-Herkunft mit SHA-256-Prüfsumme, Validierungsergebnis, Verarbeitungs- und Export-Verlauf, der redigierte Audit-Trail und eine Aufbewahrungs-Übersicht — als Markdown oder als ZIP mit der Originaldatei, ohne Schreibwirkung.
Supabase MFA ist verfügbar und wird bei aktivierter zweiter Stufe im Login-Flow berücksichtigt. Hardware-Key-Erzwingung ist nicht live.
Custom-Domain-Inboxen können verbunden werden; die Route wird über Mailgun automatisiert eingerichtet.
Organisationen können USt-IdNrn über BZSt und VIES prüfen; Ergebnisse werden 30 Tage gecacht.
Analyse-/Marketing-Cookies laufen über explizite Consent-Steuerung und können im Footer wieder geöffnet werden.
Nonce-basierte CSP ohne unsafe-inline für Skripte, HSTS preload, Permissions-Policy sowie COOP/COEP/CORP sind aktiv; CSP-Verstöße werden an Sentry (EU/DE-Region) gemeldet.
RLS-Negativtests prüfen Rechnungen, Lieferanten, Zahlungskonten, Audit-Events und Active-Org-Cookie-Forgery gegen echte Supabase-Clients.
Auth-, Admin-, Zahlungsdaten-, CSP- und IBAN-Risikoereignisse laufen über eine typisierte Security-Event-API; die Alertregeln für Sentry (EU/DE-Region) sind im Ops-Runbook dokumentiert.
Neue Lieferanten-IBANs werden gegen die bekannte Historie geprüft, risikobewertet, in Inbox und Detailansicht markiert und müssen vor zahlungsnahen Exporten explizit bestätigt werden.
API-Schlüssel mit Hash-Storage (SHA-256 + Server-Pepper), per-Key Rate-Limit auf Upstash mit Fail-Closed-Posture, signierte Outbound-Webhooks (HMAC-SHA256) mit automatischer Deaktivierung nach 5 Fehlern in Folge – derzeit für Test-Events; Rechnungs-Events werden noch nicht automatisch versendet.
Statt eines Siegels zeigen wir Ihnen, wie Aufbewahrung und Prüfung bei uns funktionieren – und wo Sie das selbst nachrechnen können.
Jede Originaldatei wird beim Eingang mit ihrer SHA-256-Prüfsumme gespeichert. Bei jedem Download in der App, in jeder Prüfungsmappe und bei jeder Übergabe an die Kanzlei wird sie dagegen geprüft; weicht sie ab, wird sie dort nicht ausgeliefert.
Für jede Rechnung ein ZIP mit Prüfbericht, Originaldatei und checksums.sha256. Die Prüfsummen rechnen Sie mit Bordmitteln Ihres Rechners nach, ohne unsere Software.
Der Prüfbericht nennt Version und Prüfszenario des KoSIT-Validators; der Originalbericht des Validators liegt der Prüfungsmappe bei.
Ein amtliches GoBD-Zertifikat für Software gibt es nicht; die Finanzverwaltung erteilt keine Software-Testate. Die Verantwortung für die ordnungsmäßige Buchführung bleibt bei Ihrem Unternehmen.
Das Beispiel enthält nur erfundene Daten. Der KoSIT-Bericht darin ist nachgebildet und stammt nicht aus einem echten Prüflauf.
Prüfsummen nach dem Entpacken im Ordner prüfen: sha256sum -c checksums.sha256 (macOS: shasum -a 256 -c checksums.sha256).
Die technische Prüfung unterstützt, ersetzt aber nicht Ihre eigene Rechnungsprüfung.
Fragen zur Sicherheit? Schreiben Sie uns über das Impressum.
ImpressumDiese Website verwendet Cookies, um Ihre Erfahrung zu verbessern und den Datenverkehr zu analysieren. Sie können einzelne Kategorien jederzeit ablehnen. Datenschutzerklärung