Ihre Daten bleiben dort, wo sie hingehören.

Betrieb und Daten

• Selbst gehostet. SnagBane ist Software, die Sie mit Docker, auf einem VPS oder auf cPanel installieren. Formulare, Antworten, Dateien und Konten liegen in Ihrer eigenen Datenbank (MySQL/MariaDB, PostgreSQL oder SQLite) und in Ihrem eigenen Speicher.
• Keine gemeinsamen Standardpasswörter. Die Docker-Datenbank startet mit einem Einrichtungspasswort, das der Installer durch ein starkes Zufallspasswort ersetzt; php artisan snagbane:db-password ändert es später.
• Privater Dateispeicher außerhalb des Web-Roots, mit zufälligen Dateinamen.
• Funktioniert im internen Netz. Der Free-Plan braucht keinen Internetzugang; Business und Enterprise brauchen ausgehendes HTTPS für die Lizenzprüfung.

Identität und Zugriff

• Single Sign-on mit Microsoft Entra ID, Google Workspace, Okta und jedem SAML-2.0-Identitätsanbieter wie AD FS oder Ping (Business und Enterprise) – nur signierte SAML-Antworten auf Anmeldungen, die SnagBane gestartet hat, jede genau einmal akzeptiert. Anmeldungen über das Verzeichnis legen nie Administratoren an, und die Rollenzuordnung über Gruppen hebt eine Rolle immer nur an.
• Zwei-Faktor-Authentifizierung für SnagBane-Konten: eine Authenticator-App (ihr Einrichtungsschlüssel kann in einen Passwortmanager) oder FIDO2-Sicherheitsschlüssel und Passkeys — YubiKey, Windows Hello, Google Passwortmanager, iCloud-Schlüsselbund. Die stärkste Methode wird zuerst abgefragt; einmalige Wiederherstellungscodes sind der Weg zurück, nie das Kennwort allein. Für Administratoren verpflichtend einstellbar, und ein Administrator kann eine neue Einrichtung verlangen.
• Kontosperre nach wiederholten fehlgeschlagenen Anmeldungen – auch für unbekannte E-Mail-Adressen, damit sich Konten nicht ausspähen lassen –, strenge Passwortregeln und bcrypt-Hashing.
• Rollen und Arbeitsbereiche: Besitzer, Admins, Bearbeiter, Leser und Befragte; Zugriffsregeln pro Formular, Portal und Arbeitsbereich. Besucher ohne Zugriff sehen nur Titel und Beschreibung, nie die Fragen.
• Neue Personen erhalten standardmäßig keine Bearbeitungsrechte – die Standardrolle ist Befragter.

Anwendungssicherheit

• Strikte Content Security Policy mit Nonces pro Anfrage, Clickjacking-Schutz, HSTS bei HTTPS, nosniff und einer Referrer-Policy. Schutz vor CSRF und Session Fixation.
• Uploads werden über eine Positivliste der Dateiendungen und eine Inhaltsprüfung kontrolliert; Skripte, ausführbare Dateien, SVG/HTML und doppelte Endungen werden blockiert.
• SSRF-Schutz für jeden Webhook und jede Integration: private Adressen und Metadaten-Adressen werden blockiert (sicher gegen DNS-Rebinding), mit einer Admin-Positivliste für vertrauenswürdige interne Hosts.
• Verschlüsselte Geheimnisse mit Ihrem Anwendungsschlüssel. API-Tokens, Genehmigungslinks sowie Bearbeitungs- und Fortsetzungslinks werden nur als Hashes gespeichert.
• Serverseitige Prüfung jeder Antwort, jedes Verzweigungspfads und jeder Berechnung; Quiz-Lösungen erreichen nie den Browser; Formel-Injection in Tabellen wird in CSV-, Excel- und Google-Sheets-Exporten entschärft.
• Links aus Ihrer konfigurierten Adresse, nie aus dem Host-Header der Anfrage.

Überwachung und Prüfung

• Prüfprotokoll über Anmeldungen, Verwaltung, Exporte und Genehmigungsentscheidungen – einschließlich wer eine genehmigende Person geändert hat und warum.
• SIEM-Streaming: Jeder Eintrag wird zusätzlich als eine flache JSON-Zeile in eine Tagesdatei geschrieben, bereit für Microsoft Sentinel, Elastic oder einen Splunk Universal Forwarder. Export als CSV oder JSON Lines.
• Signierte Webhooks (HMAC-SHA256 mit Zeitstempel), damit Empfänger jeden Aufruf prüfen können.

Updates und Lieferkette

• Signierte Updates: Jedes Release wird vor der Installation mit Ed25519 geprüft und dann im Wartungsmodus eingespielt, mit Rückkehr zur alten Version per Klick.
• Saubere Updates: Dateien, die ein Release entfernt, werden auch von Ihrem Server entfernt, sodass eine aktualisierte Installation einer Neuinstallation entspricht.
• Lizenznachweise werden signiert und mit einem in die App eingebauten Schlüssel geprüft – kein Umgebungsschalter kann einen kostenpflichtigen Plan freischalten.

Einstellungen, die Sie steuern

Sichere Standardwerte sind ab Werk aktiv. Unter Einstellungen → Sicherheit können Sie sie weiter verschärfen:

• Zwei-Faktor-Authentifizierung für Administratoren verlangen
• Mindestlänge für Passwörter (Groß- und Kleinbuchstaben sowie Ziffern sind immer Pflicht) und Sitzungsdauer
• Erlaubte Dateiendungen und maximale Upload-Größe
• Erlaubte private Hosts für Webhooks und Integrationen – alles Interne ist sonst blockiert
• Speicherorte und Konten in SharePoint, OneDrive und Google Drive, die Bearbeiter nutzen dürfen (Administratoren können jeden wählen)
• Ob Konten von Microsoft, Google und Okta zusätzlich ein Passwort nutzen dürfen; in Entra ID oder Google Workspace deaktivierte Konten können sich damit nicht mehr anmelden
• Jede Antwort in eine JSON-Protokolldatei für Ihren Log-Shipper schreiben
• Datenaufbewahrung: alte Antworten nach dem von Ihnen gewählten Zeitraum automatisch löschen (siehe DSGVO)

Architektur

Eine Webanwendung auf Ihrem Server – kein Cloud-Dienst von uns im Weg Ihrer Daten.

• Anwendung: PHP 8.3+ (Laravel) hinter Ihrem Webserver oder das Docker-Image. Die Browser-App kommt von derselben Adresse; es werden keine Skripte, Schriften oder CDNs von Dritten geladen, und die Content-Security-Policy erlaubt nur Ihren eigenen Server.
• Datenbank: MySQL/MariaDB, PostgreSQL oder SQLite – Formulare, Antworten, Genehmigungen, Konten und Einstellungen. Passwörter und API-Schlüssel von Integrationen werden mit dem eigenen Schlüssel der Installation verschlüsselt (APP_KEY).
• Dateien: Uploads, Unterschriften und erzeugte PDFs im Ordner storage, außerhalb des Web-Roots, mit zufälligen Namen; sie werden erst nach einer Zugriffsprüfung ausgeliefert.
• Scheduler: ein Cron-Eintrag (schedule:run jede Minute) versendet Erinnerungen, wendet die Aufbewahrungsrichtlinie an und prüft auf Updates und die Lizenz.
• Öffentliche Adressen: Formulare (/f/…), Portale (/p/…), Genehmigungslinks (/approve/…) und Belege (/r/…) – jede prüft ihre eigene Zugriffsregel oder ein signiertes Token. Alles andere (/app, /api) braucht ein angemeldetes Konto; die REST-API (Business und Enterprise) und SCIM (Enterprise) brauchen Tokens.
• Backups gehören Ihnen: die Datenbank plus der Ordner storage, einschließlich storage/.env mit dem Schlüssel, der die gespeicherten Geheimnisse entschlüsselt.

Was Ihren Server verlässt

SnagBane hat keine Analyse- oder Telemetriefunktionen. Von sich aus baut es nur diese Verbindungen auf:

Und diese nur, wenn Sie sie einrichten:

Dokumente für Prüfer

• Richtlinie zur Meldung von Sicherheitslücken – wie Sie ein Sicherheitsproblem melden, sowie security.txt.
• Auftragsverarbeitungsvereinbarung – für personenbezogene Daten, die Sie uns in Supportanfragen schicken könnten (auf Englisch).
• DSGVO und Datenschutz, Datenschutzerklärung und die Lizenzvereinbarung (die beiden letzten auf Englisch).
• Der Server-Code wird lesbar mit der Software ausgeliefert, sodass Ihr Team ihn auf Ihrer eigenen Installation prüfen und auf Sicherheit testen kann (EULA, Abschnitt 2.3).

Wir behaupten keine Zertifizierungen wie ISO 27001 oder SOC 2: SnagBane läuft in Ihrer Infrastruktur, unter Ihren Kontrollen und Audits.

Fragen von Prüfern