Sicherheit und Datenumgang

Antworten für einen Sicherheitsfragebogen

Die Zeilen folgen den Fragen, die in Prüflisten für Cloud-Dienste üblich sind, etwa im Leitfaden der japanischen IPA zur sicheren Cloud-Nutzung für kleine und mittlere Unternehmen. Die Abschnitte weiter unten erläutern die einzelnen Antworten.

Speicherort der Daten

Die Datenbank mit Artikeln, Buchungen, Mitgliedern und weiteren Daten (Amazon RDS for PostgreSQL), Fotos und Anhänge (Amazon S3), der Anwendungsserver (AWS Lambda) und die Anmeldekonten (Amazon Cognito) liegen alle in der AWS-Region Tokio (ap-northeast-1). AWS (Amazon Web Services) ist ein US-Unternehmen.

Die Ausnahme sind E-Mails: Einladungen, Bestätigungscodes, Rückgabe-Erinnerungen und andere Nachrichten werden über Amazon SES in der Region USA Ost (us-east-1) versendet, sodass Empfänger und Inhalt dort durchlaufen. Auch das Protokoll von AWS WAF zu Anfragen an werp.in (Quell-IP-Adresse, URL u. Ä.) wird in S3 in der Region USA Ost gespeichert und nach 90 Tagen gelöscht. Authentifizierungsdaten und Cookies sind darin geschwärzt.

Daten an externe Dienste

Neben AWS sendet Werp™ Daten an die folgenden Dienste.

Verschlüsselung bei Übertragung und Speicherung

• Der gesamte Verkehr zu werp.in, admin.werp.in und api.werp.in läuft über HTTPS. werp.in und admin.werp.in senden HSTS (zwei Jahre), sodass Browser keine Verbindung über einfaches HTTP aufbauen.
• Der Anwendungsserver verbindet sich per TLS mit der Datenbank und prüft das RDS-Zertifikat (seit 2026-10-16).
• Die Datenbank wurde mit aktivierter Speicherverschlüsselung angelegt. Fotos und Anhänge werden mit der Standardverschlüsselung von Amazon S3 (SSE-S3) gespeichert.
• Passwörter verwaltet Amazon Cognito; in der Datenbank von Werp™ werden sie nicht gespeichert.
• Tokens der Google-Kalender-Anbindung werden in der Anwendung mit AES-256-GCM verschlüsselt, bevor sie in die Datenbank geschrieben werden.
• Fotos und Anhänge werden nicht öffentlich gespeichert und der App als signierte URLs übergeben, die nach zwei Stunden ablaufen (seit 2026-10-16).

Server und Netzwerk

• Die Datenbank ist aus dem Internet nicht erreichbar (seit 2026-10-13). Der Anwendungsserver läuft in einem privaten Netz innerhalb von AWS; nur Verbindungen von dort und der Zugang des Betreibers (siehe „Zugriff durch den Betreiber“ unten) erreichen die Datenbank.
• Der Datenbankbenutzer der Anwendung darf nur Daten lesen und schreiben, aber keine Tabellen anlegen, ändern oder löschen (seit 2026-10-16).
• AWS WAF steht vor werp.in und admin.werp.in und blockiert IP-Adressen mit schlechtem Ruf, Scans nach Geheimnissen und IP-Adressen, die in kurzer Zeit sehr viele Anfragen senden. An api.werp.in lässt sich AWS WAF nicht anbinden; die API schützen daher eine Obergrenze für die gesamte Anfragerate und Limits je IP-Adresse und je E-Mail-Adresse.
• werp.in und admin.werp.in senden eine Content Security Policy, die festlegt, woher Skripte geladen und mit welchen Hosts die Seite sich verbinden darf (seit 2026-11-06).
• Das Aktivitätsprotokoll des AWS-Kontos (CloudTrail) hat eine Manipulationserkennung, und Änderungen wie geänderte Berechtigungen, eine öffentlich gemachte Datenbank oder eine geöffnete Sicherheitsgruppe lösen eine E-Mail an den Betreiber aus (seit 2026-10-14). Die Datenbank und der Cognito-Benutzerpool mit den Anmeldekonten sind gegen Löschen geschützt.
• Schwachstellen in Fremdpaketen werden über Warnungen von GitHub Dependabot verfolgt; die Pakete werden einmal im Monat gesammelt aktualisiert.

Trennung der Workspaces und Berechtigungen

Die Daten aller Workspaces liegen in einer Datenbank. Jede Zeile ist einem Workspace zugeordnet, und die API liest und schreibt nur die Zeilen des anfragenden Workspace. Getrennte Datenbanken je Workspace gibt es nicht.

Es gibt zwei Rollen, Administrator und Mitglied. Mitglieder können keine Artikel löschen, keine Buchungen anderer ändern, niemanden einladen und weder Workspace- noch Abrechnungseinstellungen ändern. Pro Artikel können Sie über Benutzergruppen einschränken, wer ihn sehen und wer ihn ausleihen darf; ein Artikel, den jemand nicht sehen darf, gilt für diese Person als nicht vorhanden, auch wenn sie seine ID kennt.

Einige Ansichten sind ohne Anmeldung sichtbar. Scannt eine nicht angemeldete Person ein QR-Etikett, öffnet sich eine öffentliche Seite, die nur Name der Einheit, Modell, Eigentümer und Kaufdatum zeigt. Wer eine Kiosk-URL kennt, sieht den Tagesplan dieser Einheit einschließlich der Namen der Ausleihenden. Administratoren können eine Kiosk-URL jederzeit sperren.

Anmeldung und Konten

• Passwörter müssen mindestens 8 Zeichen lang sein und mindestens drei der folgenden Arten enthalten: Großbuchstaben, Kleinbuchstaben, Ziffern, Sonderzeichen.
• Beim Anlegen eines Kontos bestätigt ein an die E-Mail-Adresse gesendeter Code, dass die Adresse der Person gehört.
• Anmeldung, Registrierung und Zurücksetzen des Passworts sind durch Cloudflare Turnstile gegen Bots und durch Limits geschützt. Bei der Anmeldung sind in 15 Minuten 20 Versuche je IP-Adresse und 5 je E-Mail-Adresse möglich.
• Die Zwei-Faktor-Anmeldung (ein 6-stelliger Code aus einer Authenticator-App) kann jede Person auf „My Page“ einschalten. Geht die Authenticator-App verloren, schaltet der Betreiber sie nach einer Identitätsprüfung über support@werp.in ab.
• Mit der Abmeldung werden alle zuvor ausgestellten Zugriffstoken ungültig. Das Zurücksetzen des Passworts bewirkt dasselbe.
• Eine Anmeldung gilt bis zu 30 Tage. Das Token zur Verlängerung liegt in einem HttpOnly-Cookie, das das JavaScript der Seite nicht lesen kann.
• Single Sign-on (SAML, OpenID Connect), Benutzerbereitstellung über SCIM und Zugriffsbeschränkung nach IP-Adresse werden nicht unterstützt.

Zugriff durch den Betreiber

Über seine Verwaltungskonsole (admin.werp.in) sieht der Betreiber Name und Plan eines Workspace, die Mitgliederliste, Namen, Marken und Modelle der Artikel sowie Nutzungszahlen.

Nur Betreiberkonten auf einer Freigabeliste kommen in die Verwaltungskonsole. Die Anmeldung dort ist nur per Passkey möglich (seit 2026-10-26); ein über eine gefälschte Anmeldeseite gestohlenes Passwort samt Einmalcode reicht also nicht. Jede Aktion in der Verwaltungskonsole wird protokolliert.

Direkte Verbindungen zur Datenbank sind nur aus dem AWS-Konto des Betreibers über AWS Systems Manager Session Manager möglich. Das Passwort des Datenbank-Administrators verwaltet RDS und wechselt es automatisch alle 7 Tage.

Verlauf und Protokolle

• Die Seite jedes Artikels zeigt seinen Verlauf (Anlage, Änderungen, Ausgabe, Rückgabe usw.) mit Person und Zeitpunkt. Mitglieder sehen den Verlauf nur für Artikel, die sie sehen dürfen.
• Eine Liste aller Aktionen im Workspace und einen Export des Verlaufs gibt es nicht.
• Der Verlauf wird nicht nach einer festen Frist automatisch gelöscht. Der Standortverlauf für die Karte wird nach 365 Tagen gelöscht, Benachrichtigungen in der App nach 90 Tagen.
• Die Protokolle des Anwendungsservers werden nach 90 Tagen gelöscht. Zugriffstoken und die Werte von URL-Parametern werden nicht protokolliert (seit 2026-10-12).

Backups

• Die Datenbank wurde mit 7 Tagen automatischer AWS-Backups angelegt. Sie ist außerdem gegen Löschen geschützt (seit 2026-10-13).
• Bei Fotos und Anhängen bleibt die vorherige Version einer gelöschten oder überschriebenen Datei 30 Tage erhalten (seit 2026-10-14).
• Werp™ sagt nicht zu, von Nutzern gelöschte Daten auf Anfrage wiederherzustellen.

Daten exportieren und löschen

Auf der Seite des Anlagenverzeichnisses können Administratoren eine Liste der Einheiten und eine Liste nach Anlagennummer als CSV exportieren. Auch Inventurergebnisse lassen sich als CSV exportieren. Buchungen, Ausleihen und der Verlauf sind auf dem Bildschirm sichtbar, aber nicht exportierbar.

Um Werp™ nicht mehr zu nutzen, löscht ein Administrator den Workspace in dessen Einstellungen. Ein Workspace mit kostenpflichtigem Plan lässt sich nicht löschen; kündigen Sie den Plan daher zuerst unter „Abrechnung & Plan“.

30 Tage nach dem Löschen eines Workspace oder dem Entfernen eines Mitglieds löscht oder anonymisiert ein stündlicher Job die personenbezogenen Daten (seit 2026-10-18). Entfernt werden Namen, E-Mail-Adressen, Profilbilder und Anmeldekonten, die zu keinem anderen Workspace gehören. Bei einem gelöschten Workspace werden zusätzlich Fotos der Artikel, Adressen und Koordinaten der Lagerorte, Titel und Notizen von Buchungen, der Verlauf und die Benachrichtigungen gelöscht.

Abrechnungsunterlagen werden für die gesetzlich vorgeschriebene Dauer aufbewahrt, und der Name eines gelöschten Workspace bleibt in den Unterlagen des Betreibers. Besteht der Workspace weiter, bleiben Zeitraum, Artikel und Status der Buchungen eines entfernten Mitglieds als Geschäftsunterlagen erhalten; der Name wird als „Deleted user“ angezeigt.

Zertifizierungen und Zusagen, die Werp™ nicht hat

• Werp™ hat weder ISO/IEC 27001 (ISMS) noch das japanische PrivacyMark, SOC 2 oder ISMAP.
• Es gibt keine Verfügbarkeitszusage (SLA). Artikel 9 der Nutzungsbedingungen sieht vor, dass der Dienst bei Wartung und Aktualisierung des Systems, Störungen und ähnlichen Gründen ohne Vorankündigung unterbrochen werden kann.
• Support erfolgt per E-Mail an support@werp.in. Feste Supportzeiten oder Antwortfristen gibt es nicht.
• Werp™ sagt weder Art noch Frist zu, in der Nutzer über Störungen oder Sicherheitsvorfälle informiert werden.
• Bezahlt wird nur per automatischer Abbuchung nach Abschluss auf der Zahlungsseite von Stripe. Zahlung per Überweisung auf Rechnung ist nicht möglich.
• Die Rechte an den eingegebenen Daten liegen bei Ihnen (Artikel 8 der Nutzungsbedingungen). Wird der Dienst eingestellt, werden Nutzer mit angemessener Frist vorab informiert (Artikel 10).