Sicherheit

Der Schutz Ihrer Daten ist eine tägliche Verpflichtung. Diese Seite beschreibt die Architektur, die technischen Kontrollen und die Prozesse, die wir einsetzen, um die uns anvertrauten Informationen zu schützen. Für den rechtlichen Rahmen und die Rechte der betroffenen Personen konsultieren Sie unsere Datenschutzerklärung und unsere nDSG-Seite.

Eine Instanz pro Kunde

Jede Kundin und jeder Kunde verfügt über eigene Anwendungscontainer und eine eigene Datenbank auf einem gemeinsam genutzten Server. In ark.flow Compta liegen die Dateien in einem für den Kunden reservierten Speicherbereich, der mit einem eigenen Schlüssel angesprochen wird. Anwendungsdaten werden nicht zwischen Kunden geteilt. Die konkreten Auswirkungen:

• Trennung der Kundendaten — getrennte Datenbanken verringern das Risiko, dass eine Anwendungsanfrage Daten anderer Kunden offenlegt.
• Individuelle Wiederherstellung — wir können die Datenbank eines Kunden aus seinen Backups wiederherstellen, ohne andere Kunden zu berühren.

Verschlüsselung

Secrets (API-Schlüssel, Tokens und Zugangsdaten zu Drittdiensten) werden im Ruhezustand mit AES-256-GCM verschlüsselt, mit einem ausserhalb der Datenbank gespeicherten Masterschlüssel. In ark.flow Fiduciaire verschlüsselt dieser Masterschlüssel einen eigenen Schlüssel pro Kunde (Envelope Encryption); in ark.flow Compta hat jede Instanz ihren eigenen Masterschlüssel. Daten in Übertragung laufen per HTTPS über Cloudflare und von dort mit einem Cloudflare-Origin-Zertifikat zu unseren Servern. Einfache HTTP-Verbindungen werden systematisch auf HTTPS umgeleitet.

Backups

Die Datenbanken werden täglich gesichert und mit Borg auf einer ark.swiss-eigenen Infrastruktur in der Schweiz archiviert. Aufbewahrt werden:

• Täglich — die letzten 14.
• Wöchentlich — die letzten 8.
• Monatlich — die letzten 24.

Die Dateien von ark.flow Compta werden mindestens einmal pro Woche archiviert, seine Datenbanken zusätzlich laufend an den Ausweichstandort von Infomaniak in Genf repliziert. Die Borg-Archive sind verschlüsselt und liegen auf einer von den Produktionsservern getrennten Infrastruktur. Bei jedem Vollzyklus prüft eine Integritätskontrolle das Repository, und eine Testdatei wird wiederhergestellt.

Hosting

Die Anwendungsinfrastruktur wird ausschliesslich in Europa gehostet. ark.flow Compta läuft produktiv bei netcup auf einem Server in Wien (Österreich, Europäische Union), mit einem warmen Ausweichstandort bei Infomaniak in Genf. ark.flow Fiduciaire läuft produktiv bei Infomaniak in Genf. Unabhängige Backups liegen auf der ark.swiss-eigenen Infrastruktur in der Schweiz.

Authentifizierung und Sitzungen

• Passwörter — mit bcrypt gehasht, einem bewusst langsamen Verfahren, das Brute-Force-Angriffe bremst.
• Sitzungen — Cookies mit HTTP-only und Secure (SameSite=Strict in Compta, SameSite=Lax in Fiduciaire), Tokens werden bei Rechteerhöhung rotiert.
• CSRF — CSRF-Token (Double Submit) bei allen verändernden Anfragen geprüft.
• MFA — TOTP-Authentifizierung (RFC 6238) in ark.flow Fiduciaire verfügbar; nach der Aktivierung bei jeder Anmeldung verlangt.

Protokollierung und Audit

Sensible Aktionen werden in der Anwendung protokolliert: Änderungen an Benutzern und Rechten, Aktionen des KI-Assistenten und in ark.flow Compta Änderungen an Buchungen. Die Anwendung ergänzt diese Protokolle nur und ändert oder löscht keine Einträge; sie bleiben so lange erhalten wie die Instanz. Die technischen Server-Logs werden in Grafana gesammelt und 14 Tage aufbewahrt. Ein Auszug kann der Kundin oder dem Kunden auf schriftliche, begründete Anfrage zur Verfügung gestellt werden.

Infrastruktur und gestaffelte Verteidigung

• Host-Firewall mit Default-Deny-Policy für eingehenden Verkehr; Administration mit SSH-Schlüsseln über ein privates WireGuard-Netz.
• Cloudflare vorgelagert, mit DDoS-Schutz.
• Anwendungsseitiges Rate-Limiting (pro IP) auf Authentifizierungs- und Registrierungs-Endpunkten.
• Automatische Überwachung: Verfügbarkeitsprüfungen mit Alarmierung, Anwendungsfehler in GlitchTip, von Cloudflare verwaltete TLS-Zertifikate.

Entwicklung und Lieferkette

• Geprüfter Code und Abhängigkeiten — Trivy- und Semgrep-Analysen auf unserem Build-Server bei jedem Build.
• Automatisierte Tests — Frontend- (Vitest), Backend- (Go) und E2E-Tests (Playwright) vor jeder Veröffentlichung.
• Geheimnisse werden über Umgebungsvariablen eingespeist, niemals in den Quellcode.

Verantwortungsvolle Offenlegung

Sollten Sie eine Schwachstelle identifiziert haben, schreiben Sie uns an security@ark.swiss. Wir bestätigen den Eingang Ihrer Nachricht und halten Sie über die Bearbeitung auf dem Laufenden. Bitte veröffentlichen Sie die Schwachstelle erst, wenn wir Gelegenheit hatten, sie zu beheben.

Governance und Dokumente

Unsere Datenschutzerklärung und unsere nDSG-Konformitätsseite beschreiben den geltenden Rechtsrahmen und die Rechte, die Sie geltend machen können: Datenschutzerklärung, nDSG-Konformität, Allgemeine Geschäftsbedingungen.