S SignatureHub

Trust Center — Sicherheit, Datenschutz, Compliance

100 % Datenverarbeitung in Deutschland: eigene Hardware der dream-soft GmbH im NTT-Rechenzentrum Frankfurt am Main, Backup-Replikation in ein zweites deutsches Rechenzentrum. Kein Drittlandtransfer. Mail-Inhalte werden nicht persistiert. DSGVO Art. 28 Auftragsverarbeiter, AVV und TOM-Katalog auf Anfrage. ISO 27001 in Aufbau, regelmäßige Penetrationstests durch die Schwesterfirma CDH computing GmbH.

Antworten auf die häufigsten Prüffragen

Werden Inhalte von E-Mails oder Anhängen dauerhaft gespeichert oder protokolliert?
Nein. Der Gateway nimmt die Mail entgegen, parst sie im Arbeitsspeicher, hängt den Signaturblock in den MIME-Baum und reicht sie weiter; danach wird die Repräsentation verworfen. Es gibt in SignatureHub keine Tabelle, kein Verzeichnis und keinen Objektspeicher für Nachrichtentexte oder Anhänge. Eine Einschränkung nennen wir ausdrücklich: Bei Zustellung über unsere eigene Queue — das betrifft den Microsoft-365-Connector und Relay-Mandanten im Direct-MX-Modus — liegt die Mail für die Dauer der Zustellung transient in der lokalen Postfix-Queue auf derselben deutschen VM und wird nach erfolgreicher Übergabe gelöscht. Unzustellbare Mail verfällt spätestens nach fünf Tagen mit einem Bounce. Im Smarthost-Modus, bei dem wir die Mail an Ihren eigenen MTA zurückgeben, findet auch das nicht statt: reine Verarbeitung im Arbeitsspeicher.
Können Inhalte in Backups, Fehlerprotokollen oder Debug-Logs auftauchen?
Die Datenbank-Backups enthalten keine Mailinhalte, weil die Datenbank keine enthält — es gibt kein Feld, in das sie geraten könnten. Ein VM-Snapshot erfasst technisch auch eine im Snapshot-Moment gefüllte Zustell-Queue; diese Snapshots liegen ausschließlich in den beiden deutschen dream-soft-Rechenzentren und rollieren. Unsere Anwendungs-Logs sind strukturierte JSON-Events mit Message-ID, Absender, Empfängeranzahl, Größe, Regel- und Template-ID sowie Statuscode — ohne Betreff, ohne Text, ohne Anhänge. Ein Debug-Level, das Nachrichtenteile protokollieren würde, ist im Produktivbetrieb nicht aktiv und wird auch für Fehlersuche nicht eingeschaltet; reproduziert wird mit synthetischen Testmails. Das MTA-Log protokolliert wie bei jedem Mailserver Absender, Empfänger, Message-ID, Größe und Zustellstatus — keine Inhalte — und wird turnusmäßig rotiert.
Welche Metadaten zu versendeten E-Mails werden gespeichert und wie lange?
Pro Mail: Zeitstempel, Mandant, Message-ID, Absenderadresse, Anzahl der Empfänger, Nachrichtengröße, angewandte Regel und Template sowie der Verarbeitungsstatus. Empfängeradressen, Betreff und Inhalt gehören ausdrücklich nicht dazu. Diese Metadaten sind der Nachweis dafür, dass eine Signatur korrekt gesetzt wurde, und stehen dem Mandanten in der Oberfläche zur Verfügung. Sie werden für die Vertragslaufzeit vorgehalten und mit dem Mandanten gelöscht; eine kürzere Aufbewahrungsfrist vereinbaren wir auf Wunsch im AVV.
Werden E-Mail-Inhalte oder Kundendaten für Analyse-, Trainings- oder KI-Zwecke verwendet?
Nein — und zwar ohne Einschränkung. SignatureHub bindet keinen KI-Dienst ein, weder für die Signaturverarbeitung noch für Auswertungen; im gesamten Produktivcode existiert keine Anbindung an einen LLM- oder Analyse-Anbieter. Es gibt keine produktübergreifende Auswertung von Kundendaten, kein Profiling und keine Weitergabe an Werbe- oder Analyse-Dienste. Auch die Klickstatistik für Signatur-Banner ist so gebaut, dass sie nicht auf einzelne Personen zurückführbar ist.
Haben Mitarbeiter von dream-soft technisch die Möglichkeit, E-Mail-Inhalte oder Anhänge einzusehen?
Über die Anwendung nicht: Es gibt keine Funktion, keinen Report und keinen Datenbankinhalt, der Nachrichtentexte oder Anhänge zeigen würde — sie sind schlicht nirgends gespeichert. Für den Support existiert ein Support-Login, mit dem ein Super-Admin die Oberfläche eines Mandanten sieht (Templates, Regeln, Nutzerstammdaten — keine Mailinhalte). Dieser Login ist auf 15 Minuten befristet, führt die echte Identität des Support-Mitarbeiters im Token mit und erzeugt im Audit-Log des Mandanten einen Eintrag „admin.super_login“, den der Kunde selbst sieht. Was wir nicht behaupten: Administratoren mit Root-Zugriff auf die Maschine könnten eine laufende Verarbeitung technisch mitschneiden. Das gilt für jeden E-Mail-Dienstleister und wird bei uns organisatorisch begrenzt — namentlich benannter Administratorenkreis, Zugriff nur über SSH-Keys mit gehärteter Konfiguration, Verpflichtung auf das Datengeheimnis, Protokollierung der Zugriffe.
Gibt es 2-Faktor-Authentifizierung für Administratoren?
Ja. Alle Administrationskonten — Ihre wie unsere — können 2FA per TOTP aktivieren (Authenticator-App, Einrichtung in den Kontoeinstellungen). Für die Super-Admin-Konten des Betriebsteams ist sie aktiviert. Eine mandantenweite Erzwingung, mit der Sie 2FA für alle Ihre Admins verpflichtend machen können, ist in Arbeit; bis dahin lässt sich die Aktivierung über die Rollenverwaltung nachhalten.
Werden sicherheitsrelevante Zugriffe und Änderungen protokolliert?
Ja, im selben Audit-Log, das auch die Mailverarbeitung führt: Anmeldungen, fehlgeschlagene Anmeldeversuche, Rollen- und Rechteänderungen, Anlage und Widerruf von Zugangsdaten, Änderungen an Connectoren, Templates und Regeln sowie jeder Support-Login. Jeder Eintrag trägt Zeitstempel, handelnden Account und Mandant. Mandanten-Admins können das Log einsehen und exportieren — Sie sind für Ihren Bereich nicht auf unsere Auskunft angewiesen.
Welche Maßnahmen bestehen gegen unberechtigte Zugriffe, Datenverlust und Kompromittierung von Benutzerkonten?
Passwörter werden mit Argon2id gehasht; Sitzungen laufen über kurzlebige RS256-JWTs. Der SMTP-Gateway ist durch fail2ban gegen Auth-Bruteforce abgesichert, der Reverse Proxy durch Rate-Limits, die Mailverarbeitung durch ein Mandanten-Rate-Limit. Die VM steht hinter einer nftables-Firewall, administrativer Zugang ausschließlich per SSH-Key. Gerätepasswörter werden pro Gerät vergeben und lassen sich einzeln widerrufen — ein verlorenes Handy kostet ein Credential, nicht den Zugang aller Mitarbeitenden. Ein Gerätepasswort ist außerdem an die Absenderadresse seines Nutzers gebunden: Damit lässt sich nicht im Namen anderer Kolleginnen und Kollegen senden. Gegen Datenverlust stehen die beiden oben beschriebenen Backup-Schichten in zwei Rechenzentren.
Gibt es ein festes Lösch- und Aufbewahrungskonzept?
Ja, gestaffelt nach Datenart. Mailinhalte: keine Speicherung, transiente Zustell-Queue mit maximal fünf Tagen Verfallsfrist. Verarbeitungs-Metadaten und Audit-Einträge: Vertragslaufzeit, Löschung mit dem Mandanten, kürzere Fristen auf Wunsch im AVV vereinbar. Datenbank-Backups: 14 Tage rollierend, danach überschrieben. Berichte des optionalen Mail-Validators (Testmails, die Sie bewusst an eine Einmaladresse senden): nach 14 Tagen archiviert, nach 28 Tagen hart gelöscht. Stammdaten Ihrer Mitarbeitenden bleiben so lange bestehen, wie Sie sie in SignatureHub führen — beim Verzeichnis-Sync mit Microsoft 365 oder Google Workspace verschwinden sie automatisch, sobald das Konto dort deaktiviert wird.
Wie wird bei Vertragsende sichergestellt, dass sämtliche Daten gelöscht werden?
Mit dem Vertragsende wird der Mandant deaktiviert; auf Ihre Weisung — spätestens 30 Tage nach Vertragsende, wenn Sie nichts anderes wünschen — löschen wir ihn vollständig aus der Produktivdatenbank. Weil alle Tabellen über eine mandantenbezogene Fremdschlüsselkette hängen, entfernt dieser eine Löschvorgang Domains, Connectoren, Zugangsdaten, DKIM-Schlüssel, Nutzerstammdaten, Templates, Regeln und Audit-Einträge in einem Zug; Restbestände in Nebentabellen kann es konstruktionsbedingt nicht geben. Vorhandene Backups laufen anschließend im Rotationsfenster aus — spätestens nach 14 Tagen ist auch dort nichts mehr. Auf Wunsch bestätigen wir die Löschung schriftlich, und wir exportieren Ihnen vorher Templates und Audit-Log, damit Sie Ihre Nachweise behalten.
Wie werden wir im Fall einer Datenschutzverletzung oder eines Sicherheitsvorfalls informiert?
Wir melden betroffenen Mandanten einen Vorfall unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, damit Sie Ihre eigene 72-Stunden-Frist aus Art. 33 DSGVO gegenüber der Aufsichtsbehörde einhalten können. Die Meldung geht an die im AVV benannten Kontakte und enthält Art und Zeitpunkt des Vorfalls, betroffene Datenkategorien, den Stand der Eindämmung und unsere Empfehlung für Ihre Reaktion. Nach Abschluss erhalten Sie ein Post-Mortem mit Ursache und Gegenmaßnahmen.
Welche Verfügbarkeit wird zugesichert und gibt es ein SLA?
Im Pro-Plan sagen wir 99,9 % Verfügbarkeit im Monatsmittel vertraglich zu; für Enterprise-Kunden vereinbaren wir Reaktionszeiten und Wartungsfenster individuell. Überwacht wird durchgängig mit Prometheus und Grafana (Erreichbarkeit, Latenz, Fehlerrate, Queue-Länge, Zertifikatslaufzeiten) mit Alarmierung an das Betriebsteam. Wiederanlaufziele nach einem Totalausfall: RPO 24 Stunden, RTO 4 Stunden.
Was passiert mit ausgehenden E-Mails bei einem Ausfall von SignatureHub?
Das hängt davon ab, was bei Ihnen einliefert, deshalb die ehrliche Differenzierung. Liefert ein eigener Mailserver ein — Exchange, Microsoft 365 mit Outbound-Connector, Postfix als Smarthost —, nimmt SignatureHub die Mail bei einer Störung gar nicht erst an; Ihr Mailserver behält sie in seiner Queue und stellt nach unserer Wiederherstellung automatisch zu. Es geht nichts verloren, es verzögert sich nur. Zeigen Ihre Mail-Clients dagegen direkt mit Gerätepasswort auf mx.signaturehub.de, gibt es keine vorgelagerte Queue: Outlook oder Apple Mail melden dann „konnte nicht gesendet werden“ und behalten die Mail im Postausgang — sie muss erneut gesendet werden. Wenn Ihnen das wichtig ist, empfehlen wir die Anbindung über Ihren eigenen MTA. Hat unsere Seite die Mail bereits angenommen, liegt die Zustellverantwortung bei uns und unsere Queue wiederholt mit Backoff, bevor sie im Fehlerfall eine Unzustellbarkeitsnachricht erzeugt.
Bestehen Zertifizierungen, externe Audits oder regelmäßige Penetrationstests?
Wir sind derzeit nicht nach ISO 27001 zertifiziert und behaupten das auch nicht. Gruppenweit bauen wir ein ISMS nach ISO 27001 auf, mit dem Ziel der Zertifizierung; SignatureHub ist von Beginn an Teil dieses Geltungsbereichs. Regelmäßig geprüft wird trotzdem schon heute: Die CDH computing GmbH — Schwesterunternehmen in unserer Gruppe und IT-Security-Dienstleister mit eigenem Penetrationstester — greift die Systeme der Gruppe planmäßig aus der Angreiferperspektive an, einschließlich der SignatureHub-Infrastruktur. Getestet wird von einem Team, das nicht am Produkt entwickelt; Befunde laufen als priorisierte Tickets zurück in die Entwicklung. Zusätzlich läuft ein Responsible-Disclosure-Kanal unter security@signaturehub.de. Ergebniszusammenfassungen der internen Tests stellen wir Bestandskunden auf Anfrage und unter NDA zur Verfügung.