Sicherheitsrichtlinie
Bei Uku ist Sicherheit ein Kernwert – kein nachträglicher Gedanke. Alle zwischen Ihrem Browser und Uku übertragenen Daten sind nach Industriestandard verschlüsselt. Wir hosten auf Cloud-Infrastruktur auf Unternehmensniveau innerhalb der Europäischen Union und überwachen, prüfen und verbessern unsere Sicherheitslage fortlaufend.
Physische Serversicherheit
Die Produktionsinfrastruktur von Uku wird bei Akamai Cloud Computing in Frankfurt am Main, Deutschland gehostet – ausschließlich innerhalb der Europäischen Union, um die Einhaltung der Datenresidenz sicherzustellen.
Als unser vertrauenswürdiger Unterauftragsverarbeiter unterhält Akamai Zertifizierungen auf Unternehmensniveau und strenge Compliance-Standards. Sie können deren Sicherheitslage überprüfen, deren Shared Responsibility Model einsehen und detaillierte Prüfberichte direkt über das Akamai Trust Center und dessen Privacy & Compliance Hub abrufen.
- SOC 2 Type II – Service Organization Control
- ISO/IEC 27001 – Information Security Management System
- PCI DSS – Payment Card Industry Data Security Standard
- GDPR (DSGVO) – Vollständige Einhaltung der Datenschutz-Grundverordnung
- EU-US Data Privacy Framework (DPF) & Standard Contractual Clauses (SCCs) – rechtlich validierte Mechanismen für sichere internationale Datenübermittlungen, die etwaige begrenzte Übermittlungen an die in den USA eingetragene Einheit von Akamai abdecken.
Einsatz weiterer Auftragsverarbeiter
Alle Auftragsverarbeiter Dritter werden unter strengen Auftragsverarbeitungsverträgen eingesetzt. Authentifizierung und Zugriffskontrollen stellen sicher, dass der Verantwortliche jederzeit die volle Kontrolle über personenbezogene Daten behält.
Wir bewerten jeden Unterauftragsverarbeiter vor dessen Einsatz hinsichtlich Sicherheitslage, Compliance-Zertifizierungen und Datenverarbeitungspraktiken. Eine vollständige Liste der Unterauftragsverarbeiter ist auf Anfrage erhältlich.
Datensicherheit & Verschlüsselung
Alle Daten werden bei der Übertragung mit TLS 1.3 und einem SHA-256withRSA-Zertifikat verschlüsselt. Dies stellt sicher, dass jede Verbindung zwischen Ihrem Browser und den Servern von Uku vollständig verschlüsselt und authentifiziert ist.
Benutzerpasswörter werden mit SHA-512 und einem einzigartigen zufälligen Salt pro Konto gehasht. Passwörter werden niemals im Klartext gespeichert und können nicht wiederhergestellt – sondern nur zurückgesetzt – werden.
Unsere Anwendung implementiert Schutz gegen gängige Angriffsvektoren, einschließlich Cross-Site Scripting (XSS), SQL-Injection und Cross-Site Request Forgery (CSRF). Alle Benutzereingaben werden sowohl client- als auch serverseitig bereinigt und validiert.
Anwendungssicherheit
Die Server von Uku sind durch eine UFW-Firewall mit einer Standard-Deny-Richtlinie geschützt. Nur ausdrücklich benötigte Ports und Dienste sind exponiert. Der SSH-Zugriff ist auf autorisiertes Personal beschränkt und erfolgt ausschließlich über schlüsselbasierte Authentifizierung.
Wir halten eine strikte Trennung zwischen Staging- und Produktionsumgebungen ein. Sensible Konfigurationsdaten werden mit symmetrischer AES-256-Verschlüsselung und asymmetrischer RSA-2048-Bit-Verschlüsselung für den Schlüsselaustausch verschlüsselt.
Alle Deployments durchlaufen einen Code-Review-Prozess mit automatisiertem Sicherheitsscan, bevor sie in die Produktion gelangen.
Sicherheitsoptionen im Produkt
Uku bietet mehrere konfigurierbare Sicherheitsoptionen für Ihre Kanzlei:
- Multi-Faktor-Authentifizierung (MFA) – unterstützt über Google Authenticator, Microsoft Authenticator und Azure Active Directory
- Zugang nur per Einladung – neue Mitarbeiter können Ihrer Organisation nur durch eine ausdrückliche Einladung beitreten
- Einheitliche Authentifizierungsanforderung – optional eine einzige Authentifizierungsmethode für alle Teammitglieder erzwingen
- Rollenbasierte Zugriffskontrolle – granulare Berechtigungen für unterschiedliche Teamrollen
Verfügbarkeit & Kontinuität
Uku ist auf hohe Verfügbarkeit ausgelegt, mit Überwachung und automatisierter Alarmierung rund um die Uhr. Unser Team reagiert rund um die Uhr auf kritische Vorfälle, um jede Beeinträchtigung Ihrer Kanzlei zu minimieren.
Wir unterhalten einen umfassenden Plan zur Geschäftskontinuität sowie Verfahren zur Notfallwiederherstellung. Regelmäßige Schwachstellenbewertungen werden durchgeführt, um potenzielle Risiken zu erkennen und zu beheben, bevor sie die Verfügbarkeit des Dienstes beeinträchtigen.
Zuverlässigkeit & Backups
Uku führt automatisierte tägliche Backups aller Kundendaten durch. Backups werden an geografisch getrennten Standorten von der primären Infrastruktur gespeichert, um die Widerstandsfähigkeit gegenüber regionalen Ausfällen sicherzustellen.
Unsere Wiederherstellungsziele:
- Recovery Time Objective (RTO): unter 8 Stunden während der Geschäftszeiten
- Recovery Point Objective (RPO): unter 4 Stunden während der Geschäftszeiten
Die Backup-Integrität wird regelmäßig überprüft, und Wiederherstellungsverfahren werden getestet, um sicherzustellen, dass Daten bei Bedarf wiederhergestellt werden können.
Sicherheitsaudits
Uku unterzieht sich unabhängigen Sicherheitsaudits auf Grundlage des OWASP Application Security Verification Standard (ASVS) 2.0. Diese Audits decken den gesamten Anwendungsstack ab, einschließlich Authentifizierung, Sitzungsverwaltung, Zugriffskontrolle und Datenschutz.
Unser Entwicklungszyklus integriert Sicherheit in jeder Phase – von Code-Review und statischer Analyse bis hin zu dynamischen Tests vor dem Deployment. Zudem führen wir regelmäßig Penetrationstests durch qualifizierte externe Sicherheitsfirmen durch.
Kreditkartensicherheit
Uku speichert keine Kreditkarteninformationen auf seinen Servern. Die gesamte Zahlungsabwicklung übernimmt Braintree (ein PayPal-Dienst), zertifiziert nach PCI DSS Level 1 – der höchsten Zertifizierungsstufe für Zahlungssicherheit.
Kreditkartendaten werden bereits bei der Eingabe tokenisiert und erreichen die Infrastruktur von Uku niemals.
Datenschutzprinzipien
Uku erfüllt vollständig die Datenschutz-Grundverordnung (DSGVO/GDPR). Wir halten die folgenden Grundsätze ein:
- Datenminimierung – wir erheben nur die Daten, die zur Erbringung des Dienstes erforderlich sind
- Recht auf Auskunft – Sie können jederzeit eine Kopie all Ihrer Daten anfordern
- Recht auf Löschung – Sie können die vollständige Löschung Ihres Kontos und Ihrer Daten beantragen
- Datenübertragbarkeit – Sie können Ihre Daten in gängigen Formaten exportieren
- Löschungsrichtlinie – wenn Sie Ihr Konto löschen, werden alle zugehörigen Daten innerhalb von 30 Tagen dauerhaft entfernt
Fragen?
Wenn Sie Fragen zu unseren Sicherheitspraktiken haben oder zusätzliche Dokumentation für Ihre Compliance-Anforderungen benötigen, wenden Sie sich bitte an unser Team unter support@getuku.com.
Für unseren SOC-2-Prüfbericht und weitere Vertrauensdokumentation besuchen Sie unsere SOC-2-Seite.
Starten Sie noch heute mit Uku.
Steigern Sie Ihre Effizienz mit Uku, der leistungsstarken und dennoch einfachen Kanzleisoftware für Steuerkanzleien und Buchhaltungsbüros.
“Schaffen wir einen Traum, in dem das Team glücklich ist, die Mandanten gut betreut werden und die Gewinne fair sind.
Rain Allikvee / Mitgründer von Uku