close up of man sitting with his smartphone in front of a laptop

Security

Unsere Mission

Qualität, Datensicherheit und das Vertrauen unserer User und Kund*innen sind entscheidend für alles, was wir bei Studo tun. Wir setzen alles daran, den sicheren Umgang mit Daten zu gewährleisten. Das Angebot sicherer und zuverlässiger Services ist für uns von grundlegender Bedeutung.

Im Folgenden möchten wir detaillierter darlegen, wie wir die Sicherheit unserer Services gewährleisten, und erklären, wie wir die Studo App und die Studo-Infrastruktur im Sinne höchster Qualität und Datenschutz kontinuierlich verbessern. Die folgende Übersicht enthält einige Einzelheiten darüber, wie wir Sicherheit bei Studo kontinuierlich priorisieren, um das Vertrauen unserer Nutzer*innen und Kooperationspartner*innen in uns weiter zu stärken.

Penetrationstests, Schwachstellen-Erkennung und Bug-Bounty-Programm

Studo verwendet Sicherheitstools von Drittanbieter*innen, um kontinuierlich nach Schwachstellen zu suchen. Unser Team reagiert auf die aufgeworfenen Probleme. Externe Partner*innen, die an den führenden Sicherheitsinstituten in Europa studiert haben, führen regelmäßig detaillierte Penetrationstests und Code-Audits der Studo-Infrastruktur und Studo App durch, um mögliche Probleme zu lösen. Studo betreibt auch ein "Bug-Bounty"-Programm, das Sicherheitsforscher*innen eine Plattform für Tests in einer geschützten Umgebung und die Möglichkeit zur Einreichung von Schwachstellen-Berichten bietet. Mehr zu den Einzelheiten des Bug Bounty-Programms am Ende der Seite.

Automatisierung von Prozessen

Für die Studo-Infrastruktur orientieren wir uns an den von 12-factor definierten Best Practices. Wir verfügen über einen funktionierenden, häufig verwendeten Automatisierungsprozess, mit dem wir Änderungen an der Studo-Infrastruktur sicher und zuverlässig ausrollen können. In der Regel führen wir diesen Prozess mehrmals am Tag durch, wodurch wir darauf vertrauen können, dass wir bei Bedarf rasch Sicherheitskorrekturen vornehmen können.

Sicherer Netzwerkzugang

HTTPS wird über die gesamte Plattform hinweg verwendet und bietet eine sichere, verschlüsselte Verbindung, die die Sicherheit aller Daten gewährleistet. Echtzeit-Updates verwenden sichere WebSockets (WSS), die immer verschlüsselt sind, als Transportprotokoll zwischen der lokal auf dem Benutzergerät installierten Studo App und der Studo-Infrastruktur, wodurch eine zusätzliche Sicherheitsebene hinzugefügt wird. Als Sicherheitsmodell haben wir eine Zero-Trust-Netzwerkarchitektur implementiert - es gibt keine Hintertüren in unsere Produktionssysteme.

Datensicherheit

  • Studo sichert gespeicherte Daten (z.B. der Status der PRO Version, von Nutzer*innen erstellte Kalendereinträge in der App) und speichert sie getrennt von der Haupt-Infrastruktur.

  • Alle unsere Infrastruktur-Server verschlüsseln die ruhenden Daten (encryption at rest). Der Zugriff auf die Server ist nur über TLS-Verbindungen möglich.

  • Unser Infrastrukturanbieter garantiert vertraglich, dass alle Daten auf einer Festplatte gelöscht werden, wenn diese zur Wartung geht.

Infrastruktur

Wir verwenden Scalingo für das Hosting der Studo-Infrastruktur. Der Anbieter bietet eine sichere Netzwerk- und Computerumgebung, unter anderem mit Firewalls auf Netzwerk-, Anwendungs- und Instanzebene, Datenverschlüsselung, DDoS-Abwehr usw.

Das Rechenzentrum befindet sich in Paris, Frankreich, und wird von 3DS Outscale betrieben. Da sowohl Scalingo als auch 3DS Outscale in der EU ansässige Unternehmen sind, gilt die Datenschutz-Grundverordnung (DSGVO) uneingeschränkt für sie.

Details zum Rechenzentrum

Mehr Informationen finden Sie auf der Website von 3DS Outscale: https://en.outscale.com/.

Sichere Speicherung von Passwort und Zugangsdaten

Passwörter, die in der Studo App eingegeben werden, werden zu keinem Zeitpunkt von den Betreiber*innen von Studo verarbeitet oder gespeichert und sind nur über die lokal installierte App auf dem Gerät der Benutzer*innen zugänglich. Das heißt, die Studierenden geben keinen Benutzernamen und kein Passwort der Hochschule an Dritte weiter.

Die in Studo Connect eingegebenen Passwörter, die sich von den Zugangsdaten der Hochschule unterscheiden und Partner*innen wie z.B. Studierenden-Organisationen oder Vereine authentifizieren, werden mittels einer PBKDF-Funktion (bcrypt) ausschließlich in gehashter Form gespeichert.

Zahlungsdetails

Studo ist nicht das Unternehmen, das Zahlungen speichert oder verarbeitet. Deshalb speichern oder verarbeiten wir keine Zahlungsdaten von App-Benutzer*innen. Die Studo PRO Version kann nur im entsprechenden Store (Google Play Store auf Android und App Store auf iOS) erworben werden.

Verfügbarkeit

Scalingo, der Hosting-Provider der Studo-Infrastruktur, gewährleistet über SLA eine Verfügbarkeit von 99,9%. Datenbanken und Rechencontainer werden in einem fehlertoleranten Multi-Knoten-Setup betrieben. Darüber hinaus ist die Studo App als Offline-First-Anwendung konzipiert: Alle benötigten Informationen, die die Studierenden im Laufe des Tages benötigen (z.B. Kalendereinträge, Lesezeichen, ...), werden lokal verschlüsselt auf dem Gerät der Benutzerinnen gespeichert. Falls eine Benutzer*in eine Änderung an einem persönlichen Kalendereintrag vornimmt, werden die Daten zunächst lokal gespeichert und dann in der Studo-Infrastruktur gesichert. Für den Fall, dass diese Sicherung fehlschlägt, wird ein automatischer Wiederholungsalgorithmus die aktualisierten Informationen zu einem späteren Zeitpunkt sichern. 

Ausfallsicherung und Wiederherstellung

Wenn einer der Server als nicht verfügbar erkannt wird, verteilt Scalingos interner Scheduler die auf diesem Server laufenden Container im gesamten Cluster. Die Container laufen auf verschiedenen Hosts, damit auch andere Container noch vorhanden sind, während der nicht verfügbare Container auf einem neuen Server neu gestartet wird. Für den Fall, dass das gesamte Rechenzentrum ausfällt (Stromausfall, Feuer, ...), startet unser Hosting-Provider einen Wiederherstellungsplan, um die Aktivität in einem anderen Rechenzentrum wieder aufzunehmen. Die Server werden repliziert, um alle Container in einem zweiten Rechenzentrum so schnell wie möglich neu starten zu können. In diesem Fall ist die App während der Ausfallzeit nicht verfügbar, aber es wurden die notwendigen Prozesse eingerichtet, um die Ausfallzeit zu reduzieren und die Wiederherstellung auf schnellstmöglichem Weg zu ermöglichen.

Berechtigungen und Authentifizierung

Der Zugriff auf die Studo-Infrastruktur ist auf autorisierte Mitarbeiter*innen beschränkt, die diesen für ihre Arbeit benötigen. Die Verwaltung der Infrastruktur kann nur über 2FA und ultra-sichere Passwörter erfolgen, die von Passwort-Managern generiert werden. 

Studo wird zu 100% über HTTPS bereitgestellt und betreibt ein Zero-Trust-Unternehmensnetzwerk. Es gibt keine Unternehmensressourcen oder zusätzliche Privilegien, wenn man sich im Studo-Netzwerk befindet. Das Unternehmensnetzwerk hat keine Hintertüren zu unserem Produktionssystem. Wir setzen Single Sign-On (SSO) ein und verwenden, wann immer möglich, eine 2-Faktor-Authentifizierung (2FA). Zusätzlich verfügen wir über starke Passwortrichtlinien, um sicherzustellen, dass der Zugriff auf interne Dienste geschützt ist. Wir lehnen die Verwendung von gemeinsam genutzten Konten auf jedem System ab und verwenden LastPass zur sicheren Generierung von Passwörtern. Master-Passwörter müssen mindestens 20 Zeichen lang sein. Es wird regelmäßig überprüft, welche Konten auf Systeme zugreifen können und welche Berechtigungen sie haben.

Geheimhaltung

Alle Verträge der Studo-Mitarbeiter*innen enthalten eine Geheimhaltungserklärung.

Verschlüsselung

Alle Daten, die an die oder von der Studo-Infrastruktur gesendet werden, werden mit einer 256-Bit-Verschlüsselung versehen. API-Endpunkte der Studo-Infrastruktur sind ausschließlich über TLS/SSL erreichbar und erhalten bei Qualys SSL Labs-Tests die Bewertung "A+". Das bedeutet, dass wir nur starke Cipher Suites verwenden und Funktionen wie HSTS und Perfect Forward Secrecy vollständig aktiviert haben. Außerdem verschlüsseln wir ruhende Daten mit einem Verschlüsselungsalgorithmus nach dem Industriestandard AES-256 (encryption at rest).

Richtlinie zur Meldung von Sicherheitsschwachstellen

Wenn Sie glauben, eine Sicherheitslücke in einem unserer Produkte gefunden zu haben, ermutigen wir Sie, uns dies sofort mitzuteilen. Melden Sie sich per Mail in Englisch oder Deutsch an security@studo.com. Wir werden versuchen, auf Ihren Bericht innerhalb von 1-2 Werktagen zu antworten. Wir werden alle legitimen Berichte untersuchen und unser Bestes tun, um das Problem schnell zu beheben. Bevor Sie uns jedoch Bericht erstatten, lesen Sie bitte diese Seite, einschließlich unserer Richtlinien zur verantwortungsbewussten Offenlegung, zu Belohnungen und zu den Punkten, die nicht gemeldet werden sollen.

Verantwortungsvolle Offenlegung

Um eine verantwortungsbewusste Meldungskultur zu fördern, verpflichten wir uns, keine rechtlichen Schritte gegen Sie zu unternehmen und die Strafverfolgungsbehörden nicht auffordern werden, gegen Sie zu ermitteln, wenn Sie die folgenden Richtlinien zur verantwortungsbewussten Offenlegung einhalten:

  • Geben Sie Einzelheiten zu der Schwachstelle an, einschließlich der Informationen, die zur Reproduktion und Validierung der Schwachstelle benötigt werden, sowie einen Proof of Concept (Screenshot, Video oder Quellcode). Eine Meldung muss ein nicht-theoretisches Sicherheitsproblem durch einen Proof of Concept aufzeigen. So gilt z. B. das Auffinden einer alten Version einer Softwarebibliothek oder eines API-Schlüssels nicht als ausreichender Proof of Concept.

  • Sie geben uns eine angemessene Zeit zur Untersuchung und Behebung eines von Ihnen gemeldeten Problems, bevor Sie Informationen über den Bericht veröffentlichen oder diese Informationen an andere weitergeben.

  • Sie bemühen sich nach bestem Wissen und Gewissen, Datenschutzverletzungen und Störungen für andere zu vermeiden, einschließlich (aber nicht beschränkt auf) unbefugten Zugriff, Änderung oder Zerstörung von Daten sowie Unterbrechung oder Beeinträchtigung unserer Dienstleistungen.

  • Sie nutzen ein Sicherheitsproblem, das Sie aus irgendeinem Grund entdecken, nicht aus. (Dies schließt den Nachweis zusätzlicher Risiken ein, wie z. B. den Versuch der Kompromittierung sensibler Unternehmensdaten oder die Suche nach zusätzlichen Problemen).

  • Sie verstoßen nicht absichtlich gegen andere geltende Gesetze oder Vorschriften, einschließlich (aber nicht beschränkt auf) Gesetze und Vorschriften, die den unbefugten Zugriff auf Daten verbieten.

  • Sie ändern keine Daten, die Ihnen nicht gehören, und greifen nicht auf diese zu.

  • Für die Zwecke dieser Richtlinie sind Sie nicht berechtigt, auf Benutzer*innen- oder Firmendaten zuzugreifen, einschließlich (aber nicht beschränkt auf) persönlich identifizierbare Informationen und Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Bedingungen des Bug-Bounty-Programms

Wir würdigen und belohnen Sicherheitsforscher*innen, die uns helfen, Menschen zu schützen, indem sie Schwachstellen in unseren Diensten melden. Monetäre Belohnungen für solche Berichte liegen ganz im Ermessen von Studo, basierend auf Risiko, Auswirkungen und anderen Faktoren. Um sich potenziell für eine Prämie zu qualifizieren, müssen Sie zunächst die folgenden Anforderungen erfüllen:

  • Halten Sie sich an unsere Regeln der verantwortungsvollen Offenlegung (siehe oben).

  • Melden Sie einen Sicherheitsfehler, d. h. identifizieren Sie eine Schwachstelle in unseren Diensten oder unserer Infrastruktur, die ein Sicherheits- oder Datenschutzrisiko darstellt. (Beachten Sie, dass Studo letztlich das Risiko eines Problems bestimmt und dass viele Softwarefehler keine Sicherheitsprobleme sind.)

  • Ihr Bericht muss ein Problem beschreiben, das eines der Produkte oder Dienstleistungen betrifft, die unter "Umfang des Bug-Bounty-Programms" (siehe unten) aufgeführt sind.

  • Reichen Sie Ihren Bericht per E-Mail an security@studo.com ein.

  • Wenn Sie während der Untersuchung eines Problems versehentlich eine Verletzung oder Störung der Privatsphäre verursachen (z.B. Zugriff auf Kontodaten, Dienstkonfigurationen oder andere vertrauliche Informationen), müssen Sie dies in Ihrem Bericht offenlegen.

Im Gegenzug werden wir diese Richtlinien bei der Auswertung von Berichten im Rahmen unseres Bug-Bounty-Programms befolgen:

  • Wir untersuchen und beantworten alle gültigen Berichte. Wir priorisieren Bewertungen auf der Grundlage von Risiko und anderen Faktoren und es kann einige Zeit dauern, bis Sie eine Antwort erhalten.

  • Wir legen die Höhe der Belohnung auf der Grundlage einer Vielzahl von Faktoren fest, einschließlich (aber nicht beschränkt auf) die Auswirkungen, die Einfachheit der Nutzung und die Qualität des Berichts. Wenn wir eine Belohnung zahlen, beträgt die Mindestprämie 50 Euro. Beachten Sie, dass extrem risikoarme Themen möglicherweise überhaupt nicht für eine Belohnung in Frage kommen.

  • Im Falle von doppelten Berichten vergeben wir eine Belohnung an die erste Person, die einen Bericht einreicht. (Studo bestimmt Duplikate und darf keine Einzelheiten zu den anderen Berichten weitergeben). Eine bestimmte Belohnung wird nur an eine Person ausgezahlt.

  • Wir behalten uns das Recht vor, Berichte (und begleitende Aktualisierungen) zu veröffentlichen.

  • Bei Bedarf stellen wir Ihnen Testkonten für Studo zur Verfügung - wenden Sie sich dafür einfach an uns.

  • Falls die Feststellung eines Sicherheitsproblems Teil einer wissenschaftlichen Arbeit (z.B. Bachelor-/Masterarbeit) ist: Nach Klärung des Problems stellen wir Ihnen zusätzliche Informationen für Ihre Arbeit zur Verfügung.

Umfang des Bug-Bounty-Programms

Um sich für eine Prämie zu qualifizieren, melden Sie einen Sicherheitsfehler in Studo oder einem der folgenden qualifizierten Produkte:

  • Studo App für Android und iOS (für Fehler, die in der Studo App gefunden werden, zahlen wir doppelte Belohnungen aus). Fordern Sie bei Bedarf einen Demo-Account über security@studo.com an.

  • Studo Chat - Chatsystem innerhalb der Studo App. Fordern Sie bei Bedarf einen Demo-Account über security@studo.com an.

  • Infrastruktur von Studo und Moshbit

  • Domains studo.com, *.studo.com, studo.co und *.studo.co

  • Selbst gehostete Open-Source-Anwendung Campus QR

  • Das über Studo Flow an einigen Hochschulen verfügbare Tool Digital Attendance List: Demoversion der Digital Attendance List

Wenn Sie sich nicht sicher sind, ob eine Dienstleistung für ein Belohnung in Frage kommt oder nicht, können Sie sich gerne an uns wenden.

Nicht zum Anwendungsbereichs gehören (Out of Scope)

  • Spam oder Techniken des Social Engineering

  • Denial-of-Service-Angriffe

  • Sicherheitsprobleme im Android- oder iOS-Betriebssystem oder bei Smartphone-/Tablet-Hersteller-spezifischer Software

  • Alte Versionen der Studo App

  • Tricks, um die Studo PRO Version kostenlos zu erhalten, solange es sich nicht um ein Sicherheitsproblem handelt und nur zu fehlenden Zahlungen an Studo führt.

  • Sicherheitsprobleme bei Dienstleistungen von Drittanbietern, die in Studo integriert sind: Universitäts-Websites, universitäre E-Mail-Dienste, Nachrichten-Websites. Diese werden nicht von Studo verwaltet und qualifizieren sich nicht für unsere Richtlinien für Sicherheitstests.