Deutschland
United Kingdom
SlovenijaInformationen für
Informationen für
Unsere Mission
Im Folgenden möchten wir detaillierter darlegen, wie wir die Sicherheit unserer Services gewährleisten, und erklären, wie wir die Studo App und die Studo-Infrastruktur im Sinne höchster Qualität und Datenschutz kontinuierlich verbessern. Die folgende Übersicht enthält einige Einzelheiten darüber, wie wir Sicherheit bei Studo kontinuierlich priorisieren, um das Vertrauen unserer Nutzer*innen und Kooperationspartner*innen in uns weiter zu stärken.
Studo verwendet Sicherheitstools von Drittanbieter*innen, um kontinuierlich nach Schwachstellen zu suchen. Unser Team reagiert auf die aufgeworfenen Probleme. Externe Partner*innen, die an den führenden Sicherheitsinstituten in Europa studiert haben, führen regelmäßig detaillierte Penetrationstests und Code-Audits der Studo-Infrastruktur und Studo App durch, um mögliche Probleme zu lösen. Studo betreibt auch ein "Bug-Bounty"-Programm, das Sicherheitsforscher*innen eine Plattform für Tests in einer geschützten Umgebung und die Möglichkeit zur Einreichung von Schwachstellen-Berichten bietet. Mehr zu den Einzelheiten des Bug Bounty-Programms am Ende der Seite.
Für die Studo-Infrastruktur orientieren wir uns an den von 12-factor definierten Best Practices. Wir verfügen über einen funktionierenden, häufig verwendeten Automatisierungsprozess, mit dem wir Änderungen an der Studo-Infrastruktur sicher und zuverlässig ausrollen können. In der Regel führen wir diesen Prozess mehrmals am Tag durch, wodurch wir darauf vertrauen können, dass wir bei Bedarf rasch Sicherheitskorrekturen vornehmen können.
HTTPS wird über die gesamte Plattform hinweg verwendet und bietet eine sichere, verschlüsselte Verbindung, die die Sicherheit aller Daten gewährleistet. Echtzeit-Updates verwenden sichere WebSockets (WSS), die immer verschlüsselt sind, als Transportprotokoll zwischen der lokal auf dem Benutzergerät installierten Studo App und der Studo-Infrastruktur, wodurch eine zusätzliche Sicherheitsebene hinzugefügt wird. Als Sicherheitsmodell haben wir eine Zero-Trust-Netzwerkarchitektur implementiert - es gibt keine Hintertüren in unsere Produktionssysteme.
Studo sichert gespeicherte Daten (z.B. der Status der PRO Version, von Nutzer*innen erstellte Kalendereinträge in der App) und speichert sie getrennt von der Haupt-Infrastruktur.
Alle unsere Infrastruktur-Server verschlüsseln die ruhenden Daten (encryption at rest). Der Zugriff auf die Server ist nur über TLS-Verbindungen möglich.
Unser Infrastrukturanbieter garantiert vertraglich, dass alle Daten auf einer Festplatte gelöscht werden, wenn diese zur Wartung geht.
Wir verwenden Scalingo für das Hosting der Studo-Infrastruktur. Der Anbieter bietet eine sichere Netzwerk- und Computerumgebung, unter anderem mit Firewalls auf Netzwerk-, Anwendungs- und Instanzebene, Datenverschlüsselung, DDoS-Abwehr usw.
Das Rechenzentrum befindet sich in Paris, Frankreich, und wird von 3DS Outscale betrieben. Da sowohl Scalingo als auch 3DS Outscale in der EU ansässige Unternehmen sind, gilt die Datenschutz-Grundverordnung (DSGVO) uneingeschränkt für sie.
100% innerhalb der Europäischen Union
Sowohl Scalingo als auch 3DS Outscale sind ISO/IEC 27001 zertifiziert
ISO 27017: Cloud-Sicherheit zertifiziert
ISO 27018: Cloud-Privatsphärenschutz zertifiziert
Verfügt auch über SecNumCloud, HDS Health Data Hosting Provider, LUCIE 26000, Citrix Partner und weitere Zertifikate
Mitglied von GAIA-X, der europäischen souveränen Cloud
Mehr Informationen finden Sie auf der Website von 3DS Outscale: https://en.outscale.com/.
Passwörter, die in der Studo App eingegeben werden, werden zu keinem Zeitpunkt von den Betreiber*innen von Studo verarbeitet oder gespeichert und sind nur über die lokal installierte App auf dem Gerät der Benutzer*innen zugänglich. Das heißt, die Studierenden geben keinen Benutzernamen und kein Passwort der Hochschule an Dritte weiter.
Die in Studo Connect eingegebenen Passwörter, die sich von den Zugangsdaten der Hochschule unterscheiden und Partner*innen wie z.B. Studierenden-Organisationen oder Vereine authentifizieren, werden mittels einer PBKDF-Funktion (bcrypt) ausschließlich in gehashter Form gespeichert.
Studo ist nicht das Unternehmen, das Zahlungen speichert oder verarbeitet. Deshalb speichern oder verarbeiten wir keine Zahlungsdaten von App-Benutzer*innen. Die Studo PRO Version kann nur im entsprechenden Store (Google Play Store auf Android und App Store auf iOS) erworben werden.
Scalingo, der Hosting-Provider der Studo-Infrastruktur, gewährleistet über SLA eine Verfügbarkeit von 99,9%. Datenbanken und Rechencontainer werden in einem fehlertoleranten Multi-Knoten-Setup betrieben. Darüber hinaus ist die Studo App als Offline-First-Anwendung konzipiert: Alle benötigten Informationen, die die Studierenden im Laufe des Tages benötigen (z.B. Kalendereinträge, Lesezeichen, ...), werden lokal verschlüsselt auf dem Gerät der Benutzerinnen gespeichert. Falls eine Benutzer*in eine Änderung an einem persönlichen Kalendereintrag vornimmt, werden die Daten zunächst lokal gespeichert und dann in der Studo-Infrastruktur gesichert. Für den Fall, dass diese Sicherung fehlschlägt, wird ein automatischer Wiederholungsalgorithmus die aktualisierten Informationen zu einem späteren Zeitpunkt sichern.
Wenn einer der Server als nicht verfügbar erkannt wird, verteilt Scalingos interner Scheduler die auf diesem Server laufenden Container im gesamten Cluster. Die Container laufen auf verschiedenen Hosts, damit auch andere Container noch vorhanden sind, während der nicht verfügbare Container auf einem neuen Server neu gestartet wird. Für den Fall, dass das gesamte Rechenzentrum ausfällt (Stromausfall, Feuer, ...), startet unser Hosting-Provider einen Wiederherstellungsplan, um die Aktivität in einem anderen Rechenzentrum wieder aufzunehmen. Die Server werden repliziert, um alle Container in einem zweiten Rechenzentrum so schnell wie möglich neu starten zu können. In diesem Fall ist die App während der Ausfallzeit nicht verfügbar, aber es wurden die notwendigen Prozesse eingerichtet, um die Ausfallzeit zu reduzieren und die Wiederherstellung auf schnellstmöglichem Weg zu ermöglichen.
Der Zugriff auf die Studo-Infrastruktur ist auf autorisierte Mitarbeiter*innen beschränkt, die diesen für ihre Arbeit benötigen. Die Verwaltung der Infrastruktur kann nur über 2FA und ultra-sichere Passwörter erfolgen, die von Passwort-Managern generiert werden.
Studo wird zu 100% über HTTPS bereitgestellt und betreibt ein Zero-Trust-Unternehmensnetzwerk. Es gibt keine Unternehmensressourcen oder zusätzliche Privilegien, wenn man sich im Studo-Netzwerk befindet. Das Unternehmensnetzwerk hat keine Hintertüren zu unserem Produktionssystem. Wir setzen Single Sign-On (SSO) ein und verwenden, wann immer möglich, eine 2-Faktor-Authentifizierung (2FA). Zusätzlich verfügen wir über starke Passwortrichtlinien, um sicherzustellen, dass der Zugriff auf interne Dienste geschützt ist. Wir lehnen die Verwendung von gemeinsam genutzten Konten auf jedem System ab und verwenden LastPass zur sicheren Generierung von Passwörtern. Master-Passwörter müssen mindestens 20 Zeichen lang sein. Es wird regelmäßig überprüft, welche Konten auf Systeme zugreifen können und welche Berechtigungen sie haben.
Alle Verträge der Studo-Mitarbeiter*innen enthalten eine Geheimhaltungserklärung.
Alle Daten, die an die oder von der Studo-Infrastruktur gesendet werden, werden mit einer 256-Bit-Verschlüsselung versehen. API-Endpunkte der Studo-Infrastruktur sind ausschließlich über TLS/SSL erreichbar und erhalten bei Qualys SSL Labs-Tests die Bewertung "A+". Das bedeutet, dass wir nur starke Cipher Suites verwenden und Funktionen wie HSTS und Perfect Forward Secrecy vollständig aktiviert haben. Außerdem verschlüsseln wir ruhende Daten mit einem Verschlüsselungsalgorithmus nach dem Industriestandard AES-256 (encryption at rest).
Wenn Sie glauben, eine Sicherheitslücke in einem unserer Produkte gefunden zu haben, ermutigen wir Sie, uns dies sofort mitzuteilen. Melden Sie sich per Mail in Englisch oder Deutsch an security@studo.com. Wichtig: der Betreff muss "Studo Security Report" enthalten.
Wir werden versuchen, so schnell wie Möglich auf Ihren Bericht zu antworten. Wir werden uns alle legitimen Berichte ansehen und unser Bestes tun, um das Problem schnell zu beheben. Bevor Sie uns jedoch Bericht erstatten, lesen Sie bitte diese Seite, einschließlich unserer Richtlinien zur verantwortungsbewussten Offenlegung, zu Belohnungen und zu den Punkten, die nicht gemeldet werden sollen. Wir behalten uns vor, solche Berichte nicht zu beantworten, die keinen Bezug zur Sicherheit von Studo haben, oder keine nennenswerte Leistung beinhalten (spam, copy-paste usw.).
Um eine verantwortungsbewusste Meldungskultur zu fördern, verpflichten wir uns, keine rechtlichen Schritte gegen Sie zu unternehmen und die Strafverfolgungsbehörden nicht auffordern werden, gegen Sie zu ermitteln, wenn Sie die folgenden Richtlinien zur verantwortungsbewussten Offenlegung einhalten:
Geben Sie Einzelheiten zu der Schwachstelle an, einschließlich der Informationen, die zur Reproduktion und Validierung der Schwachstelle benötigt werden, sowie einen Proof of Concept (Screenshot, Video oder Quellcode). Eine Meldung muss ein nicht-theoretisches Sicherheitsproblem durch einen Proof of Concept aufzeigen. So gilt z. B. das Auffinden einer alten Version einer Softwarebibliothek oder eines API-Schlüssels nicht als ausreichender Proof of Concept.
Sie geben uns eine angemessene Zeit zur Untersuchung und Behebung eines von Ihnen gemeldeten Problems, bevor Sie Informationen über den Bericht veröffentlichen oder diese Informationen an andere weitergeben.
Sie bemühen sich nach bestem Wissen und Gewissen, Datenschutzverletzungen und Störungen für andere zu vermeiden, einschließlich (aber nicht beschränkt auf) unbefugten Zugriff, Änderung oder Zerstörung von Daten sowie Unterbrechung oder Beeinträchtigung unserer Dienstleistungen.
Sie nutzen ein Sicherheitsproblem, das Sie aus irgendeinem Grund entdecken, nicht aus. (Dies schließt den Nachweis zusätzlicher Risiken ein, wie z. B. den Versuch der Kompromittierung sensibler Unternehmensdaten oder die Suche nach zusätzlichen Problemen).
Sie verstoßen nicht absichtlich gegen andere geltende Gesetze oder Vorschriften, einschließlich (aber nicht beschränkt auf) Gesetze und Vorschriften, die den unbefugten Zugriff auf Daten verbieten.
Sie ändern keine Daten, die Ihnen nicht gehören, und greifen nicht auf diese zu.
Für die Zwecke dieser Richtlinie sind Sie nicht berechtigt, auf Benutzer*innen- oder Firmendaten zuzugreifen, einschließlich (aber nicht beschränkt auf) persönlich identifizierbare Informationen und Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Wir würdigen und belohnen Sicherheitsforscher*innen, die uns helfen, Menschen zu schützen, indem sie Schwachstellen in unseren Diensten melden. Monetäre Belohnungen für solche Berichte liegen ganz im Ermessen von Studo, basierend auf Risiko, Auswirkungen und anderen Faktoren. Um sich potenziell für eine Prämie zu qualifizieren, müssen Sie zunächst die folgenden Anforderungen erfüllen:
Halten Sie sich an unsere Regeln der verantwortungsvollen Offenlegung (siehe oben).
Melden Sie einen Sicherheitsfehler, d. h. identifizieren Sie eine Schwachstelle in unseren Diensten oder unserer Infrastruktur, die ein Sicherheits- oder Datenschutzrisiko darstellt. (Beachten Sie, dass Studo letztlich das Risiko eines Problems bestimmt und dass viele Softwarefehler keine Sicherheitsprobleme sind.)
Ihr Bericht muss ein Problem beschreiben, das eines der Produkte oder Dienstleistungen betrifft, die unter "Umfang des Bug-Bounty-Programms" (siehe unten) aufgeführt sind.
Reichen Sie Ihren Bericht per E-Mail an security@studo.com ein. Wichtig: der Betreff muss "Studo Security Report" enthalten.
Wenn Sie während der Untersuchung eines Problems versehentlich eine Verletzung oder Störung der Privatsphäre verursachen (z.B. Zugriff auf Kontodaten, Dienstkonfigurationen oder andere vertrauliche Informationen), müssen Sie dies in Ihrem Bericht offenlegen.
Im Gegenzug werden wir diese Richtlinien bei der Auswertung von Berichten im Rahmen unseres Bug-Bounty-Programms befolgen:
Wir untersuchen und beantworten alle gültigen und sinnvollen Berichte. Wir priorisieren Bewertungen auf der Grundlage von Risiko und anderen Faktoren und es kann einige Zeit dauern, bis Sie eine Antwort erhalten.
Wir legen die Höhe der Belohnung auf der Grundlage einer Vielzahl von Faktoren fest, einschließlich (aber nicht beschränkt auf) die Auswirkungen, die Einfachheit der Nutzung und die Qualität des Berichts. Wenn wir eine Belohnung zahlen, beträgt die Mindestprämie 30 Euro. Beachten Sie, dass extrem risikoarme Themen möglicherweise überhaupt nicht für eine Belohnung in Frage kommen.
Im Falle von doppelten Berichten vergeben wir eine Belohnung an die erste Person, die einen Bericht einreicht. (Studo bestimmt Duplikate und darf keine Einzelheiten zu den anderen Berichten weitergeben). Eine bestimmte Belohnung wird nur an eine Person ausgezahlt.
Wir behalten uns das Recht vor, Berichte (und begleitende Aktualisierungen) zu veröffentlichen.
Bei Bedarf stellen wir Ihnen Testkonten für Studo zur Verfügung - wenden Sie sich dafür einfach an uns.
Falls die Feststellung eines Sicherheitsproblems Teil einer wissenschaftlichen Arbeit (z.B. Bachelor-/Masterarbeit) ist: Nach Klärung des Problems stellen wir Ihnen zusätzliche Informationen für Ihre Arbeit zur Verfügung.
Um sich für eine Prämie zu qualifizieren, melden Sie einen Sicherheitsfehler in Studo oder einem der folgenden qualifizierten Produkte:
Studo App für Android und iOS (für Fehler, die in der Studo App gefunden werden, zahlen wir doppelte Belohnungen aus). Fordern Sie bei Bedarf einen Demo-Account über security@studo.com an.
Studo Chat - Chatsystem innerhalb der Studo App. Fordern Sie bei Bedarf einen Demo-Account über security@studo.com an.
Infrastruktur von Studo und Moshbit
Domains studo.com, *.studo.com, studo.co und *.studo.co
Selbst gehostete Open-Source-Anwendung Campus QR
Das über Studo Flow an einigen Hochschulen verfügbare Tool Digital Attendance List: Demoversion der Digital Attendance List
Wenn Sie sich nicht sicher sind, ob eine Dienstleistung für ein Belohnung in Frage kommt oder nicht, können Sie sich gerne an uns wenden.
Spam oder Techniken des Social Engineering
Denial-of-Service-Angriffe
Sicherheitsprobleme im Android- oder iOS-Betriebssystem oder bei Smartphone-/Tablet-Hersteller-spezifischer Software
Alte Versionen der Studo App
Tricks, um die Studo PRO Version kostenlos zu erhalten, solange es sich nicht um ein Sicherheitsproblem handelt und nur zu fehlenden Zahlungen an Studo führt.
Sicherheitsprobleme bei Dienstleistungen von Drittanbietern, die in Studo integriert sind: Universitäts-Websites, universitäre E-Mail-Dienste, Nachrichten-Websites. Diese werden nicht von Studo verwaltet und qualifizieren sich nicht für unsere Richtlinien für Sicherheitstests.
Rechtliches
Folgen Sie uns
Unterstützt von
© 2024 Studo GmbH - Made with
in Europe