Sicherheitsübersicht
Die im Produkt eingebauten Kontrollen, in klarer Sprache. Bei Fragen, für einen Penetrationstest-Bericht oder um eine Schwachstelle zu melden, schreiben Sie an [email protected].
Mandantentrennung
Die Zeilen jedes Workspace sind durch Row-Level Security getrennt, die Postgres selbst durchsetzt, nicht nur der Anwendungscode; die Suchindizes wurden so gebaut, dass sie innerhalb dieser Richtlinie arbeiten, statt sie zu umgehen. Hochgeladene Dateien werden unter Schlüsseln pro Workspace gespeichert und als Download ausgeliefert, sofern es sich nicht um Bilder handelt; Dateien in einem Chat erreichen Besucher über Links, die nach zehn Minuten ablaufen. Ein gesperrter oder geschlossener Workspace stoppt jeden API-Schlüssel, jedes App- und Bot-Token, jede Sitzung, jeden Chat und jede Live-Verbindung auf einmal. Fotos werden ohne Standort, Gerät und andere Metadaten gespeichert, die Smartphones in sie schreiben.
Identität
Passwörter werden mit Argon2id gehasht. Jede Person kann auf der Seite zur Kontosicherheit die Zwei-Faktor-Authentifizierung aktivieren: einen im Browser gezeichneten QR-Code scannen, mit einem Code bestätigen und einmalige Wiederherstellungscodes aufbewahren; zum Deaktivieren sind Passwort und Code nötig. Dieselbe Seite listet jeden angemeldeten Browser auf, um einen einzelnen oder alle anderen abzumelden. Workspaces können eigene Single-Sign-on-Anbieter über OpenID Connect hinzufügen, beschränkt auf ihre E-Mail-Domains; wer die Zwei-Faktor-Authentifizierung aktiviert hat, wird trotzdem nach seinem Code gefragt. Administratoren können Zwei-Faktor für jedes Mitglied verpflichtend machen, sofort oder nach einer Übergangsfrist von sieben oder vierzehn Tagen, und die Plattform-Administratoren von Kommio müssen es selbst nutzen. Sitzungen liegen serverseitig, mit absoluter Lebensdauer und Inaktivitätslimit. API-Schlüssel, Bot-Tokens und App-Tokens werden als Hashes gespeichert, beschränkt auf einen Workspace und einen Berechtigungssatz.
Autorisierung
Rollen entscheiden über Berechtigungen, darüber, welche Konversationen eine Person sehen kann, und ob sensible Felder wie E-Mail-Adressen, Telefonnummern, Zahlungsangaben und IP-Adressen sichtbar, maskiert oder ausgeblendet sind. Niemand kann eine Rolle erstellen, ein Mitglied ändern, jemanden einladen oder eine App genehmigen, die mehr Rechte hat, als er selbst besitzt. Automatisierungen laufen mit den Berechtigungen der Person, die sie erstellt hat; Apps laufen mit den Scopes, die ein Administrator bei der Installation genehmigt hat. Wer ein Mitglied deaktiviert oder entfernt, seine Rolle einschränkt, einen API-Schlüssel widerruft oder einen Workspace sperrt, sieht zuerst, was davon betroffen ist, und muss die E-Mail-Adresse, den Schlüsselnamen oder den Workspace-Namen eintippen; Regeln, Bots, Webhooks und Apps eines ausscheidenden Mitglieds lassen sich an Kolleginnen oder Kollegen mit den nötigen Berechtigungen übergeben, und Regeln, deren Autor gegangen ist, pausieren, bis jemand sie übernimmt. Benutzerdefinierte Attribute mit Ausweisdokumenten, Zahlungsdaten oder anderen personenbezogenen Daten lassen sich kennzeichnen, damit sie denselben Regeln folgen, und die Seite Zugriff zeigt für jede Person, welche Konversationen sie sieht und wie sie jede Art von Daten sieht. Dateien mit einem Ausweisdokument oder anderen personenbezogenen Daten lassen sich aus dem Thread oder per Regel kennzeichnen und folgen dann derselben Freigabe: je nach Rolle angezeigt, maskiert oder verborgen, nie an einen KI-Anbieter gesendet, in Exporten nur für Personen aufgeführt, die sie sehen dürfen, und nach der Aufbewahrungsfrist gelöscht, die der Workspace für Ausweisdokumente festlegt.
Audit
Jede Änderung hält fest, wer, was, vorher und nachher. Das Aufdecken eines maskierten Werts ist eine eigene Berechtigung und schreibt einen eigenen Audit-Eintrag mit optionaler Begründung, und die Seite Sicherheitsrichtlinie listet auf, wer in den letzten 30 Tagen was aufgedeckt hat, verlinkt mit dem Audit-Log. Wenn die eigene Website eines Kunden bei der Anmeldung Namen oder E-Mail-Adresse eines Kontakts aktualisiert oder einen früheren anonymen Chat zusammenführt, wird die Änderung protokolliert und beim Kontakt angezeigt. Jede eingehende E-Mail wird außerdem genau so aufbewahrt, wie sie ankam, standardmäßig 90 Tage (eine Einstellung des Workspaces), und sofort gelöscht, wenn der Kontakt gelöscht wird; eine Kopie herunterladen kann nur, wer Posteingänge verwaltet und die ganze Nachricht im Klartext lesen darf, und jeder Download wird im Audit-Log festgehalten.
Verschlüsselung
Kanal-Zugangsdaten, SSO-Secrets, Schlüssel von KI-Anbietern und Tokens werden im Ruhezustand mit Envelope Encryption verschlüsselt und nach dem Speichern nie wieder angezeigt. Bei der Übertragung wird überall TLS verwendet.
Website-Chat
Welche Websites den Chat eines Workspace anzeigen dürfen, setzt der Browser selbst durch. Ein Besucher wird erst dann zum Kontakt, wenn es eine Konversation gibt: Ein anonymer Besucher ist nur über ein zufälliges Token in seinem Browser bekannt, ohne Browser-Fingerprinting, und ein angemeldeter Besucher, für dessen Identität seine Website bürgt, wird als Chat-Sitzung geführt, nicht als Kontakt, bis er schreibt, ein Agent einen Chat mit ihm beginnt oder er eine E-Mail-Adresse hinterlässt; eine Sitzung, die 30 Tage lang nicht gesehen wurde (die Frist ist eine Workspace-Einstellung), wird gelöscht. Der Browsing-Kontext wird nur mit der ersten Nachricht gesendet. Die Website eines Kunden identifiziert angemeldete Besucher mit einer Signatur ihres eigenen Servers, und eine in den Chat eingegebene E-Mail-Adresse verknüpft nie von sich aus zwei Personen. Jeder Workspace entscheidet, ob IP-Adressen von Besuchern vollständig, gekürzt oder gar nicht gespeichert werden.
KI-Assistenz
Deaktiviert, bis ein Administrator sie aktiviert, mit dem kostenlosen KI-Kontingent von Kommio Cloud oder mit dem eigenen Anbieterschlüssel des Workspace. Gesendet wird nur, was eine Aufgabe braucht: aktuelle Nachrichten, der Name des Kunden und E-Mail-Adressen oder Telefonnummern nur, wenn die anfragende Person sie sehen darf. Zahlungs- und Ausweisfelder, in Nachrichten eingegebene Kartennummern, private Notizen bei Antwortvorschlägen und benutzerdefinierte Attribute werden nie gesendet. Kommio speichert weder Prompts noch Antworten, nur Nutzungszahlen für das Budget. Der optionale KI-Agent antwortet nur aus Ihrer Wissensdatenbank, zeigt Kunden nie interne Inhalte, erhält keine E-Mail-Adressen oder Telefonnummern von Kontakten und übergibt an einen Menschen, wenn er unsicher ist.
Vertrauen bei ein- und ausgehendem Verkehr
Webhooks von Anbietern werden vor dem Parsen per Signatur verifiziert. Ausgehende Anfragen an von Kunden angegebene URLs (Webhooks, Bots, Apps, KI-Anbieter) laufen über einen einzigen SSRF-sicheren Client, der private Adressbereiche ablehnt und Größe wie Dauer begrenzt. Ausgehende Webhooks, Bot-Zustellungen und App-Hooks werden signiert. HTML-Inhalte von E-Mails werden beim Schreiben und erneut beim Rendern bereinigt. Selbst gehostete Installationen können jede hochgeladene oder empfangene Datei vor dem Speichern von ClamAV prüfen lassen: Eine erkannte Datei wird abgelehnt oder durch einen Platzhalter ersetzt und nie ausgeliefert. Das ist standardmäßig aus, und Kommio Cloud prüft Dateien noch nicht.
Browser
Die Agenten-App wird mit einer strikten Content Security Policy ausgeliefert: Skripte, Schriften und Verbindungen nur vom selben Ursprung, keine Frames oder Objekte, und sie lässt sich nicht einbetten. App-Panels laufen in sandboxed iframes mit einem signierten, kurzlebigen Kontext.
Betrieb
Datenbankrollen nach dem Prinzip der geringsten Rechte, Abhängigkeits- und Container-Scans bei jeder Änderung, Releases, die erst ausgeliefert werden, wenn die gesamte Testsuite besteht und ein Upgrade von den vorherigen Releases geprobt wurde, und ein dokumentierter Offenlegungsprozess. Die Kommio Cloud wird ohne Ausfallzeit ausgerollt: Die neue Version startet neben der alten und übernimmt, sobald sie bereit ist. Selbst gehostete Installationen haben eingebaute Backups, standardmäßig aus, die nach Zeitplan einen verschlüsselten Datenbank-Dump und die gespeicherten Dateien auf eine Festplatte oder in einen Bucket schreiben; der Verschlüsselungsschlüssel ist nie Teil eines Backups. In der Kommio Cloud ist die Registrierung pro Adresse und E-Mail-Domain ratenbegrenzt, und Wegwerf-E-Mail-Adressen werden abgelehnt. Selbst gehostete Backups werden jede Woche in eine Testdatenbank wiederhergestellt und geprüft, mit einer Warnung, wenn das nicht gelungen ist, und können zusätzlich an einen offline verwahrten Treuhandschlüssel verschlüsselt werden.
Eine Schwachstelle melden
Schreiben Sie an [email protected]. Wir bestätigen den Eingang innerhalb von zwei Werktagen und halten Sie auf dem Laufenden, bis das Problem behoben ist.