Sicherheit · Nachweise
Sicherheit, die Sie nachprüfen können
Wir prüfen Complass selbst, laufend und nachvollziehbar dokumentiert. Was unabhängige Dienste von außen messen, können Sie mit einem Klick selbst nachprüfen.
Stand: 04.11.2026 · Version 2.37
Von unabhängigen Diensten gemessen
Diese Ergebnisse liefern öffentliche Prüfdienste, nicht wir. Der Link zeigt jeweils das aktuelle Ergebnis des Dienstes.
-
Qualys SSL Labs A+
- Nur TLS 1.2 und 1.3
- HSTS für ein Jahr, inkl. Subdomains
- Zertifikat gültig, automatisch erneuert
-
Mozilla HTTP Observatory A+
- 12/12 Tests
- Strenge Content-Security-Policy
- Schutz vor Einbetten in fremde Seiten
- Sichere Cookies
-
security.txt nach RFC 9116 vorhanden
- Fester Kontakt für Sicherheitsmeldungen
- Gültig bis 28.09.2027
- Deutsch und Englisch
Die Noten zeigen unseren Stand vom 04.11.2026. Die Dienste messen öffentlich erreichbare Eigenschaften unserer Website. Sie arbeiten nicht in unserem Auftrag und vergeben kein Siegel.
Unsere eigenen Prüfungen
Wir prüfen uns selbst, mit eigenen Werkzeugen und ohne externe Berater. Das sagen wir offen, denn es bedeutet: Wir prüfen nicht einmal im Jahr, sondern bei jeder Änderung.
-
OWASP ASVS 5.0 Level 1 bis 3 · Selbstbewertung
- Level 1
- 98 % Level 2
- 88 % Level 3
Jede Anforderung einzeln gegen Code und Betrieb bewertet. Ein Level nennen wir erst erfüllt, wenn alles umgesetzt ist.
Begründete Ausnahmen (nicht als erfüllt gezählt)
-
Gültigkeit der App-Codes (V6.5.5, Level 2): ein Code gilt bis zu 60 statt 30 Sekunden, ein Zeitschritt Nachlauf für Codes, die während der Eingabe ablaufen.
Warum?
Ein App-Code wechselt alle 30 Sekunden. Läuft er ab, während jemand ihn eintippt, wurde die Anmeldung bisher abgelehnt. Deshalb nehmen wir zusätzlich den unmittelbar vorherigen Code an, wie es der Standard RFC 6238 vorsieht. Jeder Code gilt weiterhin nur einmal, und nach wenigen Fehlversuchen wird die Anmeldung gesperrt.
-
Schlüssellänge fremder Anbieter (V11.2.3, Level 2): RSA-2048 von Identitätsanbietern und Passkey-Geräten – zulässig nach NIST SP 800-131A bis Ende 2030.
Warum?
Complass selbst verschlüsselt durchgängig mit mindestens 128 Bit Sicherheit (256-Bit-Schlüssel). Identitätsanbieter wie Microsoft oder Google und viele Passkey-Geräte signieren aber mit RSA-2048 (112 Bit). Diese Schlüssel akzeptieren wir gemäß NIST SP 800-131A bis Ende 2030; ab 2031 verlangen wir mindestens RSA-3072. Würden wir RSA-2048 heute ablehnen, wäre die Anmeldung per SSO und Passkey nicht mehr möglich.
-
Geheime Schlüssel ohne separaten Schlüsseltresor (V13.3.1, Level 2): Ablage als verschlüsselte Dateien auf einer eigenen Datenpartition statt in einem Tresor-Dienst.
Warum?
Geheime Schlüssel liegen verschlüsselt auf einer eigenen Datenpartition, nur lesbar für die beiden Dienste, die sie brauchen. Ein separater Schlüsseltresor bringt bei einem einzelnen Server keinen zusätzlichen Schutz.
-
Automatische Scans bei jeder Änderung
- Statische Code-Analyse
- Suche nach versehentlich gespeicherten Secrets
- Prüfung aller Fremdkomponenten auf bekannte Schwachstellen
- Stückliste der Software (SBOM)
- Dynamischer Scan der laufenden Anwendung
-
Eigener Penetrationstest automatisiert
Wir greifen die Plattform in einer Testumgebung mit Demodaten gezielt an: Mandantentrennung, Rechte, Anmeldung und Eingaben.
Letzter Test: Release 2.06, Oktober 2026
- Keine kritischen oder hohen Befunde
- 1 mittlerer und 5 niedrige Befunde, alle vor der Auslieferung behoben und nachgeprüft
-
Prüfung jeder neuen Funktion vor jeder Freigabe
- Rechte
- Mandantentrennung
- Eingaben
12.000+ automatische Tests sperren jede Auslieferung, wenn einer fehlschlägt.
Was ist OWASP ASVS, und was bedeuten Level 1, 2 und 3?
Der Standard
Der Application Security Verification Standard (ASVS) ist ein offener Prüfstandard der gemeinnützigen OWASP Foundation. Er legt in mehreren hundert einzelnen Anforderungen fest, was eine sichere Webanwendung leisten muss: von Anmeldung, Sessions und Rechten über die Prüfung von Eingaben bis zu Verschlüsselung und Logging. Die aktuelle Version 5.0 ist 2025 erschienen.
Die drei Level
- Level 1
- Grundschutz gegen naheliegende, leicht auszunutzende Angriffe. Die Mindeststufe für jede Anwendung.
- Level 2
- Der Standard für Anwendungen mit sensiblen oder geschäftskritischen Daten, etwa personenbezogenen Daten oder Unterlagen zur Informationssicherheit. Baut auf Level 1 auf.
- Level 3
- Die höchste Stufe für besonders kritische Systeme. Baut auf Level 2 auf.
Unser Stand
OWASP ASVS 5.0: Level 1 vollständig umgesetzt · Level 2 98 % · Level 3 88 % (Selbstbewertung, Stand 04.11.2026). Dazu ein automatisierter Pentest am 24.10.2026. Drei begründete Ausnahmen, offen ausgewiesen. So zählen wir
Wir haben jede Anforderung der Level 1 und 2 einzeln gegen den Code und den Betrieb von Complass bewertet und je Anforderung einen Beleg festgehalten. Die Bewertung wiederholen wir vollständig je Hauptversion; bei jedem Release prüfen wir die betroffenen Anforderungen erneut.
Wir erfüllen den Sicherheitsstandard OWASP ASVS Level 2 bis auf wenige, offen ausgewiesene Ausnahmen. Wo es Ihre Daten zusätzlich schützt, erfüllen wir auch Anforderungen der höchsten Stufe, Level 3. Dazu gehören etwa Passkeys für das Complass-Team, ein Test der Mandantentrennung über jede Route und ein Protokoll der API-Lesezugriffe.
Was es nicht ist
Kein Zertifikat: OWASP stellt keine Zertifikate aus und prüft Anwendungen nicht selbst. Unsere Angabe ist eine Selbstbewertung durch Complass.
Die ausführliche Zuordnung je Anforderung mit Umsetzung, Nachweis und Prüfschritten enthält unser Sicherheitsdossier, das Kunden und Interessenten nach Abschluss einer Vertraulichkeitsvereinbarung erhalten. Schreiben Sie uns an info@complass.eu, Betreff „Sicherheitsdossier“.
Ergebnis in Kürze
Wir veröffentlichen eine knappe Zusammenfassung. Einzelne Befunde nennen wir nicht öffentlich, damit niemand sie ausnutzen kann.
- Keine offenen kritischen Befunde – über alle Prüfungen bis 04.11.2026
- Jede Prüfung dokumentiert – mit Datum, Uhrzeit und geprüftem Stand, auch ohne Befund
- Hosting in Deutschland – Server der Hetzner Online GmbH
- KI-Ausfüllhilfe nur auf Wunsch – standardmäßig aus, Verarbeitung bei Amazon Web Services in der Region Frankfurt (Deutschland), ohne Training mit Ihren Daten
- Löschung wirkt auch in den Backups – eigener Backup-Schlüssel je Kunde, mit der Löschung vernichtet
Sicherheitshinweise
Derzeit gibt es keine veröffentlichten Sicherheitshinweise. Schwachstellen melden Sie an security@complass.eu (siehe security.txt).
So prüfen wir
Alle Angaben auf dieser Seite beruhen auf eigenen Prüfungen oder öffentlichen Prüfdiensten. Complass ist nicht von einer externen Stelle zertifiziert.
| Prüfart | Wer prüft | Takt |
|---|---|---|
| Bewertung nach OWASP ASVS 5.0 | Complass, Selbstbewertung | Vollständig je Hauptversion, betroffene Anforderungen je Release |
| Statische und dynamische Scans | Complass, automatisiert | Bei jeder Änderung am Code |
| Eigener Penetrationstest | Complass, Testumgebung mit Demodaten | Zuletzt Release 2.06, Oktober 2026 |
| TLS, Header, security.txt | Öffentliche Prüfdienste | Nach jedem Release, jederzeit selbst nachprüfbar |
Security-Bericht und Sicherheitsdossier anfordern
Zwei Unterlagen, je nachdem, wie tief Sie prüfen.
-
Security-Bericht ohne NDA
Für Ihre Lieferantenbewertung: Antworten auf die üblichen Fragen eines Sicherheitsfragebogens, ausgestellt auf Ihr Unternehmen.
Security-Bericht anfordern -
Dossier und Pentest-Bericht unter NDA
Für Audits und technische Prüfungen: jede Sicherheitsmaßnahme mit Umsetzung, Nachweis und Prüfschritten. Dazu der Bericht des letzten Penetrationstests (Release 2.06, Oktober 2026) mit allen Befunden im Detail.
Nach Abschluss einer Vertraulichkeitsvereinbarung.
Dossier und Pentest-Bericht anfragen
Oder per E-Mail an info@complass.eu.
Sicherheitslücke gefunden? Schreiben Sie an security@complass.eu. Hinweise zur Meldung stehen in unserer security.txt.