Trust Center

Alles, was eine Sicherheitsbewertung über Kennmarq.com wissen will, an einem Ort: wo Ihre Daten liegen, wie Schlüssel geschützt sind, wer sonst Daten verarbeitet und wie Sie unsere Arbeit unabhängig überprüfen.

Wo Daten liegen

Zürich (AWS eu-central-2): alles, was aufbewahrt wird. Die Datenbank, Uploads, dauerhafte Content Credentials, das Transparenzprotokoll, die Signaturschlüssel sowie der Markierungsdienst und der Zeitstempelserver, die keine öffentliche Adresse haben.
Frankfurt (AWS eu-central-1): der Zugangspunkt der API, hinter CloudFront. Anfragen durchlaufen ihn im Arbeitsspeicher auf dem Weg nach Zürich; er bewahrt nichts auf. Datenbanksicherungen werden hierher kopiert.
Irland (AWS eu-west-1): die Statusseite, die von außerhalb des Dienstes prüft. Sie enthält keine Kundendaten.

Bilder und Songs werden für einen Aufruf im Arbeitsspeicher gelesen und nirgends aufbewahrt; markierte Clips warten einen Tag darauf, dass Sie sie herunterladen. Im lokalen Modus bleiben Dateien auf Ihrem Rechner: Nur ein Manifest von etwa 13 KB kommt zu uns. Die Datenschutzerklärung führt alles auf, was wir aufbewahren, und wie lange.

Verschlüsselung und Schlüssel

Überall TLS 1.2 oder neuer: zwischen Ihnen und uns sowie zwischen unseren Diensten und der Datenbank.
Speicher, Datenbank und deren Sicherungen sind im Ruhezustand verschlüsselt; Secrets liegen in AWS Systems Manager, mit KMS verschlüsselt.
Sieben Schlüssel in AWS KMS, nie exportiert: zwei Wurzelschlüssel (P-384), die Live- und Test-Signaturschlüssel, der Zeitstempelschlüssel, der Schlüssel des Protokolls und der Schlüssel des Prüfdienstes (P-256). Unsere Zertifikatsketten sind veröffentlicht.
Unser Signaturdienst akzeptiert nur, was eine Markierung von Kennmarq.com trägt (KI-Quelltypen, unseren eigenen Generator, keine Vorschaubilder), mit einer festen Zahl von Signaturen pro Aufruf, damit sich unsere Signatur nicht unter andere Claims setzen lässt.

Zugriff

Jede Funktion hat eine eigene Rolle mit nur den Rechten, die sie braucht.
Der Markierungsdienst und der Zeitstempelserver haben keine URL: Nur die Rolle der API kann sie aufrufen, über die AWS-API.
Die Datenbank lässt die App nur mit kurzlebigen IAM-Tokens über verifiziertes TLS zu; in der App gibt es kein Datenbankpasswort.
Administrativer Zugriff erfolgt über einen einzigen IAM-Benutzer mit Multi-Faktor-Authentifizierung; der Root-Benutzer des Kontos bleibt Kontoaufgaben vorbehalten.
Auf Ihrer Seite: Organisationen mit fünf Rollen, Test- und Live-Schlüssel mit Berechtigungen, IP-Allowlists und ein Audit-Log, das sich nicht bearbeiten lässt, im Transparenzprotokoll verankert ist und sich als CSV oder JSON exportieren lässt.

Integrität, die Sie prüfen können

Jede Signatur, jeder Zeitstempel und jedes signierte Ergebnis des Prüfdienstes wird an ein öffentliches Merkle-Protokoll angehängt, mit einer Wurzel, die stündlich signiert wird, solange es wächst. Alle können einen Beweis dafür anfordern, dass ein Eintrag enthalten ist und dass das Protokoll nur wächst: das Transparenzprotokoll und seine API. Nichts lässt sich am Protokoll vorbei signieren oder rückdatieren, ohne dass es auffällt.

Verfügbarkeit

Die Statusseite prüft jede Minute die Website, die API, das Signieren, das Protokoll und den Prüfdienst, aus einer Region, in der der Dienst nicht läuft, mit einem Verlauf von 90 Tagen.
Das Markieren ist auf Fail-closed ausgelegt: Eine Datei, die nicht genau wie verlangt markiert ist, wird nie zurückgegeben, und nichts wird berechnet.
Datenbank: Point-in-Time-Wiederherstellung für 7 Tage, mit Kopien in einer zweiten Region.
API v1 ist eingefroren: nur Ergänzungen und 12 Monate Vorankündigung vor jeder inkompatiblen Änderung. Jede Änderung steht im Änderungsprotokoll.

Software

Jede Abhängigkeit ist auf eine exakte Version festgelegt und jedes Container-Image auf einen Digest; Updates werden geprüft, bevor sie ausgeliefert werden.
Container-Images werden beim Pushen auf bekannte Sicherheitslücken gescannt.
Software-Stücklisten (CycloneDX) für die Web-App und die API sowie für den Markierungsdienst und den Zeitstempelserver.
Vor jedem Release: die automatisierten Tests jedes Teils (rund 650) und ein End-to-End-Lauf gegen alle drei Dienste zusammen, mit echten Signaturen, Zeitstempeln und Wasserzeichen.

Sicherheitsfragebogen

Kurze Antworten auf das, was Sicherheitsfragebögen am häufigsten fragen. Schreiben Sie uns zu allem, was diese Antworten nicht abdecken.

Wer sind Sie?: Kennmarq.com wird von Neuramare (Angelo Lamonaca, Einzelunternehmen) in Baar, Schweiz, entwickelt und betrieben, mit automatischer Überwachung und Alarmierung rund um die Uhr.
Wo werden Kundendaten gespeichert?: In AWS Zürich (eu-central-2). Datenbanksicherungen werden nach AWS Frankfurt kopiert. Anderswo wird nichts gespeichert.
Speichern Sie unsere Dateien?: Nein. Bilder und Songs werden im Arbeitsspeicher markiert und nie gespeichert. Uploads warten in Zürich, bis sie verwendet werden, höchstens eine Stunde, und markierte Clips einen Tag lang, damit Sie sie herunterladen können.
Werden Daten verschlüsselt?: Bei der Übertragung mit TLS 1.2 oder neuer; im Ruhezustand mit AES-256 (Datenbank, Sicherungen, Speicher); Secrets mit AWS KMS.
Wie werden Signaturschlüssel geschützt?: Sie werden in AWS KMS erstellt (nach FIPS 140 validierte Hardware) und nie exportiert; Signieren ist ein KMS-Aufruf, pro Anfrage begrenzt.
Wer hat Zugriff auf die Produktion?: Nur der Administrator von Neuramare, über AWS IAM mit Multi-Faktor-Authentifizierung. Die Rolle jedes Dienstes erreicht nur, was sie braucht.
Setzen Sie Unterauftragsverarbeiter ein?: Drei: AWS (Hosting), Stripe (Zahlungen) und Proton (die E-Mails, die Sie uns senden). Die Liste.
Haben Sie einen Auftragsverarbeitungsvertrag (AVV)?: Ja, online, nach Art. 28 DSGVO und dem Schweizer DSG, mit Meldung von Datenschutzverletzungen innerhalb von 48 Stunden.
Sind Sie zertifiziert?: Wir selbst sind nicht nach SOC 2 oder ISO 27001 zertifiziert; AWS hat beide Zertifizierungen für die Infrastruktur, auf der wir laufen. Diese Seite und das öffentliche Transparenzprotokoll dokumentieren unsere Kontrollen.
Protokollieren Sie personenbezogene Daten?: Unsere Logs enthalten IDs von Anfragen und Schlüsseln sowie Laufzeiten und werden 30 Tage aufbewahrt; keine Dateiinhalte, keine IP-Adressen. Das Audit-Log hält fest, wer in einer Organisation was geändert hat, mit der IP-Adresse.
Woher wissen wir, dass Sie nur signieren, was Sie angeben?: Jede Signatur und jeder Zeitstempel kommt in ein öffentliches, nur erweiterbares Transparenzprotokoll mit signierten Wurzeln. Alle können es prüfen.
Was passiert, wenn es Sie nicht mehr gibt?: Markierungen bleiben auch ohne uns gültig und lesbar: C2PA und IPTC sind offene Standards, TrustMark, Video Seal und AudioSeal sind Open Source, und unsere Zertifikatsketten sind öffentlich.
Sicherungen und Wiederherstellung?: Point-in-Time-Wiederherstellung der Datenbank auf jede Sekunde der letzten 7 Tage, mit Kopien in einer zweiten Region.
Wie gehen Sie mit Vorfällen um?: Wir stellen zuerst den Dienst wieder her, informieren betroffene Kunden und berichten auf der Statusseite; eine Verletzung des Schutzes personenbezogener Daten melden wir innerhalb von 48 Stunden.

Dokumente

Unsere einzige Domain

kennmarq.com ist unsere einzige Domain: Wir nutzen nie eine andere, um Ihnen E-Mails zu senden, Sie anzumelden oder Ihnen Rechnungen zu stellen. Automatische E-Mails kommen von mailer.kennmarq.com. Eine Website, eine E-Mail oder eine Rechnung, die sich von anderswo als Kennmarq.com ausgibt, stammt nicht von uns: Geben Sie dort kein Passwort und keinen Schlüssel ein, und melden Sie es uns unter security@kennmarq.com.

Eine Sicherheitslücke melden

Schreiben Sie an security@kennmarq.com (die Adresse steht auch in unserer security.txt). Wir bestätigen den Eingang innerhalb von zwei Arbeitstagen und halten Sie auf dem Laufenden, bis die Lücke behoben ist. Wenn Sie in gutem Glauben handeln, nur mit Ihrem eigenen Konto und Ihren eigenen Daten testen, den Dienst für andere nicht beeinträchtigen und uns vor einer Veröffentlichung angemessen Zeit zur Behebung geben, gehen wir nicht gegen Sie vor. Wir betreiben kein bezahltes Bug-Bounty-Programm; Meldende, die genannt werden möchten, nennen wir gern.