Datensicherheit
Eine Teilezeichnung sagt mehr über Ihr Geschäft aus als Ihre Website. Deshalb ist der Schutz von Dateien bei uns kein Absatz in den Bedingungen, sondern die Bauweise des Systems. Unten zeigen wir genau, welcher Mechanismus was leistet.
Beispieldaten
01Weg der Datei
Fünf Abschnitte im Leben einer Datei und die Absicherung, die jeden davon abdeckt. Keiner davon ist eine Einstellung, die man einschalten müsste: So verhält sich das System von Haus aus.
Die Datei geht über eine verschlüsselte Verbindung direkt vom Browser des Kunden in den Objektspeicher. Sie passiert unseren Anwendungsserver nicht und liegt unterwegs zu keinem Zeitpunkt im Klartext.
Jede hochgeladene Datei bekommt ihren eigenen, frisch erzeugten AES-256-Schlüssel, der nur diese Datei und ihre 3D-Vorschauen verschlüsselt. Die Datei kommt bereits verschlüsselt im Speicher an.
Der Dateischlüssel ist mit einem Hauptschlüssel versiegelt, der ausschließlich auf unserem Anwendungsserver liegt. Der Speicheranbieter hat ihn nicht, deshalb genügen die Festplatten des Speichers allein nicht, um irgendetwas zu lesen.
Der Browser bekommt keinen Link in den Speicher, sondern einen signierten Link auf unsere API, 15 Minuten gültig. Im Panel funktioniert er zusätzlich nur in Ihrer angemeldeten Sitzung.
Die Datei einer Kalkulation, aus der nie ein Auftrag wurde, ist nach 90 Tagen weg, ein Upload, den niemand abgeschlossen hat, nach sechs Stunden. Wir löschen das Objekt selbst, nicht nur die Zeile in der Datenbank.
Der letzte Abschnitt wird am leichtesten übersehen: Daten, die es nicht mehr gibt, sind die einzigen, die niemand mitnehmen kann. Deshalb ist Löschen hier eine Aufgabe, die das System jede Stunde von selbst erledigt, und keine Absichtserklärung.
02Verschlüsselung
Derselbe Auftrag aus drei Blickwinkeln. Schalten Sie um und sehen Sie, was jeder davon lesen kann.
Sie sehen alles: die Datei mit 3D-Vorschau und die Kontaktdaten des Kunden.
Beispieldaten
STEP- und IGES-Modelle, PDF- und DXF-Zeichnungen, Scans und die erzeugten 3D-Vorschauen sind im Speicher mit AES-256 verschlüsselt, mit einem eigenen Schlüssel für jede hochgeladene Datei.
Der Speicheranbieter hat keinen Schlüssel. Die Festplatten des Speichers allein genügen nicht, um eine Datei zu lesen.
Name, Firma, E-Mail, Telefon, Lieferanschrift und Hinweise werden von der Anwendung verschlüsselt, bevor sie die Datenbank erreichen. Die Datenbank sieht den Schlüssel nie.
In einer Kopie der Datenbank sind diese Felder ohne den Schlüssel der Anwendung unlesbar.
Wir geben keine Links aus, mit denen sich eine Datei direkt aus dem Speicher laden ließe. Jeder Download läuft über unsere API, gegen ein kurzlebiges signiertes Token mit eigenem Geltungsbereich und eigener Ablaufzeit.
Ein Datei-Token lässt sich nicht als Sitzung verwenden und umgekehrt. Die Geltungsbereiche sind getrennt und nicht austauschbar.
Panel, Widget, gehostete Seiten und API laufen ausschließlich über HTTPS, mit einem HSTS-Header über ein Jahr und über alle Subdomains.
Nach dem ersten Besuch verweigert der Browser selbst jede unverschlüsselte Verbindung.
Der nächtliche Datenbank-Dump wird auf unserem Server mit AES-256 verschlüsselt, bevor er ihn verlässt, und nach Anzahl statt nach Kalender rotiert. Eine Kopie im Klartext landet nie auf der Festplatte.
Ein eigener Befehl stellt die neueste Kopie tatsächlich wieder her und vergleicht ihre Zeilenzahlen mit der Produktion.
Passwörter werden mit Argon2 gehasht. Sitzungen sind signierte Token mit einer Generationsnummer: Ein zurückgesetztes Passwort, eine Abmeldung und ein neues Passwort, das der Inhaber für einen Mitarbeiter setzt, entwerten sofort jedes zuvor ausgegebene Token.
Das Sitzungs-Cookie ist HttpOnly, Secure und SameSite, kein Skript auf der Seite kann es lesen.
03Grenzen
04Aufbewahrung
Drei Uhren, jede für eine andere Lage. Alle laufen von selbst: Das System prüft sie jede Stunde.
Der Kunde hat begonnen, eine Datei hochzuladen, und nie beendet. Das Objekt ist nach sechs Stunden weg, ohne die volle Aufbewahrungsfrist abzuwarten.
gelöschtEine von Hand gelöschte Kalkulation oder ein gelöschter Auftrag liegt im Papierkorb und lässt sich samt Datei wiederherstellen. Danach sind beide weg.
gelöschtDie Datei einer Kalkulation, aus der nie ein Auftrag wurde, wird samt Vorschauen aus dem Speicher gelöscht. Die Kalkulation selbst bleibt: die Zahlen, nicht die Geometrie.
gelöschtDateien von Kalkulationen, aus denen Aufträge wurden, bleiben, weil der Betrieb sie für die Fertigung braucht. Sie können einen Auftrag und seine Kalkulation über den Papierkorb löschen - nach 30 Tagen sind sie endgültig weg -, und mit dem Konto verschwinden sie mit.
05Zugriff
Eine kurze Liste, denn eine längere wäre die falsche Antwort.
Daten Ihres Betriebs
Kalkulationen und Dateien der Kunden
Konfiguration des Betriebs
Welche Reiter jeder Mitarbeiter sieht, legen Sie selbst fest.
Er öffnet sie über einen nicht erratbaren Link oder über die Nummer mit dem Code aus seiner E-Mail.
Der Zugriff auf ein Betriebskonto und jeder Datei-Download landen im Protokoll.
Der Dateispeicher hält nur Chiffretext, ohne Schlüssel: 13b6 d4b0 408c ea83…
Ein Betriebskonto hat einen Inhaber und Mitarbeiter. Der Inhaber entscheidet, welche Reiter des Panels jeder Mitarbeiter sieht. Die Einstellungen samt Benutzerverwaltung gehören allein dem Inhaber.
Er sieht nur seine eigene Kalkulation und seine eigene Datei - über eine nicht erratbare Id oder über die Nummer mit dem Zugangscode aus seiner E-Mail, geschützt durch ein Limit an Versuchen. Von dort führt kein Weg zur Kalkulationsliste des Betriebs oder zu den Dateien anderer Kunden.
Nur namentlich benannte, berechtigte Personen: um einen Vorgang zu bearbeiten, eine Störung zu diagnostizieren und zu prüfen, ob die Engine ein Teil richtig gelesen und richtig bepreist hat. Dieser letzte Zweck dient allein dem Betrieb und der Weiterentwicklung der Plattform; eine Verschwiegenheitsverpflichtung und die Nutzungsbedingungen verbieten es, das dabei Erfahrene zur Fertigung von Teilen oder für irgendetwas zu nutzen, das mit Ihnen im Wettbewerb steht. Die Anmeldung am Plattform-Panel verlangt Passwort plus Einmalcode per E-Mail, das Konto sperrt nach einer Reihe fehlgeschlagener Versuche, der Zugriff auf ein Betriebskonto landet in einem Ereignisprotokoll, und jeder Download einer Kundendatei wird festgehalten, bevor das erste Byte hinausgeht.
Der Speicheranbieter verwahrt Dateien nur verschlüsselt und hat keinen Schlüssel. Unsere übrigen Unterauftragnehmer, aufgeführt in der Datenschutzerklärung, erhalten keine CAD-Dateien.
06Infrastruktur und Compliance
Die gesamte Infrastruktur, also Anwendung, Datenbank, Dateispeicher und Sicherungen, läuft in der Europäischen Union. Ihre Dateien verlassen den EWR nicht.
Für die Daten Ihrer Endkunden sind Sie Verantwortlicher und wir Auftragsverarbeiter. Der Vertrag nach Art. 28 DSGVO ist Teil der Bedingungen, es ist also nichts separat zu verhandeln.
Anmeldung und Registrierung sind durch eine reCAPTCHA-Prüfung geschützt, Uploads durch Frequenzlimits und ein tägliches Kalkulationslimit. Genau diese begrenzen die Kosten, wenn jemand massenhaft Müll hochlädt.
PDF- und STEP-Dateien und Fotos von Zeichnungen prüfen wir nicht nur an der Endung, sondern an den ersten Bytes, und die Analyse jeder Datei hat eine harte Grenze für Zeit und Speicher. Ein Archiv, ein Office-Dokument oder ein Programm, das sich als eine solche Datei ausgibt, wird abgewiesen, bevor irgendein Parser es anfasst.
HSTS, eine Content Security Policy, abgeschaltetes MIME-Sniffing und eine eingeschränkte Referrer-Policy auf allen Domains. Das Plattform-Panel ist von der öffentlichen API getrennt.
Die Anwendung läuft in Containern ohne Administratorrechte, auf einem schreibgeschützten Dateisystem und ohne unnötige Kernel-Privilegien.
07Fragen
Auch die, deren ehrliche Antwort uns nicht schmeichelt.
Das Kalkulieren läuft automatisch, und bei der großen Mehrheit der Dateien öffnet sie niemand aus unserem Team. Namentlich benannte, berechtigte Personen haben aber Zugriff darauf und nutzen ihn in drei Fällen: wenn Sie ein Problem mit einer Kalkulation melden, wenn die Engine einen Fehler meldet, der diagnostiziert werden muss, und wenn wir prüfen, ob die Engine das Teil richtig gelesen hat und ihr Preis dem standhält, den Ihre Arbeitsvorbereitung freigegeben hat. Aus Letzterem entsteht die Kalkulationsgenauigkeit, Ihre und die aller anderen. Diese Personen sind zur Verschwiegenheit verpflichtet, und die Nutzungsbedingungen verbieten es uns, Ihre Dateien zur Fertigung von Teilen, zum Wettbewerb mit Ihnen oder zur Vermittlung von Zerspanungsaufträgen an irgendjemanden zu nutzen. Die Konten unseres Teams verlangen Passwort plus Einmalcode per E-Mail, der Zugriff auf Ihr Betriebskonto wird in einem Ereignisprotokoll festgehalten und jeder Download Ihrer Datei durch unser Team in einem Zugriffsprotokoll.
Die Kalkulations-Engine ist ein deterministisches geometrisches und Kostenmodell, kein Modell, das an den Teilen anderer Leute trainiert wurde. Die Kalibrierung wirkt nur auf Ihre eigenen Kalkulationen und verlässt Ihr Konto nie. Ihre Dateien erreichen keinen externen Dienst und keinen Anbieter künstlicher Intelligenz; das Auslesen von Text aus gescannten Zeichnungen läuft lokal auf unserem Server. Wir arbeiten an einem eigenen Modell, das PDF-Zeichnungen besser liest. Es würde ausschließlich auf unserer Infrastruktur laufen, und die Dateien eines bestimmten Betriebs könnten nur mit dessen gesonderter, jederzeit widerruflicher Einwilligung in seine Entwicklung einfließen. Bis dahin passiert nichts dergleichen, und eine verweigerte Einwilligung wird die Qualität Ihrer Kalkulationen niemals beeinflussen.
Die Dateien würden unlesbar, auch für uns, denn der Speicheranbieter hat keine Kopie des Schlüssels. Das ist ein bewusster Tausch: Entweder gehört der Schlüssel allein uns und niemand von außen kann etwas lesen, oder jemand anderes hat ihn auch, und dann stimmt „niemand von außen“ nicht mehr. Sicherungskopien der Schlüssel bewahren wir außerhalb des Servers auf.
Nein, und wir sagen das lieber klar, als uns hinter einer Allgemeinheit zu verstecken. Zertifizierung ist ein Auditverfahren, das wir noch nicht durchlaufen haben. Diese Seite beschreibt Mechanismen, die im Produkt tatsächlich laufen, und jeden davon können wir auf Anfrage im Rahmen des Auftragsverarbeitungsvertrags belegen. Wenn Ihr Einkauf einen Sicherheitsfragebogen braucht, füllen wir ihn aus.
Nein. Eine Kalkulation ist nur über eine nicht erratbare Id erreichbar oder über ihre Nummer mit einem Zugangscode, dessen Erraten ein Limit an Versuchen verhindert. Zudem wird jede Abfrage nach Daten eines Betriebs nach dessen Konto gefiltert: entnommen aus der Sitzung oder dem Widget-Schlüssel, nie aus dem, was der Kunde in die Adresszeile geschrieben hat.
Sie nehmen Ihre Daten mit: Kalkulationen exportieren Sie aus dem Panel als CSV, die Preisliste als JSON oder CSV. Nach der Löschung des Kontos löschen wir seine Kalkulationen, Aufträge und Dateien, auch im Speicher. Es bleiben die Aufzeichnungen, die Steuer- und Handelsrecht uns aufzubewahren vorschreiben; wie lange andere Daten aufbewahrt werden, regelt die Datenschutzerklärung.
Die Datei selbst wird gebraucht, um das Teil zu bepreisen und Ihrer Arbeitsvorbereitung die Prüfung zu ermöglichen, ob die Engine sie richtig gelesen hat. Sie können aber jede Kalkulation in den Papierkorb verschieben, sobald Sie sie bearbeitet haben - ihre Datei ist dann nach 30 Tagen weg -, und wenn Sie es nicht tun, erledigt es die Aufbewahrungsfrist für Sie. Auf Ihren Wunsch löschen wir Dateien früher, spätestens innerhalb von 7 Tagen.
Schreiben Sie an contact@metronq.com mit Beschreibung und Reproduktionsschritten. Solche Meldungen bearbeiten wir zuerst, wir verfolgen niemanden, der in gutem Glauben meldet, und wir informieren Betriebe ohne unangemessene Verzögerung über eine Verletzung, die ihre Dateien betrifft.
Schreiben Sie uns. Die Antwort kommt von dem Team, das dieses System gebaut hat, und nicht von einem Servicedesk, der die Bedingungen vorliest. Ihren Sicherheitsfragebogen füllen wir gern aus.
Oder starten Sie den kostenlosen Test