Sicherheit und Compliance

Diese Seite beschreibt, welche Schutzmaßnahmen wir betreiben und welche bei dir bleiben. Wenn du eine Sicherheitsprüfung machst, frag zusätzlich die aktuellen Nachweise bei uns an — hier steht das Modell, nicht der Prüfstatus.

Wie Zugriff geregelt ist

Bereich	Wie es funktioniert
Anmeldung	Anmeldung im Browser, gebunden an deine Organisation. gh0stcli sieht dein Passwort nie.
Berechtigungen	Jede Aktion wird vorher gegen deine Rolle und die Limits deines Kontos geprüft.
Secrets	Secret-Werte liegen außerhalb von Git und werden nur über ihren Namen referenziert. gh0stcli kann ein Secret schreiben, ohne dass der Wert im Gespräch auftaucht.
Schutzregeln	Was deine Workloads zur Laufzeit dürfen, ist durch Plattformregeln begrenzt, die du nicht stillschweigend überschreiten kannst.
Deployments	Anwendungsänderungen liegen versioniert in Git und werden von dort übernommen, nicht von Hand angewendet.
Nachvollziehbarkeit	Git-Historie, Portal-Zustand und Anfragen zeigen, was wann geändert wurde.

Was uns gehört und was dir

Bereich	gh0stservice	Du
Betrieb der Plattform	Bei uns	—
Updates und Patches der Plattform	Bei uns	—
Schutzregeln und Kontolimits	Wir legen sie fest und setzen sie durch	Du prüfst sie und beantragst Änderungen
Dein Anwendungscode	—	Bei dir
Abhängigkeiten und Images deiner Anwendung	—	Bei dir, sofern nichts anderes vereinbart ist
Secret-Werte	Wir stellen den Mechanismus	Dir gehören die Werte und der Umgang damit
Betrieb deiner Anwendung	Je nach Modell	Je nach Modell

Für Sicherheitsprüfungen und Audits

Frag die aktuelle Sicherheitsdokumentation, die Liste der Unterauftragnehmer und die Bedingungen zur Auftragsverarbeitung direkt bei uns an. Diese Unterlagen werden als Nachweise gepflegt und aktuell gehalten. Eine Dokumentationsseite ist der falsche Ort für Prüfstatus, Testzyklen oder Datenstandorte — sie lässt sich nicht so aktuell halten, dass man sich darauf verlassen könnte.

Verbindlich sind dein Vertrag und die Vereinbarung zur Auftragsverarbeitung.