Wer kommt an Ihre Kundendaten?

In viel Software wird dort entschieden, wer was sehen darf, wo der Bildschirm gebaut wird. Das funktioniert, solange jeder Bildschirm es richtig macht. Vergisst eine Seite die Prüfung, stehen die Daten einer anderen Firma darauf, und Sie erfahren es, wenn jemand es meldet.

In Nermio liegt diese Grenze eine Schicht tiefer: in der Datenbank. Jede Tabelle mit Kundendaten hat Regeln darüber, welche Zeilen ein angemeldetes Konto sehen darf, und die Datenbank wendet diese Regeln auf jede einzelne Abfrage an — gleich, welcher Bildschirm oder welche Route sie stellt. Ein Fehler in der Anwendung kann also eine Fehlermeldung erzeugen, aber nicht die Daten einer anderen Organisation. Besucher ohne Konto haben auf diese Tabellen überhaupt keinen Lesezugriff.

Innerhalb Ihrer eigenen Organisation entscheiden Sie den Rest. Es gibt vier Rollen — Inhaber, Manager, Benutzer und Nur Lesen — und wer auf „Nur Lesen“ steht, kann auch über einen Seitenweg nichts ändern: es ist dieselbe Schicht, die das durchsetzt.

Ein Protokoll, das niemand bearbeiten kann

Nermio führt zwei Protokolle. Das eine hält fest, was in Ihrer Umgebung getan wird, und von wem. Das andere hält fest, was mit Konten passiert: Anmeldeversuche, das Einrichten eines zweiten Faktors, eine Passwortänderung. Sie sind getrennt, damit Sie bei einem Vorfall das eine lesen können, ohne es aus dem anderen herausfischen zu müssen.

Wichtiger ist, was man damit NICHT tun kann. Beim Aktivitätsprotokoll ist das eine Eigenschaft der Tabelle: eine Zeile zu ändern oder zu löschen weist die Datenbank ab, auch wenn die Anfrage von unserer höchsten Administratorrolle kommt. Beim Kontoprotokoll ruht das heute auf Berechtigungen und nicht auf der Tabelle selbst — dieser Unterschied gehört hierher und nicht in eine Fußnote. Beide verschwinden, wenn ihre Aufbewahrungsfrist um ist: das Aktivitätsprotokoll nach vierundzwanzig Monaten, das Kontoprotokoll nach sechs. Ein Protokoll, das der Administrator zwischendurch aufräumen kann, ist kein Protokoll.

Wir sehen Ihnen nicht still über die Schulter

Manchmal muss einer von uns in Ihre Umgebung sehen, um ein Problem zu lösen. Das geht, aber nicht unbemerkt und nicht unbegrenzt. Dazu startet ein Mitarbeiter eine Support-Sitzung und muss einen Grund angeben. Diese Sitzung hat ein Ende — fünfzehn, dreißig oder sechzig Minuten, nie offen — und schließt automatisch, wenn die Zeit um ist. Ein Mitarbeiter kann nicht zwei Sitzungen gleichzeitig offen haben, „ich war noch irgendwo angemeldet“ gibt es also nicht.

Am Anfang wird entschieden, ob die Sitzung nur lesen oder auch ändern darf; Ansehen ist die Voreinstellung. Löschen ist während einer Support-Sitzung nie möglich — dafür gibt es überhaupt keinen Weg, auch nicht mit der richtigen Rolle. Es ist auch kein Anmelden als Sie: im Protokoll steht nicht Ihr Name, sondern der des Mitarbeiters, mit der Sitzung daneben.

Und Sie können es nachlesen. Der Inhaber einer Organisation hat Lesezugriff auf seine eigene Support-Geschichte: welche Sitzungen es gab, mit welchem Grund, wann, und was in dieser Zeit in seiner Umgebung passiert ist. Das ist kein Zusatz; das ist, was einen Support-Zugriff erklärbar macht.

Anmelden

Wir bewahren Ihr Passwort nicht auf. Es geht verschlüsselt zu Supabase Auth und kann danach nicht zurückgelesen werden — nicht von uns, und nicht während einer Support-Sitzung. Ein vergessenes Passwort kann also nur zurückgesetzt werden, nie nachgesehen. Wer sich für Sie ausgibt und anruft, um sich sein Passwort vorlesen zu lassen, bekommt es nicht, weil es nicht möglich ist.

Anmelden und Passwort-Zurücksetzen haben eine Grenze: zu viele Versuche innerhalb weniger Minuten werden abgewiesen. Dieser Zähler lebt in der Datenbank und nicht im Speicher eines Servers, denn bei mehreren Servern nebeneinander würde ein Angreifer von einer Grenze kaum etwas merken.

Nach Ihrem Passwort kommt immer ein Code aus einer Authenticator-App, für jedes Konto: Ihres, das Ihrer Kollegen und das unserer eigenen Mitarbeiter. Die Prüfung gilt pro Sitzung, nicht pro Konto. Nicht „dieses Konto hat 2FA einmal eingeschaltet“, sondern „diese Sitzung ist durchgekommen“ — sonst wäre ein gestohlenes Passwort weiterhin genug.

Sie können zwei Authenticator-Apps einrichten: Ihr Telefon und ein Ersatzgerät, zum Beispiel einen Passwortmanager auf Ihrem Laptop. Das ist für den Tag da, an dem ein Telefon ins Wasser fällt. Mit einem Ersatz melden Sie sich auf dem anderen Gerät an und richten selbst ein neues Handy ein. Ohne Ersatz geht das nicht, und dann müssen Sie uns fragen: nur wir können einen zweiten Faktor wieder öffnen, nicht der Administrator Ihrer eigenen Organisation. Das ist Absicht, denn sonst ist der zweite Faktor eines ganzen Teams nur so stark wie die unachtsamste Person darin. Mehr als zwei geht nicht, aus dem umgekehrten Grund: jedes zusätzliche Gerät ist eine weitere Stelle, von der aus Ihr Konto geöffnet werden kann.

Wo Ihre Daten liegen

Auf einer Postgres-Datenbank bei Supabase, auf Servern in Frankfurt (eu-central-1), also in Deutschland und damit in der EU. Der Verkehr zwischen Ihrem Browser und Nermio läuft über eine verschlüsselte Verbindung.

Ihre Daten bleiben Ihre, und Sie holen sie selbst heraus: unter Einstellungen gibt es einen Export-Knopf pro Art, der Ihnen Ihre Firmen, Kontakte, Deals, Aufgaben, Ihre Zeitleiste und Ihre Notizen als CSV gibt. Das geht an jedem Tag, an dem Ihr Konto läuft, nicht nur beim Gehen, und jeder in Ihrem Team kann es, auch Benutzer mit Nur Lesen. Es funktioniert noch dreißig Tage, nachdem Sie aufgehört haben; etwas ändern nicht.

Was wir nicht behaupten

Nermio ist ein junges Produkt, und auf einer Sicherheitsseite ist das relevant. Wir haben keinen ISO-27001- und keinen SOC-2-Bericht und keinen externen Penetrationstest. Software, die solche Logos zeigt, ohne sie zu haben, macht genau die Sorte Behauptung, die man erst prüft, wenn etwas schiefgeht.

Was hier steht, ist also kein Zertifikat, sondern eine Beschreibung dessen, was im Programmcode und in der Datenbank steht. Finden Sie eine Schwachstelle, hören wir das gern unter info@nermio.com mit „beveiliging“ in der Betreffzeile — das niederländische Wort, denn danach wird die Postbox durchsucht. Eine Meldung ist nützlicher als Schweigen, und wir nehmen sie ernst.