Antworten auf deine Sicherheitsfragen

Ja. Die Scratcher ApS ist nach ISO/IEC 27001:2022 zertifiziert, der internationalen Norm für Informationssicherheits-Managementsysteme (ISMS). Das Zertifikat wurde von Bureau Veritas Certification unter Akkreditierung (FINAS) ausgestellt, Zertifikatsnr. FIHSK27150F, gültig bis 7. November 2028. Wir sind seit November 2022 zertifiziert.

Zertifikat herunterladen (PDF)

Der zertifizierte Geltungsbereich umfasst Entwicklung, Vertrieb und Support von Software für interaktive Kampagnen, Marketing und damit verbundene Aktivitäten, einschließlich der Erhebung von Daten und Einwilligungen. In der Praxis deckt das die Scratcher-Plattform, die darauf laufenden Kampagnen, unsere Prozesse und die dahinterliegende Cloud-Infrastruktur ab.

Bureau Veritas führt jedes Jahr ein externes Überwachungsaudit und alle drei Jahre ein Rezertifizierungsaudit durch. Vor jedem externen Audit führen wir ein internes Audit aller ISMS-Prozesse sowie eine Managementbewertung durch.

Ja. Unsere Erklärung zur Anwendbarkeit (Statement of Applicability) ist den Controls aus ISO/IEC 27001:2022 Anhang A (ISO/IEC 27002:2022) zugeordnet und zeigt, welche Controls gelten und wie sie umgesetzt sind. Enterprise-Kunden können sie anfordern.

Ja. Wir verarbeiten personenbezogene Daten im Einklang mit der EU-Datenschutz-Grundverordnung (DSGVO). Für Kampagnendaten bist du der Verantwortliche und Scratcher der Auftragsverarbeiter (Artikel 28), auf Grundlage eines Auftragsverarbeitungsvertrags (AVV).

Nein. Unsere Informationssicherheit ist stattdessen nach ISO/IEC 27001:2022 zertifiziert, und wir stellen das Zertifikat und die Erklärung zur Anwendbarkeit als Nachweisdokumentation bereit.

Unser ISO-27001-Zertifikat und die Erklärung zur Anwendbarkeit decken die meisten Anforderungen an Audits und Lieferantenbewertungen ab. Brauchst du ein zusätzliches Audit, stimmen wir Umfang, Zeitpunkt und eventuelle Kosten vorab mit dir ab.

Dir. Du behältst alle Rechte an deinen Daten (Kundendaten), und wir verarbeiten sie nur, um den Service zu erbringen – wie in unseren Bedingungen und im Auftragsverarbeitungsvertrag beschrieben.

Ja. Für jeden Kunden gilt unser Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Enterprise-Kunden können außerdem einen AVV auf Basis der Standardvertragsvorlage der dänischen Datenschutzbehörde (Datatilsynet) nutzen.

Wir setzen eine kleine Zahl sorgfältig ausgewählter Unterauftragsverarbeiter ein, zum Beispiel Amazon Web Services (AWS) für das Hosting und einen Anbieter für den Versand von Transaktions-E-Mails. Jeder Unterauftragsverarbeiter ist an einen Auftragsverarbeitungsvertrag gebunden. Die aktuelle Liste ist Teil unseres AVV und auf Anfrage erhältlich.

Ja. Wir informieren dich mindestens 14 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, der deine personenbezogenen Daten verarbeitet. Wenn du die Änderung nicht akzeptierst, kannst du den Vertrag kündigen.

Alle Kundendaten werden in der EU gespeichert. Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR, zum Beispiel für KI-Funktionen oder Bot-Schutz, ist die Übermittlung durch die Standardvertragsklauseln (SCC) der EU-Kommission oder das EU-US Data Privacy Framework (DPF) abgesichert.

Nein. Wir verarbeiten deine Daten nur auf deine Weisung, um den Service zu erbringen (Zweckbindung). Wir verkaufen deine Daten nie und nutzen sie auch nicht für unser eigenes Marketing.

Ja. Du entscheidest, welche Formularfelder jede Kampagne hat und welche davon Pflichtfelder sind – so erhebst du nur die Daten, die du wirklich brauchst (Datenminimierung).

Du legst die Aufbewahrungsdauer fest. Du kannst Teilnehmerdaten jederzeit löschen oder eine automatische Löschung einrichten, zum Beispiel eine bestimmte Anzahl von Tagen nach Kampagnenende. Die maximale Aufbewahrungsdauer ist in deinem Auftragsverarbeitungsvertrag festgelegt.

Ja. Du kannst Teilnehmer und Leads jederzeit als CSV exportieren, sie über unsere Integrationen automatisch an deine eigenen Systeme senden oder über unsere REST-API abrufen (Datenübertragbarkeit).

Deine Daten werden nach Ende deines Abonnements gelöscht, gemäß unseren Bedingungen und dem Auftragsverarbeitungsvertrag. Kopien in Backups werden überschrieben, sobald die Backups rotieren. Exportiere alles, was du behalten möchtest, bevor dein Abonnement endet.

Als Verantwortlicher bearbeitest du Anfragen von Teilnehmern, etwa auf Auskunft, Berichtigung oder Löschung (Artikel 15–17 DSGVO). Du kannst Teilnehmerdaten in der Plattform finden, exportieren und löschen, und unser Team hilft dir bei Bedarf.

Alle Kundendaten werden in Rechenzentren von Amazon Web Services (AWS) in der EU gespeichert. Wir betreiben keine eigenen Server, daher übernimmt AWS die physische und umgebungsbezogene Sicherheit – AWS ist nach ISO 27001, SOC 2 und weiteren anerkannten Standards zertifiziert.

• Netzwerkisolation: Alle Server und Datenbanken laufen in einem privaten Netzwerk (Amazon VPC), das aus dem Internet nicht erreichbar ist.
• Schutz am Netzwerkrand: Nur die Load Balancer (ALB) und das Content Delivery Network (Amazon CloudFront) sind öffentlich, und sie sind durch eine Web Application Firewall (AWS WAF) geschützt.
• Unveränderliche Infrastruktur: Server laufen als Container, die nie manuell verändert werden. Wir ersetzen sie durch neue, getestete Versionen, und es gibt keinen SSH-Zugriff.
• Verwaltete Datenbanken: Datenbanken laufen auf Amazon RDS, einem von AWS verwalteten Datenbankdienst.

Ja. Der gesamte Datenverkehr läuft über Amazon CloudFront und AWS WAF, die schädliche Anfragen filtern und große Lastspitzen abfangen (DDoS-Schutz), bevor sie unsere Server erreichen.

Scratcher ist eine mandantenfähige Plattform. Die Daten jedes Kunden sind logisch nach Konto getrennt (Mandantentrennung), und jede Anfrage wird autorisiert, sodass Nutzer nur Daten aus den Konten sehen, auf die sie Zugriff haben.

Ja. API-Aufrufe und Änderungen an unserer AWS-Umgebung werden in einem verschlüsselten, manipulationssicheren Audit-Trail erfasst (AWS CloudTrail mit Validierung der Logdateien), und Anwendungslogs werden zentral gesammelt (Amazon CloudWatch). In deinem Konto siehst du im Aktivitätsprotokoll, was deine Nutzer getan haben.

Wir betreiben die Infrastruktur gemeinsam mit einem spezialisierten DevOps-Partner, der selbst nach ISO 27001 zertifiziert ist. Partner erhalten nur die Zugriffe, die ihre Arbeit erfordert (Least Privilege).

Die Plattform wird alle 30 Sekunden automatisch aus mehreren AWS-Regionen geprüft (Uptime-Monitoring). Unser Betriebsteam wird automatisch alarmiert, wenn etwas schiefläuft, und die meisten Probleme werden innerhalb von Minuten erkannt. Anwendungsfehler werden mit Error-Monitoring erfasst.

Ja. Im Hintergrund läuft eine automatische Missbrauchserkennung, und Kampagnen können Bot-Schutz (Cloudflare Turnstile), Teilnahmelimits, Verifizierungscodes sowie Sperrlisten für E-Mail-Adressen und Telefonnummern nutzen.

Ja. Der gesamte Datenverkehr zur Plattform, zu den Kampagnen und zur API ist mit TLS (HTTPS) verschlüsselt.

Ja. Datenbanken, Dateien und Backups werden im Ruhezustand über AWS mit AES-256 verschlüsselt.

Die Schlüssel werden von AWS verwaltet (AWS-managed Keys) und stehen nur den Diensten zur Verfügung, die sie benötigen.

Zugangsdaten für deine Integrationen, etwa API-Schlüssel für dein E-Mail-Tool oder CRM, werden vor dem Speichern zusätzlich in der Anwendung mit AES-256 verschlüsselt (Verschlüsselung auf Anwendungsebene).

Passwörter werden nie im Klartext gespeichert. Sie werden mit bcrypt gehasht und gesalzen, einem speziell für Passwörter entwickelten Algorithmus.

Ja. Dein Team kann sich mit seinem Google-Konto anmelden (Google SSO).

Ja. Jeder Nutzer kann die Zwei-Faktor-Authentifizierung (2FA) mit einer Authenticator-App wie Google Authenticator oder Microsoft Authenticator aktivieren (zeitbasierte Einmalpasswörter, TOTP), und es werden Wiederherstellungscodes bereitgestellt. Zwei-Faktor-Versuche sind begrenzt.

Login-Sitzungen nutzen sichere HTTP-only-Cookies und enden nach einer gewissen Zeit der Inaktivität automatisch (Session-Timeout). Jeder Nutzer kann sich außerdem von allen anderen Browsersitzungen abmelden.

Ja. Login- und Zwei-Faktor-Versuche sind begrenzt, um vor Brute-Force-Angriffen und dem Erraten von Passwörtern zu schützen.

Ja. Der Zugriff wird über Rollen und Berechtigungen gesteuert (rollenbasierte Zugriffskontrolle, RBAC), und zwar auf zwei Ebenen:

• Kontorollen: Owner, Admin, Manager, Analyst und Support, jeweils mit unterschiedlichen Rechten für Nutzer, Abrechnung, Kampagnen und Daten.
• Kampagnenberechtigungen: Du kannst jeder Person Zugriff auf bestimmte Kampagnen geben und festlegen, was sie dort tun darf – zum Beispiel gestalten, Texte schreiben, Gewinne und Gewinner verwalten oder nur prüfen.

Im Aktivitätsprotokoll siehst du, was deine Nutzer getan haben.

Ja. Unsere REST-API funktioniert nur über HTTPS, nutzt persönliche Zugriffstoken und ist ratenbegrenzt. Webhooks von Scratcher werden mit einem gemeinsamen Geheimnis signiert (HMAC-Signatur), sodass du prüfen kannst, dass sie von uns stammen.

Nur Mitarbeiter, die für ihre Arbeit Zugriff brauchen, und nur dann, wenn sie ihn brauchen (Need-to-know). In deinen Kontoeinstellungen entscheidest du, ob unser Support-Team auf dein Konto zugreifen darf, um dir zu helfen.

Zugriffe folgen dem Least-Privilege-Prinzip, nutzen individuelle Benutzerkonten und werden mindestens einmal im Jahr überprüft. Mitarbeiter verwenden einen Passwortmanager, wo möglich Multi-Faktor-Authentifizierung und verschlüsselte Laptops, und Zugänge werden entzogen, sobald jemand das Unternehmen verlässt (Offboarding).

Datenbanken und Server werden täglich automatisch gesichert, und Backups werden mindestens sieben Tage aufbewahrt. Backups sind verschlüsselt, getrennt von den Produktivsystemen in hochverfügbarem AWS-Speicher (Amazon S3) abgelegt und können nur von Administratoren gelesen werden. Vor jeder Wiederherstellung nach einem Vorfall wird zunächst ein zusätzliches Backup erstellt. Wiederherstellungen werden mindestens einmal im Jahr getestet.

Wir haben Pläne für Business Continuity und Disaster Recovery (BC/DR) für Ausfälle bei AWS, Ausfälle der Plattform und Angriffe auf Kampagnen. Die Pläne werden jedes Jahr überprüft und geübt. Dauert ein Ausfall länger als eine Stunde, werden alle Kunden per E-Mail informiert. Unser Betriebsteam reagiert auf Ausfälle innerhalb von 1 Stunde während der Geschäftszeiten und innerhalb von 3 Stunden außerhalb der Geschäftszeiten, mit Rufbereitschaft rund um die Uhr.

Support ist in jedem Abonnement enthalten. Enterprise-Kunden können mit uns individuelle Servicelevel vereinbaren.

Wir folgen einem dokumentierten Incident-Management-Prozess: Vorfälle werden unserem Informationssicherheitsbeauftragten gemeldet, bewertet, eingedämmt, auf ihre Ursache hin analysiert (Ursachenanalyse) und mit Korrekturmaßnahmen nachbereitet. Jeder Vorfall wird protokolliert und überprüft.

Ja. Betrifft eine Verletzung deine personenbezogenen Daten, informieren wir dich unverzüglich und innerhalb von 24 Stunden und unterstützen dich bei deiner eigenen Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden (Artikel 33 und 34 DSGVO).

In unserer letzten jährlichen Überprüfung des Informationssicherheits-Managementsystems wurde keine Verletzung der Vertraulichkeit oder Integrität von Kundendaten festgestellt.

Bitte schreib an contact@scratcher.io mit so vielen Details wie möglich. Wir folgen einer Richtlinie zur Offenlegung von Schwachstellen (Responsible Disclosure), prüfen jede Meldung und melden uns bei dir.

Wir folgen einem dokumentierten sicheren Softwareentwicklungszyklus (SDLC) auf Basis von ISO/IEC 27001:2022 (Controls 8.25–8.33). Jedes Feature hat einen Verantwortlichen, der von der Idee bis zur Außerbetriebnahme für die Sicherheit zuständig ist, und Sicherheitsanforderungen werden bereits in der Spezifikations- und Designphase festgelegt.

• Security by Design und by Default: Sicherheit ist von Anfang an eingebaut, und die sichersten Einstellungen sind der Standard.
• Least Privilege: Personen, Dienste und Partner erhalten nur die Zugriffe, die sie brauchen – und nicht mehr.
• Defence in Depth: mehrere unabhängige Schutzebenen, damit ein einzelner Fehler keine Daten offenlegt.
• Default Deny: Zugriff ist gesperrt, sofern er nicht ausdrücklich erlaubt wurde.
• Zero Trust: Nie vertrauen, immer prüfen. Jede Anfrage wird authentifiziert und autorisiert, egal ob sie aus dem Netzwerk oder von außen kommt.
• Fail Securely und Assume Breach: Systeme sind so gebaut, dass sie sicher bleiben, wenn etwas schiefgeht.
• Least Functionality: Nur die Funktionen und Dienste, die benötigt werden, sind aktiviert.
• Externen Eingaben misstrauen: Alle Eingaben werden validiert.

Sämtlicher Code liegt in einer Versionsverwaltung (Git), und jede Änderung durchläuft einen Pull Request mit Code-Review durch Kollegen, bevor sie gemergt wird. Automatisierte Unit-, Feature- und Architekturtests laufen bei jedem Pull Request, und die Architekturtests verhindern, dass unsichere Codemuster gemergt werden. Linting und automatisiertes Refactoring laufen bei jedem Commit, und Design- sowie technische Änderungen werden von unserem CTO freigegeben.

Die Plattform basiert auf etablierten, aktiv gepflegten Frameworks (Laravel und Vue) mit eingebautem Schutz vor gängigen Schwachstellen aus den OWASP Top 10, etwa SQL-Injection, Cross-Site-Scripting (XSS) und Cross-Site-Request-Forgery (CSRF). Alle Eingaben werden auf dem Server validiert, und sensible Endpunkte sind ratenbegrenzt. Verdächtige Anfragen werden protokolliert und überprüft.

Ja. Entwicklung, Test (Staging) und Produktion sind getrennte Umgebungen mit getrennten Zugriffen. Änderungen werden im Staging getestet, bevor sie in die Produktion gelangen, und laut unserer Richtlinie werden Produktivdaten nicht in Entwicklungs- oder Testumgebungen kopiert.

Änderungen werden über eine automatisierte CI/CD-Pipeline ausgerollt, die für jedes Release ein neues, versioniertes Container-Image erstellt. Datenbankänderungen laufen als kontrollierter Schritt des Deployments, und da jedes Release ein eigenes Image ist, können wir bei Bedarf schnell auf die vorherige Version zurückgehen. Keine einzelne Person kann die Produktion ohne Prüfung und Freigabe ändern (Funktionstrennung).

Unser Quellcode liegt in privaten Repositorys mit Zugriffskontrolle und vollständiger Versionshistorie. Secrets wie Passwörter und API-Schlüssel werden nie im Code gespeichert, sondern im AWS Secrets Manager abgelegt und zur Laufzeit eingebunden.

Wir verwenden nur bekannte, aktiv gepflegte Open-Source-Bibliotheken aus seriösen Quellen. Neue Bibliotheken müssen vor dem Einsatz freigegeben werden, Versionen werden fixiert (Lock-Dateien) und Abhängigkeiten werden laufend aktualisiert (Sicherheit der Software-Lieferkette).

Unsere Entwickler führen jede Woche ein Sicherheitsreview durch (Schwachstellenmanagement). Schwachstellen, die unser Team oder unsere Tools finden oder die uns gemeldet werden, werden bewertet, priorisiert und behoben – und bei Bedarf über unseren Incident-Prozess bearbeitet.

Ja. Unsere Entwickler folgen Richtlinien für sichere Programmierung und erhalten zu Beginn und fortlaufend Schulungen zum Sicherheitsbewusstsein.

Wir führen eine Risikobewertung auf Basis von Eintrittswahrscheinlichkeit und Auswirkung durch. Risiken werden jeden Monat überprüft, und jedes Risiko wird mindestens einmal im Jahr neu bewertet (Risikomanagement).

Unser CTO ist Informationssicherheitsbeauftragter (ISM), und die Geschäftsleitung genehmigt unsere Informationssicherheitsrichtlinien. Die Richtlinien werden jedes Jahr überprüft.

Unser Informationssicherheits-Managementsystem (ISMS) umfasst genehmigte Richtlinien unter anderem zu:

• Informationssicherheit und zulässiger Nutzung
• Informationsklassifizierung und Informationsübermittlung
• Zugriffskontrolle und Kryptografie (einschließlich Schlüsselverwaltung)
• Lieferantenbeziehungen und Cloud-Diensten
• Schutz personenbezogener Daten (PII) und Aufzeichnungen
• Remote-Arbeit, Clean Desk und Clear Screen, Endgeräten und Wechseldatenträgern
• Protokollierung und Überwachung, Backup und Datenaufbewahrung
• Schwachstellenmanagement und Offenlegung von Schwachstellen
• Einsatz von KI

Die Richtlinien werden von der Geschäftsleitung genehmigt, allen Mitarbeitern kommuniziert und jedes Jahr überprüft.

Ja. Neue Mitarbeiter durchlaufen vor ihrem Start eine Hintergrundprüfung, unterzeichnen Vertraulichkeitsvereinbarungen (NDA) und erhalten zu Beginn und fortlaufend Schulungen zum Sicherheitsbewusstsein.

Scratcher ist ein Remote-first-Unternehmen. Unsere Richtlinie für Remote-Arbeit verlangt sichere Homeoffices, Bildschirmsperre, verschlüsselte Geräte, geschütztes WLAN (WPA2/WPA3) und VPN in öffentlichen Netzwerken.

Ja. Informationen werden nach Vertraulichkeit, Integrität und Verfügbarkeit (CIA) klassifiziert und entsprechend ihrer Stufe behandelt.

Lieferanten werden hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit bewertet, bevor wir sie einsetzen (Lieferantenrisikomanagement). Sicherheitsanforderungen sind Teil unserer Verträge, und Lieferanten werden regelmäßig überprüft.

Unsere KI-Funktionen, darunter der KI-Assistent Rex, nutzen große Sprachmodelle (LLMs) von Google Gemini und Bildmodelle von fal.ai. Die Anbieter werden in unserem Lieferantenprozess bewertet, und unsere Richtlinie zur KI-Nutzung regelt, wie KI eingesetzt wird.

Ja. Unsere KI-Richtlinie verlangt menschliche Aufsicht (Human in the Loop) bei wichtigen Entscheidungen. Änderungen mit KI erfolgen im Editor, und dein Team entscheidet, wann eine Kampagne veröffentlicht wird. Rex und die anderen KI-Funktionen nehmen nur dann Änderungen vor, wenn jemand aus deinem Team sie darum bittet.

Standardmäßig verwenden Kampagnen nur funktionale Cookies und Speicher: Cookies, die den Datenverkehr zwischen unseren Servern verteilen (Load-Balancer-Cookies), den lokalen Speicher im Browser, zum Beispiel um sich zu merken, dass jemand bereits gespielt hat, und bei Pop-ups, die in deine Website eingebettet sind, Cookies, die steuern, wie oft das Pop-up angezeigt wird. Wenn du ein eigenes Tracking einbindest, zum Beispiel Google Tag Manager oder den Meta Pixel, wird es erst geladen, nachdem der Teilnehmer im Cookie-Banner der Kampagne eingewilligt hat. Ist Bot-Schutz (Cloudflare Turnstile) aktiviert, verarbeitet auch Cloudflare technische Daten wie die IP-Adresse und Browsersignale.

Ja. Du schreibst deine eigenen Einwilligungstexte und Bedingungen, wählst aus, welche Felder Pflicht sind, und kannst Double-Opt-in für Newsletter-Anmeldungen nutzen.

Transaktions-E-Mails wie Gewinn-E-Mails werden über unseren E-Mail-Versanddienstleister verschickt. Du kannst sie von deiner eigenen Domain senden, damit die Teilnehmer den Absender wiedererkennen.

Ja. In den Paketen Professional und Enterprise können Kampagnen auf deiner eigenen Webadresse laufen (eigene Domain), und E-Mails an Teilnehmer können von deiner eigenen Domain versendet werden.

• ISO/IEC-27001:2022-Zertifikat: hier herunterladen
• Erklärung zur Anwendbarkeit (SoA), auf Anfrage
• Auftragsverarbeitungsvertrag (AVV), einschließlich der Liste der Unterauftragsverarbeiter
• Antworten auf deinen Sicherheitsfragebogen oder deine Lieferantenbewertung

Ja. Schick uns deinen Sicherheitsfragebogen oder deine Lieferantenbewertung, und wir füllen sie aus. Viele Fragen sind bereits auf dieser Seite beantwortet.

Schreib an contact@scratcher.io oder buch einen Termin. Scratcher ApS, CVR 38552864.