> ## Documentation Index > Fetch the complete documentation index at: https://docs.ferrufino-tech-solutions.com/llms.txt > Use this file to discover all available pages before exploring further. # Sicherheit & SSO > Zwei-Faktor-Anmeldung, Sitzungsverwaltung, DSGVO — und was FTS nicht hat: kein SAML-SSO, keinen eigenen Schlüssel, keine eigene Sicherheitszertifizierung. # Sicherheit & SSO Diese Seite beschreibt, was FTS tatsächlich tut — einschließlich dessen, was es nicht tut. Die Übertragung ist mit TLS verschlüsselt, die ruhenden Daten liegen auf den verschlüsselten Speichern unserer Anbieter. FTS hält keinen eigenen Schlüssel, bietet kein SAML-SSO an und hat keine eigene Sicherheitszertifizierung; jeder dieser Punkte hat unten einen eigenen Abschnitt, samt dem, was die Anbieter mitbringen. Zugriffsrechte gibt es über **genau drei Rollen** je Organisation, nicht über frei zusammenstellbare Rechtelisten. ## Two-Factor Authentication (2FA) **Es gibt keine erzwungene 2FA-Pflicht.** Eine frühere Fassung dieser Seite sagte, bei Enterprise-Plänen sei Zwei-Faktor-Anmeldung für alle Admin-Konten verpflichtend. FTS hat keine Einstellung, die das erzwingt. Zwei-Faktor-Anmeldung ist eine Entscheidung jedes einzelnen Benutzers in seinem Konto-Fenster. (Offener Punkt #93.) Aktivieren Sie 2FA für Ihr Konto: Klicken Sie auf Ihr **Profilbild** oben rechts → **Konto verwalten**, und öffnen Sie dort **Sicherheit**. Dieses Fenster zeichnet unser Anmeldedienst Clerk, nicht FTS — es sieht deshalb etwas anders aus als der Rest der Anwendung. Einen Bereich *Einstellungen → Sicherheit* in FTS gibt es nicht. Entscheiden Sie zwischen Authenticator-App (Google Authenticator, Authy) oder SMS-Codes. Scannen Sie den QR-Code mit Ihrer App oder geben Sie die Schlüsselzeichenfolge ein. Geben Sie einen 6-stelligen Code ein, um die Aktivierung zu bestätigen. Speichern Sie 10 Wiederherstellungscodes an einem sicheren Ort. **Verloren Sie den Zugriff?**: Mit einem Wiederherstellungscode können Sie sich wieder anmelden, auch wenn Ihr 2FA-Gerät nicht verfügbar ist. ## Single Sign-On (SSO) — Enterprise **Heute nicht verfügbar.** Kein Kunde hat SAML-Single-Sign-on eingerichtet, und es gibt in der Anwendung nichts, womit man es einschalten könnte. Der vierschrittige Einrichtungsweg (Metadaten-URL, IdP konfigurieren, FTS-Konfiguration, Testen), den frühere Fassungen dieser Seite beschrieben, existiert nicht — weder die Metadaten-URL noch ein „Dedicated Support-Team". Enterprise ist ein Vertrag, den wir einzeln vereinbaren: Wenn SSO für Sie Voraussetzung ist, sagen Sie es vor der Unterschrift, dann sagen wir Ihnen ehrlich, was dafür nötig wäre. (Offener Punkt #102.) Welche Anmeldewege außer E-Mail und Passwort angeboten werden — etwa Google oder GitHub —, entscheidet die Konfiguration unseres Anmeldedienstes Clerk und steht nicht im Quelltext dieser Anwendung. Maßgeblich ist, was Ihnen die Anmeldemaske tatsächlich anbietet. (Offener Punkt #93.) ## Verschlüsselung ### Transit-Verschlüsselung * **TLS 1.3**: Alle Daten werden mit TLS 1.3 während der Übertragung verschlüsselt * **HSTS**: HTTP Strict Transport Security erzwingt sichere Verbindungen ### Ruhende Verschlüsselung * **Verschlüsselung durch den Datenbank-Anbieter**: Die Daten liegen verschlüsselt auf den Speichermedien unseres Datenbank-Anbieters (Neon) und unseres Dateispeichers (Cloudflare R2) **Drei Zusagen sind hier gestrichen, weil FTS sie nicht einlöst.** Frühere Fassungen dieser Seite nannten eine Verschlüsselung der Fälle, Belege und Taxonomien **durch FTS selbst** (AES-256-GCM), eine Schlüsselverwaltung in einem **Hardware-Sicherheitsmodul** und einen **eigenen Schlüssel je Workspace**. Gemessen: die Anwendung verschlüsselt nichts selbst — im gesamten Quelltext gibt es keine Verschlüsselungsfunktion, nur eine Zufallszahl für Einladungstoken und einen zeitkonstanten Vergleich für das Cron-Passwort. Was es gibt, ist die Verschlüsselung auf den Speichermedien der Anbieter; einen FTS-Schlüssel, den jemand verwalten könnte, gibt es nicht. Die englische Fassung trug dieselbe Behauptung in anderer Form — Schlüsselverwaltung über **AWS KMS**, kundeneigene Schlüssel für Enterprise, Sitzungstoken mit **HMAC-SHA256** — und auch das ist dort entfernt. Ebenso die dort genannte **Passwortregel**: welche Regeln gelten, entscheidet unser Anmeldedienst Clerk, nicht FTS. (Offene Punkte #253, #257.) ## Workspace-Isolation Ein Workspace ist eine Gliederungsebene innerhalb Ihrer Organisation, **keine Sicherheitsgrenze**: | Aspekt | Details | | ------------------------------------ | -------------------------------------------------------------------------------------- | | **Datenspeicher** | Eine Datenbank, ein Schema; jeder Datensatz trägt seinen Workspace als Feld | | **Zugriffskontrolle** | Mitgliedschaft und Rolle gelten je **Organisation**, nicht je Workspace | | **Audit-Protokoll** | Eine gemeinsame Tabelle für die gesamte Anwendung, kein eigenes Protokoll je Workspace | | **Trennung zwischen Organisationen** | Daten einer fremden Organisation sind nicht erreichbar | **Was hier früher stand und nicht stimmt.** Diese Tabelle versprach getrennte Datenbank-Schemas, ein eigenes Protokoll, einen eigenen Schlüssel und einen eigenen Sicherungszyklus **je Workspace**. Nichts davon existiert: das Datenbankschema kennt keine Schema-Trennung, das Audit-Protokoll ist **eine** Tabelle ohne Workspace-Feld, und die Sicherung läuft für die gesamte Datenbank. **Wer heute Mitglied Ihrer Organisation ist, sieht die Fälle aller Workspaces dieser Organisation** — planen Sie Ihre Organisationen danach, nicht Ihre Workspaces. Dieselbe falsche Zusage stand in der englischen Fassung („members of workspace A cannot access data from workspace B") und ist dort ebenfalls entfernt. (Offene Punkte #253, #256.) **Es gibt keine öffentliche FTS-Schnittstelle und keine API-Token** — keine Token-Ansicht, keine Laufzeit, nichts zu widerrufen. Alles läuft über die angemeldete Web-Anwendung. Die englische Fassung dieser Seite versprach an zwei Stellen „workspace-scoped API tokens" und widersprach damit ihrem eigenen Abschnitt weiter unten. (Offener Punkt #255.) ## Audit-Protokollierung Alle administrativen und datenbezogenen Aktivitäten werden protokolliert: **Eine Ansicht dafür gibt es nicht** — in keinem Tarif. Das Protokoll wird geschrieben, ist aber nur über den **Datenexport** der Organisation erreichbar: Einstellungen → Datenexport → *JSON exportieren*, das Audit-Protokoll liegt in dieser Datei. Im Ausdruck eines einzelnen Falls steht zusätzlich dessen eigener Verlauf. (Offener Punkt #92.) Protokollierte Ereignisse — die Liste ist am Protokoll selbst gemessen und vollständig: * Rollenänderungen * Änderungen an den Organisationseinstellungen (z. B. das Vier-Augen-Prinzip) * Fall angelegt, geändert, zur Prüfung eingereicht, geprüft, veröffentlicht, außer Kraft gesetzt * Beleg hochgeladen * Prüfergebnis abgegeben * Abrechnung: Abonnement angelegt, geändert, gekündigt; Rechnung bezahlt oder fehlgeschlagen **Zwei Zeilen sind hier gestrichen, weil das Protokoll sie nicht enthält.** Diese Seite nannte „Benutzer-Logins und -Logouts" — die Anmeldung läuft über Clerk, und FTS schreibt dafür **keinen** Protokolleintrag. Und sie nannte „Evidence-Löschung": das Entfernen eines Belegs erzeugt nur dann einen Eintrag, wenn dadurch ein bereits geprüfter oder veröffentlichter Fall auf *Entwurf* zurückfällt. Wird ein Beleg aus einem Entwurf entfernt, bleibt das Protokoll leer. (Offener Punkt #254.) ## DSGVO & Datenschutz **EU-Hosting**: Die Datenbank läuft bei Neon in **Frankfurt**, die Anwendung selbst ebenfalls in Frankfurt, hochgeladene Dateien liegen bei **Cloudflare R2** in der EU-Region. Diese Seite nannte bisher nur die Datenbank und sagte trotzdem „alle Daten" — der Dateispeicher fehlte in der Aufzählung. (Offener Punkt #258.) FTS erfüllt die Anforderungen von: * **DSGVO**: Datenschutz-Grundverordnung * **Standard-Vertragsklauseln**: Für internationale Datenübertragungen * **Auftragsverarbeitungsvertrag (AVV)**: auf Anfrage per E-Mail an [hello@ferrufino-tech-solutions.com](mailto:hello@ferrufino-tech-solutions.com); einen Bereich *Recht* gibt es in der Anwendung nicht Weitere Informationen finden Sie in unserer **[Datenschutzerklärung](https://ferrufino-tech-solutions.com/datenschutz)**. ## SOC 2 FTS selbst hat **heute keine SOC-2-Zertifizierung, und es gibt keinen Prüfbericht, den wir Ihnen schicken könnten.** Frühere Fassungen unserer Unterlagen sagten einmal, eine Type-II-Zertifizierung laufe und werde für Q3 2026 erwartet und ein Prüfbericht sei auf Anfrage verfügbar, und an anderer Stelle, Type I sei für Q4 2026 und Type II für Q2 2027 geplant — Type II kann nicht vor Type I liegen, und beide Termine können nicht gleichzeitig stimmen. Für keine der beiden Aussagen können wir geradestehen, deshalb sind beide zurückgezogen, bis es einen unterschriebenen Prüfauftrag gibt, auf den man zeigen kann. Unsere Infrastruktur-Anbieter (Vercel, Clerk, Stripe, Neon, Cloudflare) sind ihrerseits SOC 2 Type II zertifiziert; das ist eine Aussage über sie, nicht über uns. Einen Sicherheitsfragebogen beantworten wir schriftlich. (Offener Punkt #104.) ## Nächste Schritte Exportieren Sie Ihre Organisation als eine einzige JSON-Datei. Verwalten Sie Zahlungsmethoden und Rechnungen. Verstehen Sie unser RBAC-System.