Zum Hauptinhalt springen

Vertrauen

Sicherheitsfragebogen-Fakten

Antworten für Procurement- und Security-Reviews, basierend auf öffentlichen Capgo Seiten und Dokumentationen. Für SOC 2, ISO 27001, detaillierte Control-Mappings und fertige Fragebögen nutzen Sie bitte das Trust Portal (Zugriff unter NDA anfordern). Zertifizierungsberichte werden nicht per E-Mail versendet.

Zuletzt geprüft: 6. Oktober 2026.

So nutzen Sie diese Seite

Jeder Abschnitt fasst öffentliche Capgo-Quellen zusammen und, wo angegeben, freigegebene Antworten aus Vendor-Fragebögen (Control-IDs als Tags). Für den Vertragswortlaut folgen Sie den verlinkten Primärquellen. Für SOC 2 Type 2, ISO 27001:2022 und Report-PDFs nutzen Sie Vertraue der capgo.app (NDA dort unterzeichnet, nicht per E-Mail). Einträge unter Nicht öffentlich genannte Themen Brauchst du noch das Trust Portal oder security@capgo.app?

Ähnliche Seiten: Vertrauen , Sicherheitsrichtlinie , Subprozessoren , DPA , Enterprise .

Unternehmen und Produkt

  • Rechtsträger: Digital Shift OÜ (Register code 14236508), Sepapaja 6, 15551 Tallinn, Estland. Kunden, die in den USA abgerechnet werden, schließen Verträge mit CodepushGo, LLC, einer LLC nach dem Recht von Delaware, 131 Continental Dr, Suite 305, Newark, DE 19713, ab. Impressum .
  • Produkt: Live-Updates (OTA) für Capacitor, Ionic, Cordova und Electron-Apps sowie native iOS- und Android-Builds auf Capgo Cloud. Live Updates , Native Build .
  • Open Source: Updater-Plugin und Capgo-Plugins unter MPL-2.0; Backend unter AGPL-3.0, Self-Hosting möglich. GitHub .
  • Deployment-Optionen: Gehostete Capgo Cloud sowie Enterprise-Hosting, dedizierte, hybride und lizenzierte Self-Hosted-Optionen. Enterprise .
  • Anwendbares Recht: Estland, oder Delaware für Kunden von CodepushGo, LLC, gemäß Nutzungsbedingungen .

Antworten auf den Vendor-Fragebogen

Wer ist für die Sicherheitsfunktionen verantwortlich? OS.3
Der CEO fungiert als Information Security Officer und ist verantwortlich für Security Policy, Governance, Strategie, Threat- und Vulnerability Management sowie Incident Response, unterstützt durch das Engineering-Team.
Verlangen Sie vertraglich von allen Anbietern die Durchführung von Hintergrundüberprüfungen? HR.2
Nein. Unsere Infrastruktur-Anbieter prüfen ihr eigenes Personal im Rahmen auditierter SOC 2- und ISO 27001-Programme, die wir jährlich überprüfen. Alle Capgo Mitarbeiter durchlaufen eine Hintergrundüberprüfung, bevor sie Zugriff erhalten.
Führen Sie mindestens einmal jährlich simulierte Phishing-Übungen durch? HR.4
Nein. Phishing-Awareness ist Teil des Onboardings und jährlicher Security-Trainings; zudem ist MFA für alle Accounts verpflichtend.
Wird die Rückgabe von Assets und der Entzug von Zugriffsrechten bei Beendigung dokumentiert? HR.6
Ja. Unsere Checkliste für Austritte deckt die Rückgabe von Firmen-Assets und den Entzug aller Zugriffsrechte innerhalb von 1 Werktag ab.

Hosting und Subprozessoren

Die verbindliche Liste der DPA-Subprozessoren, Verarbeitungsorte und Transfermechanismen finden Sie auf der Subprozessoren-Seite (nicht der Subprozessoren-Counter des Trust-Portals). Aktuelle DPA-Subprozessoren sind:

  • Supabase, Inc. (London, UK): primäre Datenbank, Authentifizierung, Kontodaten, App- und Bundle-Metadaten, Device-IDs.
  • Cloudflare, Inc. (global, inkl. USA): Edge CDN, Workers, Durable Objects, R2, Security-Services, Live-Update-Auslieferung.
  • Google Cloud (Hongkong, Tokio, Sydney, Johannesburg, Mailand, Dschidda, Mumbai, São Paulo, Columbus): Datenbank-Read-Replicas und regionale Infrastruktur.
  • Scaleway SAS (Paris, Frankreich): Native-Build-Infrastruktur, Artefakte und Workflow-Daten.

Kunden-CI ist kein DPA-Unterauftragnehmer von Capgo: Capgo verknüpft keine GitHub-Repositories von Kunden und zieht auch keinen Quellcode daraus. Typische Automatisierungen nutzen die Kunden-CI (z. B. GitHub Actions) mit einem Capgo API Token, um Bundles hochzuladen oder Native-Build-Anfragen einzureichen. GitHub Actions-Integration , CI/CD-Integration .

Capgo nutzt zudem Controller-seitige Services für das eigene Geschäft (Beispiele auf der Unterauftragnehmer-Seite sind Stripe, Bento, PostHog, CodeRabbit und SonarCloud). Apple und Google sind unabhängige Controller fürs Store-Publishing, wenn Kunden eigene Developer-Accounts nutzen.

Der Trust-Seite bestätigt, dass Cloudflare, Supabase und isolierte CI-Pipelines MFA, Secret Management und geschützte Umgebungen erzwingen und dass kritische Anbieter eine jährlich geprüfte SOC-2-Attestierung vorweisen.

Nutzen Sie für Hosting-Fragen vorzugsweise die Liste der Unterauftragsverarbeiter anstatt veralteter Impressums-Angaben, da diese nicht immer den aktuellen Anbietern entsprechen.

Antworten auf den Vendor-Fragebogen

Welche URL nutzen Kunden, um auf die gehostete Anwendung zuzugreifen? HAS.7
https://console.capgo.app
Wo wird der Service gehostet? HAS.8
Bei Cloud-Service-Providern: Serverless auf Cloudflare Workers mit verwaltetem Supabase PostgreSQL in London, Google Cloud Read Replicas und Scaleway in Paris für Native Builds. Die aktuelle Liste finden Sie auf der Seite der Unterauftragsverarbeiter.
Wird der Service in von Ihnen betriebenen Colocation-Einrichtungen gehostet? HAS.9
Nein. Capgo betreibt keine Colocation oder eigenen Rechenzentren.
Wie werden Kundendaten im Multi-Tenant-Service getrennt? HAS.10
Logische Multi-Tenant-Trennung. Datenbankeinträge werden pro Organisation durch PostgreSQL Row Level Security und rollenbasierte Autorisierung isoliert. Bundles liegen im Object Storage unter organisations- und app-spezifischen Pfaden. Kunden können eine End-to-End-Verschlüsselung der Bundles mit eigenen Keys aktivieren.
Erhält jeder Kunde eigene Datenbank-Credentials oder Schemas? HAS.11
Keine separate Datenbank pro Kunde. Die Tenant-Isolation erfolgt über Row Level Security und Autorisierung in der Anwendung, nicht über eigene Datenbank-Credentials pro Tenant.
Wie verwalten Administratoren die Produktionsumgebung? HAS.21
Über die Web-Konsolen der Cloud-Provider sowie deren CLIs und APIs via TLS, mit MFA-geschützten Accounts und eingeschränkten API Tokens. Production-Datenbank und SSH-Zugriff sind nicht aus dem öffentlichen Internet erreichbar.
Welche gängigen Produktionskontrollen fehlen noch? HAS.28
Wir betreiben kein dediziertes SIEM und kein Corporate VPN. Cloudflare bietet DDoS-Schutz und eine Web Application Firewall am Edge, Production-Hosts sind deny-by-default, und der administrative Zugriff läuft über MFA-geschützte Provider-Konsolen.
Laufen Datenbanken unter unprivilegierten Service-Accounts? HAS.31
Ja. Die Datenbank ist ein verwaltetes PostgreSQL, das über Supabase läuft. Applikationsverbindungen nutzen dedizierte Non-Superuser-Rollen, und der Endnutzer-Zugriff unterliegt der Row Level Security.
Läuft die Application-Tier unter einem privilegierten Service-Account? HAS.32
Ja. Die Web-Tier läuft auf Cloudflare Workers in sandboxed V8-Isolates, ohne dass ein Betriebssystem oder Root-Account für unser code exponiert wird.
Verfügen Sie über eine physische Sicherheitsrichtlinie? PE.1
Ja, diese wird jährlich überprüft und genehmigt. Capgo besitzt keine eigenen Büros oder Rechenzentren. Die Richtlinie deckt Remote Work, Endpoints und die Überwachung der Cloud-Provider-Einrichtungen ab.
Welche physischen Kontrollen schützen Ihre Umgebung? PE.2
Capgo hat keine Büros oder Rechenzentren. Die gesamte Produktion läuft in den Einrichtungen von Cloudflare, Supabase, Google Cloud und Scaleway, deren physische Kontrollen durch unabhängige Audits abgedeckt sind, die wir jährlich prüfen.
Sind Besucher in Ihren Einrichtungen gestattet? PE.4
Bei Capgo nicht anwendbar. Wir arbeiten vollständig remote ohne eigene Geschäftsräume. Die Zugangskontrollen für Rechenzentren werden von unseren Cloud-Providern verwaltet.

Datenresidenz und Regionen

Für die Standard-Capgo Cloud verarbeitet Supabase die primäre Datenbank, Authentifizierung, Kontodaten, App- und Bundle-Metadaten sowie Geräte-IDs in London, UK. Google Cloud stellt Datenbank-Read-Replicas und regionale Infrastruktur in Hongkong, Tokio, Sydney, Johannesburg, Mailand, Dschidda, Mumbai, Sao Paulo und Columbus bereit. Die Bundle-Speicherung und die Live Update-Auslieferung nutzen die globale Infrastruktur von Cloudflare, einschließlich der USA. Enterprise-Kunden können für den Live Update-Pfad regionales Endpoint-Routing oder eine lizenzierte Self-Hosted-Deployment nutzen, wenn eine andere Kontrolle erforderlich ist. Die aktuelle Liste der Sub-Prozessoren enthält vollständige Details zu Providern, Standorten und Datentransfer.

EU-Plugin-Datenpfad (Opt-in): Setzen Sie updateUrl, statsUrl, und channelUrl zu den vollständigen EU-Endpoints: https://plugin.eu.capgo.app/updates, https://plugin.eu.capgo.app/stats, und https://plugin.eu.capgo.app/channel_self. Alle drei müssen gemeinsam gestellt werden, damit zugehörige Live Update-Daten in Europa gespeichert werden. Dokumentation zum Datenstandort .

Konto- und Console-Daten: Die öffentliche Dokumentation beschreibt die EU-Option für den Plugin-Datenpfad. Eine separate EU-Option für Account- oder Console-Daten ist nicht öffentlich dokumentiert (siehe Lücken ).

Strikte Residenz: Lizenziertes Self-Hosting bietet volle Kontrolle über Infrastruktur, Logs, Aufbewahrungsfristen und Netzwerk-Grenzen. HIPAA-konforme Deployment-Optionen .

Verschlüsselung

  • In Transit: HTTPS/TLS für die Datenübertragung. Compliance-Dokumentation , DPA .
  • At Rest: Verschlüsselung ruhender Plattformdaten, sofern anwendbar, gemäß Compliance-Dokumentation und DPA-Sicherheitsmaßnahmen.
  • Optionale Bundle-Verschlüsselung (Customer Keys): End-to-End-Bundle-Verschlüsselung mit von Kunden verwalteten Keys (RSA-4096 und AES-256-GCM in Encryption V2). Verschlüsselungs-Dokumentation . Schützt vor Offenlegung durch Capgo, Storage-Provider und CDNs; verhindert jedoch nicht das Reverse Engineering der ausgelieferten Web-Assets.
  • Integrität: Bundles werden per Checksumme verifiziert; optionale Verschlüsselung pro App mit eigenem Key. Compliance-Dokumentation .
  • API Keys: Sichere API Keys werden gehasht; der Rohwert des Keys wird nicht auf Capgo-Servern gespeichert. Sicherheitsdokumentation für Organisationen .

Antworten auf den Vendor-Fragebogen

Werden Kundendaten in Datenbanken und Object Storage im Ruhezustand verschlüsselt? HAS.13
Ja. Datenbanken, Backups und Object Storage werden von unseren Cloud-Providern mittels AES-256 verschlüsselt. Die Keys werden in deren Key Management Systemen gespeichert und rotiert. Kunden können Bundles zusätzlich mit ihrem eigenen Key-Paar Ende-zu-Ende verschlüsseln.
Hat jeder Kunde einen eigenen Verschlüsselungsschlüssel für den Plattform-Speicher? HAS.14
Nein für den Plattform-Speicher. Die vom Provider verwalteten Keys werden mandantenübergreifend genutzt. Für Bundles können Kunden eine Ende-zu-Ende-Verschlüsselung mit ihrem eigenen RSA-Key-Paar aktivieren, dessen Private Key Capgo niemals besitzt.
Können Mitarbeiter, die auf verschlüsselte Produktionsdaten zugreifen, die Verschlüsselungsschlüssel erhalten? HAS.15
Nein für die Plattform-Keys. Die Keys für Data at Rest liegen in den Key Management Systemen unserer Cloud-Provider und sind für Capgo Personal nicht zugänglich. Private Keys für die Ende-zu-Ende-Verschlüsselung von Bundles liegen ausschließlich beim Kunden.
Können Kunden eigene Keys (Customer-Managed Keys) für die Verschlüsselung des Plattform-Speichers bereitstellen? HAS.16
Nein für den Plattform-Speicher. Kunden können Bundles mit ihrem eigenen Key-Paar Ende-zu-Ende verschlüsseln, sodass Capgo den Key für diese Inhalte nicht besitzt.

Authentifizierung und Zugriffskontrolle

Kundenkontrollen

  • SSO (SAML 2.0): Enterprise-Pläne; Domain-Verifizierung via DNS TXT; optionales SSO-Enforcement; neue SSO-Nutzer erhalten die Read-Rolle. Enterprise-SSO-Dokumentation .
  • MFA: Organisations-Super-Admins können 2FA für alle Mitglieder erzwingen; Mitglieder ohne 2FA sind vom Web-Dashboard und CLI gesperrt. Sicherheitsdokumentation für Organisationen .
  • Passwortrichtlinie: Konfigurierbare Mindestlänge (6 bis 128) sowie Anforderungen an Großbuchstaben, Zahlen und Sonderzeichen.
  • API Keys: Erzwingen von sicheren (gehashten) Keys und optionalem Ablauf (1 bis 365 Tage).
  • RBAC: Organisationsrollen (Super Admin, Admin, Billing Admin, Member) und App-Rollen (Admin, Developer, Uploader, Reader) mit kanalbezogenen Overrides. Feature-Dokumentation .

Capgo Personal

Der Zugriff ist auf autorisiertes Personal beschränkt, das ihn für Support, Missbrauchsprävention und Betriebssicherheit benötigt; das Personal ist gemäß der DPA .

Flows für Passwort- und E-Mail-Updates können von Supabase Auth-Sessions und Re-Verification-Einstellungen abhängen. Sicherheitsrichtlinie .

Antworten auf den Vendor-Fragebogen

Ist ein VPN für den Remote-Zugriff auf Ihr Netzwerk erforderlich? AC.11
Nein. Es gibt kein Firmennetzwerk, mit dem man sich verbinden müsste. Das Team verwaltet die Produktion über Cloud-Provider-Konsolen und APIs via TLS mit erzwungenem MFA. Die Produktionsdatenbank und der SSH-Zugriff sind nicht öffentlich im Internet zugänglich.
Wird eine automatische Bildschirmsperre mit Passwort-Reauthentifizierung innerhalb von 15 Minuten oder weniger erzwungen? AC.12
Ja. Eine automatische Bildschirmsperre mit Passwort-Reauthentifizierung wird auf allen Endpunkten durch unseren Device-Compliance-Agenten erzwungen und überwacht.
Wird der Zugriff mittels rollenbasierter Least-Privilege-Kontrollen und einer vorherigen Genehmigung gewährt? AC.13
Ja. Der Zugriff erfolgt über rollenbasierte Zugriffskontrollen nach dem Least-Privilege-Prinzip und erfordert eine Genehmigung, bevor Zugangsdaten ausgegeben werden.
Wird der Zugriff überprüft, wenn ein Benutzer die Rolle wechselt? AC.14
Ja. Unsere Compliance-Monitoring-Plattform benachrichtigt den Security Owner, den Zugriff bei Rollenwechseln zu aktualisieren; zudem wird der gesamte Zugriff regelmäßig überprüft.
Gibt es eine branchenübliche Passwortrichtlinie, die von der Security-Leitung verwaltet und jährlich genehmigt wird? AC.15
Ja. Unsere dokumentierte Passwort- und Login-Richtlinie wird vom Information Security Officer verwaltet sowie jährlich vom Senior Management überprüft und genehmigt.
Müssen Benutzer ihr Passwort bei der ersten Anmeldung zurücksetzen oder selbst festlegen? AC.16
Ja. Wir vergeben keine wiederverwendbaren Initialpasswörter. Neue Nutzer erhalten eine einmalige Einladung oder temporäre Zugangsdaten und müssen beim ersten Login ein eigenes Passwort festlegen; MFA ist dabei verpflichtend.
Werden Initialpasswörter oder Einladungslinks zufällig generiert und sind sie pro Nutzer eindeutig? AC.17
Ja. Einladungslinks und alle temporären Zugangsdaten werden zufällig generiert und sind für jeden Nutzer eindeutig.
Werden Standardkonten und -einstellungen des Herstellers vor dem Produktivbetrieb geändert? AC.18
Ja. Der Produktivbetrieb läuft auf verwalteten Serverless-Services ohne Standardkonten des Herstellers. Standardeinstellungen werden vor der Nutzung durch unsere Configuration-Management-Kontrollen geprüft und gehärtet.
Nutzen Sie einen zentralen Verzeichnisdienst für die Identitätsverwaltung der Mitarbeiter? AC.22
Ja. Google Workspace ist unser zentrales Identitätsverzeichnis. Für alle Konten ist die 2-Stufen-Verifizierung erzwungen, und es wird für den Login bei Kernsystemen genutzt, sofern unterstützt.
Laufen Passwörter nach einem festen Zeitplan ab? AC.23
Keine feste Rotation. Gemäß NIST SP 800-63B werden Passwörter nicht nach einem festen Zeitplan rotiert. Sie werden bei jedem Anzeichen einer Kompromittierung geändert, und MFA ist auf allen Systemen verpflichtend.
Erfordern Mitarbeiter-Passwörter mindestens 8 Zeichen mit Groß- und Kleinschreibung, Zahlen und Sonderzeichen? AC.24
Ja, für Mitarbeiter-Accounts über unsere Identity-Provider-Einstellungen, wobei MFA auf allen Systemen erforderlich ist.
Wird eine Passwort-Historie erzwungen? AC.25
Keine feste Regel für die Passwort-Historie bei Mitarbeitern. Das Wiederverwendungsrisiko wird durch MFA auf allen Systemen und durch eindeutige Passwörter eines Passwort-Managers minimiert.
Werden häufig verwendete Passwörter automatisch blockiert? AC.25.1
Ja. Unser Identity Provider lehnt schwache und häufig verwendete Passwörter ab.
Haben nur registrierte, konforme Geräte Zugriff auf interne Systeme? AC.29
Es gibt kein Unternehmensnetzwerk. Der Zugriff auf interne Systeme erfolgt ausschließlich über inventarisierte, registrierte Endgeräte, die Compliance-Prüfungen für Verschlüsselung, Malware-Schutz, Patching und Bildschirmsperre bestehen.
Werden inaktive Konten nach einer gewissen Zeit automatisch deaktiviert? AC.30
Kein Inaktivitäts-Timer. Der Zugriff wird innerhalb von 1 Werktag nach dem Offboarding entzogen, und regelmäßige Access-Reviews durch den Information Security Officer identifizieren und entfernen ungenutzte Konten.
Ist MFA für alle Mitarbeiter mit remote administrativem Zugriff auf die Produktion verpflichtend? HAS.20
Ja. MFA ist für alle Mitarbeiterkonten mit Zugriff auf die Produktion und andere kritische Systeme verpflichtend.
Ist MFA für alle Capgo Cloud-Anwender verfügbar und erzwingbar? HAS.20.1
Ja. TOTP MFA steht jedem Nutzer zur Verfügung, und Organisations-Admins können es für alle Mitglieder erzwingen, wodurch der Zugriff auf das Dashboard und CLI für alle ohne MFA gesperrt wird.
Welche Sign-in-Methoden unterstützt die Capgo Cloud-Konsole? HAS.27
Nutzer melden sich mit E-Mail und Passwort sowie TOTP MFA an, was Kunden für alle Mitglieder erzwingen können. SAML 2.0 SSO mit optionaler Erzwingung ist im Enterprise-Plan verfügbar. Der Zugriff auf CLI und CI erfolgt über scoped API Keys mit optionalem, obligatorischem Ablaufdatum.
Werden Konten nach einer festgelegten Anzahl fehlgeschlagener Login-Versuche gesperrt? HAS.35
Keine feste Sperrung pro Konto. Login-Versuche werden durch unseren Authentication-Provider rate-limited, und Kunden können MFA oder SAML SSO für alle ihre Nutzer erzwingen.
Haben privilegierte Mitarbeiter direkten Zugriff auf die Produktionsdatenbank? HAS.30
Ja, aber eingeschränkt. Der direkte Zugriff auf die Produktionsdatenbank ist auf 2 autorisierte Engineers beschränkt, durch MFA geschützt, nicht über das öffentliche Internet erreichbar und wird regelmäßig überprüft.
Identifiziert Ihr Asset-Inventar internetseitig erreichbare Systeme? AM.2.1
Ja. Unser Infrastruktur-Inventar und Architekturdiagramm identifizieren alle internetseitig erreichbaren Endpunkte.
Wird die sichere Entsorgung von Daten und Medien durch formale Protokolle geregelt? AM.3
Ja. Die Entsorgung erfolgt gemäß unserer Richtlinie zur Datenklassifizierung, Aufbewahrung und Löschung. Die Vernichtung von Speichermedien in Rechenzentren wird von unseren Cloud-Providern unter deren geprüften Kontrollen durchgeführt.
Werden Sicherheitskonfigurations-Baselines definiert und mindestens alle 12 Monate überprüft? AM.5
Ja. Konfigurations-Baselines für unsere Cloud-Services und Endpunkte werden im Rahmen unserer Konfigurationsmanagement-Kontrollen definiert und mindestens jährlich zusammen mit unseren Richtlinien überprüft.
Sind Betriebssysteme auf die erforderlichen Ports, Protokolle und Dienste gehärtet? AM.6
Ja für Produktion: Serverless auf verwalteten Plattformen mit Ingress-Beschränkung auf HTTPS an festgelegten Endpunkten und Deny-by-Default-Firewall-Regeln. Scaleway macOS Build-Runner sind das primäre OS, auf dem Capgo für Native Builds arbeitet.
Welche Endpoint-Schutzmaßnahmen sind auf Mitarbeitergeräten im Einsatz? CO.4
Alle Endpunkte nutzen Malware-Schutz und Full-Disk-Encryption, überwacht durch unseren Device-Compliance-Agenten. Host-IPS und USB-Port-Blocking sind nicht im Einsatz. Kundendaten werden in unseren Cloud-Produktionssystemen verarbeitet.
Ist Full-Disk-Encryption auf Mitarbeiter-Endgeräten aktiv? CO.5
Ja. Auf allen Endgeräten wird Full-Disk-Encryption erzwungen und überwacht. Datenbanken und Cloud-Backups sind bei unseren Cloud-Providern at rest verschlüsselt. Wir schreiben Backups nicht auf Wechselmedien.
Setzen Sie ein DLP-Tool ein, das ausgehenden Datenverkehr und USB überwacht? CO.5.1
Nein. Kundendaten bleiben in zugriffskontrollierten Cloud-Systemen, Endgeräte sind vollständig verschlüsselt und werden überwacht, und die Regeln zum Umgang mit Daten sind in unseren Richtlinien für akzeptable Nutzung und Datenklassifizierung festgelegt.
Werden Firewall-Regeln regelmäßig überprüft oder rezertifiziert? CO.8
Ja. Die Ingress-Regeln der Produktion folgen dem Deny-by-Default-Prinzip, sind auf HTTPS-Endpoints beschränkt und werden mindestens jährlich im Rahmen unserer Konfigurations- und Zugriffsüberprüfungen geprüft.
Pflegen Sie Netzwerkdiagramme, die eingehende und ausgehende Verbindungen zeigen? CO.9
Ja. Unsere Architektur- und Netzwerkdiagramme zeigen Systemgrenzen und die Verbindungen zwischen Capgo, unseren Cloud-Providern und Kunden und werden zusammen mit dem Systeminventar gepflegt.
Dürfen Mitarbeiter geschäftliche E-Mails auf privaten Computern lesen? CO.14
Mitarbeiter dürfen registrierte private Laptops nutzen, die über unseren Device Compliance Agenten verwaltet werden. Dieser erzwingt Festplattenverschlüsselung, Malware-Schutz, Bildschirmsperren und Patching. Der E-Mail-Zugriff erfordert MFA.
Ist MFA für den Remote-Zugriff auf die Unternehmens-E-Mails erforderlich? CO.15
Ja. Die 2-Step-Verifizierung ist auf Domain-Ebene für alle Google Workspace-Konten erzwungen.
Wie oft müssen sich Nutzer per MFA neu authentifizieren? CO.16
MFA ist bei jedem neuen Login und auf jedem neuen Gerät erforderlich. Die Sitzungsdauer richtet sich nach unseren Google Workspace Session-Control-Einstellungen (aktuell 14 Tage für vertrauenswürdige Sitzungen).

Logging, Monitoring und Incidents

  • Audit-Logs für Kunden: Audit-Trail für Logins, Berechtigungsänderungen, Bundles, Channels und Organisationsänderungen. Dokumentation der Features Enterprise umfasst Audit-Logs, 90-Tage-Org-Statistiken und 90-Tage-Device-Logs gemäß der Enterprise-Seite.
  • Monitoring: Dedizierte Runbooks, 24/7-Monitoring und von Gründern geleitete Incident-Response-Playbooks gemäß der Trust-Seite .
  • Status: Öffentliche Uptime und Incidents unter Status der capgo.App (referenziert in der Support-Richtlinie ).
  • Personal data breach notice (processor): Kunden werden ohne unnötige Verzögerung, spätestens 48 Stunden nach Bekanntwerden, per E-Mail mit regelmäßigen Updates benachrichtigt, gemäß der DPA .
  • Updater Fail-Safe: Antwortet der Update-Service nicht innerhalb von 3 Sekunden, bricht das Plugin die Anfrage ab und öffnet die App normal gemäß Support-Richtlinie .

Antworten auf den Vendor-Fragebogen

Werden Audit-Logs mindestens drei Jahre lang aufbewahrt? AC.26
Nein. Für sicherheitsrelevante Aktionen auf kritischen Systemen werden Audit-Events generiert und mittels Alerting auf Anomalien geprüft. Logs werden gemäß unserer Logging Policy und den jeweiligen Plattform-Aufbewahrungsrichtlinien gespeichert, was weniger als drei Jahre entspricht.
Fließen Production-Logs in ein SIEM ein? AC.27.1
Kein dediziertes SIEM. Production-Logs werden in den Logging- und Observability-Tools unserer Cloud-Provider mit Alerting gesammelt und auf Anomalien geprüft.
Welche Netzwerk-Abwehrmechanismen und Monitoring-Systeme sind im Einsatz? CO.3
Cloudflare bietet Edge-Firewall, Web Application Firewall und DDoS-Schutz. Produktions-Hosts nutzen Deny-by-Default-Regeln, und Google Workspace filtert E-Mails sowie Spam. Wir betreiben kein dediziertes SIEM; Logs werden mit Alerting über die Tools unserer Provider überwacht.
Deckt Ihr Incident Response Plan gängige Vorfallstypen ab? IE.2
Ja. Unser Incident Response Plan deckt Malware, Denial of Service, unbefugten Zugriff, unbefugten physischen Zugriff, Datenverlust, verlorene Laptops und Ransomware ab. Szenarien für physische Eindringlinge beziehen sich nur auf Endpoints, da wir voll remote ohne eigene Geschäftsräume arbeiten.
Haben Sie eine Incident Response Firma auf Retainer-Basis vertraglich gebunden? IE.3
Aktuell kein Retainer. Unser Incident Response Plan sieht vor, bei Bedarf eine externe Incident Response Firma hinzuzuziehen.
Wird der Incident Response Plan mindestens jährlich getestet und aktualisiert? IE.3.2
Ja. Der Incident Response Plan wird jährlich vom Management geprüft und genehmigt, und wir führen jährlich ein Tabletop-Exercise durch.
Is there a protocol for engaging law enforcement? IE.6
Ja. Unsere Incident-Response-Policy sieht die Benachrichtigung von Kunden und Stakeholdern vor. Zudem pflegen wir im Rahmen unseres ISO 27001-Programms den Kontakt zu relevanten Behörden, einschließlich der Strafverfolgungsbehörden.

Backup, Verfügbarkeit und SLA

  • Backups, Redundanz, Verschlüsselung und Zugriffskontrollen gemäß DPA Sicherheitsmaßnahmen.
  • Regionale Replikation und Read Replicas gemäß Enterprise- und Subprocessor-Dokumentation.
  • Enterprise Uptime SLA: 99,9 % monatlich mit Service Credits von 10 % bis 30 %. SLA .

Backups werden regelmäßig auf Integrität und Wiederherstellbarkeit geprüft; die Recovery-Prozesse werden jährlich getestet (siehe Antworten im Vendor Questionnaire unten). Spezifische RPO- und RTO-Ziele werden auf capgo.app nicht veröffentlicht.

Antworten auf den Vendor-Fragebogen

Werden Backup-Wiederherstellungen mindestens einmal jährlich getestet? CO.6
Ja. Backups werden regelmäßig auf Integrität und Wiederherstellbarkeit geprüft, und die Recovery-Prozesse werden jährlich getestet.

Schwachstellenmanagement und Offenlegung

  • Code Scanning: SonarCloud und Snyk; kritische Issues werden gemäß der Trust-Seite und Compliance-Dokumentation blockiert. .
  • Pull Request Review: CodeRabbit AI Review bei Pull Requests gemäß Compliance-Dokumentation.
  • Penetration Testing: Unabhängige Penetrationstests gemäß der Trust-Seite. Anbieter, Datum und Verfügbarkeit der Berichte sind nicht öffentlich; nutzen Sie das Trust-Portal für Nachweisanfragen.
  • Patch-Ziele: Kritische Lücken innerhalb von 7 Tagen, hohe innerhalb von 30 Tagen gemäß unserer Vulnerability Management Policy (siehe Antworten im Vendor-Fragebogen unten).
  • Offenlegung: Meldung über GitHub Sicherheitswarnungen (sowie capacitor-updater und CLI via security.txt ). Rückmeldung innerhalb von 7 Werktagen gemäß der Security Policy . Kostenpflichtige Reports über Bug Bounty .

Antworten auf den Vendor-Fragebogen

Welche Sicherheitstests sind vor dem Production-Release erforderlich? HAS.4
Jeder Pull Request durchläuft automatisierte Tests, Linting, statische Analyse (SonarCloud und ein obligatorischer Security-Scan) sowie einen automatisierten code Review vor dem Merge. Production-Änderungen werden durch das Management freigegeben. DAST ist nicht Teil der Release-Pipeline. Ein jährlicher Penetrationstest durch Dritte deckt die laufende Anwendung ab.
Wie hoch ist die Patch-Frequenz für kritische und hohe Schwachstellen? VM.7
Kritisch: innerhalb von 7 Tagen. Hoch: innerhalb von 30 Tagen, gemäß unserer Vulnerability Management Policy.

Zertifizierungen und Anforderung von Nachweisen

Öffentliche Erklärungen beinhalten:

So erhalten Sie Berichte: Besuchen Sie Vertraue der capgo.app Nutze Request Access für SOC-Berichte, ISO-Nachweise, Sicherheitsfragebögen und Kontrolldetails unter NDA. Zertifizierungs-PDFs werden nicht per E-Mail versendet.

Enterprise-Security-Review-Pakete können einen SOC 2-Bericht, eine DPA-Vorlage und Architekturnotizen gemäß der Enterprise-Seite enthalten, jedoch weiterhin über das Trust-Portal-Verfahren für formelle Nachweise.

Vollständige SOC 2- und ISO-Auditberichte, Auditor-Gutachten und detaillierte Scopes sind nur über das Trust-Portal verfügbar. Öffentliche Marketingseiten enthalten keine PDF-Berichte.

Antworten auf den Vendor-Fragebogen

Gibt es einen Non-Retaliation-Prozess für interne Compliance-Meldungen? CP.3
Ja. Mitarbeiter können Bedenken über die in unseren Richtlinien festgelegten Meldewege melden, und unser Code of Business Conduct schützt Whistleblower vor Repressalien.
Enthalten Vendor-Verträge Sicherheitsbestimmungen? OS.7
Ja. Die Verträge unserer Infrastruktur-Anbieter und DPAs decken Zugriffskontrollen, Benachrichtigungen bei Sicherheitsvorfällen, die Sicherheit von Sub-Prozessoren und das Dateneigentum ab. Audit-Rechte werden durch deren unabhängige SOC 2- und ISO 27001-Berichte ausgeübt.
Führen Sie eine Security Due Diligence für Vendoren durch? OS.8
Ja. Vendoren werden in einer jährlichen Vendor-Risikobewertung identifiziert und bewertet, die deren Sicherheitsnachweise (einschließlich Zugriffskontrollen, MFA und Verschlüsselung) prüft, wobei Sicherheitszusagen und Incident-Benachrichtigungen vertraglich fixiert sind.
Gibt es einen definierten Prozess für Ausnahmen von Sicherheitsrichtlinien? SP.4
Ja. Ausnahmen werden dokumentiert, einer Risikobewertung unterzogen, genehmigt und gemäß unserer Policy Management and Exception Handling Richtlinie nachverfolgt.
Haben Sie eine Cyber-Versicherung? RM.5
Aktuell keine Cyber-Versicherung vorhanden.

Datenschutz und DPA

  • DPA: Automatische Annahme bei Nutzung; Kunde ist Controller, Capgo ist Processor; SCCs mit Sub-Processors; Meldepflichten bei Data Breaches. DPA (Zuletzt aktualisiert am 10. Juni 2026 auf der englischen Seite).
  • Unterzeichnete DPA / NDA: Für Enterprise-Pläne verfügbar (siehe Enterprise-Seite).
  • Vom Updater gesammelte Daten (Standard): App ID, Versionen, Plattform, app-spezifische Device ID, Bundle, Channel, OS, Plugin-Version, Request-Land und IP. Capgo sammelt standardmäßig keine Namen, E-Mails oder Advertising IDs. Optional custom_id und Statistiken metadata können personenbezogene Daten enthalten, falls Ihre App diese sendet. HIPAA-konforme Deployments sollten diese Felder weglassen und deaktivieren allow_device_custom_id. Die Geräte-ID ist, soweit die DSGVO gilt, pseudonymisierte personenbezogene Daten. Compliance-Dokumentation .
  • Explizite Statistiken deaktivieren: Setzen Sie statsUrl auf einen leeren String setzen, um explizite Statistikberichte zu stoppen. Wenn updateUrl bleibt aktiviert; Capgo kann weiterhin Abrechnungs-MAU, Geräteinventar und Update-Entscheidungsprotokolle speichern, die für Live Updates und die Abrechnung erforderlich sind. HIPAA-Compliance-Dokumentation .
  • Aufbewahrung: Konfigurierbare Bundle-Aufbewahrung; Betriebsdaten werden für Servicebetrieb, Sicherheit, Abrechnung und Support ohne festgelegten öffentlichen Zeitraum gespeichert.
  • Kein Verkauf von Service-Daten: Im AVV festgelegt und Datenrichtlinie .

Siehe auch Datenschutzerklärung und Subprozessoren (30 Tage Änderungsfrist).

HIPAA-relevante Deployments

Capgo Cloud ist es nicht aktuell als HIPAA-konformer, gehosteter Statistik-Prozessor gemäß HIPAA-Compliance-Dokumentation . Enterprise-Pläne können eine Business Associate Agreement (BAA) für Kunden im Gesundheitswesen gemäß der HIPAA-Compliance-Seite enthalten .

Für strengere Reviews bieten wir EU-Endpoints, das Deaktivieren expliziter Statistiken (unter Einhaltung der oben genannten Limits), selbst gehostete Statistiken sowie lizenziertes Self-Hosting an (siehe HIPAA-Compliance-Seite).

Generative KI

Standardmäßig sendet Capgo keine Kundendaten an KI-Anbieter. Die interne Entwicklung nutzt KI-Coding-Assistenten ausschließlich für den eigenen Source code von Capgo. Falls ein Kunde Build-Log-Diagnosen aktiviert, werden diese Logs auf Anfrage durch Cloudflare Workers AI verarbeitet (siehe Subprozessoren-Seite ), ohne Speicherung durch den KI-Dienst und ohne Nutzung für das Training.

Antworten auf den Vendor-Fragebogen

Nutzen Sie Standard-KI-Tools (Generative AI), die Kundendaten verarbeiten könnten? GAI.2
Standardmäßig werden Kundendaten nicht durch Standard-Generative-AI-Tools verarbeitet. Capgo nutzt KI-Coding-Assistenten nur für die Entwicklung am eigenen Source code von Capgo, nicht an Kundendaten. Die einzige Ausnahme für Kunden sind optionale Build-Log-Diagnosen: Bei Opt-in werden diese Logs auf Anfrage durch Cloudflare Workers AI verarbeitet (ein gelisteter Sub-Processor), ohne Speicherung durch den KI-Dienst und ohne Nutzung für das Modelltraining.
Werden Kundendaten zur KI-Analyse außerhalb Ihrer Umgebung versendet? GAI.3
Standardmäßig werden Kundendaten nicht zur Analyse an externe KI-Anbieter gesendet. Die einzige Ausnahme sind optionale Build-Log-Diagnosen: Wenn ein Kunde zustimmt, werden diese Build-Logs auf Anfrage durch Cloudflare Workers AI (siehe unsere Subprocessor-Seite) verarbeitet, ohne Speicherung durch den KI-Dienst und ohne Nutzung für das Modelltraining.
Prüfen Sie KI-Outputs auf unfaire oder diskriminierende Ergebnisse? GAI.10
Nicht anwendbar. KI wird nur für technische Build-Log-Diagnosen und interne Entwicklungsunterstützung eingesetzt und trifft keine Entscheidungen über Einzelpersonen.
Vermeidet die KI-Verarbeitung die Abhängigkeit von geschützten Merkmalen? GAI.11
Ja. Die KI-Funktion für Kunden verarbeitet ausschließlich technische Build-Logs und nutzt keine persönlichen oder geschützten Merkmale.
Wird der KI-Output durch menschliche Überprüfung und Monitoring kontrolliert? GAI.12
Ja. Der KI-Output für Kunden dient nur als Beratung für den Entwickler, der über das weitere Vorgehen entscheidet. Es erfolgen keine automatisierten Aktionen. Die Funktion ist ein Opt-in und durch unsere Risikoanalyse- und Vendor-Management-Prozesse abgedeckt.
Is access to AI components least privilege? GAI.13
Ja. Die KI-Funktion läuft innerhalb unserer Produktionsplattform unter denselben rollenbasierten Least-Privilege-Zugriffskontrollen, und der Model-Service speichert keine Kundendaten.
Führen Sie ein Inventar von KI-Modellen, Datenquellen und Komponenten? GAI.15
Ja. Unsere Inventarlisten für Anbieter und Systeme führen den KI-Dienst, die verwendeten Modelle sowie die zugrunde liegenden Datenquellen auf.
Wie lange werden Kundeneingaben im KI-System gespeichert? GAI.16
Standardmäßig werden keine Kundeninhalte an den KI-Service gesendet. Wenn ein Kunde Build-Log-Diagnosen aktiviert, werden die Logs auf Anfrage durch Cloudflare Workers AI verarbeitet; der Service speichert diese nicht und nutzt sie nicht für das Modelltraining. Build-Logs, die in Capgo Systemen gespeichert sind, unterliegen unserer Standard-Datenaufbewahrungsrichtlinie.

Kontakte

Nicht öffentlich genannte Themen

Die folgenden Punkte werden häufig in Fragebögen gestellt, sind aber auf öffentlichen Capgo-Seiten nicht beantwortet. Details erhalten Sie über das Trust Portal oder per E-Mail an security@capgo.app.

  • SOC 2 Berichtzeitraum, Umfang und Details zum Auditor-Schreiben über das Trust Portal hinaus
  • Anbieter des Penetrationstests, Datum und Zusammenfassung (jährliche Tests sind unter Vulnerability Management bestätigt)
  • Veröffentlichte numerische RPO- und RTO-Ziele
  • Genaue Log-Aufbewahrungsfristen pro System (über die Zusammenfassung unter Logging, monitoring, and incidents hinaus)
  • Minimale TLS-Version, Cipher Suites und Details zur Rotation des Platform Key Managements
  • SCIM-Provisionierung
  • Kontakt des Datenschutzbeauftragten oder EU-Vertreters
  • Spezifischer Zeitplan zur Löschung von Kundendaten nach Vertragsende
  • PCI DSS, FedRAMP, CSA STAR oder TISAX Zertifizierungen (nicht öffentlich beansprucht)