Sicherheit
Was die Datenbank nicht erlaubt, kann kein Klick.
Diese Seite ist nach Sorgen geordnet, nicht nach Technikgebieten. Bei jeder Maßnahme steht, wo sie sitzt — der Unterschied zwischen „die Anwendung prüft das" und „die Datenbank erlaubt es nicht" ist der eigentliche Punkt.
Serverstandort DeutschlandGoBD-GrundsätzeTLS und AES-256-GCM
RLSMandantentrennung in der Datenbank, nicht in der Oberfläche
Append-onlyProtokolleintrag entsteht vor der Änderung
4 Stufenwas gelöscht werden darf — und ab wann nicht mehr
Kein Siegelkeine ISO-27001-Zertifizierung, weil keine vorliegt
Die wichtigste Frage
Was gelöscht werden darf — und ab wann nicht mehr.
Löschen ist keine Frage der Berechtigung, sondern der Stufe. Die Grenze liegt zwischen Stapel und Journal.
1Quellen — löschen erlaubtEin Import lässt sich vollständig zurücknehmen, solange nichts daraus festgeschrieben ist.
2Prüfen — löschen erlaubtZuordnungen und Regeln lassen sich ändern und verwerfen, ohne Spur im Journal.
3Buchungsstapel — löschen erlaubtDer Stapel ist Arbeitsraum. Was hier steht, ist noch nicht Bestand.
4Journal — nur StornoNach der Festschreibung bleibt der Zeitraum geschlossen. Korrektur läuft über eine sichtbare Gegenbuchung.
Maßnahmen
Acht Eigenschaften, keine acht Versprechen.
Jede Zeile nennt, wo die Maßnahme sitzt. Was in der Datenbank verankert ist, lässt sich mit keinem Klick umgehen.
Mandantentrennung in der DatenbankHeute verfügbarRow Level Security auf jeder Tabelle. Eine Abfrage ohne Firmenbezug liefert nichts, nicht „alles".
Unveränderliches ProtokollHeute verfügbarAppend-only: der Eintrag entsteht vor der Änderung und lässt sich nicht überschreiben.
Belegarchiv ohne physische LöschungHeute verfügbarSolange eine Aufbewahrungsfrist läuft, wird ein Beleg als gelöscht markiert, aber nicht entfernt.
Verschlüsselte ÜbertragungHeute verfügbarTLS auf dem Weg, AES-256-GCM für gespeicherte Zugangsdaten.
Geschützte ZugangsdatenHeute verfügbarZugriffstoken liegen verschlüsselt und werden beim Trennen gelöscht.
Serverstandort DeutschlandHeute verfügbarVerarbeitung und Sicherung in deutschen Rechenzentren nach DSGVO.
Rechte je Nutzer und FirmaHeute verfügbarInhaber, Buchhaltung, Nur Lesen, Steuerberater — je Firma getrennt vergeben.
Getrennte Dateiablage je FirmaHeute verfügbarBelege liegen in getrennten Bereichen; ein Pfad einer anderen Firma ist nicht erreichbar.
Assistenten
Was ein Assistent nie kann.
Für Assistenten gilt dieselbe Trennung wie für Menschen — sie ist nicht nachträglich geprüft, sondern in der Datenbank verankert.
Freigabe je Mandant und BereichHeute verfügbarSie legen fest, welche Firmen und welche Bereiche ein Assistent sehen darf.
Dieselbe Trennung wie für MenschenHeute verfügbarEin nicht freigegebener Mandant ist für den Assistenten nicht benennbar, nicht nur unsichtbar.
Schreiben nur nach einzelner FreigabeHeute verfügbarDie Bestätigung gilt für genau einen Vorgang und ist an dessen wirksame Felder gebunden.
Jederzeit widerrufbarHeute verfügbarTrennen wirkt sofort; der Schlüssel wird gelöscht und der Vorgang protokolliert.
Der Fall, gegen den das gebaut istEin Assistent fragt eine Freigabe für einen Betrag und ändert danach den Betrag. Weil die Bestätigung an die wirksamen Felder gebunden ist, gilt sie dann nicht mehr — man bestätigt einen Vorgang, kein Werkzeug.
Ihre Rechte
Fünf Rechte, die Sie ohne Rückfrage durchsetzen können.
Nicht als Absichtserklärung, sondern als Funktion im Programm.
AuskunftHeute verfügbarSie sehen, welche Daten zu Ihrem Konto und Ihren Firmen gespeichert sind.
ExportHeute verfügbarBuchungen und Auswertungen als Datei mitnehmen, jederzeit und ohne Antrag.
TrennenHeute verfügbarJede Quelle und jeder Assistent lässt sich sofort trennen.
Protokoll einsehenHeute verfügbarWer wann was geändert hat — einschließlich der Freigaben an Assistenten.
Konto löschenHeute verfügbarLöschung des Kontos; laufende Aufbewahrungsfristen bleiben davon unberührt.
Grenzen
Was hier bewusst nicht steht.
Kein Siegel, das nicht vorliegt. Diese fünf Punkte sind der Grund, warum diese Seite ohne Prüfzeichen auskommt.
Keine ISO-27001-Zertifizierung und kein anderes Prüfsiegel — es liegt keines vor.Kontura ist kein zertifiziertes Archivsystem im Sinne einer revisionssicheren Langzeitarchivierung.Keine Datenschutz-Folgenabschätzung veröffentlicht.Fremde Dienste (Bankschnittstelle, Assistenten) arbeiten nach deren eigenen Bedingungen.Keine Ende-zu-Ende-Verschlüsselung — sie wäre mit Auswertungen auf dem Server nicht vereinbar.
Prüfen Sie das an Ihren eigenen Daten.
Im Testmonat sehen Sie Protokoll, Rollen und Festschreibung an einem echten Monat — nicht an einer Beschreibung.
- Protokoll an Ihrem eigenen Import geprüft
- Rollen und Rechte gemeinsam gesetzt
- Festschreibung an einem echten Zeitraum
- Fragen zum Datenschutz direkt beantwortet