Sicherheit · Nachweise
Sicherheit, die Sie nachprüfen können
Wir prüfen Complass selbst, laufend und nachvollziehbar dokumentiert. Was unabhängige Dienste von außen messen, können Sie mit einem Klick selbst nachprüfen.
Stand: 22.10.2026 · Version 2.15
Von unabhängigen Diensten gemessen
Diese Ergebnisse liefern öffentliche Prüfdienste, nicht wir. Der Link zeigt jeweils das aktuelle Ergebnis des Dienstes.
-
Qualys SSL Labs A+
- Nur TLS 1.2 und 1.3
- HSTS für ein Jahr, inkl. Subdomains
- Zertifikat gültig, automatisch erneuert
-
Mozilla HTTP Observatory A+
- 12/12 Tests
- Strenge Content-Security-Policy
- Schutz vor Einbetten in fremde Seiten
- Sichere Cookies
-
security.txt nach RFC 9116 vorhanden
- Fester Kontakt für Sicherheitsmeldungen
- Gültig bis 28.09.2027
- Deutsch und Englisch
Die Noten zeigen unseren Stand vom 22.10.2026. Die Dienste messen öffentlich erreichbare Eigenschaften unserer Website. Sie arbeiten nicht in unserem Auftrag und vergeben kein Siegel.
Unsere eigenen Prüfungen
Wir prüfen uns selbst, mit eigenen Werkzeugen und ohne externe Berater. Das sagen wir offen, denn es bedeutet: Wir prüfen nicht einmal im Jahr, sondern bei jeder Änderung.
-
OWASP ASVS 5.0 Level 1 bis 3 · Selbstbewertung
- 98 % Level 1
- 97 % Level 2
- 85 % Level 3
Jede Anforderung einzeln gegen Code und Betrieb bewertet. Ein Level nennen wir erst erfüllt, wenn alles umgesetzt ist.
Begründete Ausnahmen (nicht als erfüllt gezählt)
-
Schlüssellänge fremder Anbieter (V11.2.3, Level 2): RSA-2048 von Identitätsanbietern und Passkey-Geräten – zulässig nach NIST SP 800-131A bis Ende 2030.
Warum?
Complass selbst verschlüsselt durchgängig mit mindestens 128 Bit Sicherheit (256-Bit-Schlüssel). Identitätsanbieter wie Microsoft oder Google und viele Passkey-Geräte signieren aber mit RSA-2048 (112 Bit). Diese Schlüssel akzeptieren wir gemäß NIST SP 800-131A bis Ende 2030; ab 2031 verlangen wir mindestens RSA-3072. Würden wir RSA-2048 heute ablehnen, wäre die Anmeldung per SSO und Passkey nicht mehr möglich.
-
Geheime Schlüssel ohne separaten Schlüsseltresor (V13.3.1, Level 2): Ablage als verschlüsselte Dateien auf einer eigenen Datenpartition statt in einem Tresor-Dienst.
Warum?
Geheime Schlüssel liegen verschlüsselt auf einer eigenen Datenpartition, nur lesbar für die beiden Dienste, die sie brauchen. Ein separater Schlüsseltresor bringt bei einem einzelnen Server keinen zusätzlichen Schutz.
-
Automatische Scans bei jeder Änderung
- Statische Code-Analyse
- Suche nach versehentlich gespeicherten Secrets
- Prüfung aller Fremdkomponenten auf bekannte Schwachstellen
- Stückliste der Software (SBOM)
- Dynamischer Scan der laufenden Anwendung
-
Eigener Penetrationstest vor jedem Release
Vor jeder Freigabe greifen wir die neue Version gezielt an: Mandantentrennung, Rechte, Anmeldung und neue Funktionen. Getestet wird in einer Testumgebung mit Demodaten.
Letzter Test: Release 2.06, Oktober 2026
- Keine kritischen oder hohen Befunde
- 1 mittlerer und 5 niedrige Befunde, alle vor der Auslieferung behoben und nachgeprüft
-
Prüfung jeder neuen Funktion vor jeder Freigabe
- Rechte
- Mandantentrennung
- Eingaben
10.000+ automatische Tests sperren jede Auslieferung, wenn einer fehlschlägt.
Was ist OWASP ASVS, und was bedeuten Level 1, 2 und 3?
Der Standard
Der Application Security Verification Standard (ASVS) ist ein offener Prüfstandard der gemeinnützigen OWASP Foundation. Er legt in mehreren hundert einzelnen Anforderungen fest, was eine sichere Webanwendung leisten muss: von Anmeldung, Sessions und Rechten über die Prüfung von Eingaben bis zu Verschlüsselung und Logging. Die aktuelle Version 5.0 ist 2025 erschienen.
Die drei Level
- Level 1
- Grundschutz gegen naheliegende, leicht auszunutzende Angriffe. Die Mindeststufe für jede Anwendung.
- Level 2
- Der Standard für Anwendungen mit sensiblen oder geschäftskritischen Daten, etwa personenbezogenen Daten oder Unterlagen zur Informationssicherheit. Baut auf Level 1 auf.
- Level 3
- Die höchste Stufe für besonders kritische Systeme. Baut auf Level 2 auf.
Unser Stand
OWASP ASVS 5.0: Level 1 98 % · Level 2 97 % · Level 3 85 % (Selbstbewertung, Stand 21.10.2026). Dazu ein automatisierter Pentest am 24.10.2026. Zwei begründete Ausnahmen, offen ausgewiesen. So zählen wir
Wir haben jede Anforderung der Level 1 und 2 einzeln gegen den Code und den Betrieb von Complass bewertet und je Anforderung einen Beleg festgehalten. Die Bewertung wiederholen wir vollständig je Hauptversion; bei jedem Release prüfen wir die betroffenen Anforderungen erneut.
Was es nicht ist
Kein Zertifikat: OWASP stellt keine Zertifikate aus und prüft Anwendungen nicht selbst. Unsere Angabe ist eine Selbstbewertung durch Complass.
Die ausführliche Zuordnung je Anforderung mit Umsetzung, Nachweis und Prüfschritten enthält unser Sicherheitsdossier, das Kunden und Interessenten nach Abschluss einer Vertraulichkeitsvereinbarung erhalten. Schreiben Sie uns an info@complass.eu, Betreff „Sicherheitsdossier“.
Ergebnis in Kürze
Wir veröffentlichen eine knappe Zusammenfassung. Einzelne Befunde nennen wir nicht öffentlich, damit niemand sie ausnutzen kann.
- Keine offenen kritischen Befunde – über alle Prüfungen bis 22.10.2026
- Jede Prüfung dokumentiert – mit Datum, Uhrzeit und geprüftem Stand, auch ohne Befund
- Hosting in Deutschland – Server der Hetzner Online GmbH
- Löschung wirkt auch in den Backups – eigener Backup-Schlüssel je Kunde, mit der Löschung vernichtet
Sicherheitshinweise
Derzeit gibt es keine veröffentlichten Sicherheitshinweise. Schwachstellen melden Sie an security@complass.de (siehe security.txt).
So prüfen wir
Alle Angaben auf dieser Seite beruhen auf eigenen Prüfungen oder öffentlichen Prüfdiensten. Complass ist nicht von einer externen Stelle zertifiziert.
| Prüfart | Wer prüft | Takt |
|---|---|---|
| Bewertung nach OWASP ASVS 5.0 | Complass, Selbstbewertung | Vollständig je Hauptversion, betroffene Anforderungen je Release |
| Statische und dynamische Scans | Complass, automatisiert | Bei jeder Änderung am Code |
| Eigener Penetrationstest | Complass, Testumgebung mit Demodaten | Vor jedem Release |
| TLS, Header, security.txt | Öffentliche Prüfdienste | Nach jedem Release, jederzeit selbst nachprüfbar |
Security-Bericht und Sicherheitsdossier anfordern
Zwei Unterlagen, je nachdem, wie tief Sie prüfen.
-
Security-Bericht ohne NDA
Für Ihre Lieferantenbewertung: Antworten auf die üblichen Fragen eines Sicherheitsfragebogens, ausgestellt auf Ihr Unternehmen.
Security-Bericht anfordern -
Dossier und Pentest-Bericht unter NDA
Für Audits und technische Prüfungen: jede Sicherheitsmaßnahme mit Umsetzung, Nachweis und Prüfschritten. Dazu der Bericht des letzten Penetrationstests (Release 2.06, Oktober 2026) mit allen Befunden im Detail.
Nach Abschluss einer Vertraulichkeitsvereinbarung.
Dossier und Pentest-Bericht anfragen
Oder per E-Mail an info@complass.eu.
Sicherheitslücke gefunden? Schreiben Sie an security@complass.de. Hinweise zur Meldung stehen in unserer security.txt.