- SAML 2.0 Single Sign-on
- Anmeldung mit Google und Microsoft
- bcrypt-Hashing, strenge Passwortrichtlinie
- Sperre pro Konto und IP
- Überall abmelden
Mentornity Security Center
Ihre Programmdaten, auf jeder Ebene geschützt.
Mentornity betreibt Mentoring- und Coaching-Programme für Unternehmen, Hochschulen, Accelerators und Communitys. So schützen wir die Menschen darin: wo die Daten liegen, wer darauf zugreifen kann, wie sie verschlüsselt, überwacht und wiederhergestellt werden, und welche Richtlinie hinter jeder Kontrolle steht.
- 3Verfügbarkeitszonen für die Datenbank
- 24/7externe Verfügbarkeitsüberwachung
- 30 Tagezentrale Log-Aufbewahrung
- 7 Tageverschlüsselte Snapshot-Historie
- AES-256Verschlüsselung für Festplatten, Snapshots und Backups
- 15veröffentlichte Sicherheitsrichtlinien
Architektur
Eine Region, ein privates Netzwerk, in Schichten vom Rand nach innen.
Jede Anfrage erreicht Mentornity über Cloudflare und eine gehärtete Edge-Schicht, die TLS terminiert. Anwendung und Datenbank liegen dahinter in einem privaten Netzwerk in Frankfurt, und die Datenbank wird über drei Verfügbarkeitszonen repliziert.
Defence in Depth
Vier Ebenen, jede für sich stark.
- NetzwerkCloudflare davor, eine gehärtete Edge-Schicht, eine private VPC mit Security Groups nach dem Default-Deny-Prinzip. Die Datenbank ist aus dem Internet nie erreichbar.
- IdentitätSAML SSO, Anmeldung mit Google und Microsoft, bcrypt-Passwörter mit strenger Richtlinie, Sperre nach wiederholten Fehlversuchen und Widerruf aller Sitzungen auf Wunsch.
- AnwendungAutorisierung auf dem Server bei jeder Anfrage, Trennung auf Programmebene, Sichtbarkeit von Mitgliederantworten pro Feld, bereinigter Rich Text und eine nonce-basierte Content Security Policy.
- DatenVerschlüsselte Festplatten, Snapshots und Backups, Secrets in einem verschlüsselten Parameter Store, Replikation über drei Zonen und Logs, die nie Passwörter oder Tokens enthalten.
Resilienz
Ein Tag Schutz, jeden Tag.
Daten werden fortlaufend repliziert, jede Nacht in ein Backup außerhalb des Servers geschrieben und jeden Morgen per Snapshot gesichert, während eine externe Prüfung den Dienst rund um die Uhr kontrolliert.
0Datenverlust beim Ausfall eines Datenbankknotens: die Replikation übernimmt automatisch
≤ 24 hWiederherstellungspunkt für eine vollständige Wiederherstellung aus dem nächtlichen Backup
7 Tageverschlüsselte Volume-Snapshots für jeden Server und jede Datenplatte
Kontrollen
Was heute im Einsatz ist.
Eine Übersicht der technischen Kontrollen im Produktivbetrieb. Jede Karte verweist auf die Richtlinie, die sie vollständig beschreibt.
- Serverseitige Prüfung auf jeder Route
- Datentrennung auf Programmebene
- Sichtbarkeit von Antworten pro Feld
- Rollenbasierter Admin-Zugang
- Begrenzte API-Schlüssel mit Rate Limit
- Nur TLS 1.2 und 1.3, HSTS
- Verschlüsselte Festplatten (AES-256)
- Verschlüsselte Snapshots und Backups
- Secrets in einem verschlüsselten Tresor
- SPF und DKIM für ausgehende E-Mails
- Eigene AWS-VPC in Frankfurt
- Security Groups mit Default-Deny
- Gehärteter Zugriff auf Instanz-Metadaten
- Infrastructure as Code
- Automatische Prüfung offener Ports bei jeder Änderung
- CloudWatch-Logs und -Alarme
- Audit-Trail mit AWS CloudTrail
- Externe Dead-Man’s-Switch-Prüfung
- Prüfung des Zertifikatsablaufs
- Meldung von Container-Neustarts
- Tägliche Sicherheitsupdates des Betriebssystems
- Monatliches Wartungsfenster
- govulncheck und Paket-Audits
- Unterstützte Laufzeitumgebungen
- Befunde bis zum Abschluss mit Tests verfolgt
Richtlinien
Unsere Sicherheitsrichtlinien.
15 Richtlinien beschreiben, wie Mentornity betrieben wird, von Zugriffskontrolle und Verschlüsselung bis zu Incident Response und Wiederherstellung. Geben Sie sie an Ihre Sicherheitsprüfung weiter; ein Auftragsverarbeitungsvertrag steht jedem Kunden zur Verfügung.
Governance und Datenschutz
Informationssicherheitsrichtlinie
Das Gesamtprogramm: Geltungsbereich, Grundsätze, Rollen und wie alle anderen Richtlinien dieser Seite zusammenhängen.
Richtlinie lesen →Datenschutzrichtlinie
Wo Daten liegen, wer sie kontrolliert, was erhoben wird und wie sie zurückgegeben oder gelöscht werden.
Richtlinie lesen →Richtlinie zum Lieferanten- und Lieferkettenrisikomanagement
Wie Lieferanten ausgewählt und überprüft werden, und die vollständige Liste der Unterauftragsverarbeiter.
Richtlinie lesen →Richtlinie zu KI und Datennutzung
Wie Mentornity AI und der MCP-Connector Programmdaten nutzen und was sie nie damit tun.
Richtlinie lesen →Richtlinie zur verantwortungsvollen Offenlegung
Wie Sie eine Schwachstelle melden, wozu wir uns im Gegenzug verpflichten und welche Regeln gelten.
Richtlinie lesen →Datensicherheit
Richtlinie zur Zugriffskontrolle
Wie Nutzer, Admins, Engineers und Maschinen authentifiziert werden und worauf jeder zugreifen kann.
Richtlinie lesen →Richtlinie zu Verschlüsselung und Schlüsselverwaltung
TLS überall, verschlüsselte Festplatten, Snapshots und Backups, und Secrets in einem verwalteten Tresor.
Richtlinie lesen →Richtlinie zu Infrastruktur- und Netzwerksicherheit
Ein eigenes AWS-Netzwerk in Frankfurt, ein einziger gehärteter Zugangspunkt und eine Datenbank, die aus dem Internet niemand erreicht.
Richtlinie lesen →Betrieb und Resilienz
Richtlinie zu Log-Management und Monitoring
Welche Logs es gibt, was darin steht, wie lange sie aufbewahrt werden und wer sie überwacht.
Richtlinie lesen →Richtlinie zu Schwachstellen- und Patch-Management
Tägliche Sicherheitsupdates des Betriebssystems, ein monatliches Wartungsfenster und Abhängigkeitsscans bis null bekannte Probleme.
Richtlinie lesen →Richtlinie zu Incident Response
Von der Erkennung bis zur Benachrichtigung und Nachbetrachtung: Phasen, Rollen und Fristen.
Richtlinie lesen →Richtlinie zu Backup und Wiederherstellung
Replikation über drei Verfügbarkeitszonen, tägliche Snapshots, nächtliche Backups außerhalb des Servers und dokumentierte Wiederherstellungen.
Richtlinie lesen →Richtlinie zu Business Continuity
Dienst und Team bleiben bei Störungen durch Lieferanten, Infrastruktur oder Personal handlungsfähig.
Richtlinie lesen →Sichere Entwicklung
Richtlinie zu sicherer Entwicklung und Change Management
Jede Änderung ist ein geprüfter Pull Request, der automatische Prüfungen besteht, bevor ein automatisches, umkehrbares Deployment folgt.
Richtlinie lesen →OWASP-Top-10-Kontrollen
Wie die Plattform jedem der zehn kritischsten Sicherheitsrisiken für Webanwendungen begegnet.
Richtlinie lesen →Unterauftragsverarbeiter
Wer sonst mit den Daten arbeitet.
Die Anbieter, die Programmdaten verarbeiten, wofür und wo. Optionale Integrationen schaltet die Organisation oder die teilnehmende Person ein. Richtlinie zum Lieferantenrisikomanagement
| Anbieter | Zweck | Datenstandort |
|---|---|---|
| Amazon Web Services | Hosting, Datenbank, Dateispeicher, Backups, Logs, transaktionale E-Mails (SES) | EU (Frankfurt) |
| Cloudflare | DNS, CDN, DDoS-Schutz, Bot-Prüfung öffentlicher Formulare, Weiterleitung eingehender E-Mails | Globales Edge-Netzwerk |
| Stripe | Abo-Abrechnung und Kartenzahlungen (nur Rechnungskontakte) | EU und USA |
| Optional: Anmeldung mit Google, Synchronisierung mit Google Kalender | Je nach Google-Konto der teilnehmenden Person | |
| Microsoft | Optional: Anmeldung mit Microsoft, Synchronisierung mit dem Outlook-Kalender | Je nach Microsoft-Konto der teilnehmenden Person |
| Zoom | Optional: Zoom-Meeting-Links | Je nach Zoom-Konto der Organisation |
| Anthropic | Optional: Mentornity-KI-Assistent mit dem eigenen API-Schlüssel der Organisation | USA |
Fragen zur Sicherheit, beantwortet
Wo werden die Daten von Mentornity gespeichert?
Alle Produktionsdaten werden in der Europäischen Union gespeichert und verarbeitet, in der AWS-Region eu-central-1 in Frankfurt, Deutschland, über drei Verfügbarkeitszonen. Backups und Logs bleiben in derselben Region.
Werden die Daten verschlüsselt?
Ja. Jede Verbindung läuft nur über HTTPS mit TLS 1.2 oder 1.3 und HSTS. Serverfestplatten, Datenbank-Volumes, Snapshots und Backups sind bei der Speicherung mit AES-256 verschlüsselt, und Passwörter werden nur als bcrypt-Hashes gespeichert.
Unterstützt Mentornity Single Sign-on?
Ja. Organisationen können SAML 2.0 Single Sign-on mit ihrem eigenen Identity Provider nutzen, und Teilnehmende können sich auch mit Google oder Microsoft anmelden.
Ist Mentornity DSGVO-konform?
Mentornity verarbeitet Programmdaten als Auftragsverarbeiter nach Weisung der Kundenorganisation, hostet sie in der EU und bietet jedem Kunden einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Wie werden die Daten gesichert?
Die Datenbank wird fortlaufend über drei Verfügbarkeitszonen repliziert, jede Nacht in separaten verschlüsselten Speicher gesichert, und von jedem Server und Daten-Volume wird täglich ein Snapshot mit sieben Tagen Historie erstellt.
Welche Unterauftragsverarbeiter nutzt Mentornity?
Amazon Web Services für Hosting, Speicher und E-Mail, Cloudflare für DNS, CDN und DDoS-Schutz und Stripe für die Abrechnung. Google, Microsoft, Zoom und Anthropic kommen nur zum Einsatz, wenn eine Organisation oder teilnehmende Person die jeweilige Integration einschaltet.
Wird Mentornity AI mit unseren Daten trainiert?
Nein. Der KI-Assistent wird pro Programm eingeschaltet, läuft auf den Claude-Modellen von Anthropic über den eigenen API-Schlüssel der Organisation, und Anthropic trainiert seine Modelle nicht mit Daten, die über seine kommerzielle API gesendet werden.
Wie melde ich ein Sicherheitsproblem oder fordere einen Sicherheitsfragebogen an?
Schreiben Sie an privacy@mentornity.com. Meldungen zu Schwachstellen werden innerhalb von drei Werktagen bestätigt; Sicherheitsfragebögen und AVV-Anfragen gehen an dieselbe Adresse.
Eine Schwachstelle gefunden? Ihr Sicherheitsfragebogen braucht Antworten?
Wir freuen uns über Meldungen von Forschenden und Prüfungen durch Ihr Sicherheitsteam. Jede Meldung bestätigen wir innerhalb von drei Werktagen. Lesen Sie die Richtlinie zur verantwortungsvollen Offenlegung.
privacy@mentornity.com Sicherheitsmeldungen, Fragebögen und AVV-Anfragen