Was wir absichern, und was noch offen ist.
Im November 2026 haben wir den Code selbst geprüft, mit OWASP ASVS Level 2 als Richtschnur. Das ist keine externe Prüfung und keine Zertifizierung. Hier steht, was wir dabei nachweisen konnten und was noch aussteht.
Dein Betrieb bleibt dein Betrieb
Viele Betriebe teilen sich eine Installation. Die Daten müssen trotzdem getrennt bleiben.
- Jede Datenbankabfrage läuft automatisch mit dem Filter auf den eigenen Betrieb.
- Test mit echten IDs eines fremden Betriebs: 43 Routen geprüft, kein Datenleck.
- Jede Route ist ohne Anmeldung gesperrt, außer bewusst freigegebene. Neue öffentliche Routen fallen in einem Test auf.
- Auf einen Standort beschränkte Rollen sehen im Backoffice nur diesen Standort.
Anmeldung und Geräte
Backoffice und Kasse haben unterschiedliche Anforderungen, beide sind abgesichert.
- Passwörter mit Argon2id, Zwei-Faktor-Anmeldung (TOTP) für Inhaber und Manager.
- Neue Passwörter werden lokal gegen eine Liste häufiger Passwörter geprüft, ohne Abfrage bei Dritten.
- „Passwort vergessen“ per Einmal-Link, 60 Minuten gültig; danach enden alle Sitzungen, die Zwei-Faktor-Anmeldung bleibt.
- Kassen und Kiosks werden per einmaligem Code gekoppelt und lassen sich widerrufen.
- Sperre nach 5 Fehlversuchen, Begrenzung der Anfragen je IP an Anmeldung und öffentlichen Routen, an Kassenrouten je Gerät.
- Sitzungs-Cookie nur für den Server lesbar, Erneuerung erkennt wiederverwendete Tokens.
Nachvollziehbar
Was an Kasse und Konto passiert, lässt sich hinterher belegen.
- Audit-Log für Anmeldungen, Storno, Kassenbuch, Exporte und Änderungen an Benutzern und Geräten.
- Kassenjournal nur anhängend, mit Hash-Kette und Prüffunktion.
- Keine Passwörter, PINs oder Tokens in Logs und Audit-Log.
Eingaben und Browser
Fremde Inhalte kommen über Formulare, Bilder und E-Rechnungen ins System.
- Strenge Content Security Policy mit Nonce, Sicherheits-Header auf allen Seiten.
- Bilder werden nach Inhalt geprüft und neu kodiert, SVG-Uploads sind ausgeschlossen.
- E-Rechnungs-Import mit Größenlimits und Schutz vor manipuliertem XML.
- Preise der Online-Bestellung kommen immer vom Server, nie aus dem Browser.
Kundendaten und Backups
Für Kundendaten gibt es Werkzeuge im Produkt. Die Vorlagen und Fristen sind noch rechtlich zu prüfen.
- Datenexport und Anonymisierung je Kunde, Belege bleiben wegen der Aufbewahrungspflichten erhalten.
- Einwilligungen werden mit Version gespeichert, Erinnerungs-Mails haben einen Ein-Klick-Abmeldelink.
- Skripte für tägliches, verschlüsseltes Backup und automatischen Restore-Test; der Produktivbetrieb steht noch aus.
- Eine AV-Vertrag-Vorlage liegt vor und muss noch anwaltlich geprüft werden.
Was noch offen ist
Diese Punkte stehen auf unserer Liste, bevor es in den Pilot geht.
- Eine externe Sicherheitsprüfung gab es noch nicht.
- Der Hosting-Anbieter für den Produktivbetrieb ist noch nicht festgelegt.
- Echte TSE, S-POS, Adyen und Mollie sind noch nicht gegen die echten Dienste getestet, der erste Pilotbetrieb steht aus.
- Getestet ist der Betrieb mit einer Server-Instanz. Rate-Limits und Echtzeit können über Redis laufen, mehrere Instanzen im Betrieb sind noch nicht erprobt.
- Auch auf einen Standort beschränkte Rollen sehen Audit-Log und Journal-Prüfung für den ganzen Betrieb.
Du willst es genauer wissen?
Frag uns im Gespräch nach den Prüfergebnissen im Detail.