Sicherheit.
Ohne Floskeln.
Wie wir Plattform und Daten heute schützen, was noch in Arbeit ist und wie du uns erreichst, wenn du ein Problem findest.
Die Plattform
Isolierte Control Planes
Jeder Kubernetes-Cluster bekommt seine eigene Control Plane, die nie mit einem anderen Cluster oder Kunden geteilt wird.
Unveränderliche Nodes
Bei Updates wird das Betriebssystem der Nodes ersetzt, nicht von Hand verändert.
Verschlüsselt gespeichert
Volumes und Object Storage sind mit AES-256 verschlüsselt. Verbindungen laufen über TLS.
Standardmäßig privat
Cluster-Nodes haben keine öffentlichen Adressen; ausgehender Traffic läuft über NAT.
Das Unternehmen und deine Daten
Ein deutsches Unternehmen
enum GmbH in Köln, ohne US-Mutterkonzern und damit ohne Risiko durch den US CLOUD Act.
Daten in Frankfurt
Deine Daten bleiben in einem Tier-III+-Rechenzentrum in Frankfurt.
AVV in jedem Vertrag
Ein Auftragsverarbeitungsvertrag nach DSGVO ist Teil jedes Vertrags.
Transparent bei Störungen
Status, Störungen und Wartungsarbeiten sind öffentlich auf enumstatus.com einsehbar.
Wie wir arbeiten
Hardware-Keys für unser Team
Für interne Systeme braucht es einen Hardware-Sicherheitsschlüssel und VPN. Kein Login nur mit Passwort, keine SMS-Codes.
Kein öffentlicher Management-Zugang
Kerninfrastruktur und Management-Oberflächen sind aus dem Internet nicht erreichbar.
Signierter Code
Jeder Commit ist signiert. Unsignierte Commits werden abgelehnt.
Minimale Rechte
Teammitglieder bekommen nur die Zugriffe, die sie gerade brauchen, und arbeiten auf verschlüsselten Geräten.
Zertifizierungen.
Und wer sie hält.
Regulierung.
Unterstützung statt Stempel.
Kein Anbieter macht dich im Alleingang DSGVO-, NIS2- oder DORA-konform. Von uns bekommst du einen deutschen Vertragspartner, Daten, die in der EU bleiben, einen AVV und dokumentierte Maßnahmen für deine eigene Bewertung.
Schwachstelle gefunden?
Sag es uns.
Wir freuen uns über Meldungen von Sicherheitsforschenden. Schick sie an security@enum.co, wenn möglich mit unserem PGP-Schlüssel verschlüsselt. Wir bestätigen den Eingang innerhalb von 48 Stunden und halten dich auf dem Laufenden, bis die Lücke geschlossen ist.
Dazu gehören: die enum-Plattform, API und Console unter enum.co und enum.cloud sowie unser Netzwerk-Edge. Nicht dazu gehören: Social Engineering, physische Angriffe, Denial of Service und Software Dritter, die wir nicht betreiben.
Die Sicherheit bei enum verantwortet Max Heyer (Gründer) gemeinsam mit Roman Zipp (Founding Engineer). Romans aktuelle Recherche: Checkout-Hijacking-Kampagne bei Shopify
Unser Versprechen
- Forschung in gutem Glauben behandeln wir als autorisiert, auch wenn sie formal gegen unsere Nutzungsbedingungen verstößt.
- Solange du dich an diese Richtlinie hältst, gehen wir rechtlich nicht gegen dich vor.
- Belohnungen liegen in unserem Ermessen. Sie gehen an die erste Person, die ein originäres Problem meldet, das wir reproduzieren können und das nachweislich Auswirkungen auf ein Ziel im Scope hat.
Bitte
- Teste nur Accounts, die dir gehören oder für die du eine schriftliche Erlaubnis hast. Sobald du Kundendaten siehst: sofort aufhören und melden.
- Nutze höchstens zwei eigene Test-Accounts und nenne sie in deiner Meldung, zum Beispiel mit einem E-Mail-Alias, der security oder bugbounty enthält. Lege keine Wegwerf-Accounts in großer Zahl an. Wir können sie ohne Vorwarnung sperren.
- Lege Ressourcen nur unter Namen und Domains an, die dir gehören. Beanspruche keine Zonen, Buckets oder Projekte für fremde Namen oder Namen von enum.
- Liste alle Ressourcen, die du angelegt hast, in deiner Meldung auf. Lösche sie, sobald wir bestätigen, dass wir das Problem reproduzieren können, spätestens aber nach 30 Tagen. Wer Ressourcen zurücklässt, kann die Belohnung verlieren.
- Schick einen funktionierenden Proof of Concept mit unbearbeiteten Requests und Responses, Zeitstempeln und deiner Test-Account- oder Projekt-ID. Bei Abläufen, die vom Browser abhängen, gehört eine Bildschirmaufnahme dazu. Meldungen, die wir mit deinen Angaben nicht reproduzieren können, schließen wir.
- KI und Scanner darfst du nutzen, für jede Aussage bist aber du verantwortlich. Ungeprüfte Tool-Ausgaben schließen wir ohne ausführliche Antwort.
- Gefälschte oder bearbeitete Nachweise, oder Tests über den angegebenen Scope hinaus, schließen dich von allen Belohnungen aus.
- Eine Schwachstelle pro Meldung. Bewerte den Schweregrad nach der nachgewiesenen Auswirkung, nicht nach dem schlimmsten denkbaren Fall.
- Beeinträchtige nicht die Verfügbarkeit unserer Dienste. Keine Denial-of-Service-Tests.
- Behalte Details für dich, bis wir das Problem behoben und die Veröffentlichung freigegeben haben.
Nicht belohnt
- Unbearbeitete Scanner-Ausgaben: TLS- und Cipher-Einstellungen, fehlende Header, SPF/DMARC, Banner oder Versionen, Verzeichnislisten öffentlicher Dateien.
- Verhalten, das als beabsichtigt dokumentiert ist.
- Angriffe, deren Voraussetzung dem Angreifer bereits den Zugriff gibt, den er angeblich erlangt, zum Beispiel ein kompromittierter Ursprungsserver, Malware auf dem Gerät des Opfers oder Self-XSS. Rechteausweitung und das Überschreiten von Mandantengrenzen von einem gültigen Account aus sind im Scope.
- Stillgelegte oder ungenutzte Hostnamen ohne Dienst dahinter.
- Öffentlich bekannte CVEs in Upstream-Software, gemeldet innerhalb von 14 Tagen nach dem Advisory.
Fragen zur Sicherheit?
Sprich mit uns.
Für Security-Reviews, Fragebögen oder Audit-Fragen schreib an security@enum.co oder wende dich direkt an unser Team.