Sicherheit & Datenstandorte
Diese Seite beschreibt den tatsächlichen Stand. Wo eine Maßnahme fehlt, steht das hier ausdrücklich — Auslassungen an dieser Stelle wären eine Behauptung. Die Produktivumgebung ist seit dem 3. August 2026 in Betrieb; die unten genannten automatisierten Prüf-, Sicherungs- und Löschaufträge laufen dort nach Zeitplan.1. Wo deine Daten liegen
- Anwendung, Datenbank, Archiv, Sicherungen: Hetzner Online GmbH — Falkenstein (Deutschland), die verschlüsselten Sicherungen in Nürnberg (Deutschland).
- E-Mail-Versand: AWS SES, Region
eu-central-1(Frankfurt). - Zahlungsabwicklung: Stripe Payments Europe, Ltd. (Irland).
packages/storage/src/eu-hosting.ts). Für die Sicherungen gibt es keine solche Prüfung. Archiv und Sicherungen werden in keinen Drittstaat verlagert (§ 146 Abs. 2b AO).2. Unterauftragsverarbeiter
| Unternehmen | Leistung | Ort |
|---|---|---|
| Hetzner Online GmbH | Hosting, Rechnungsarchiv, verschlüsselte Sicherungen | DE (Falkenstein, Nürnberg) |
| Amazon Web Services EMEA SARL | E-Mail-Versand inkl. Rechnungsanhang | Frankfurt (eu-central-1) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung | Irland |
| Cloudflare, Inc. (USA) | Auslieferung, TLS-Terminierung, Schutz | weltweit, keine EU-Standortbindung; USA: Data Privacy Framework |
| GitHub / Microsoft | Quellcode und CI — keine Kundendaten | USA |
3. Verschlüsselung — Stand und Lücken
- Transport: TLS, HSTS. Der Edge terminiert TLS; Rechnungsinhalte passieren diesen Punkt im Klartext, bevor sie an den Ursprungsserver gehen.
- Sicherungen: mit age (X25519) verschlüsselt, im Datenstrom — der Klartext berührt nie eine Platte. Grund: der Anbieter bietet serverseitig nur SSE-C mit kundeneigenem Schlüssel an, das wir bewusst nicht nutzen. Unkompensierte Lücke: der private age-Schlüssel liegt auf demselben Host wie die Schreib-Zugangsdaten des Sicherungsziels — wer diesen Host kompromittiert, kann Sicherungen lesen.
- Archiv: ohne zusätzliche Verschlüsselung auf Anwendungsebene. Serverseitig bietet der Anbieter nur SSE-C mit kundeneigenem Schlüssel an, das wir bewusst nicht nutzen; die Artefakte liegen unverschlüsselt beim Anbieter. Wir nennen das, weil eine gegenteilige Angabe unzutreffend wäre.
- Datenbank: das MongoDB-Volume auf dem Host ist weder auf Anwendungs- noch auf Engine-Ebene verschlüsselt (Community-Ausgabe); die Systemplatte des Hosts ist ebenfalls nicht zusätzlich verschlüsselt. Dort liegen Konto-, Rechnungs- und Zustelldaten. Wirksam sind Netztrennung ohne veröffentlichten Port, eine Firewall mit Default-Deny (
infra/vm/provision.sh) und Keyfile-Authentifizierung.
4. Integrität
Zu jedem erzeugten Dokument wird ein SHA-256-Wert gespeichert. Je Organisation besteht eine fortlaufende Hash-Kette über alle Rechnungsdatensätze; das Rezept steht genau einmal im Code (packages/db/src/hash-chain.ts) und wird von Schreib- und Prüfpfad gemeinsam benutzt. Das Urbild der Kette enthält nur Hashwerte — die Kette bleibt daher auch nach Vernichtung sämtlicher Dateien prüfbar. Eine monatliche Prüfung verifiziert jede Kette vollständig. Vor jedem E-Mail-Versand wird die Prüfsumme des Anhangs erneut gegen den gespeicherten Wert geprüft.5. Aufbewahrung und Löschung
Rechnungen werden bis zum Ende des Kalenderjahres der Erstellung zuzüglich acht oder zehn Jahren aufbewahrt (die Frist wählt der Kunde). Testdokumente werden nach sieben Tagen gelöscht. Nach Fristablauf löscht ein nächtlicher Auftrag die Dateien; Datensatz und Prüfsummen bleiben erhalten, damit die Kette nachvollziehbar bleibt. Eine organisationsweite Sperre setzt die Löschung aus.6. Export — dein Ausgang, jederzeit
Du kannst jederzeit ein ZIP mit den noch vorhandenen Originaldokumenten, einer CSV aller Metadaten und einerchain-proof.json erzeugen. Die enthaltene README beschreibt das Prüfrezept im Klartext: die Integritätskette lässt sich allein aus dem Bundle nachrechnen — ohne Zugriff auf dieses System und ohne diese Software. Das ist unser Weg, dich nicht einzusperren, und zugleich der Weg zur Datenträgerüberlassung nach § 147 Abs. 6 AO.7. Zugang
Anmeldung per Magic-Link, keine Passwörter. API-Schlüssel werden ausschließlich als SHA-256-Hashwert gespeichert und laufzeitkonstant verglichen. Download-Links sind auf 15 Minuten befristet. Jede fachliche Abfrage ist organisationsgebunden. Ausgenommen ist eine interne, passwortgeschützte Übersicht des Betreibers über Konten und Zählwerte, ohne Rechnungsinhalte.8. Ausführliche Unterlagen
Verfahrensdokumentation, die vollständigen technischen und organisatorischen Maßnahmen und die Vereinbarung zur Auftragsverarbeitung (Standardvertragsklauseln der EU-Kommission) liegen im Repository unterdocs/legal/ und werden auf Anfrage zugesandt: hallo@invoiceapi.io.Sicherheitsmeldungen bitte ebenfalls an hallo@invoiceapi.io. Wir antworten in der Regel innerhalb weniger Werktage.In English, briefly
Application, database and invoice archive run on Hetzner in Falkenstein (Germany), and the encrypted backups are kept in Nuremberg (Germany). Email is sent through AWS SES ineu-central-1 (Frankfurt). Payments run through Stripe Payments Europe, Ltd. (Ireland), and this system sends Stripe no personal data. Backups are encrypted with age (X25519); the archive itself carries no additional application-level encryption, and TLS is terminated at Cloudflare's edge (Cloudflare, Inc., USA) — we say so rather than imply otherwise. Every invoice is SHA-256 digested and linked into a per-organisation hash chain that can be re-verified offline from an export bundle alone. Invoices are kept to the end of the calendar year of issue plus eight or ten years (the customer chooses the period); test documents are deleted after seven days. The operator also has an internal, password-protected overview of accounts and counts, without invoice contents. Full documents on request, including our data processing agreement based on the European Commission's standard contractual clauses: hallo@invoiceapi.io.