Sicherheit bei Spun

Wo deine Daten liegen

Zuerst Deutschland, mit einer Datenzelle in den USA

Spun betreibt zwei Datenzellen. eu-1 liegt in Nürnberg, Deutschland, auf Hetzner-Infrastruktur; sie beherbergt die Control Plane (Steuerungsebene) und die große Mehrheit der Organisationen. us-1 liegt in Manassas, Virginia, auf netcup-Infrastruktur. Zwei Organisationen sind heute dort beheimatet; jede andere Organisation ist in Deutschland beheimatet.

Die Platzierung wird nicht daraus abgeleitet, wo du dich bei der Registrierung zufällig befunden hast. Kein Land ist einer Datenzelle zugeordnet, deshalb werden neue Organisationen auf der EU-Datenzelle angelegt. Deine Organisation ist auf genau einer Datenzelle beheimatet, und ihre Daten bleiben auf dieser Datenzelle, bis jemand sie bewusst verschiebt.

Medien (Bilder, Videos, Audio und Dokumentanhänge) werden in Cloudflare R2 gespeichert und ausschließlich über signierte URLs ausgeliefert, die auf ein einzelnes Objekt beschränkt sind, niemals über die Adresse eines öffentlichen Buckets.

Die Aufbewahrung richtet sich nach deinem Plan. Jeder Plan nennt auf der Preisseite seinen Zeitraum für den Nachrichtenverlauf (90 Tage bei Starter, 1 Jahr bei Pro, unbegrenzt bei Max), und Nachrichten, die älter als dieser Zeitraum sind, werden entfernt; ein Upgrade verlängert den Zeitraum und erlaubt, älteren Verlauf wieder zu importieren. Innerhalb deines Zeitraums bleiben Daten erhalten, bis du sie löschst oder bis eine kürzere Aufbewahrungseinstellung, die du konfigurierst, sie entfernt. Die unten beschriebenen Lösch- und Exportwerkzeuge sind der Mechanismus dafür.

Schwärzung personenbezogener Daten

Was entfernt wird, und wann

Die Schwärzung läuft auf unserem Server, bevor die Anfrage ihn verlässt. Erkannte Werte werden durch opake Platzhalter ersetzt, und die Zuordnung vom Platzhalter zurück zum ursprünglichen Wert wird niemals an den Browser oder an den Anbieter gesendet.

Eine Regel gilt bei jeder Einstellung: Kartennummern, Bank- und IBAN-Angaben, Zahlungsempfänger, nationale Ausweisnummern, Reisepassnummern, API-Schlüssel und Tokens werden aus allem entfernt, was zum Aufbau von Suchindizes verwendet wird. Die Erkennung deckt zehn Sprachgruppen ab und prüft, was sich prüfen lässt: Kartennummern und israelische Ausweisnummern werden per Prüfsumme verifiziert, statt nur anhand eines Musters erkannt zu werden.

Ein Platzhalter gehört zu der einen Anfrage, die ihn erzeugt hat. Jeder Durchlauf kennzeichnet seine Platzhalter mit einem Zufallswert, und nur die Platzhalter mit der Kennung dieses Durchlaufs werden jemals wieder in echten Text zurückverwandelt, sodass ein Token, das aus einer zitierten Antwortkette kopiert oder von einem Modell erfunden wurde, zu nichts passt und stehen bleibt, statt mit der echten Nummer von jemandem gefüllt zu werden.

Wenn eine KI-Funktion etwas schreibt, das du versenden wirst, werden die echten Werte nach der Antwort des Modells auf unserem Server wieder eingesetzt: Ein E-Mail-Entwurf kommt vollständig in deinem Editor an, denn ein Platzhalter im Posteingang eines Kunden ist ein Fehler. Wenn sie etwas schreibt, das du nur liest (zum Beispiel die Zusammenfassung eines E-Mail-Verlaufs), werden sie nicht wieder eingesetzt. Die Platzhalter bleiben sichtbar, denn es bringt nichts, echte personenbezogene Daten in eine Zeile zu schreiben, die immer nur angezeigt wird. Im E-Mail-Editor kannst du „Was die KI sieht“ öffnen, bevor du etwas anforderst, und den Verlauf genau so lesen, wie der Anbieter ihn erhält, bis hin zu jedem Platzhalter und der Art von Angabe, für die er steht.

Die Schwärzung verringert, was ein Anbieter sieht. Was bereits verarbeitet wurde, holt sie nicht zurück, und das sagen wir im Bestätigungsdialog statt in einer Fußnote.

Zugriff

Wer worauf zugreifen kann

Die Trennung zwischen Organisationen wird von der Datenbank durchgesetzt, nicht von Anwendungscode, der ans Filtern denken muss. Mandantentabellen haben Row-Level-Security-Richtlinien, die an die Organisation der aktuellen Sitzung gebunden sind, sodass eine Abfrage ohne diesen Kontext nichts liefert.

Für dein Team gelten zwei Rollen (Organisationsmanager und Organisationsbenutzer), daneben gibt es eine Plattformadministrator-Rolle, die Spun-Mitarbeitende für den Support innehaben. Der Zugriff auf den Posteingang ist noch einmal getrennt geregelt: Lesen und Schreiben, nur Lesen oder durch Filter begrenzt, wobei ein Mitglied nur Unterhaltungen sieht, die zu dem für dieses Mitglied festgelegten Filter passen. Unterhaltungen, die mit einer anderen Organisation geteilt werden, haben zusätzlich ihre eigene Rolle, von Betrachter über Teammitglied und Manager bis zur vollen Kontrolle, sodass das Teilen einer Unterhaltung nicht das Konto übergibt.

Support-Unterhaltungen mit Spun und die aus einem Posteingang erstellten Tickets sind für den Kontoinhaber und die Mitglieder sichtbar, die der Inhaber zulässt. Ein Mitglied eines gemeinsamen Posteingangs sieht den Chat „Menschliche Unterstützung“ nur, wenn seine Freigabe diese Berechtigung enthält, und andernfalls lehnt der Server die Anfrage ab, statt nur den Tab auszublenden.

Die Identität kommt von Firebase, und mehr nicht. Mitgliedschaft, aktive Organisation und Rolle werden bei jeder Anfrage aus der Datenbank ermittelt; nichts im Token gilt als vertrauenswürdig, um sie zu behaupten.

Manches gehört einer Person statt der Organisation. Persönliche Ziele und die dazu geschriebenen Reflexionen sind das deutlichste Beispiel: Deren Row-Level-Security-Richtlinien sind an das Mitglied ebenso wie an die Organisation gebunden, sodass ein Manager, ein Teamkollege oder ein Kollege aus einem gemeinsamen Posteingang sie selbst innerhalb desselben Kontos nicht lesen kann, und das setzt die Datenbank durch, nicht die Oberfläche, die auswählt, was sie anzeigt. Unsere eigenen Administrationswerkzeuge sehen Anzahlen, nie den Text. Ein Export auf Organisationsebene lässt die Inhalte der Reflexionen vollständig weg, und nur der persönliche Export der Person selbst enthält sie. Das Löschen einer Reflexion schwärzt auch die Kopien, die davon im Spun Chat dieser Person verbleiben, damit die Worte nicht an einer zweiten Stelle überleben.

Eigener Proxy

Was „Eigener Proxy“ ist und was er sehen kann

Jede verknüpfte WhatsApp-Sitzung erreicht WhatsApp von irgendeiner Internetadresse aus. Spun verknüpft eine Nummer nie direkt aus dem Rechenzentrum des Gateways. Bevor der QR-Code angezeigt wird, bestätigst du das Land, in dem du WhatsApp normalerweise nutzt, und eine neue Verbindung ohne „Eigener Proxy“ nutzt dann einen von zwei verwalteten Wegen. Wo das WhatsApp-Gateway in diesem Land eine regionale Verbindung hat, läuft die Sitzung darüber (angezeigt als Spun-Verbindung); das ist Teil des Gateway-Dienstes, der bereits auf unserer Liste der Unterauftragsverarbeiter steht. Wo nicht, läuft die Sitzung über die Internetadresse eines privaten Anschlusses in diesem Land, bereitgestellt von dem Proxy-Netzwerk, das auf derselben Liste genannt ist (angezeigt als temporäre Verbindung). Spun speichert das bestätigte Land, das nach dem Verknüpfen nicht mehr geändert werden kann. Bei temporären Verbindungen prüft Spun regelmäßig, dass die Verbindung tatsächlich aus diesem Land herausgeht, und pausiert neue Verbindungen, wenn eine Prüfung etwas anderes zeigt. Wenn für dein Land keiner der beiden Wege verfügbar ist, wird kein QR-Code angezeigt, und dir wird stattdessen „Eigener Proxy“ angeboten.

„Eigener Proxy“ ist die optionale Alternative: Dein WhatsApp-Kanal verbindet sich über eine IP-Adresse, die du kontrollierst. Du betreibst ein kleines Tunnelprogramm auf einem Computer oder einer Spun Box (einem kleinen Router, der dir gehört und mit demselben Programm eingerichtet wird) in deinen eigenen Räumlichkeiten, und die WhatsApp-Sitzung deines Kanals geht von dort aus zu WhatsApp hinaus. Alles Folgende gilt auch für die Spun Box; ihr Router-Passwort wird bei der Einrichtung nur über dein lokales Netzwerk an den Router gesendet und nie an Spun.

Egal welcher Weg genutzt wird, nur die WhatsApp-Sitzung selbst läuft darüber. Medien (Fotos, Videos, Sprachnachrichten und Dokumente) werden direkt zwischen dem WhatsApp-Gateway und WhatsApp herunter- und hochgeladen, nie über deinen Computer, eine Spun-Verbindung oder eine temporäre Verbindung.

Der Weg sieht so aus: Das WhatsApp-Gateway verbindet sich mit einem Port auf einem Relay-Server von Spun, das Relay leitet diese Verbindung durch einen TLS-Tunnel weiter, den dein Computer ausgehend geöffnet hat, und dein Computer stellt die letzte Verbindung zu WhatsApp her. Da der Tunnel ausgehend geöffnet wird, muss in deinem Netzwerk nichts freigegeben werden: keine Portweiterleitung, keine eingehende Firewall-Regel.

Damit Manager sehen können, warum ein Kanal abgebrochen ist, meldet das Programm von „Eigener Proxy“ auch, in welchem Netzwerk sein Computer ist: den Verbindungstyp, den WLAN-Namen, wo das Betriebssystem ihn auslesen lässt, einen Einweg-Fingerabdruck der Hardwareadresse des Routers (die Adresse selbst wird nicht gespeichert) und die öffentliche Internetadresse. Spun speichert ein Ereignis nur, wenn sich das Netzwerk ändert, und zeigt es den Managern der Organisation in der „Proxy-Historie“ in den Einstellungen. Wenn ein Manager eine Verbindungsprüfung startet oder das Verknüpfen fehlschlägt, öffnet Spun außerdem von diesem Computer aus eine Testverbindung zur eigenen Website und zu WhatsApp Web und speichert nur das Ergebnis und den Namen eines Filterprodukts, das anstelle der Website geantwortet hat. Wenn ein Filter anstelle von WhatsApp Web antwortet, bewahrt Spun außerdem die öffentliche Zertifikatskette des Filters auf (nur Zertifikate, nie einen Schlüssel), damit Spun seinen WhatsApp-Anbieter bitten kann, diesem Filter zu vertrauen, und informiert einmalig das eigene Team; der Manager sieht auf dem Bildschirm, dass das Team benachrichtigt wurde. Wenn das Filterprodukt eines ist, das Spun erkennt, kann Spun diese Überprüfung durch den Filter für den Computer automatisch zulassen, damit die Länderprüfung bestehen kann; ein Manager kann das jederzeit in den Einstellungen unter der Prüfung „Sichere Verbindung“ des Computers abschalten. Das Programm erfasst keine gespeicherten Netzwerke, keine Listen von Netzwerken in der Nähe und keine eigenen Adressen des Computers, und Telefone melden keinen Netzwerknamen. Wenn „Eigener Proxy“ ausfällt, sammelt Spun außerdem Fehlerdiagnosen für den Support: die Verbindungsdaten des Computers (Status, Ausgangsadresse und Testergebnisse) und das eigene Log des Agentenprogramms, die 30 Tage lang aufbewahrt werden und nur für die Support-Mitarbeitenden von Spun sichtbar sind.

Relays laufen in Nürnberg und Manassas, und das deinem Computer oder Router nächstgelegene wird verwendet. Zustandsprüfungen fragen jede Konfiguration fortlaufend ab und markieren sie als fehlerhaft und dann als offline, wenn sie nicht mehr antwortet; wenn ein Relay selbst ausgefallen ist, wird das von einem Ausfall deines Computers unterschieden, damit du keinen Fehlalarm bekommst. Spun verschiebt eine Leitung nie von sich aus zwischen „Eigener Proxy“ und der verwalteten Verbindung: Eine Organisation mit „Eigener Proxy“ bleibt dabei, ihre Leitung wartet, statt auf etwas anderes umzuschalten, wenn alle Computer offline sind, und der letzte Computer, der eine verknüpfte Sitzung trägt, kann erst entfernt werden, wenn ein anderer übernimmt oder WhatsApp getrennt wird.

Anbieter

Wer sonst noch mit deinen Daten in Berührung kommt

34 Unterauftragsverarbeiter, veröffentlicht in einer einzigen Liste mit dem, was jeder tut, was er sehen kann und wo er tätig ist. Die Kategorien:

Eine dieser Kategorien verdient besondere Erwähnung, weil sie Kontaktdaten aus Spun hinaus sendet: Kontaktanreicherung. Wenn eine Organisation sie einschaltet, kann ein Benutzer für jeweils einen gespeicherten Kontakt ein öffentliches berufliches Profil anfordern. Nur der Name dieses Kontakts, seine Telefonnummer und das Land der Nummer verlassen Spun, nie Nachrichteninhalte und nie eine Liste deiner Kontakte. Die Rohantwort des Anbieters wird innerhalb von sieben Tagen gelöscht, nur berufliche Felder aus einer Freigabeliste werden behalten, und ein Manager kann jederzeit alles löschen, was der Anbieter für einen Kontakt zurückgegeben hat. Eine in den USA vergebene Nummer ist ein Kriterium für die Berechtigung zur Funktion, kein Beleg dafür, wo jemand wohnt.

Spun fragt WhatsApp nie ab, um die Nummer einer Person nachzuschlagen. Spun speichert nur die Kennungen, die mit dem normalen Nachrichtenverkehr ankommen, und ein Chat ohne Nummer funktioniert wie jeder andere.

Verträge

Auftragsverarbeitungsvertrag

Für die Daten deiner Kunden bist du der Verantwortliche und Spun ist der Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag (AVV) ist auf Anfrage erhältlich und umfasst die oben genannte Liste der Unterauftragsverarbeiter, internationale Datenübermittlungen und die beiden auf dieser Seite genannten Grenzen: dass die Zusage zum Datenstandort für von Spun gespeicherte Daten gilt und nicht für die eigenen Kopien des WhatsApp-Gateways oder von Meta, und dass Unterhaltungen zwischen zwei Organisationen zentral in Deutschland gehostet werden.