Sicherheit bei Onplana
Ihre Projektdaten sind geschäftskritisch. Wir schützen sie mit Sicherheit auf Unternehmensniveau, Verschlüsselung, Zugriffskontrollen, Audit-Protokollen und Datenisolierung, damit Sie sich auf Ihre Projekte konzentrieren können statt auf Sicherheitsvorfälle.
Sie prüfen Onplana für Ihre Organisation? Lesen Sie die beantwortete Sicherheitsprüfung, zuerst den Umgang mit KI-Daten.
Die Säulen unserer Sicherheit
Sicherheit steckt in jeder Schicht der Onplana-Plattform, von der Anmeldung bis zur Infrastruktur.
Verschlüsselung überall
- TLS 1.2+ für alle Daten bei der Übertragung
- AES-256-Verschlüsselung für gespeicherte Daten
- HTTPS auf allen Endpunkten erzwungen
- Datenbankverbindungen per SSL verschlüsselt
Anmeldung und Zugriff
- Zwei-Faktor-Anmeldung (TOTP + 10 einmalig nutzbare Sicherungscodes)
- 2FA-Zurücksetzung auf Mandantenebene (Owner oder Admin der Organisation, mit Berechtigungsschutz)
- SSO über SAML 2.0 und OIDC (Enterprise) mit Prüfung der verifizierten Domain
- SCIM 2.0 mit Deaktivierung je Mandant und protokollierten Änderungen
- Sperre bei Brute-Force-Versuchen (mit Redis, Rückfall auf Postgres)
- Einmal gültige Austauschcodes, kein JWT in der URL
- Token-Versionierung und Abmeldung überall
- IP-Zulassungsliste (Enterprise)
Audit und Compliance
- Nur erweiterbares Audit-Protokoll mit strukturierten Vorher-Nachher-Vergleichen
- Sechs Aufbewahrungsvorgaben: STANDARD / GDPR / HIPAA / FINRA / SOC 2 / CUSTOM
- Bei Mitgliedschaft in mehreren Organisationen gilt die strengste Aufbewahrung
- Feed der Sicherheitsereignisse (Anmeldungen, Passwortänderungen, 2FA, SCIM)
- Audit-Export als CSV oder JSON mit Filtern und Zeiträumen
- Compliance-Übersicht mit Punktzahl (2FA, Token-Berechtigungen, Aufbewahrung, IP)
- Change Control Boards für gesteuerte Projekte
Infrastruktur
- Gehostet auf Microsoft Azure, einem SOC-2-konformen Cloud-Anbieter
- Mandantendaten bei jeder Abfrage auf ihre Organisation begrenzt
- Automatische Sicherungen mit Wiederherstellung zu einem Zeitpunkt
- DDoS-Schutz und Ratenbegrenzung
- Regelmäßige Schwachstellenscans
Datenschutz
- Mandantentrennung: Organisationen sehen nie die Daten anderer Organisationen
- Vorläufiges Löschen mit Papierkorb (30 Tage Wiederherstellung)
- Datenresidenz über eine dedizierte Bereitstellung in Ihrem eigenen Azure-Abonnement (Enterprise+); der verwaltete Dienst läuft in einer Region
- Ihre Daten werden nie zum Training von KI-Modellen genutzt
- Datenexport jederzeit möglich (keine Bindung)
Kontrollen in der Organisation
- Fünf Standardrollen plus eigene Rollen (ab dem Tarif Business)
- Fein abgestufte Berechtigungsschlüssel (Organisation und Projekt)
- Nur der Owner bearbeitet die Berechtigungsmatrix (Schutz vor Rechteausweitung)
- Schutz des letzten Owners: Der einzige Owner kann nicht herabgestuft werden
- Ein Admin kann die 2FA eines Owners nicht zurücksetzen (Trennung der Rechte)
- Verwaltung der Gastplätze mit Grenzen je Tarif
- Zugriffsprüfung mit 2FA-Status, letzter Anmeldung und Kennzeichnung inaktiver Konten
Härtung im Betrieb
- Startschutz: Der Dienst startet nicht bei fehlenden oder fehlerhaften Geheimnissen
- JWT-Geheimnisse für je einen Zweck (Anmeldung, SSO-Status, Abrechnung, Zeitplan)
- Helmet-Header (HSTS, CSP, X-Frame-Options, COOP/CORP)
- Ratenbegrenzung je Route (Anmeldung, OAuth, KI, SCIM je Mandant)
- Webhooks mit HMAC-SHA256 und Schutz vor SSRF
- Prüfung des Build-SHA beim Bereitstellen (keine stillen Versionsrückstände)
Ihre Dokumente
Was mit einem Vertrag, einem Plan oder einer Kundendatei geschieht, sobald Sie sie in Onplana hochladen.
Privater, verschlüsselter Speicher
Hochgeladene Dateien liegen in Azure Blob Storage in West US, sind durch Azure Storage im Ruhezustand verschlüsselt und werden in eine zweite Region (East US) repliziert. Das Speicherkonto nimmt keinen Verkehr aus dem öffentlichen Internet an und ist nur über einen privaten Endpunkt erreichbar. Kein Container ist öffentlich, und das Konto hat keine gemeinsamen Zugriffsschlüssel, Onplana greift über eine verwaltete Identität darauf zu.
Verschlüsselt bei der Übertragung
Nur HTTPS zwischen Ihrem Browser und Onplana sowie zwischen Onplana und dem Speicher, mit TLS 1.2 als Minimum.
Nur über die App zu öffnen
Jeder Download läuft über die angemeldete App, die prüft, ob die Datei zu Ihrer Organisation gehört. Eine Projektdatei setzt außerdem Zugriff auf ihr Projekt voraus, und ein eingeschränkter Ordner öffnet sich nur für die Personen, für die er freigegeben ist. Einen öffentlichen Link zu einer gespeicherten Datei gibt es nicht.
Beim Hochladen geprüft
Der echte Dateityp wird aus dem Inhalt gelesen und mit einer Liste erlaubter Typen abgeglichen, ausführbare Dateien sind ausgeschlossen. Bis zu 100 MB pro Datei, im Rahmen des Speichers Ihres Tarifs.
Versionen und ein Papierkorb
Jedes Dokument behält seinen Versionsverlauf, in jedem Tarif. Eine gelöschte Datei kommt mit ihrem Inhalt in den Papierkorb, standardmäßig für 30 Tage und unter den Aufbewahrungsvorgaben HIPAA und FINRA für sechs Jahre.
Teilen außerhalb Ihrer Organisation
Externe Empfänger öffnen eine geteilte Datei mit einem sechsstelligen Code, den sie per E-Mail erhalten und der 15 Minuten gilt. Nur verifizierte Absender können teilen, die Sendungen sind pro Stunde begrenzt, und wer teilt, kann die Freigabe jederzeit widerrufen. Owner und Admins können Freigabelinks ein Standardablaufdatum geben, und ab dem Tarif Professional kann der Owner jeder anderen Rolle das Teilen von Dateien außerhalb der Organisation untersagen.
Office-Dateien bleiben in Onplana
Word-, Excel- und PowerPoint-Dateien, die Sie im Browser bearbeiten, öffnen sich im eigenen Bearbeitungsdienst von Onplana, in der Azure-Umgebung von Onplana, nicht in einem externen Editor.
Im Audit-Protokoll
Uploads, Downloads (eine in der App geöffnete oder von einem Agenten gelesene Datei), wiederhergestellte Versionen und Speichervorgänge aus dem Office-Editor im Browser werden im Audit-Protokoll erfasst, ebenso Löschungen, Freigaben und Widerrufe, hinzugefügte und entfernte Aufgabenanhänge sowie Wiederherstellungen aus dem Papierkorb (ab dem Tarif Enterprise). Jeder Eintrag nennt den Client, von dem er stammt, etwa die Web-App oder einen Agenten über MCP, und wiederholte Downloads derselben Datei durch eine Person innerhalb einer Stunde ergeben einen einzigen Eintrag.
Die Details, Schritt für Schritt: So werden Ihre Dateien geschützt (auf Englisch).
Sicherheitsfunktionen für Unternehmen
Die Tarife Enterprise und Enterprise+ enthalten zusätzliche Sicherheitsfunktionen für Organisationen mit strengen Compliance-Anforderungen:
Einrichtungsanleitungen für Microsoft Entra: SAML-SSO konfigurieren (auf Englisch) · SCIM-Bereitstellung konfigurieren (auf Englisch). Gleichwertig lässt es sich mit Okta, OneLogin, JumpCloud, Ping und jedem Identitätsanbieter nach RFC 7644 oder SAML 2.0 einrichten.
OAuth-Zugangsdaten und Tokens von Drittanbietern
Alle OAuth-Zugriffs- und Aktualisierungstokens (für Google, Microsoft, Box, Dropbox und jeden anderen angebundenen Anbieter) werden mit AES-256-GCM verschlüsselt, bevor sie in unsere Datenbank geschrieben werden. Die Schlüssel werden in Azure Key Vault verwaltet und nie zusammen mit den verschlüsselten Daten gespeichert. Wenn Sie eine Integration trennen, widerruft Onplana die Tokens sofort beim Anbieter (sofern dieser den Widerruf einzelner Tokens unterstützt) und löscht den Verbindungsdatensatz vorläufig, er wird nach 30 Tagen endgültig entfernt.
Unsere Sicherheitspraxis
Sichere Entwicklung
Code-Reviews und sicherheitsbezogene Tests gehören zu jedem Release-Zyklus.
Reaktion auf Vorfälle
Dokumentierte Verfahren für Sicherheitsvorfälle mit festgelegten Schweregraden und Eskalationswegen.
Abhängigkeiten
Automatische Überwachung bekannter Schwachstellen in Abhängigkeiten von Drittanbietern.
Minimaler Zugriff
Interner Zugriff auf Produktionssysteme folgt dem Prinzip der geringsten Rechte, MFA ist Pflicht.
Umgang mit Daten
Strenge Regeln für Datenzugriff, Aufbewahrung und Löschung. Keine Kundendaten auf Entwicklerrechnern.
Sicherheitsprüfung, beantwortet
Die Fragen eines Sicherheitsfragebogens für Anbieter, mit unseren Antworten und der Seite, von der jede Antwort stammt. Der Umgang mit KI-Daten steht an erster Stelle.
Umgang mit KI-Daten
- Welche KI-Anbieter nutzt Onplana?
- Die Claude-API von Anthropic und den Azure OpenAI Service von Microsoft. Onplana betreibt beide und entscheidet, welcher die Anfragen bedient, der andere steht bereit, etwa für den Fall eines Ausfalls. Quelle: Unterauftragsverarbeiter (auf Englisch)
- Wo werden KI-Anfragen verarbeitet?
- Anthropic in den USA. Azure OpenAI in der eigenen Azure-OpenAI-Umgebung von Onplana in Azure East US 2 (USA), es werden keine Daten an OpenAI Inc. weitergegeben. Quelle: Unterauftragsverarbeiter (auf Englisch)
- Welche Daten gehen an den KI-Anbieter?
- Projekttexte, Aufgabenbeschreibungen und jeder an eine KI-Funktion übergebene Freitext, wenn jemand eine nutzt: Risikoerkennung, Planerstellung, Statusberichte und der Chat in der App. Quelle: Unterauftragsverarbeiter (auf Englisch)
- Werden unsere Daten zum Training von KI-Modellen genutzt?
- Nein. An einen KI-Anbieter gesendete Projektdaten dienen nur dazu, die Antwort auf diese Anfrage zu erzeugen, und weder Kundendaten noch Gesprächsinhalte werden zum Training von KI-Modellen genutzt. Quelle: Datenschutzerklärung, Abschnitt 3 (auf Englisch)
- Behält der KI-Anbieter unsere Prompts?
- Die KI-Verarbeitung geschieht in Echtzeit, und die KI-Anbieter behalten die Daten nicht über die Dauer der Anfrage hinaus. Nach der Richtlinie von Anthropic werden API-Eingaben nicht zum Training genutzt und nach Abschluss der Anfrage nicht gespeichert. Quelle: Datenschutzerklärung, Abschnitt 3 (auf Englisch)
- Können wir einen eigenen KI-Anbieter oder API-Schlüssel nutzen?
- Nein. Onplana betreibt beide KI-Anbieter selbst und hält die Zugangsdaten, einen vom Kunden gestellten KI-Anbieter gibt es nicht. Quelle: Datenschutzerklärung, Abschnitt 3 (auf Englisch)
- Lassen sich KI-Funktionen abschalten?
- Ja. KI-Funktionen lassen sich jederzeit deaktivieren, ohne die Kernplattform zu beeinträchtigen. Quelle: Datenschutzerklärung, Abschnitt 3 (auf Englisch)
- Liest jemand bei Onplana unsere KI-Gespräche?
- In einem bezahlten Tarif nicht. In kostenlosen Tarifen können Gespräche mit dem KI-Assistenten in der App automatisch auf schlechte Antworten und Missbrauch geprüft werden. Findet die Prüfung ein Problem, kann ein Mitglied des Onplana-Teams mit Plattform-Administratorrechten den Ausschnitt sehen, und jeder solche Zugriff wird in einem internen Audit-Protokoll erfasst. Quelle: Datenschutzerklärung, Abschnitt 3 (auf Englisch)
- Welche KI-Funktionen gehören zu welchem Tarif?
- Der KI-Chat mit Projektkontext ist in jedem Tarif, auch im kostenlosen verfügbar, die KI-Risikoerkennung ab dem Tarif Professional. Jede KI-Nutzung unterliegt dem KI-Token-Kontingent des Tarifs. Quelle: Preise
Hosting und Datenstandort
- Wo wird Onplana gehostet?
- Auf Microsoft Azure in West US (USA): Container Apps, Postgres Flexible Server, Redis, Blob Storage und Key Vault. Quelle: Unterauftragsverarbeiter (auf Englisch)
- Ist Onplana mandantenfähig, und wie sind Mandanten getrennt?
- Ja. Jede Abfrage ist auf ihre Organisation begrenzt und wird in der Anfrage-Middleware erneut geprüft, sodass Organisationen nie die Daten anderer Organisationen sehen. Quelle: DPIA-Unterlage (auf Englisch)
- Können unsere Daten in einer Region oder einem Abonnement unserer Wahl bleiben?
- Der verwaltete Dienst läuft in einer Region. Für Datenresidenz ist Enterprise+ eine dedizierte Bereitstellung, die Onplana in Ihrem eigenen Azure-Abonnement einrichtet und betreibt, dort liegen auch die Schlüssel. Quelle: Sicherheit
- Müssen wir etwas installieren?
- Nein. Onplana ist ein gehosteter Dienst, genutzt über die Web-App, die REST-API und einen MCP-Server für KI-Agenten, mit optionalen Desktop-, Telefon- und Browser-Apps, die nur mit den eigenen Diensten von Onplana sprechen. Quelle: DPIA-Unterlage (auf Englisch)
Verschlüsselung
- Werden Daten bei der Übertragung verschlüsselt?
- Ja. TLS 1.2 oder neuer auf jeder Verbindung, HTTPS auf allen Endpunkten erzwungen und verschlüsselte Datenbankverbindungen. Quelle: Sicherheit
- Werden gespeicherte Daten verschlüsselt?
- Ja. AES-256 im Ruhezustand auf Postgres, Blob Storage und Key Vault. Quelle: DPIA-Unterlage (auf Englisch)
- Wie sind gespeicherte Dateien geschützt?
- Dateien liegen in Azure Blob Storage in West US, sind im Ruhezustand verschlüsselt und nach East US repliziert. Das Speicherkonto nimmt keinen Verkehr aus dem öffentlichen Internet an, ist über einen privaten Endpunkt erreichbar, hat keinen öffentlichen Container und keine gemeinsamen Zugriffsschlüssel, und jeder Download läuft über die angemeldete App. Quelle: Sicherheit, Ihre Dokumente
- Wie werden Tokens für verbundene Dienste gespeichert?
- OAuth-Zugriffs- und Aktualisierungstokens für Google, Microsoft, Box, Dropbox und andere Anbieter werden vor dem Schreiben mit AES-256-GCM verschlüsselt, die Schlüssel liegen in Azure Key Vault. Beim Trennen werden sie beim Anbieter widerrufen, sofern er das unterstützt, und der Datensatz wird nach 30 Tagen entfernt. Quelle: Sicherheit
Identität und Zugriff
- Unterstützen Sie Single Sign-on?
- Ja, SAML 2.0 und OIDC mit Prüfung der verifizierten Domain, ab dem Tarif Enterprise. Es gibt Einrichtungsanleitungen für Microsoft Entra, und jeder Identitätsanbieter nach SAML 2.0 funktioniert. Quelle: Sicherheit
- Unterstützen Sie SCIM-Bereitstellung?
- Ja, SCIM 2.0 mit Deaktivierung je Mandant und protokollierten Änderungen, ab dem Tarif Enterprise. Quelle: Sicherheit
- Gibt es Mehr-Faktor-Authentifizierung?
- Ja. TOTP-Zwei-Faktor-Authentifizierung mit 10 einmalig nutzbaren Sicherungscodes, in jedem Tarif, auch im kostenlosen. Owner oder Admin einer Organisation können die Zwei-Faktor-Authentifizierung eines Mitglieds zurücksetzen. Quelle: Sicherheit
- Lässt sich der Zugriff auf unser Netzwerk begrenzen?
- Ja, mit der IP-Zulassungsliste ab dem Tarif Enterprise. Quelle: Sicherheit
- Wie werden Rollen und Berechtigungen gesteuert?
- Fünf integrierte Rollen, die Berechtigungsmatrix ab dem Tarif Professional und eigene Rollen ab dem Tarif Business. Nur ein Owner kann die Matrix bearbeiten, der letzte Owner kann nicht herabgestuft werden, und ein Admin kann die Zwei-Faktor-Authentifizierung eines Owners nicht zurücksetzen. Quelle: Sicherheit
- Wie werden Sitzungen verwaltet?
- Token-Versionierung mit Abmeldung überall und eine Sitzungsverwaltung, die Leerlauf-Timeouts durchsetzt. Quelle: DPIA-Unterlage (auf Englisch)
- Wie werden Brute-Force-Anmeldungen verhindert?
- Wiederholte Fehlversuche lösen eine Sperre aus, und die Routen für Anmeldung, OAuth, KI und SCIM haben eigene Ratenbegrenzungen. Quelle: Sicherheit
Protokollierung und Überwachung
- Gibt es ein Audit-Protokoll, und können wir es exportieren?
- Ja, ab dem Tarif Enterprise: ein nur erweiterbares Audit-Protokoll mit Vorher- und Nachher-Werten bei Änderungen, exportierbar als CSV oder JSON mit Filtern und Zeitraum. Quelle: Sicherheit
- Werden Sicherheitsereignisse erfasst?
- Ja. Ein Feed der Sicherheitsereignisse erfasst Anmeldungen, Passwortänderungen, Änderungen an der Zwei-Faktor-Authentifizierung und SCIM-Aktivität, und eine Zugriffsprüfung zeigt für jedes Mitglied den Zwei-Faktor-Status, die letzte Anmeldung und ob das Konto inaktiv ist. Quelle: Sicherheit
- Wird der Dateizugriff protokolliert?
- Ja, ab dem Tarif Enterprise. Uploads, Downloads (auch eine von einem Agenten gelesene Datei), wiederhergestellte Versionen, Speichervorgänge aus Office im Browser, Löschungen, Freigaben und Widerrufe stehen im Audit-Protokoll, jeweils mit dem Client, von dem sie stammen. Quelle: Sicherheit, Ihre Dokumente
Aufbewahrung, Löschung und Sicherung
- Können wir festlegen, wie lange Daten aufbewahrt werden?
- Ja. Sechs Aufbewahrungsvorgaben (Standard, GDPR, HIPAA, FINRA, SOC 2 und Custom), wobei für eine Person in mehreren Organisationen die strengste gilt, durchgesetzt von einem täglichen Bereinigungsprozess. Quelle: Sicherheit
- Was geschieht mit gelöschten Elementen?
- Sie kommen in einen Papierkorb und lassen sich standardmäßig 30 Tage wiederherstellen, unter den Vorgaben HIPAA und FINRA bleibt eine gelöschte Datei sechs Jahre erhalten. Quelle: Sicherheit, Ihre Dokumente
- Können wir unsere Daten exportieren?
- Ja, jederzeit und ohne Bindung. Jede Person kann ihre eigenen Daten außerdem unter Einstellungen, Datenschutz und Daten exportieren. Quelle: DPIA-Unterlage (auf Englisch)
- Wie wird das Konto einer Person gelöscht?
- Die Löschung in Selbstbedienung hat eine Frist von 7 Tagen, in der die Person sie abbrechen kann. Danach werden die Daten vor Ort anonymisiert und vom täglichen Bereinigungsprozess gelöscht. Quelle: DPIA-Unterlage (auf Englisch)
- Wie werden Daten gesichert?
- Tägliche verschlüsselte Sicherungen mit Wiederherstellung zu einem Zeitpunkt über 7 Tage auf Azure Postgres Flexible Server. Gespeicherte Dateien behalten ihren Versionsverlauf und werden in eine zweite Region (East US) repliziert. Quelle: Unterauftragsverarbeiter (auf Englisch)
Unterauftragsverarbeiter und Verträge
- Welche Unterauftragsverarbeiter verarbeiten unsere Daten?
- Kern: Microsoft Azure, Stripe, Anthropic, Azure OpenAI, Sentry, Azure Communication Services und hCaptcha. Integrationspartner wie Google, Box, Dropbox, GitHub und Jira erhalten Daten nur, wenn Ihre Organisation sie anbindet. Wesentliche Änderungen werden im Voraus mitgeteilt. Quelle: Unterauftragsverarbeiter (auf Englisch)
- Unterzeichnen Sie einen Auftragsverarbeitungsvertrag, und wie sind internationale Übermittlungen abgedeckt?
- Ja. Der Vertrag wird auf Anfrage innerhalb eines Werktags zugesandt, ein unterzeichnetes Gegenstück innerhalb von fünf, und er deckt Übermittlungen mit den EU-Standardvertragsklauseln, dem britischen Zusatz und dem Schweizer Zusatz ab, wo sie gelten. Quelle: Auftragsverarbeitungsvertrag (auf Englisch)
Sicherheitsbetrieb
- Haben Sie einen Prozess für Sicherheitsvorfälle?
- Ja. Dokumentierte Verfahren für Sicherheitsvorfälle mit festgelegten Schweregraden und Eskalationswegen. Die Meldung von Datenschutzverletzungen regelt der Auftragsverarbeitungsvertrag. Quelle: Sicherheit
- Wie werden Schwachstellen behandelt?
- Regelmäßige Schwachstellenscans, automatische Überwachung von Abhängigkeiten auf bekannte Schwachstellen sowie Code-Review und sicherheitsbezogene Tests in jedem Release. Quelle: Sicherheit
- Wer bei Onplana erreicht die Produktion?
- Interner Zugriff auf die Produktion folgt den geringsten Rechten, MFA ist Pflicht, und auf Entwicklerrechnern liegen keine Kundendaten. Quelle: Sicherheit
- Wie melden wir eine Schwachstelle?
- Per E-Mail an support@onplana.com. Quelle: Sicherheit
- Wie werden hochgeladene Dateien geprüft?
- Der echte Dateityp wird aus dem Inhalt gelesen und mit einer Liste erlaubter Typen abgeglichen, ausführbare Dateien sind ausgeschlossen, bis zu 100 MB pro Datei. Quelle: Sicherheit, Ihre Dokumente
- Sind ausgehende Webhooks signiert?
- Ja, mit HMAC-SHA256, und Webhook-Ziele sind gegen serverseitige Anfragefälschung geschützt. Quelle: Sicherheit
Compliance
- Haben Sie einen SOC-2-Bericht?
- Noch nicht. SOC 2 steht auf unserer Roadmap. Onplana wird auf Microsoft Azure gehostet, einem SOC-2-konformen Cloud-Anbieter, und bietet eine Aufbewahrungsvorgabe für SOC 2. Quelle: Sicherheit
Eine Frage Ihrer Prüfung fehlt hier? Schreiben Sie an support@onplana.com, den Auftragsverarbeitungsvertrag erhalten Sie auf Anfrage über die Seite zum Vertrag (auf Englisch).
Sie brauchen Onplana in Ihrem eigenen Azure-Abonnement? So funktioniert Enterprise+.
Verantwortungsvolle Offenlegung
Wenn Sie eine Sicherheitslücke in Onplana entdecken, melden Sie sie bitte verantwortungsvoll. Wir schätzen Ihre Hilfe dabei, unsere Plattform und unsere Nutzer zu schützen.
support@onplana.comFragen zur Sicherheit?
Beginnen Sie mit der Sicherheitsprüfung oben. Für alles, was sie nicht abdeckt, beantworten wir gern Ihren Fragebogen, stellen Unterlagen bereit oder besprechen Ihre Compliance-Anforderungen.
Eine Aufstellung Funktion für Funktion finden Sie in unserem Dokument Security & Compliance Overview (auf Englisch).