Sicherheit & Compliance
Sicherheit ist eine Eigenschaft davon, wie ein System gebaut und betrieben wird.
Protocore baut die Softwareschicht für Payment-, KI- und Blockchain-Systeme. Diese Seite beschreibt offen, wie wir mit Daten umgehen, wie die Software betrieben wird und wo die regulierte Grenze verläuft – keine Siegel zum Vorzeigen, sondern die Haltung, nach der wir bauen.
Daten & Datenschutz
Wir erfassen, was ein Ablauf braucht – und nicht mehr.
Die Systeme, die wir bauen, folgen dem Prinzip der Datenminimierung: Jeder Ablauf erfasst nur die Felder, die er für seine Aufgabe braucht, und speichert sie nur so lange wie nötig. Wo wir hosten, hosten wir in der EU – die Produktion läuft in AWS eu-central-1, Frankfurt – und wir bauen im Einklang mit der DSGVO-Praxis: eine Rechtsgrundlage für jede Verarbeitung, Auskunfts- und Löschanfragen werden umgesetzt, und personenbezogene Daten bleiben standardmäßig aus Logs und Analytics heraus.
- 01Datenminimierung als Standard
- 02EU-Hosting – AWS eu-central-1 (Frankfurt)
- 03DSGVO-konforme Verarbeitung: Rechtsgrundlage, Auskunft, Löschung
- 04Personenbezogene Daten bleiben aus Logs und Analytics heraus
Wie wir betreiben
Zugriff nach dem Least-Privilege-Prinzip – und privilegierte Aktionen nur mit Begründung.
Die Software, die wir ausliefern, ist vom ersten Commit an instrumentiert – Logs, Metriken und Traces –, damit sichtbar ist, was in der Produktion passiert, statt es zu vermuten. Der Zugriff folgt dem Least-Privilege-Prinzip: Jeder Akteur, ob Mensch oder Service, erhält die engste Berechtigung, die für seine Aufgabe ausreicht. Sensible Operator-Aktionen verlangen vor der Ausführung eine Begründung und hinterlassen einen Audit-Trail darüber, wer was wann und warum getan hat. Dieses Modell steckt hinter Protocore Center, unserer Operator-Konsole – dieselbe Haltung bauen wir in jedes System ein.
- 01Standardmäßig instrumentiert – Logs, Metriken, Traces
- 02Least Privilege für jeden Akteur, Mensch oder Service
- 03Privilegierte Aktionen nur mit Begründung
- 04Audit-Trail: wer was wann und warum getan hat
Trennung der Verantwortlichkeiten
Wir bauen die Software. Die regulierte Grenze bleibt bei der Lizenz.
Ein Zahlungsprodukt besteht aus zwei miteinander verbundenen Dingen: der regulierten Erlaubnis, Geld zu halten oder zu bewegen, und der Software, die es anweist, abgleicht und darstellt. Protocore baut die Software. Die regulierte Tätigkeit – Gelder halten, Konten ausgeben, Geld bewegen – liegt bei der eigenen Lizenz des Betreibers oder bei einem lizenzierten Partner: einer Bank, einem E-Geld-Institut (EMI) oder einem Zahlungsinstitut. Wir bauen die Abläufe passend zu den regulierten Strukturen, die Sie mitbringen; wir ersetzen diese Erlaubnis nicht, und keine Software kann das.
- 01Protocore baut die Software, nicht die Lizenz
- 02Regulierte Tätigkeit liegt beim Operator oder einem lizenzierten Partner
- 03Kartendaten werden so verarbeitet, dass sie nie Ihre Server berühren
- 04Starke Kundenauthentifizierung im Zahlungsablauf integriert
Praxis
Die Gewohnheiten hinter einem System, dem Sie vertrauen können.
Konkrete Praktiken, die wir einbauen – als Mechanik beschrieben, nicht als Siegel.
Kartendaten nicht auf Ihren Servern
Kartendaten werden vom Zahlungsnetz verarbeitet und tokenisiert, sodass echte Kartennummern nie die eigene Infrastruktur des Betreibers berühren.
Starke Kundenauthentifizierung
SCA ist in Zahlungs- und Anmeldeabläufe integriert – ein zweiter Faktor, wo das Zahlungsnetz oder das Risiko ihn verlangt, nicht nachträglich aufgesetzt.
Verschlüsselt bei der Übertragung
Der Datenverkehr läuft Ende-zu-Ende über TLS; Secrets und Zugangsdaten liegen in verwalteten Stores und Instance Roles, nie im Quellcode.
Mandantenisoliert
Wo ein System viele Betreiber bedient, werden die Daten jedes Mandanten per Zugriffskontrolle getrennt, sodass kein Mandant jemals die Daten eines anderen lesen kann.
Responsible Disclosure
Etwas gefunden? Sagen Sie es uns.
Wenn Sie glauben, eine Sicherheitslücke in einem Protocore-System gefunden zu haben, schreiben Sie uns – wir klären das gemeinsam mit Ihnen. Wir bestätigen Meldungen zügig, halten Sie während der Behebung auf dem Laufenden und nennen Sie auf Wunsch nach der Lösung als Entdecker. Bitte geben Sie uns vor einer öffentlichen Offenlegung ausreichend Zeit zur Behebung und greifen Sie beim Testen nicht auf fremde Daten zu und verändern Sie diese nicht.
Schreiben Sie an security@protocore.io, was Sie gefunden haben und wie es sich reproduzieren lässt.
Wir bestätigen den Eingang und beginnen mit der Prüfung, in der Regel innerhalb weniger Werktage.
Wir beheben das Problem und halten Sie bis zur Lösung über den Fortschritt auf dem Laufenden.
Mit Ihrem Einverständnis nennen wir Sie nach der Behebung als Entdecker.
Fragen
Sicherheitsfragen, die uns zuerst gestellt werden.
Wir beschreiben unsere Sicherheit als gelebte Praxis, nicht als Siegel. Protocore baut die Softwareschicht; wo ein regulierter Standard greift – etwa bei der Kartenverarbeitung –, liegt die zertifizierte Grenze beim Zahlungsnetz oder beim lizenzierten Partner des Betreibers, und wir bauen so, dass Kartendaten nie Ihre Server berühren. Wenn für Ihr Programm ein bestimmter Nachweis wichtig ist, sagen Sie es uns – wir klären, wer was verantwortet.
In der EU. Die Produktion läuft in AWS eu-central-1 (Frankfurt). Wir bauen im Einklang mit der DSGVO-Praxis – Datenminimierung, Rechtsgrundlage für die Verarbeitung sowie Umsetzung von Auskunfts- und Löschanfragen.
Die Lizenz. Protocore baut die Software, die Geldbewegungen anweist und abgleicht; das Halten oder Bewegen von Geldern liegt bei Ihrer eigenen Lizenz oder bei einem lizenzierten Partner – einer Bank, einem EMI oder einem Zahlungsinstitut. Keine Software ersetzt diese Erlaubnis.
Least Privilege für jeden Akteur, und privilegierte Aktionen erfordern eine Begründung und hinterlassen einen Audit-Trail. Alles ist instrumentiert, sodass nachvollziehbar dokumentiert ist, wer was getan hat, statt es rekonstruieren zu müssen.
Schreiben Sie an security@protocore.io. Wir bestätigen zügig, halten Sie während der Behebung auf dem Laufenden und nennen Sie auf Wunsch nach der Lösung als Entdecker.
Sicherheitsfrage, die wir nicht behandelt haben?
Sagen Sie uns, was Sie sehen möchten. Wir antworten konkret – mit Architektur, Datenflüssen und der Frage, wer welche Grenze verantwortet.