Ihre Daten, sicher geschützt

Passwörter werden mit Argon2id gehasht – dem Gewinner des Password Hashing Competition 2015. Sicherer als bcrypt.

Schützen Sie Ihr Konto mit TOTP-basierter 2FA. Backup-Codes für den Notfall inklusive.

Feingranulare Berechtigungen: Admin, Manager, Mitarbeiter – definieren Sie genau, wer was sehen und tun darf.

Alle sicherheitsrelevanten Aktionen werden protokolliert: Logins, API-Zugriffe, Dokumentenzugriffe, Workflow-Änderungen.

Anmeldungen laufen über ein httpOnly-Cookie, das nach 24 Stunden abläuft. Der Server prüft bei jeder Anfrage Ablauf und Kontostatus — ein deaktiviertes Konto ist sofort abgemeldet. Abmelden beendet die Sitzung auf dem jeweiligen Gerät; eine Liste einzelner Geräte-Sitzungen gibt es nicht. Ein neues Passwort beendet alle anderen Sitzungen. Nach wiederholten Fehlversuchen wird die Anmeldung für das Konto vorübergehend gesperrt — auch beim Zwei-Faktor-Code.

Zugangsdaten zu Fremdsystemen (Spediteur-Schnittstellen, E-Mail-Postfächer) und die Schlüssel der Zwei-Faktor-Anmeldung speichern wir AES-256-verschlüsselt; der Schlüssel liegt nicht in der Datenbank.

Sichere, tokenbasierte Authentifizierung mit automatischer Ablaufprüfung.

Datenbank und hochgeladene Dateien liegen auf Servern in Deutschland (Hetzner). Für einzelne Dienste nutzen wir benannte Anbieter — KI-Assistent (Scaleway, Paris), E-Mail-Versand (Brevo, Paris), Zahlungen (Stripe); Einzelheiten stehen in der Datenschutzerklärung.

Datenbank und hochgeladene Dateien werden täglich automatisch gesichert und 30 Tage aufbewahrt.

Alle Firmen und ihre aktiven Nutzer werden bei der Registrierung und täglich mit der konsolidierten Finanzsanktionsliste der EU abgeglichen. Jeden Treffer prüft ein Mensch; bis zur Entscheidung sind neue Abschlüsse der Firma gesperrt.

Hinterlegte USt-IdNrn. werden bei der Eingabe und alle 30 Tage über das Mehrwertsteuer-Informationsaustauschsystem der EU (VIES) geprüft. Bei Lieferungen zwischen zwei EU-Ländern zeigt der Auftrag, ob die Nummern bestätigt sind.

Antworten des Assistenten sind als KI-Vorschlag gekennzeichnet. Jeder Nutzer kann widersprechen, Firmen-Admins können die KI für die ganze Firma abschalten. Das Sprachmodell läuft bei einem EU-Anbieter in Paris, der Ein- und Ausgaben nach eigenen Angaben nicht speichert und nicht zum Training nutzt; gespeicherte Chatverläufe löschen wir nach 12 Monaten ohne Änderung.

Hochgeladene Dateien werden so ausgeliefert, dass darin kein Programmcode läuft; alles außer Bildern und PDFs kommt als Download. Eine Content-Security-Policy legt fest, aus welchen Quellen die Seite Skripte laden darf und blockiert alles andere; Verstöße werden gemeldet.

Hinweise auf Sicherheitslücken nehmen wir unter contact@materivo.com entgegen. Die Kontaktangaben stehen auch maschinenlesbar in /.well-known/security.txt.