Sicherheit
Wie wir schützen, was wir verkaufen
Notakey ist ein Authentifizierungsprodukt – seine eigene Sicherheit ist also das Produkt. Auf dieser Seite erfahren Sie, was die Schlüssel und Bestätigungen Ihrer Benutzer schützt, was wir bewusst nicht behaupten, wie diese Website aufgebaut ist und wie Sie uns eine Schwachstelle melden.
Die Schlüssel bleiben auf dem Gerät
Bei der Registrierung entsteht ein Schlüsselpaar in der Sicherheitshardware des Telefons. Der private Schlüssel verlässt das Gerät nie: Er lässt sich weder kopieren noch exportieren, weder per SIM-Swap übernehmen noch wiederverwenden. Jedes registrierte Gerät wird über ein eigenes X.509-Zertifikat identifiziert.
Eine Bestätigung ist eine digitale Signatur über die Anfrage, mit Zeitstempel und durch ein Zertifikat abgesichert. Ihre Systeme prüfen sie kryptografisch und bewahren sie als Audit-Nachweis auf. Notakey speichert Benutzerdaten nie zentral.
Ein Push ist nur eine Türklingel
Die Push-Benachrichtigung selbst enthält keine Entscheidung. Die App ruft die Bestätigungskarte per HTTPS von der Service-Domain ab, bei der sie registriert wurde, und der Server lässt sich so konfigurieren, dass er auf dieser Karte die anfragende IP-Adresse, den Dienstnamen oder die URL anzeigt. Anfragen laufen ab, und eine eingebaute Begrenzung legt fest, wie oft sie ausgelöst werden können.
Genau daran scheitert Push-Bombing: Jede Anfrage zeigt, was bestätigt werden soll, und eine Anfrage, die niemand selbst ausgelöst hat, lässt sich leicht ablehnen.
Was wir nicht behaupten
Die Bestätigung am Telefon ersetzt das Passwort als Anmeldung und den SMS-Code als zweiten Faktor. Einen Adversary-in-the-Middle-Angriff stoppt sie allein jedoch nicht: Dabei leitet ein Proxy eine echte Anmeldung weiter, und der Benutzer bestätigt seine eigene Sitzung auf der falschen Website. Zeigt die Bestätigungskarte, woher die Anfrage kommt, wird ein solcher Proxy für aufmerksame Benutzer sichtbar – unmöglich wird der Angriff dadurch nicht.
Die CISA stuft nur FIDO/WebAuthn und PKI-basierte Verfahren als phishing-resistent ein; Push-Bestätigungen gehören nicht dazu. Das sagen wir auf unseren eigenen Seiten offen, statt uns das Etikett auszuleihen.
Läuft dort, wo Ihre Daten liegen
Die Notakey-Appliance läuft als virtuelle Maschine in Ihrer eigenen Infrastruktur oder in unserer Cloud. Mit der On-Premise-Appliance laufen der Authentifizierungsserver und seine Daten bei Ihnen, und Sie entscheiden selbst über Updates und Redundanz. Benutzer registrieren sich über das Verzeichnis, das Sie bereits betreiben (Active Directory, LDAP oder RADIUS), und die Appliance spricht RADIUS, SAML und OAuth – Ihr VPN und Ihre Anwendungen funktionieren also unverändert weiter.
Compliance
Die Plattform ist ausgelegt für die starke Kundenauthentifizierung nach PSD2, für fortgeschrittene und qualifizierte elektronische Signaturen nach eIDAS und für Datenminimierung nach DSGVO – das Schlüsselmaterial des Benutzers bleibt dabei auf seinem Gerät. Unseren Auftragsverarbeitungsvertrag finden Sie auf dieser Website.
Diese Website
Diese Website besteht aus statischem HTML ohne Content-Management-System: Es gibt keinen Admin-Login, der angegriffen werden könnte, und kein CMS, das gepatcht werden müsste. Das Kontaktformular sendet an eine einzige Serverless-Funktion. Die Schriften liegen auf unserem eigenen Server, und die Zugriffsstatistik arbeitet ohne Cookies und anonym – deshalb gibt es kein Cookie-Banner. Die Datenschutzerklärung beschreibt genau, was erfasst wird.
Eine Schwachstelle melden
Wenn Sie glauben, ein Sicherheitsproblem in einem Notakey-Produkt, der Appliance, der mobilen App oder dieser Website gefunden zu haben, informieren Sie bitte zuerst uns. Schreiben Sie an die unten genannte Adresse und beschreiben Sie, wie sich das Problem reproduzieren lässt. Wir bestätigen den Eingang Ihrer Meldung, halten Sie während der Behebung auf dem Laufenden und nennen Sie auf Wunsch als Entdecker.
Bitte geben Sie uns angemessen Zeit für die Behebung, bevor Sie ein Problem öffentlich machen, und greifen Sie bei Ihren Tests nicht auf fremde Daten zu – verändern oder löschen Sie sie auch nicht.
Per E-Mail meldensupport@notakey.com