Sicherheit
Für Gästedaten und 5651-Protokolle legen wir offen, was wir wie schützen.
Jeder Punkt auf dieser Seite beruht auf einer Kontrolle, die im Produkt läuft. Was wir noch nicht umgesetzt haben, nennen wir ebenfalls.
Kontrollen
Sicherheitsmaßnahmen, die heute auf der Plattform laufen
Keine Werbeversprechen, sondern eine Zusammenfassung umgesetzter Kontrollen.
Verschlüsselte Verbindungen (HTTPS)
Panel, API und die von Hotspotly gehosteten Gast-Anmeldeseiten werden ausschließlich über HTTPS ausgeliefert; per HSTS wird Browsern mitgeteilt, kein unverschlüsseltes HTTP zu verwenden. Die lokale Anmeldeweiterleitung des Routers hängt von dessen Einstellungen ab.
Geheimnisse verschlüsselt in der Datenbank
Router-Passwörter, Integrationsschlüssel, 2FA-Secrets sowie türkische Ausweis- und Passnummern werden in der Anwendungsdatenbank mit AES-256-GCM verschlüsselt gespeichert. Die Schlüssel liegen weder in der Datenbank noch in den Backups.
Panel-Passwörter nicht umkehrbar
Passwörter von Panel-Konten werden als bcrypt-Hash gespeichert; Panel-Passwörter im Klartext werden nicht aufbewahrt.
Zwei-Faktor-Authentifizierung
Für Administrator-, Händler- und Kundenkonten (einschließlich Teammitgliedern) ist die Zwei-Faktor-Authentifizierung per Authenticator-App (TOTP) standardmäßig Pflicht; nur der Plattformadministrator kann ein Unternehmen mit dokumentierter Begründung ausnehmen. Wiederherstellungscodes sind nur einmal verwendbar.
Trennung der Kundendaten
Jeder Datensatz gehört zu genau einem Kunden; Panel-Endpunkte prüfen den Zugriff nach Rolle und Kunde. Ein Kunde kann Geräte, Gäste oder Protokolle eines anderen Kunden nicht sehen.
Audit-Log
Anmeldungen, fehlgeschlagene Versuche, Passwort- und 2FA-Änderungen, Sitzungswiderrufe sowie jede Ansicht und jeder Export von 5651-Protokollen werden im Audit-Log erfasst.
Manipulationsgeschützte 5651-Protokolle
Zugriffsprotokolle werden jede Nacht mit SHA-256-Prüfsummen, einem verketteten Manifest und einem Merkle-Baum versiegelt; jede Änderung nach der Versiegelung fällt bei der Prüfung auf.
Unveränderliche Einwilligungs- und Vertragsnachweise
Einwilligungen von Gästen und Vertragsannahmen werden nur angefügt: Die Anwendung ändert oder löscht sie nie; ein Widerruf wird als neuer Eintrag gespeichert.
Tägliche Backups und ein Wiederherstellungs-Übungsskript
Die Datenbanken werden täglich automatisch gesichert, die letzten 14 Backups bleiben erhalten. Für regelmäßige Wiederherstellungsübungen steht ein Skript bereit, das die Live-Datenbank nie berührt und Schema, Zeilenzahlen und 5651-Siegel prüft.
Unterauftragsverarbeiter
Dritte, die Daten verarbeiten
Anbieter, mit denen wir den Dienst erbringen. Einige kommen nur zum Einsatz, wenn Sie die entsprechende Funktion aktivieren.
| Anbieter | Zweck | Umfang |
|---|---|---|
| Hosting-Anbieter | Server, Datenbanken und Backups. Name des Anbieters und Standort des Rechenzentrums werden hier veröffentlicht, sobald sie bestätigt sind. | Alle Kunden |
| Cloudflare, Inc. | DNS, TLS-Terminierung und Angriffsschutz: Panel- und API-Verkehr läuft über dieses Netz. | Alle Kunden |
| iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) | Abonnement- und Guthabenzahlungen; Kartendaten erreichen die Hotspotly-Server nie. | Alle Kunden |
| TÜBİTAK BİLGEM Kamu SM | RFC-3161-Zeitstempel für die täglichen 5651-Siegel; startet, sobald das Abonnement aktiv ist. Erhält keine personenbezogenen Daten; gesendet wird nur ein täglicher Prüfwert. | Demnächst |
| NetGSM · İleti Merkezi · Mutlucell | SMS-Bestätigungscodes für Gäste, versendet über den von Ihnen gewählten SMS-Anbieter. | Wenn aktiviert |
| Google · Meta (Facebook) | Gast-Anmeldung mit einem Social-Media-Konto; nur an Standorten, die diese Methode aktivieren. | Wenn aktiviert |
| Mews · Cloudbeds | Prüfung von Zimmernummer und Nachname bei Hotelgästen; nur in Hotels mit PMS-Integration. | Wenn aktiviert |
| Meta Platforms (WhatsApp Business) | Bestätigung und Benachrichtigungen über WhatsApp; dieser Kanal wird noch nicht angeboten. | Demnächst |
Ein Auftragsverarbeitungsvertrag (AVV) ist auf Anfrage erhältlich. Die aktuelle Liste wird stets auf dieser Seite veröffentlicht.
Verantwortungsvolle Offenlegung
Eine Schwachstelle gefunden?
Meldungen von Sicherheitsforschenden sind willkommen. Bitte informieren Sie uns per E-Mail, bevor Sie eine Schwachstelle öffentlich machen.
- 1.Senden Sie uns die Schwachstelle, die betroffene Adresse und die Schritte zur Reproduktion per E-Mail.
- 2.Wir bestätigen den Eingang spätestens innerhalb von 5 Werktagen.
- 3.Während Prüfung und Behebung halten wir Sie auf dem Laufenden; kritische und hohe Befunde wollen wir innerhalb von 30 Tagen schließen.
- 4.Nach Veröffentlichung der Korrektur danken wir Ihnen auf Wunsch namentlich.
Im Umfang
Website, Panel und API auf hotspotly.net, die Gast-Anmeldeseiten (Portal) und security.txt.
Nicht im Umfang
Denial-of-Service-Versuche, Social Engineering, physischer Zugang, Netzwerkgeräte unserer Kunden und Dienste Dritter. Greifen Sie nicht auf echte Gastdaten zu; falls doch, brechen Sie ab und informieren Sie uns.
Zusicherung bei gutem Glauben
Für Forschung, die in gutem Glauben und nach diesen Regeln erfolgt, leiten wir keine rechtlichen Schritte ein. Ein bezahltes Bug-Bounty-Programm gibt es derzeit nicht.
Im Fall einer Datenpanne
Wir haben einen schriftlichen Plan für die Reaktion auf Sicherheitsvorfälle. Bei einer Verletzung personenbezogener Daten informieren wir betroffene Kunden unverzüglich und bereiten die Angaben vor, die für die Meldung an die türkische Datenschutzbehörde innerhalb von 72 Stunden nach Kenntnisnahme gemäß KVKK nötig sind.
Was wir noch nicht behaupten
- Wir verfügen über keine ISO-27001- oder vergleichbare Zertifizierung.
- Ein unabhängiger Penetrationstest wurde noch nicht durchgeführt; Umfangs- und Vorbereitungsdokumente liegen vor, ein jährlicher externer Test ist geplant.
- Es gibt kein bezahltes Bug-Bounty-Programm.