Trust Center
Last reviewed: July 2026
Hubity ist mit unternehmensgerechter Sicherheit als Grundlage entwickelt. Diese Seite dokumentiert, wie wir deine Daten schützen, wer verantwortlich ist und welche Rechte du hast.
Active
Verschlüsselt bei der Speicherung
Active
Verschlüsselt beim Senden
Available
Anmeldung in zwei Schritten
Active
Aktivitätsprotokoll
Active
Privacy Rights
In Progress
SOC 2 (In Bearbeitung)
Our Commitment
CoreSicherheit ist bei Hubity kein nachträglicher Gedanke. Sie zieht sich durch das ganze Produkt: zusätzliche Verschlüsselung sensibler Informationen, Dateien, die sich nur für Berechtigte öffnen, und Berechtigungen, die Rolle für Rolle festgelegt werden. Wir halten uns an denselben Standard, den wir unseren Kunden für ihre eigenen Daten ermöglichen.
Data Encryption
Active Verschlüsselt bei der Speicherung: Alle Ihre Daten sind während der Speicherung verschlüsselt, mit AES-256, dem Standard, den die meisten Banken und Behörden verwenden
Zusätzlicher Schutz für sensible Informationen: Sensible Informationen wie Gehalt und persönliche Angaben erhalten eine zweite Verschlüsselungsebene mit einem eigenen, separaten Schlüssel, und Sie müssen erneut bestätigen, dass Sie es sind, bevor sich etwas davon öffnet
Verschlüsselt beim Senden: Alles, was zwischen Ihnen und Hubity unterwegs ist, wird mit TLS 1.3 verschlüsselt, dem aktuellen Standard, und jede unverschlüsselte Verbindung wird abgelehnt
Verschlüsselungsschlüssel: Die Schlüssel, die Ihre Daten öffnen, werden getrennt von den Daten selbst aufbewahrt und lassen sich austauschen, ohne dass sich am Gespeicherten etwas ändert
Email privacy: E-Mail-Adressen werden während der Speicherung verschlüsselt, mit zusätzlichem Schutz, damit sie unlesbar bleiben, selbst wenn jemand an die gespeicherten Dateien käme
File access: Eine Datei öffnet sich nur für jemanden, der angemeldet ist und sie sehen darf. Es gibt keinen direkten Link, über den sonst jemand an sie käme
Authentication
Active Passwordless login: Wir senden Ihnen per E-Mail einen Anmeldecode, der nach 15 Minuten abläuft. Es gibt kein Passwort, das gestohlen oder erraten werden kann
Passkeys: Melden Sie sich mit Ihrem Fingerabdruck, Ihrem Gesicht oder einem Hardware-Sicherheitsschlüssel an
Anmeldung in zwei Schritten: Nutzen Sie eine Authenticator-App für einen zweiten Schritt bei der Anmeldung. Das Einrichtungsgeheimnis wird verschlüsselt gespeichert, und Ihre Ersatzcodes werden in einer Form abgelegt, die sich nicht zurücklesen lässt
Mit Ihrem Unternehmenskonto anmelden: Melden Sie sich mit dem Google- oder Microsoft-Arbeitskonto an, das Ihr Team bereits hat, einschließlich Microsoft Entra ID, sodass es nur eine Unternehmensanmeldung zu verwalten gibt
Angemeldet bleiben: Ihre Anmeldung wird verschlüsselt gespeichert, kann von keiner anderen Website genutzt werden, um in Ihrem Namen zu handeln, und läuft von selbst ab
Erneut bestätigen, dass Sie es sind: Sensible Informationen wie Gehalt und persönliche Angaben öffnen sich erst, nachdem Sie erneut bestätigt haben, dass Sie es sind, auch wenn Sie bereits angemeldet sind
Hosting und Speicherung
Active Hosting: Hosting auf Enterprise-Niveau, das bei einem Ausfall automatisch umschaltet, Menschen überall schnell bedient und Aktualisierungen einspielt, ohne Hubity offline zu nehmen
Gespeicherte Einträge: Ihre Einträge werden verschlüsselt gespeichert, laufend gesichert und lassen sich auf jeden beliebigen Zeitpunkt zurücksetzen
Schutz vor Angriffen: Abwehr auf Enterprise-Niveau gegen Angriffe, die Hubity mit Datenverkehr überfluten wollen, Filterung automatisierter Bots und Seiten, die von einem Ort nahe bei Ihnen ausgeliefert werden
Data isolation: Die Daten jedes Unternehmens werden getrennt gehalten, und nichts, was Sie speichern, ist aus dem Konto eines anderen Unternehmens erreichbar
File storage: Dokumente werden verschlüsselt gespeichert und öffnen sich nur für jemanden, der angemeldet ist und sie sehen darf
Access Control
Active Rollenbasierte Zugriffskontrolle: Granulare Rollen nach dem Least-Privilege-Prinzip regeln jede Aktion. Die Aufgaben sind getrennt: Eine dedizierte IT- und Sicherheitsadministrator-Rolle verwaltet Authentifizierung, Integrationen und Audit ohne Zugriff auf HR-, Finanz- oder Gehaltsdaten, und eine Finanzrolle ist auf Finanzdaten beschränkt, ohne Befugnisse zur Unternehmensadministration
Aktivitätsprotokoll: Jede wesentliche Aktion wird zusammen mit dem Gerät und der Netzwerkadresse, von der sie kam, in einem Aktivitätsprotokoll erfasst, und zwar so, dass jede spätere Änderung an einem Eintrag erkennbar ist. Die Einträge werden mindestens sechs Jahre lang aufbewahrt
Grenzen für wiederholte Versuche: Anmeldeversuche und sensible Aktionen sind in ihrer Anzahl begrenzt, damit sie nicht für wiederholtes Raten oder Missbrauch genutzt werden können
Prüfungen für alles, was hereingesendet wird: Alles, was an Hubity gesendet wird, wird auf unseren eigenen Systemen geprüft, nicht nur im Browser, einschließlich Typ und Format jeder hochgeladenen Datei
Application Security
Active Browser-Schutzmaßnahmen: Strenge Browser-Regeln verhindern, dass fremder Code innerhalb von Hubity läuft oder etwas geladen wird, das wir nicht freigegeben haben
Sensitive data detection: Hubity erkennt Sozialversicherungsnummern, Kreditkartennummern, Passwörter und Zugangscodes in dem, was Sie Ihrer Wissensbasis hinzufügen. Aktive Anmeldedaten werden rundweg blockiert, und andere sensible Informationen werden beiseitegelegt, sodass die KI sie nie liest
Fremdsoftware, auf die wir uns stützen: Die Fremdsoftware, auf der Hubity aufbaut, wird verfolgt und regelmäßig aktualisiert. Sicherheitshinweise werden geprüft und zeitnah umgesetzt
Error handling: Sie sehen nie interne Fehlerdetails. Probleme werden sicher für unsere eigene Prüfung erfasst
Data Handling
Active Data residency: Die Daten werden in den Vereinigten Staaten gespeichert.
Data minimization: Wir erheben nur Daten, die zur Erbringung des Dienstes erforderlich sind. Kein Verhaltens-Tracking über Produkt-Analytics hinaus
KI-Unternehmen, die wir nutzen: Fragen, die an die KI-Unternehmen gesendet werden, mit denen wir arbeiten, werden nach dem Eintreffen der Antwort nicht aufbewahrt und nie zum Training eines Modells verwendet
Deletion: Kundendaten werden nach der Konto-Kündigung im Einklang mit unserem Auftragsverarbeitungsvertrag gelöscht, und Backups werden anschließend nach einem rollierenden Zeitplan entfernt
Compliance
In Progress European Privacy RightsActive
Zugangs-, Berichtigungs-, Löschungs- und Datenexportrechte werden unterstützt
California Privacy RightsActive
Verbraucherrechte im Datenschutz werden eingehalten, einschließlich des Rechts auf Auskunft, Löschung und Widerspruch
Sensitive Data ProtectionActive
Zusätzliche Verschlüsselung sensibler Informationen, Zugriff nur für angemeldete Personen und Aktivitätseinträge, die jahrelang aufbewahrt werden
SOC 2 Type IIIn Progress
Die Unternehmen, die Hubity hosten, sind zertifiziert. Unsere eigene Bewertung läuft
Accessibility
Hubity verpflichtet sich dazu, anerkannte Zugänglichkeitsstandards auf allen nutzerorientierten Oberflächen zu erfüllen.
Keyboard navigation: Alle interaktiven Elemente sind per Tastatur erreichbar und mit sichtbaren Fokusindikatoren versehen
Screen reader support: Alles ist so beschriftet, dass ein Screenreader es ansagen kann, auch Inhalte, die sich aktualisieren, während Sie auf der Seite sind
Korrekte Seitenstruktur: Überschriften in der richtigen Reihenfolge, klar gekennzeichnete Seitenbereiche und eine Beschriftung an jedem Feld
Color contrast: Text und Elemente auf dem Bildschirm erfüllen die WCAG AA-Kontraststufen in hellen wie in dunklen Themes
Skip navigation: Skip-to-Content-Link für Tastaturnutzer, um repetitive Navigation zu überspringen
Responsive design: Vollständig nutzbar auf Mobilgeräten, Tablets und Desktop mit Touch- und Zeigereingabe
Um eine Zugänglichkeitsbarriere zu melden, wende dich an [email protected].
Vulnerability Disclosure
Wir begrüßen verantwortungsvolle Sicherheitsforschung. Wenn du eine Schwachstelle entdeckst, melde sie bitte an [email protected].
Response time: Wir bestätigen alle Meldungen innerhalb von 48 Stunden
Safe harbor: Wir ergreifen keine rechtlichen Schritte gegen Forscher, die in gutem Glauben handeln
Recognition: Berechtigte Schwachstellenmelder werden mit Genehmigung namentlich erwähnt
In scope: hubity.io und zugehörige Dienste
Out of scope: Drittanbieterdienste, Social Engineering, Denial-of-Service
Unsere vollständige Sicherheitsrichtlinie ist veröffentlicht unter /.well-known/security.txt
Sicherheit verbundener Apps
ActiveWir prüfen unsere Kontrollen anhand des öffentlichen Frameworks OWASP MCP Top 10 für die Sicherheit verbundener Apps und Agenten.
1 Zugangscodes, die nach außen gelangenMitigated
Zugangscodes werden in einer Form gespeichert, die sich nicht in das Original zurückverwandeln lässt. Gespeicherte Anmeldedaten werden verschlüsselt, für jeden Eintrag getrennt. Ein Code wird bei seiner Erstellung einmal angezeigt und ist danach nie wieder abrufbar. Codes tauchen niemals in einem Protokoll oder in einer Fehlermeldung auf.
2 Eine Verbindung, die mehr Zugriff erhält, als sie sollteMitigated
Jede Verbindung ist auf das beschränkt, was sie braucht, und hat nur Lesezugriff, sofern Sie es nicht anders festlegen. Jede verbundene App ist auf eine benannte Liste von Aktionen begrenzt. Alles, was Daten schreibt oder ändert, braucht eine Genehmigung, und sensible Aktionen brauchen zwei Personen.
3 Eine verbundene App, die etwas Schädliches zurückgibtMitigated
Alles, was eine verbundene App zurücksendet, wird auf versteckte Anweisungen, Versuche, Befehle auszuführen, und Versuche, Daten abzuziehen, geprüft, bevor irgendetwas davon gespeichert oder angezeigt wird. Was jede verbundene App tun darf, muss von einer Administratorin genehmigt werden.
4 Manipulation der Software oder Daten, auf die wir uns stützenMitigated
Alles, was hereinkommt, wird signiert, sodass wir belegen können, woher es stammt, und erkennen, ob es unterwegs verändert wurde. Verbundene Apps werden laufend überwacht und automatisch abgeschaltet, wenn sie zu versagen beginnen.
5 Versteckte Befehle, die ausgeführt werdenMitigated
Alles, was hereingesendet wird, wird auf unseren eigenen Systemen geprüft, bevor es verwendet wird. Datenbankabfragen können durch das, was eine verbundene App sendet, nicht umgeschrieben werden. Nichts, was eine verbundene App sendet, kann auf unseren Systemen Befehle ausführen. Inhalte werden auch dann auf Bedrohungen geprüft, wenn sie getarnt ankommen.
6 Versteckte Anweisungen, die auf die KI zielenMitigated
Inhalte aus einer verbundenen App werden auf versteckte Anweisungen geprüft, bevor die KI sie liest. Sensible und geschützte Inhalte bleiben von dem ausgenommen, was eine verbundene App sehen kann, und es gibt eine Grenze dafür, wie viel eine einzelne Antwort zurückgeben darf.
7 Jemand verbindet sich, der es nicht können sollteMitigated
Verbindungen werden über einen aktuellen, branchenüblichen Anmeldeablauf autorisiert, und ein Zugangscode funktioniert nur von der Verbindung aus, für die er ausgestellt wurde. Ihr Unternehmen kann sich mit seinem eigenen Unternehmenskonto anmelden. Jeder Code wird im Moment seiner Verwendung mit unseren Aufzeichnungen abgeglichen, und die Daten jedes Unternehmens bleiben auf jeder Ebene getrennt.
8 Keine Aufzeichnung dessen, was passiert istMitigated
Jede Aktion, jeder verwendete Zugangscode und jede Zugriffsentscheidung wird erfasst, und zwar so, dass jede spätere Änderung am Protokoll erkennbar ist. Signierte Export-Bundles stehen für eine externe Compliance-Prüfung bereit.
9 Verbindungen, die niemand genehmigt hatMitigated
Das Hinzufügen einer verbundenen App erfordert eine Genehmigung auf Vorgesetztenebene. Jede verbundene App steht im Inventar Ihres Unternehmens und wird überwacht. Ungenutzte werden automatisch markiert. Keine Verbindung nutzt jemals ein Standard- oder gemeinsames Passwort.
10 Die KI sieht mehr, als sie sollteMitigated
Die Daten eines Unternehmens sind aus dem Konto eines anderen Unternehmens nie erreichbar. Sensible, vertrauliche und gesundheitsbezogene Informationen bleiben aus jeder Antwort ausgenommen, und persönliche Angaben werden automatisch erkannt und verborgen.
Security Contact
Für Sicherheitsanfragen, Compliance-Fragen oder zur Meldung eines Anliegens:
Hubity
[email protected]
Führen Sie eine Sicherheitsprüfung für Ihr Unternehmen durch? Fordern Sie unser Sicherheitspaket (unseren SOC 2-Bericht, sobald er verfügbar ist, den Auftragsverarbeitungsvertrag und ausgefüllte Sicherheitsfragebögen) unter einer Geheimhaltungsvereinbarung an der oben genannten Adresse an.