Sicherheit & Betrieb
Sicherheit & Betrieb.
Hier steht, wo deine Daten liegen, wie wir sie sichern, was das CRM selbst schützt – und was es noch nicht gibt. Wir schreiben nur auf, was wir geprüft haben.Stand: 08.11.2026 · Version 1.1.60
1 · Auf einen Blick
| Serverstandort | Gehostet: Österreich, Rechenzentrum Wien (netcup). Der Server ist und bleibt in Österreich. Selbst gehostet: dort, wo dein Server steht. |
| Sicherung | Jede Nacht um 03:15 Uhr: Datenbank und Dateien. Jeden Tag um 05:00 Uhr zusätzlich eine Kopie an einem zweiten, getrennten Standort. |
| Probe-Wiederherstellung | Läuft jede Woche automatisch. Zuletzt am 06.11.2026: ohne Fehler, in 12 Sekunden. Zum Prüfprotokoll |
| Lizenz | Proprietäre Software der The-Y e.U. aus Wien. Free bis 3 Nutzer · Cloud Pro 20 €/Monat pro Unternehmen, alle Nutzer und Marken · selbst gehostet ab 10 €/Monat oder Lifetime 240 € (Preise in Alpha & Beta). Alle Kosten |
| Hosting | Du wählst: Wir hosten (Free oder Cloud Pro) – oder du betreibst das CRM auf deinem eigenen Server. Es ist dieselbe Software, deine Daten nimmst du mit. |
| Auftragsverarbeitung | Für das gehostete CRM gilt unser AVV nach Art. 28 DSGVO, zusammen mit den Nutzungsbedingungen. Ein unterschriebenes Exemplar bekommst du auf Anfrage. |
| Phase | Alpha. Was das für dich heißt, steht unter „Ehrlich“. |
2 · Sicherungen & Wiederherstellung
Das gilt für das gehostete CRM auf crm.the-y.at.
- Jede Nacht um 03:15 Uhr sichern wir die ganze Datenbank (komprimiert) und den Dateispeicher mit Anhängen und hochgeladenen Dateien.
- Auf dem Server bleiben die Sicherungen 14 Tage.
- Jeden Tag um 05:00 Uhr holt ein zweiter Server an einem getrennten Standort eine Kopie ab, über eine verschlüsselte Verbindung. Dort bleibt sie 30 Tage.
- Jeden Morgen um 09:45 Uhr prüft ein Wächter: Ist die neueste Datenbank-Sicherung jünger als 26 Stunden und nicht verdächtig klein? Wenn nicht, geht eine Alarm-Mail raus.
- Jede Sicherung wird gleich nach dem Schreiben geprüft: Archiv intakt und vollständig geschrieben. Ist sie es nicht, zählt sie nicht als Sicherung, und es geht eine Alarm-Mail raus.
- Jeden Sonntag um 05:30 Uhr spielen wir die neueste Sicherung zur Probe in eine Wegwerf-Datenbank zurück – genau wie im Prüfprotokoll unten. Geht dabei etwas schief, bekommen wir sofort eine Alarm-Mail.
- Nach einer Löschung können Daten noch bis zu 30 Tage in Sicherungskopien stehen. Danach werden sie überschrieben.
Prüfprotokoll · Probe-Wiederherstellung · 06.11.2026, 02:23 Uhr
- Die neueste Sicherung (05.11.2026, 03:15 Uhr) in eine Wegwerf-Datenbank ohne Netzwerk zurückgespielt. Das Live-System blieb unberührt.
- In einem Durchgang zurückgespielt, ohne einen einzigen Fehler.
- Danach hat die damals aktuelle Version 1.1.57 ihre Datenbank-Updates sauber eingespielt: 206 von 206 vorhanden.
- Das Archiv des Dateispeichers ließ sich vollständig entpacken.
- Dauer des ganzen Tests: 12 Sekunden. Die Wegwerf-Kopie haben wir danach gelöscht.
Selbst gehostet? Du bekommst dieselben Werkzeuge.
- backup.sh sichert Datenbank und Dateien. Eine Datenbank-Sicherung zählt erst, wenn sie geprüft ist: Archiv intakt, vollständig geschrieben, nicht verdächtig klein. Alte Sicherungen löscht es erst nach einer gültigen neuen.
- restore.sh spielt eine Sicherung zurück, restore-files.sh die Dateien.
- restore-test.sh macht eine Probe-Wiederherstellung in eine Wegwerf-Datenbank ohne Netzwerk. Deine echte Datenbank wird dabei nie verändert. Unsere Empfehlung: einmal pro Woche.
Anleitung: Self-Hosting-Betrieb → Backup & Restore
3 · Schutz deiner Daten im Produkt
Das ist eingebaut – gehostet und selbst gehostet gleich, wenn nicht anders vermerkt.
| Anmeldung | Passwörter speichern wir nie im Klartext, nur als Hash (scrypt, mit eigenem Zufallswert je Passwort). Die Prüfung dauert immer gleich lang – so verrät die Antwortzeit nicht, ob es ein Konto gibt. Zu viele Versuche werden gebremst: höchstens 15 Anmeldungen pro Minute je IP-Adresse, ähnlich beim Zwei-Faktor-Code und bei „Passwort vergessen“. Seit 1.1.60: Nach 5 falschen Zwei-Faktor-Codes meldest du dich neu an, nach 10 in 15 Minuten ist das Konto kurz gesperrt. Nach 10 falschen Passwörtern für eine Adresse gibt es 15 Minuten Pause (Anmelden per Link geht weiter). |
| Zwei-Faktor (2FA) | Mit einer Authenticator-App (6-stelliger Code). Dazu 8 Wiederherstellungs-Codes: einmal angezeigt, nur als Hash gespeichert, jeder nur einmal nutzbar. Gilt auch bei der Anmeldung per Link oder mit Google. Ein Admin kann 2FA für das ganze Konto zur Pflicht machen, mit Frist (Standard 7 Tage). Danach geht ohne 2FA nur noch die Einrichtung – in der App und über die Schnittstelle. „Gerät merken“ spart den Code 30 Tage lang, das Passwort bleibt Pflicht. Nach einem Passwortwechsel gilt das Merken nicht mehr. |
| Sitzungen | Das Anmelde-Cookie geht nur über HTTPS und ist für Skripte auf der Seite nicht lesbar. In der Datenbank liegt davon nur ein Hash. Eine Sitzung endet nach spätestens 30 Tagen. Abmelden beendet alle Sitzungen in diesem Browser. Passwort ändern oder zurücksetzen beendet die anderen Sitzungen. Unter „Mein Profil“ siehst du deine angemeldeten Geräte und meldest einzelne oder alle anderen ab; ein Admin kann eine Person überall abmelden (seit 1.1.60). |
| Rollen & Rechte | Drei Standardrollen fürs Team: Admin, Teamleitung und Agent – dazu eigene Rollen, z. B. „Empfang“ (seit 1.1.60). Rechte gibt es je Bereich, mit der Reichweite „eigene“, „Team“ oder „alle“ – ein Agent sieht zum Beispiel nur seine eigenen Kontakte und Deals. Einzelnen Personen kannst du Rechte dazugeben oder wegnehmen, „wegnehmen“ gewinnt. Niemand kann Rechte vergeben, die er selbst nicht hat. Die Rechte prüft der Server, nicht nur die Oberfläche. |
| Konten getrennt | Jedes Konto ist in der Datenbank selbst von den anderen getrennt (Row-Level-Security). Die App arbeitet mit einer Datenbank-Rolle ohne Sonderrechte. Das regelt die Datenbank, nicht nur der Programmcode. |
| Gespeicherte Zugangsdaten | Postfach-Passwörter, Zugriffsschlüssel für WhatsApp, Facebook und Instagram, SMS-Anbieter und Microsoft, dein KI-Schlüssel, Telefonie-Passwörter und das 2FA-Geheimnis speichern wir verschlüsselt (AES-256-GCM). Im Export (Snapshot) sind keine Geheimnisse enthalten. |
| Sicherheits-Protokoll | Es hält fest: Anmeldungen (auch fehlgeschlagene, mit IP-Adresse), Änderungen an 2FA, Rollen und Team, Konto zurücksetzen oder löschen, Support-Zugriffe. Niemand kann Einträge ändern oder löschen – das sperrt die Datenbank selbst. Einträge bleiben mindestens 365 Tage, auch wenn du das Konto zurücksetzt. Admins sehen es unter Einstellungen → Änderungsprotokoll, seit 1.1.60 mit Suche, Filtern und CSV-Export. |
| Support-Zugriff nur gehostet | Unser Support kommt in der App nur in dein Konto, wenn ein Admin bei dir einen Service-PIN erzeugt: 6 Ziffern, 24 Stunden gültig, jederzeit widerrufbar. Nach 5 falschen PINs ist 15 Minuten Pause. Im Notfall geht es ohne PIN nur mit schriftlicher Begründung, für höchstens 60 Minuten – und alle Admins bekommen sofort eine Mail. Jeder Zugriff steht im Sicherheits-Protokoll. |
| Verbindung | Das CRM läuft über HTTPS. Wer http:// aufruft, wird auf https:// umgeleitet. Der Browser bekommt strenge Sicherheitsregeln mit, zum Beispiel darf die App nicht in fremde Seiten eingebettet werden. Nachrichten, die Meta an das CRM schickt, prüfen wir auf ihre Signatur. |
| Export & Löschen | Admins exportieren Kontakte, Firmen, Deals, Aufgaben, Gespräche und KI-Vorschläge als CSV – oder das ganze Konto als Snapshot, zum Beispiel für den Umzug auf deinen eigenen Server. Einzelne Personen löschst du endgültig. Das ganze Konto kannst du zurücksetzen; löschen kann es die Person, die es angelegt hat (läuft Cloud Pro, zuerst kündigen). So funktioniert die Datenlöschung |
4 · Updates
Wir bringen oft Updates und schreiben jede Version offen in die Release Notes – mit einem eigenen Abschnitt „Für Selbsthoster“. Von 22.10. bis 08.11.2026 kamen elf Versionen:
| Datum | Version | Worum es ging |
|---|---|---|
| 08.11.2026 | 1.1.60 | Eigene Rollen, Änderungsprotokoll mit Suche, angemeldete Geräte, API-Schlüssel mit Rechten und Ablauf, signierte Webhooks und Korrekturen aus unserem eigenen Sicherheitstest |
| 08.11.2026 | 1.1.59.1 | Sicherheitskorrektur in der Telefonanlage: gewählte Nummern nur noch als Ziffern |
| 08.11.2026 | 1.1.59 | Englische Oberfläche mit einheitlichen Beträgen und Daten, Testumgebung in der Sprache der Demo, selbst gehostet ohne Domain im Heimnetz |
| 06.11.2026 | 1.1.58 | Kamerabild beim Teilen, Terminbuchung „ab morgen“, E-Mail mit Cc, Bcc und Weiterleiten, Kampagnen zählen nur auf Wunsch |
| 05.11.2026 | 1.1.57 | Anmelden per Link oder mit Google, Registrieren ohne Passwort, bessere Lesbarkeit |
| 05.11.2026 | 1.1.56 | Demo startet im Gespräch, Mails an Kund:innen nur über dein Postfach |
| 01.11.2026 | 1.1.55 | Wartungs-Update |
| 27.10.2026 | 1.1.54 | Bildschirm teilen im Video-Termin, mehrere Zeitfenster für Buchungslinks |
| 25.10.2026 | 1.1.53.1 | Zwei-Faktor-Pflicht gilt überall |
| 25.10.2026 | 1.1.53 | Aufgeräumt, fürs Team gebaut, eine Öffnungszeit für alles |
| 22.10.2026 | 1.1.52 | Warteschlange mit Position und Rückruf, Handy klingelt mit, Marken-Baukasten |
- Gehostet: Updates spielen wir ein. Du musst nichts tun.
- Selbst gehostet:
update.shsichert vor dem Update (wenn der Sicherungs-Dienst eingerichtet ist), prüft danach, ob alles läuft, und geht sonst von selbst auf die vorherige Version zurück. Mit--probesiehst du vorher, was passieren würde. Die Lifetime-Lizenz enthält Updates und Sicherheitsfixes, solange sie angeboten werden.
5 · Lizenz & Hosting auf einen Blick
| Gehostet: Free oder Cloud Pro | Selbst gehostet: Free-Schlüssel, Founder oder Lifetime | |
|---|---|---|
| Preis | Free 0 € (bis 3 Nutzer). Cloud Pro 20 €/Monat pro Unternehmen, alle Nutzer und Marken (Alpha & Beta; ab dem Live-Release 40 €/Monat). | Free mit Gratis-Schlüssel 0 € (bis 3 Nutzer, ohne Support). Founder 10 €/Monat, Lifetime 240 € einmalig (Alpha & Beta; ab dem Live-Release 20 €/Monat bzw. 480 €). Den Server zahlst du selbst. |
| Wo die Daten liegen | crm.the-y.at, Server in Österreich (Rechenzentrum Wien). | Auf deinem Server. Du bestimmst, wo er steht. |
| Sicherungen | Machen wir (siehe Punkt 2). Exportieren kannst du zusätzlich jederzeit selbst. | Machst du, mit backup.sh, restore.sh und restore-test.sh. |
| Updates | Spielen wir ein. | Du, mit update.sh – auf Wunsch nachts automatisch. |
| Wer hat Zugriff | Dein Team, je nach Rolle. Den Server betreibt The-Y e.U.; Zugriff darauf haben wir nur, soweit der Betrieb ihn braucht. In dein Konto in der App kommt unser Support nur mit deinem Service-PIN oder über den protokollierten Notfall-Weg. Das Rechenzentrum stellt netcup. | Du und dein Team. The-Y betreibt deinen Server nicht und ist dort nur Software-Lieferant. Deine Installation prüft etwa einmal pro Stunde ihre Lizenz bei uns; dabei gehen Lizenzschlüssel, eine Kennung der Installation und die Versionsnummer an uns. |
| E-Mails | System-Mails (z. B. Anmelde-Links, Passwort zurücksetzen, Einladungen) gehen über das EU-Rechenzentrum (Amsterdam) des Versanddienstes SMTP2GO. Mails an deine Kund:innen gehen nur über dein eigenes Postfach. | Deine Installation verschickt ihre Mails selbst. |
| Vertrag | AVV nach Art. 28 DSGVO. | Kein AVV mit uns nötig – wir sind dort kein Auftragsverarbeiter. |
Was sonst wohin geht
- KI (optional): Inhalte gehen nur an den Anbieter, dessen Schlüssel du einträgst (Anthropic, OpenAI oder Google). Ohne Schlüssel bleibt die KI aus.
- Übersetzen im Posteingang: standardmäßig auf unserem eigenen Übersetzungsdienst im Rechenzentrum Wien. Er hat keinen Zugang zum Internet.
- Unsere eigene Firmenpost (z. B. office@the-y.at) liegt auf unserem Mailserver bei RackNerd in den USA. Das CRM und die Daten deiner Kund:innen laufen nicht darüber. Details in der Datenschutzerklärung.
6 · Sicherheitslücke melden
Du hast eine Schwachstelle in The-Y CRM oder auf the-y.at gefunden? Danke, dass du sie meldest.
- Schreib an office@the-y.at, Betreff „Sicherheit“. Deutsch oder Englisch.
- Beschreib kurz, was du gefunden hast und wie man es nachstellt.
- Schick keine echten Kundendaten, Passwörter oder Zugangsschlüssel mit. Unsere Firmenpost liegt auf einem Mailserver in den USA (siehe oben).
- Teste nur mit deinem eigenen Konto. Greif nicht auf fremde Daten zu und stör den Betrieb nicht.
- Veröffentliche nichts, bevor wir die Lücke schließen konnten. Wir melden uns bei dir.
Für Programme lesbar: /.well-known/security.txt (nach RFC 9116).
Erfahren wir von einer Verletzung des Schutzes deiner Daten, melden wir sie dir unverzüglich (AVV, Ziffer 8).
7 · Ehrlich: was es (noch) nicht gibt
- Kein Prüfsiegel. The-Y CRM hat keine Zertifizierung – kein ISO 27001, kein SOC 2. Was wir tun, steht auf dieser Seite und im AVV (Anlage 1).
- Kein Bug-Bounty. Für gemeldete Lücken zahlen wir keine Prämie.
- Alpha. Die Sicherungen laufen, aber noch ohne förmliche Garantie (Best-Effort). Es gibt keine zugesicherte Verfügbarkeit (kein SLA). Nutze das CRM in der Alpha nicht als einzigen Speicher für geschäftskritische Daten und exportier regelmäßig.
- Mit der Beta kommen laut AVV (Anlage 3) feste Ziele: im schlimmsten Fall höchstens 24 Stunden Datenverlust und höchstens 48 Stunden, bis alles wieder läuft. Auch das sind dann Ziele, noch kein SLA. Die Probe-Wiederherstellung, die der AVV ab der Beta monatlich vorsieht, läuft schon jetzt jede Woche.
- 2FA ist noch freiwillig – außer dein Admin schaltet sie für alle ein. Ab der Beta wird sie für Admins Pflicht (AVV, Anlage 1).
- Unsere Firmenpost läuft noch über die USA. Der Mailserver für Adressen wie office@the-y.at steht bei RackNerd. Das CRM betrifft das nicht. Wir prüfen den Umzug in die EU.
Störungen siehst du auf der Status-Seite, bekannte Fehler samt Lösung unter Known Issues.