Sicherheit
Was Codeimus mit deinen Daten macht – und was nicht. Zu jedem Punkt steht die Datei, in der es umgesetzt ist.
Wo die Daten liegen
Codeimus läuft auf eigenen Servern in Deutschland. Deine Projekte, der erzeugte Quellcode und die Datenbanken deiner Apps verlassen die Europäische Union nicht.
Jede App bekommt ihr eigenes Datenbank-Schema
Die Apps deiner Kunden teilen sich keine Tabellen. Jede App liegt in einem eigenen Schema; wird ein Projekt gelöscht, verschwindet das Schema mit.server/src/appdb.ts
Zugangsschlüssel verlassen den Server nie
Was du als Projekt-Schlüssel hinterlegst – Stripe, E-Mail-Versand, Werkzeug-Server – wird verschlüsselt gespeichert und nur serverseitig eingesetzt. Die Oberfläche bekommt zurück, ob ein Schlüssel gesetzt ist, nie seinen Wert.server/src/appsecrets.ts
Veröffentlichen prüft auf verratene Schlüssel
Vor dem Veröffentlichen durchsucht Codeimus den fertigen Build nach Mustern von Stripe-, AWS-, GitHub- und Anthropic-Schlüsseln sowie privaten Schlüsseln. Wird etwas gefunden, bricht der Vorgang ab und nennt die Fundstelle.server/src/publish.ts
Codeimus Pentesting
Der Code-Scan liest die App und meldet Verdächtiges. Der Pentest geht weiter: Er startet die fertige App in einer abgeschotteten Umgebung und greift sie wirklich an – wie ein Angreifer, mit Machbarkeitsnachweis statt bloßem Hinweis. Was dabei auffällt, geht als Auftrag an den Bau-Agenten, der es behebt.server/src/pentest.ts
Trust-Center je veröffentlichter App
Jede veröffentlichte App liefert unter /.well-known/trust.html eine Seite mit geprüften Fakten: wo sie läuft, ob sie netzseitig isoliert ist, ob und wann ein Pentest lief, ob eine WCAG-Prüfung vorliegt. Der Code der App kann diese Seite weder erreichen noch überschreiben – ein Nachweis, den der Geprüfte selbst ändern kann, ist keiner. Eine App ohne Pentest steht dort als „nicht geprüft“, nicht als „sicher“.server/src/trust-center.ts
Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Den Vertrag erzeugt der Server auf deinen Firmennamen; du lädst ihn in den Einstellungen unter „Datensicherheit“ herunter, unterschreibst und schickst ihn zurück. Er benennt die Subprozessoren und die Datenresidenz und hält in Ziffer 5 fest, dass wir deine Inhalte nicht zum Training verwenden. Für jeden Subprozessor steht in der Tabelle unter Ziffer 7, auf welcher Grundlage er arbeitet – beim Sprachmodell fürs Bauen ist die Nutzung zum Training dort vertraglich ausgeschlossen. Verfügbar ab dem Business-Plan – brauchst du ihn vorher, schreib an office@codeimus.com.server/src/avv.ts
Kein SOC 2, kein ISO 27001 – und warum das hier steht
Codeimus hat keines dieser Zertifikate. Die bekommt man von einem Auditor, nach Monaten, gegen Geld – nicht aus Software; wer etwas anderes behauptet, verkauft ein Siegel ohne Prüfung. Was es gibt: einen Bericht, der die Belege zu jedem Prüfpunkt einsammelt – Mandantentrennung, Netz-Isolation, Zugriffsprotokoll, Pentest, Barrierefreiheit, Verschlüsselung, Datenresidenz – und offene Punkte ausdrücklich als offen ausweist. Brauchst du die Unterlagen für eine eigene Zertifizierung, schreib an office@codeimus.com.server/src/nachweise.ts
Externe Werkzeuge können nicht ins interne Netz
Trägst du einen Werkzeug-Server ein, löst Codeimus den Namen auf und lehnt ab, sobald eine der Antworten auf eine interne Adresse zeigt – auch bei numerischen Schreibweisen und bei Namen, die absichtlich auf 127.0.0.1 verweisen. Nur https, nur der Standard-Port.server/src/mcp.ts
Protokoll ohne Werte
Veröffentlichen, Schlüssel setzen und löschen, Mitglieder ändern, Dateien speichern: Jeder dieser Vorgänge wird mit Zeitpunkt und handelnder Person festgehalten – die Werte der Schlüssel selbst nie.server/src/audit.ts
Besucherzahlen ohne Klartext-IPs
Für veröffentlichte Apps zählt Codeimus Aufrufe und Besucher. Die IP-Adresse wird schon beim Aufzeichnen gekürzt und für die Zählung täglich wechselnd verschlüsselt; das Zugriffsprotokoll wird nach sieben Tagen gelöscht.server/src/analytics.ts
Rückgängig machen, ohne Kundendaten zu verlieren
Ein Checkpoint sichert Quellcode und das Datenbank-Schema. Wer eine Änderung zurücknimmt, verliert nicht die Daten, die Endkunden in der Zwischenzeit angelegt haben.server/src/checkpoints.ts
Nächtliche Sicherung
Jede Nacht wird alles gesichert, was auf dem Server liegt: die Datenbanken deiner Apps, die Projektordner samt Chat-Anhängen, die Dateien, die Endnutzer in deine App hochladen, deine Firmen-Ablage, die veröffentlichten Stände, fertige App-Pakete samt Signaturschlüssel und die Schlüsseldateien; die letzten sieben Stände bleiben. Dein Konto, deine Projektliste und dein Guthaben liegen bei Supabase und werden dort gesichert. Für eine eigene Kopie ausser Haus nimm den Datenexport oder verbinde GitHub.server/src/backup.ts
Was Codeimus nicht tut
Deine Inhalte werden nicht zum Training von Modellen verwendet. Es gibt keine Weitergabe an Werbenetzwerke und keine Analyse-Werkzeuge Dritter auf dieser Seite.
Eine Lücke melden
Wenn du etwas findest, schreib an die Adresse im Impressum. Wir antworten, bevor wir öffentlich darüber sprechen.