Sicherheit bei LightInventory

Ihre Lagerdaten bleiben in Ihrer eigenen Google Tabelle. LightInventory liest und schreibt diese Datei in Ihrem Auftrag, speichert keine Kopie ihres Inhalts auf unseren Servern und speichert nur, was für den Betrieb Ihres Kontos nötig ist. Diese Seite erklärt genau, wie das funktioniert, wogegen wir schützen und wo die Grenzen liegen.

Wo Ihre Daten liegen

Geschäftsdaten (Artikel, Lagerorte, Lagerbewegungen, Preise, Notizen, Freigabevorschläge und die Vorher-nachher-Werte in Ihrem Verlauf) liegen ausschließlich in Tabellen in Ihrem Google-Konto. Unsere Server lesen Zellwerte in den Arbeitsspeicher, um Seiten anzuzeigen, Änderungen zu vergleichen, Exporte zu erstellen und Ihre Änderungen zu schreiben. Diese Werte werden nicht in unserer Datenbank, unseren Protokollen oder unseren Fehlerberichten gespeichert. Eine automatisierte Testsuite prüft, dass keine Tabelle, keine Protokollzeile und kein Fehlerereignis Zellwerte enthält.

Wir speichern die Daten, die für den Betrieb Ihres Kontos nötig sind:

Unser eigenes System läuft in London. Die Datenbank (Supabase, Region eu-west-2), die Anwendungsserver (Vercel, Region lhr1) sowie unsere Verschlüsselungsschlüssel und die Verankerungen des Verlaufs (Google Cloud, Region europe-west2) sind fest dort angesiedelt. Transaktions-E-Mails sind die einzige dokumentierte Ausnahme, beschrieben unter Infrastruktur und Unterauftragsverarbeiter.

Der Google-Zugriff, den wir anfordern

LightInventory bittet Google um zwei Dinge. Bei der Anmeldung mit Google fragt es nach Ihrem Basisprofil: openid, email und profile. Wenn Sie eine Tabelle verbinden, fragt es separat nach einer einzigen Drive-Berechtigung, drive.file.

Einfach gesagt erlaubt drive.file einer App nur, mit den Dateien zu arbeiten, die Sie damit erstellen oder dafür auswählen. Google beschreibt es als Zugriff auf Dateien, „that you open with an app or that the user shares with an app while using the Google Picker API“, also Dateien, die Sie mit einer App öffnen oder ihr über die Google Picker API freigeben (Google Drive API-Bereiche). Google stuft ihn als nicht sensiblen Bereich ein.

Was das für Sie bedeutet:

• LightInventory kann den Rest Ihres Google Drive nicht auflisten, öffnen oder durchsuchen. Eine Datei, die Sie nie mit LightInventory erstellt oder in der Google-Dateiauswahl ausgewählt haben, ist für die App unsichtbar.
• Wir fragen nie nach dem umfassenderen Bereich spreadsheets oder einem Bereich für das ganze Drive.
• Nach jeder Gewährung prüfen wir, ob Google genau den angeforderten Zugriff zurückgegeben hat.
• Sie können den Zugriff jederzeit in Ihrem Google-Konto entfernen. Siehe Google-Zugriff von LightInventory widerrufen.

Nur die Person, die die Tabelle verbindet, gewährt diesen Zugriff, und diese Person muss Inhaber der Datei sein. Ihre Teammitglieder werden in Google nie zur Datei hinzugefügt. Sie arbeiten über die App, mit den Rollen, die Sie ihnen geben.

Anmeldung und Sitzungen

Jeder Nutzer meldet sich mit zwei Faktoren an, in jedem Tarif und bei jedem Sitzungsbeginn.

1. Erster Faktor: Anmeldung mit Google oder mit E-Mail-Adresse und Passwort. Passwörter müssen mindestens 12 Zeichen lang sein und werden mit Listen kompromittierter Passwörter abgeglichen. Die Anmeldung mit Google zählt nur als erster Faktor, nie als beide.
2. Zweiter Faktor: ein Passkey, der Standard ist und Phishing widersteht, oder ein TOTP-Code aus einer Authenticator-App. Jeder Nutzer richtet mindestens zwei Methoden ein und erhält 10 einmalig verwendbare Wiederherstellungscodes.

Für Inhaber und Administratoren ist eine phishingresistente Anmeldung standardmäßig vorgeschrieben, daher ist TOTP für diese Rollen deaktiviert, sofern der Inhaber die Einstellung nicht ändert. Hardware-Sicherheitsschlüssel funktionieren als Passkeys. Über einen E-Mail-Link lässt sich ein Passwort zurücksetzen, er ersetzt aber nie den zweiten Faktor.

Die mehrstufige Authentifizierung wird an zwei unabhängigen Stellen geprüft: in unserem Servercode und in den Zugriffsregeln der Datenbank selbst. Eine Sitzung, die nur den ersten Faktor bestanden hat, kann nichts lesen, selbst wenn sie die Datenbank direkt aufruft.

Zu den sensiblen Aktionen gehören Rollenänderungen, Änderungen an der Abrechnung, das Verbinden oder Trennen einer Tabelle, Exporte, Sammel-Rücknahmen, Änderungen an Anmeldemethoden und das Löschen der Organisation. Sie können Ihre aktiven Sitzungen einsehen und jede davon beenden. Wir senden Ihnen eine E-Mail, wenn sich ein neues Gerät anmeldet, wenn eine Anmeldemethode hinzugefügt oder entfernt wird und wenn Wiederherstellungscodes verwendet werden.

Rollen, Lagerorte und Freigaben

Jede Organisation hat fünf Rollen: Inhaber, Administrator, Genehmiger, Bearbeiter und Betrachter. Bearbeiter und Betrachter können auf bestimmte Lagerorte beschränkt werden, sodass ein Filialteam nur seinen eigenen Bestand sieht und ändert.

Berechtigungen werden bei jeder Anfrage live gelesen, sodass das Entfernen einer Person oder die Änderung ihrer Rolle bei ihrer nächsten Aktion wirkt. Jede Anfrage wird abgelehnt, sofern keine Regel sie erlaubt. Jede Rolle wird unter Team und Rollen erklärt.

Freigaben sind optional. Sind sie aktiv, kann eine Organisation für Änderungen wie Preisänderungen oder Bestandskorrekturen eine Freigabe verlangen. Die vorgeschlagene Änderung wird in ein geschütztes Blatt in Ihrer Tabelle geschrieben, und niemand kann die eigene Anfrage freigeben. Mehr dazu in der Übersicht zum Prüfpfad.

Manipulationssichtbarer Verlauf

Jede Änderung über LightInventory wird als Verlaufseintrag in ein geschütztes Blatt Log in Ihrer Tabelle geschrieben, in derselben Google-Aktualisierung wie die Änderung selbst. Der Bestand wird nie als Zahl bearbeitet. Er wird aus einer Liste von Bewegungen berechnet, an die nur angefügt wird, und eine Rücknahme ist ein neuer Gegeneintrag statt einer Löschung.

Manipulationssichtbar bedeutet: Ändert oder entfernt jemand einen früheren Eintrag, zeigt die Prüfung es an. Es bedeutet nicht, dass die Änderung unmöglich ist. So funktioniert es:

• Eine Kette mit geheimem Schlüssel. Jeder Eintrag erhält einen Code, der aus seinem Inhalt und dem Code des vorherigen Eintrags berechnet wird, mit HMAC-SHA256 und einem geheimen Schlüssel für Ihre Organisation, den nur LightInventory besitzt. Wird ein Eintrag geändert, bricht die Kette ab dieser Stelle. Da der Schlüssel geheim ist, kann niemand die Codes nach einer Bearbeitung unbemerkt neu berechnen.
• Eine Kopie der Kette, ohne Werte. Wir speichern die Codes der Kette, nie Ihre Werte, in einer Datenbanktabelle, die Änderungen und Löschungen ablehnt.
• Tägliche Verankerungen außerhalb unserer Datenbank. Einmal täglich wird ein einziger Fingerabdruck der aktuellen Kettenposition aller Organisationen in einen Google Cloud Storage-Bucket mit einer gesperrten Aufbewahrungsrichtlinie von 7 Jahren geschrieben. Ist diese Richtlinie gesperrt, kann sie weder verkürzt noch entfernt werden. Selbst ein Angreifer, der unsere Datenbank ändern könnte, könnte diese Verankerungen nicht neu schreiben.
• Nächtliche Prüfung. Jede Nacht und immer dann, wenn der Inhaber es anfordert, berechnen wir die Kette aus Ihrem Blatt Log neu und vergleichen sie mit unserer Kopie und der letzten Verankerung. Stimmt etwas nicht überein, sehen alle Mitglieder eine Integritätswarnung, und Inhaber und Administratoren erhalten eine E-Mail.

Die Grenze ist die Inhaberschaft. Der Inhaber einer Google-Datei kann sie immer bearbeiten, entsperren, kopieren oder löschen; Google erlaubt nicht, ihn auszuschließen. Die Kette kann das nicht verhindern, aber sie macht es sichtbar. Google verbucht die Schreibvorgänge unserer App außerdem unter dem Konto des Inhabers, weil wir mit seiner Berechtigung schreiben. Unser Log erfasst das tatsächliche Teammitglied.

Bearbeitungen direkt in der Tabelle

Standardmäßig sind Ihre verwalteten Blätter so geschützt, dass in Google Tabellen nur der Inhaber sie bearbeiten kann, und Bearbeiter der Datei können sie nicht weiter freigeben. Eine optionale strenge Sperre macht die Datei in Google schreibgeschützt, bis der Inhaber sie bewusst entsperrt.

Da der Inhaber immer Änderungen vornehmen kann, erkennt LightInventory sie zusätzlich. Jedes Mal, wenn die App Ihre Tabelle liest, vergleicht sie jede Zeile mit ihrem gespeicherten Fingerabdruck. Für Organisationen, die gerade niemand ansieht, läuft außerdem eine Prüfung im Hintergrund. Wurde eine Zeile außerhalb der App geändert, erfasst die App das mit einer bestmöglichen Zuordnung aus den Überarbeitungsdaten von Google und wendet dann die Richtlinie Ihrer Organisation an: die Änderung sperren, bis ein Inhaber oder Administrator sie übernimmt oder den vorherigen Stand wiederherstellt, sie akzeptieren und protokollieren oder sie zur Freigabe zurückhalten. Bearbeitungen an früheren Bewegungen oder Verlaufseinträgen werden immer markiert.

Verschlüsselung und Geheimnisse

• Bei der Übertragung: Der gesamte Datenverkehr läuft über HTTPS. Browser werden angewiesen, nur HTTPS zu verwenden (HSTS mit Preload), und unsere Seiten verwenden eine strenge Content Security Policy.
• Im Ruhezustand: Unsere Datenbank wird von ihrem Anbieter im Ruhezustand verschlüsselt. Ihre Tabelle wird von Google gespeichert und verschlüsselt.
• Tokens und Schlüssel: Google-Aktualisierungstokens, TOTP-Geheimnisse und die Verlaufsschlüssel jeder Organisation werden mit AES-256-GCM und einem neuen Schlüssel pro Datensatz verschlüsselt. Dieser Schlüssel ist wiederum durch einen Hauptschlüssel in Google Cloud KMS in London geschützt, der KMS nie verlässt und jährlich rotiert wird. KMS läuft in einem separaten Cloud-Projekt mit eigenen Zugriffskontrollen, und unsere Server erreichen es ohne gespeicherte langlebige Zugangsdaten.
• Kein Support-Zugriff auf Ihre Tabelle. Es gibt keine Funktion, mit der sich unsere Mitarbeitenden als Sie anmelden könnten, und kein Support-Tool, das Ihre Tabelle öffnet. Der Zugriff auf unsere Produktionsdatenbank erfordert zwei Personen und wird protokolliert.

Infrastruktur und Unterauftragsverarbeiter

Die Sheets- und Drive-APIs von Google verarbeiten Ihre Tabelle als Ihr eigener Anbieter. E-Mails, die wir senden, enthalten nie Ihre Lagerdaten. Für Anbieter mit Sitz in den USA sind Übermittlungen durch das EU-US Data Privacy Framework mit der UK-Erweiterung oder durch Standardvertragsklauseln abgedeckt.

Unser Auftragsverarbeitungsvertrag ist so angelegt, dass Kunden mindestens 30 Tage vorher über einen neuen Unterauftragsverarbeiter informiert werden und ein Widerspruchsrecht haben. Die vollständige Liste der Unterauftragsverarbeiter und der Vertrag werden zum Start veröffentlicht.

Eine Sicherheitslücke melden

Wenn Sie ein Sicherheitsproblem finden, schreiben Sie an support@lightinventory.com und beschreiben Sie die Schritte, mit denen es sich nachvollziehen lässt. Bitte greifen Sie nicht auf Daten anderer zu und stören Sie den Dienst nicht, und kontaktieren Sie uns vor jedem aktiven Test, denn unsere Nutzungsbedingungen erlauben Sicherheitstests nur mit Genehmigung. Unsere Kontaktdaten für Sicherheitsforschende sind auch maschinenlesbar in security.txt veröffentlicht. Eine vollständige Richtlinie zur verantwortungsvollen Offenlegung wird vor dem Start veröffentlicht.

Status

LightInventory bereitet den Start vor. Vor dem Start sieht der Plan einen externen Penetrationstest vor, der Anmeldung, Mandantentrennung, Google-Autorisierung, Webhooks und Injection über die Tabelle abdeckt, sowie eine vollständige Selbstbewertung nach dem OWASP Application Security Verification Standard 5.0. Diese Seite wird diese unabhängigen Bewertungen ergänzen, sobald es sie gibt. Bis dahin beschreibt sie das Design, keine Zertifizierung.

Die vollständige Liste finden Sie unter Was LightInventory speichert, und was jeder Tarif enthält, unter Preise.