Sicherheit · Beta
Mieterdaten gehören nicht in fremde Hände.
Mandantentrennung, Zwei-Faktor-Anmeldung und geprüfte Uploads sind Grundlage, nicht Zusatzoption. Wir sagen nicht „100 % sicher“ — aber wir legen offen, was wir tun und wo die Grenzen liegen.
Getrennte Betriebe
Jede Abfrage ist an den Betrieb gebunden. Objekte, Mieter, Belege, Zähler und Rechnungen eines Betriebs sind für andere nicht erreichbar.
Zwei Faktoren
Vermieter und Betreiber können TOTP über eine Authenticator-App aktivieren. Backup-Codes sichern den Zugang ab.
Sichere Sitzungen
Signierte httpOnly-Cookies, SameSite=Strict, Ablauf nach 30 Tagen und Invalidierung aller Sitzungen bei Passwortänderung.
Sperre bei Angriffen
Nach fünf Fehlversuchen wird das Konto 15 Minuten gesperrt. Zusätzlich greifen IP- und E-Mail-basierte Limits.
Geprüfte Uploads
Nur PDF, JPG, PNG und WebP bis 12 MB. MIME-Typ und Dateisignatur werden geprüft, Dateien zufällig benannt und nie ausgeführt.
Keine eigene KI
Der MCP-Zugang nutzt das Modell des Vermieters. Die Plattform speichert nur die übergebenen Werte und gibt nichts automatisch frei.
Was Mieter sehen
- Ausschließlich die eigene Abrechnung und die eigene Stromrechnung.
- Belegeinsicht nur für Rechnungen und Abrechnungen des eigenen Objekts.
- Keine Einsicht in Verträge, andere Mieter oder interne Vermieterdaten.
- Zugang wahlweise über persönlichen Link oder eigenes Konto — vom Vermieter freigegeben.
Was wir offen sagen
- Die Beta ist kein zertifiziertes Hochsicherheitsprodukt.
- Ein externer Penetrationstest steht noch aus.
- Rate-Limits gelten je Instanz; bei mehreren Servern braucht es eine zentrale Lösung.
- Keine Datenbank-Verschlüsselung auf Anwendungsebene; die Datenträger liegen beim Hoster in Deutschland.
Schwachstelle gefunden?
Bitte vertraulich an info@wizzper.de mit Betreff „Security“. Keine echten Mieterdaten in Tickets oder Screenshots. Wir melden uns innerhalb von 72 Stunden.
Auftragsverarbeitung (AVV)