Sicherheit & Datenschutz bei Scanara

Kundendaten werden in AWS eu-west-1 (Dublin, Irland) gespeichert: Scan-Ergebnisse mit kurzen Code-Auszügen, Bewertungen, Dossiers und Audit-Einträge. Eine vollständige Kopie Ihres Repositorys speichert Scanara nicht. Während eines Scans werden Dateien von GitHub (USA) in einen kurzlebigen Speicher in eu-west-1 gelesen. Frankfurt (eu-central-1) ist die vorgesehene Ausweichregion; ein vollständiger Failover wurde noch nicht getestet. Die Website-Analyse lädt erst nach Ihrer Cookie-Einwilligung und sendet Nutzungsdaten an Google und Microsoft in die USA, auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln.

Gespeicherte Daten sind mit AES-256 verschlüsselt. Daten bei der Übertragung nutzen TLS 1.2 oder höher. Der Audit-Speicher und die Protokolle verwenden eigene KMS-Schlüssel, die Scanara in seinem eigenen AWS-Konto verwaltet.

Die Anmeldung läuft über AWS Cognito mit Advanced Security (adaptive Authentifizierung, Prüfung auf kompromittierte Zugangsdaten). Mehrfaktor-Authentifizierung mit einer Authenticator-App ist verfügbar, aber optional; Scanara erzwingt sie nicht. Enterprise-Kunden können Single Sign-on über OIDC nutzen; SAML ist geplant.

Aktionen in Scanara werden als Ereignisse in ein unveränderbares Protokoll geschrieben (S3 Object Lock im Compliance-Modus), jeweils mit einem SHA-256-Integritätshash. Scanara bewahrt diese Einträge in jedem Plan mindestens 10 Jahre auf. Anbieter von Hochrisiko-KI-Systemen müssen ihre Dokumentation 10 Jahre nach dem Inverkehrbringen oder der Inbetriebnahme des Systems aufbewahren (Artikel 18 Absatz 1 der KI-Verordnung).

Scanara dokumentiert seine DSGVO-Maßnahmen: ein Verzeichnis von Verarbeitungstätigkeiten, eine Datenschutz-Folgenabschätzung für das Scannen von Quellcode, Transfer-Folgenabschätzungen für seine US-Dienstleister und einen Auftragsverarbeitungsvertrag nach Artikel 28. Konto- und Organisationsdaten werden innerhalb von 30 Tagen nach Schließung gelöscht oder anonymisiert. Scanara trainiert keine KI-Modelle mit Kundencode.

Rollen begrenzen, was jede Person in einer Organisation tun darf: Organisationsadministrator, Compliance-Beauftragter, KI-Entwickler, Prüfer und Betrachter. Die Daten sind pro Organisation durch organisationsbezogene Abfragen und Row-Level-Security getrennt. Scanara-Mitarbeitende greifen über IAM Identity Center auf AWS zu, ohne langlebige Zugangsdaten.

Scanara besitzt derzeit keine Sicherheitszertifizierung. ISO 27001 ist in Vorbereitung; SOC 2 und ISO/IEC 42001 sind geplant, ohne veröffentlichte Termine. Ein externer Penetrationstest ist geplant; ein Termin ist nicht veröffentlicht. Die Zertifizierungen von AWS gelten nur für die AWS-Infrastruktur.

Einkauf

Das Vendor-Evaluierungspaket ist für Einkaufsteams

Es enthält einen vorausgefüllten Sicherheitsfragebogen, eine AVV-Vorlage, die Liste der Unterauftragsverarbeiter, eine Architekturübersicht und eine Erklärung zum Datenstandort. Die Dokumente sind auf Englisch.