Zum Inhalt springen

Sicherheitsarchitektur im Detail

Ein umfassender technischer Überblick darüber, wie tracio.ai Ihre Daten auf jeder Ebene schützt — von der clientseitigen Signalverschlüsselung bis zur Speicherung im Ruhezustand.

Whitepaper anfordern

Inhalt

Abschnitt 1

Datenfluss

Ende-zu-Ende-verschlüsselter Signaltransport vom Browser bis zur Speicherung. Whitepaper zur Sicherheitsarchitektur von tracio.ai mit Details zu Verschlüsselung und Compliance.

+------------------+     TLS 1.2+     +------------------+
|   Browser Agent  | ================> |   Edge Gateway   |
|                  |   end-to-end payload |                  |
+------------------+                   +--------+---------+
                                                |
                                       mTLS internal
                                                |
                                       +--------v---------+
                                       |  Signal Processor |
                                       |  (Rust pipeline)  |
                                       +--------+---------+
                                                |
                                       AES-256-GCM
                                                |
                                       +--------v---------+
                                       |   ClickHouse DB   |
                                       |  (encrypted disk) |
                                       +------------------+

Technische Spezifikationen

TransportTLS 1.2+ mit AEAD-Cipher-Suites
Payload-VerschlüsselungEnde-zu-Ende, doppelschichtig vor TLS
Internes NetzwerkmTLS zwischen allen Diensten
ZertifikatsrotationAutomatisiert alle 72 Stunden

Abschnitt 2

Verschlüsselungsebenen

Mehrschichtige Verschlüsselung in jeder Phase des Datenlebenszyklus.

Layer 1: Client-Side
  Signal data --> encrypted transport --> Base64

Layer 2: Transport
  Base64 payload --> TLS 1.2+ (ECDHE + AES-256-GCM)

Layer 3: At-Rest
  Decrypted signals --> AES-256-GCM --> Encrypted column store

Layer 4: Key Management
  Master key (HSM) --> Data encryption keys (rotated weekly)
  DEK envelope encryption --> Per-tenant isolation

Technische Spezifikationen

Client-VerschlüsselungAES-128-CBC mit Session-Schlüssel
TransportTLS 1.2+ AES-256-GCM
Im RuhezustandAES-256-GCM, Verschlüsselung pro Spalte
SchlüsselspeicherungHSM-gestützte Master-Schlüssel
SchlüsselrotationWöchentliche DEK-Rotation, jährliche Master-Rotation

Abschnitt 3

Zugriffskontrolle

Rollenbasierte Zugriffskontrolle nach dem Prinzip der geringsten Rechte.

Role Hierarchy:

  Owner
    |-- Admin      (manage team, billing, API keys)
    |-- Analyst     (read dashboards, export data)
    |-- Developer   (API access, webhook config)
    |-- Viewer      (read-only dashboard access)

API Key Scoping:
  [key] --> scope: [identify, events, signals]
      +--> rate limit: 1000 req/min
      +--> IP allowlist: [10.0.0.0/8]
      +--> expiry: 90 days

Technische Spezifikationen

AuthentifizierungAPI-Schlüssel (bcrypt-gehasht) + SSO/SAML
AutorisierungRBAC mit 4 integrierten Rollen
API-SchlüsselBerechtigungsscopes, IP-Allowlisting
Session-ManagementJWT mit 15-min-Ablauf, Refresh-Tokens
MFATOTP und WebAuthn unterstützt

Abschnitt 4

Audit-Trail

Unveränderliches, manipulationssicheres Audit-Logging für jede Aktion.

Every API call and admin action is logged:

  2026-03-16 14:22:01 | api.identify     | key:tracio_sk_egRb14 | 200
  2026-03-16 14:22:03 | api.events       | key:tracio_sk_egRb14 | 200
  2026-03-16 14:23:15 | admin.key.create | user:david@          | 201
  2026-03-16 14:25:44 | admin.role.edit  | user:sarah@          | 200

Log Properties:
  - Append-only (immutable)
  - SHA-256 hash chain (tamper detection)
  - 365-day retention (configurable)
  - Exportable via API or CSV

Technische Spezifikationen

SpeicherungAppend-only-Log mit Hash-Kette
AufbewahrungStandardmäßig 365 Tage, konfigurierbar bis 7 Jahre
IntegritätSHA-256-verkettete Hashes, Manipulationserkennung
ExportServer API und CSV-Export

Abschnitt 5

Reaktion auf Vorfälle

Dokumentierte Playbooks mit klaren Schweregrad-Stufen und Eskalation.

Severity Tiers:

  SEV-1 (Critical)  | Data breach, service outage
    Response: < 15 min | Notify: CEO, Legal, Customers

  SEV-2 (High)      | Partial outage, security vulnerability
    Response: < 1 hr  | Notify: Engineering Lead, Security

  SEV-3 (Medium)    | Performance degradation, minor bug
    Response: < 4 hr  | Notify: On-call engineer

  SEV-4 (Low)       | Cosmetic issue, documentation gap
    Response: < 24 hr | Notify: Product team

Technische Spezifikationen

Monitoring24/7 automatisierte Alarmierung (Grafana + PagerDuty)
SEV-1-Reaktion< 15 Minuten
Post-mortemBei SEV-1/2 innerhalb von 48 Stunden veröffentlicht
KommunikationStatus-Seite-Updates innerhalb von 5 Minuten
Bug BountyResponsible-Disclosure-Programm aktiv

Das vollständige Whitepaper erhalten

Laden Sie das vollständige Dokument zur Sicherheitsarchitektur herunter, inklusive Compliance-Anhängen, Datenflussdiagrammen und Zusammenfassungen der Drittanbieter-Audits.

Whitepaper anfordernSicherheitsüberblick