Sicherheit

Wie wir Ihre Daten schützen

Ein kurzer, ehrlicher Überblick. UCA PDF Editor wird von einem einzelnen Entwickler betrieben (siehe Impressum). Wir haben keine Sicherheitszertifizierung (etwa ISO 27001); diese Seite sagt, was wir tatsächlich tun.

Wo Daten gespeichert werden

Unser Server ist bei der IONOS SE gemietet und läuft in einem IONOS-Rechenzentrum in Kansas City, USA. Daten darauf werden daher außerhalb der EU verarbeitet; die Übermittlung stützt sich auf die EU-Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO) in unserem Vertrag mit IONOS. Ihre Dokumente liegen dort nicht: Die Apps bearbeiten, unterschreiben und scannen auf Ihrem Gerät. Details: Datenschutzerklärung.

Freigabelinks: Ende-zu-Ende verschlüsselt

Wenn Sie eine Datei teilen, verschlüsselt die App sie vor dem Hochladen auf Ihrem Gerät (AES-256-GCM). Der Schlüssel steht nur im Link nach dem "#", den Browser nie an einen Server senden; weder wir noch IONOS können die Datei oder ihren Namen lesen. Links laufen nach 1 bis 30 Tagen ab. Die Download-Seite gibt nur PDF-Dateien heraus und warnt, dass der Absender nicht verifiziert ist. Jeder kann einen Link auf seiner Seite melden; wir prüfen Meldungen und entfernen rechtswidrige Links.

Unterschriften: verschlüsselt gespeichert

Mitarbeitende einer Firma zeichnen ihre Unterschrift in der App. Auf dem Server wird sie verschlüsselt gespeichert (AES-256-GCM) und nur an die eigene, angemeldete App dieser Person ausgeliefert und den Admins der Firma nach der Freigabe angezeigt. Niemand kann eine Unterschrift für eine andere Person hochladen. Auf dem Gerät sind gespeicherte Unterschriften und Stempel mit einem Schlüssel im Android Keystore verschlüsselt.

Anmeldung per E-Mail-Code

Es gibt keine Passwörter. Sie melden sich mit einem 6-stelligen Code an, den wir Ihnen per E-Mail senden; er gilt 15 Minuten, wird nur als Hash gespeichert, und Versuche sind begrenzt (die Grenzen überstehen auch einen Neustart des Servers). Sitzungen nutzen sichere HTTP-only-Cookies; Formulare sind gegen Cross-Site Request Forgery geschützt.

Übertragung und die Website

Alle Verbindungen nutzen TLS (HTTPS) mit HSTS. Die Website sendet eine strenge Content Security Policy (Skripte nur von unserer eigenen Domain), keine Tracking-Cookies und keine Skripte von Dritten. Server-zu-Server-Schnittstellen sind nur im privaten Netz erreichbar und brauchen ein Token.

Eine Schwachstelle melden

Bitte schreiben Sie an noreply@ucagg.de (Betreff "Security"), auf Deutsch oder Englisch. Geben Sie uns angemessen Zeit, das Problem zu beheben, bevor Sie es veröffentlichen; wir bestätigen den Eingang und halten Sie auf dem Laufenden. Unsere security.txt nennt denselben Kontakt.

Unterauftragsverarbeiter und weitere Empfänger

Stand: 23. Oktober 2026