Vertrauen und Schutz
Sicherheit bei Lexware-Einzug
Ein Überblick über die technischen und organisatorischen Maßnahmen, mit denen Lexware-Einzug Zugangsdaten, Mandantendaten und Zahlungsvorgänge schützt.
Zugang mit Zwei-Faktor-Authentifizierung
Jeder Benutzeraccount wird zwingend mit einer Zwei-Faktor-Authentifizierung über eine Authenticator-App abgesichert. Für den Fall eines Geräteverlusts stehen Recovery-Codes zur Verfügung, die Sie bei der Einrichtung sicher aufbewahren sollten.
2FA-Pflicht
Keine Anmeldung ohne zweiten Faktor, für jeden Mitarbeiter im Firmenaccount.
Verschlüsselte Speicherung der Schlüssel
Der API-Schlüssel für Lexware Office und der Secret Key für Stripe werden nach der Eingabe serverseitig verschlüsselt gespeichert. Im Klartext werden diese Schlüssel danach nicht mehr angezeigt.
Einmalige Anzeige
Schlüssel werden bei der Eingabe verschlüsselt und anschließend nicht erneut im Klartext ausgegeben.
Mandantentrennung
Die Daten jedes Firmenaccounts, einschließlich Rechnungen, Kunden, IBAN-Daten und Mandaten, sind logisch vom Firmenaccount anderer Nutzer getrennt. Mitarbeiter sehen und bearbeiten ausschließlich Daten des eigenen Firmenaccounts.
Getrennte Firmenaccounts
Jeder Firmenaccount arbeitet isoliert von anderen Kunden von Lexware-Einzug.
Rollen, Protokoll und Sitzungsende
Mitarbeiter erhalten die Rolle Inhaber, Administrator oder Mitarbeiter. Sicherheits- und geldrelevante Aktionen werden protokolliert und lassen sich im Nachhinein nachvollziehen. Wird ein Mitarbeiter aus dem Firmenaccount entfernt, endet dessen Zugriff auf laufende Sitzungen.
Rollenmodell
Inhaber, Administrator und Mitarbeiter mit unterschiedlichen Berechtigungen im selben Account.
Webhook-Signaturprüfung und HTTPS
Statusmeldungen von Stripe zum Einzugsstatus, etwa erfolgreich, fehlgeschlagen oder Rücklastschrift, treffen über einen Webhook-Endpunkt ein und werden signaturgeprüft entgegengenommen. Die gesamte Kommunikation mit Lexware-Einzug läuft verschlüsselt über HTTPS.
Einordnung
Diese Maßnahmen reduzieren typische Risiken bei der Anbindung von Zahlungsdiensten und externen Schnittstellen, sie stellen jedoch keine absolute Sicherheit dar. Wie bei jeder vernetzten Anwendung bleibt ein Restrisiko bestehen, dem Lexware-Einzug mit den beschriebenen technischen und organisatorischen Maßnahmen begegnet.