Charta Sicherheit.

01Leitgrundsätze

Neolia betreibt eine Infrastruktur, die heikle Bereiche des Wohnens berührt: wer die Tür öffnet, wer an der Gegensprechanlage klingelt, wie Energie verbraucht wird. Wir behandeln Sicherheit als Eigenschaft des Produkts, nicht als nachträglich aufgesetzte Konformitätsschicht. Vier Grundsätze leiten unsere Entscheidungen:

• Geprüft statt behauptet: Jede hier beschriebene Massnahme entspricht einer Kontrolle, die wir auf unseren Servern erneut ausführen und deren Ergebnis wir zeigen können. Wir kündigen keine Vorkehrung an, die wir nicht belegen könnten.
• Kleinstmögliche Angriffsfläche: aus dem Internet ist nichts erreichbar, was es nicht sein muss. Datenbanken, Zwischenspeicher und Verwaltungsoberflächen weisen jede Verbindung von aussen ab: in der Produktion antworten sie nur im privaten Netz, das unsere drei Maschinen verbindet; in Entwicklung und Vorproduktion, wo es kein privates Netz gibt, schliesst sie die Firewall jeder Maschine. Die Prüfung lässt sich wiederholen, indem man von irgendwo eine Verbindung öffnet: sie wird abgewiesen.
• Geringste Rechte, überall: Menschen, Dienste und Geräte verfügen nur über das, was ihre Rolle verlangt.
• Beherrschtes Hosting: Die Datenbank steht in der Schweiz, die Betriebsserver stehen in Deutschland, in der Europäischen Union, mit einer verschlüsselten Sicherungskopie der Schweizer Datenbank. Beide Rechtsordnungen bieten ein anerkannt gleichwertiges Schutzniveau (revDSG, DSGVO). Wir sagen es lieber vollständig: Einzelne Anbieter sind US‑Unternehmen, für den Versand der E-Mails, die Benachrichtigungen auf Ihrem Telefon, die Zahlungen und das rechnergestützte Lesen der abgelegten Dokumente. Sie werden einzeln in Anhang 2 des Auftragsbearbeitungsvertrags genannt.

Dieses Dokument deckt die Betriebsinfrastruktur, die mobilen Apps und den Bereitstellungszyklus ab. Es ersetzt keine Sicherheitsprüfung durch Dritte, die wir noch nicht haben durchführen lassen. Bis heute hat kein externer Penetrationstest, kein Zertifizierungsaudit und kein Bug-Bounty-Programm stattgefunden: Die erste Prüfung, die wir beauftragen, wird hier mit ihrem Datum angekündigt.

02Hosting und Standort

Die Datenbank liegt in der Schweiz, in der Region Zürich. Die Betriebsserver stehen in Deutschland, in der Europäischen Union. Dort wird jede Nacht eine verschlüsselte Sicherungskopie der Schweizer Datenbank erstellt und 14 Tage aufbewahrt. Anwendungsdaten und Infrastruktur ruhen somit auf zwei verschiedenen Anbietern, und jede Umgebung hat ihre eigenen Maschinen. Wir sagen es lieber ganz: diese fünf Maschinen stehen im gleichen Rechenzentrum, in Nürnberg. Sie schützen vor dem Ausfall einer Maschine, nicht vor dem Ausfall eines Gebäudes.

Datenbank, Anmeldung, hinterlegte Dokumente und unterzeichnete Partnerverträge

Supabase, Region Zürich (Schweiz)

Betriebsserver (Produktion, Entwicklung und Test)

Hetzner Online GmbH, Rechenzentrum Nürnberg, Deutschland (Europäische Union). Dort laufen die Vermittlung der Gegensprechanrufe mit ihrem Ton und Bild (nicht aufgezeichnet), die Telefonkonten der Wohnungen, die Aufnahme der Türstation, die Zählerablesungen und das Funknetz der Zähler, die Token für Benachrichtigungen an die Telefone, die Konten und Fotos der Installateure, die technischen Protokolle und eine verschlüsselte Sicherungskopie der Schweizer Datenbank, die jede Nacht erstellt und 14 Tage aufbewahrt wird

Website, Formulare und Verkaufsnachverfolgung

Cloudflare (weltweites Verteilnetz, europäische Standorte). Dort werden die Verkaufsnachverfolgung und die Anhänge der Partner-Nachrichten aufbewahrt, in einem Speicher ohne festgelegte Region. Die unterzeichneten Partnerverträge liegen seit dem 24. September 2026 in Zürich

Unterstütztes Lesen, Assistent der Plattform und Korrekturlesen der Diktate

Anthropic, USA. Ein Mietvertrag, eine Rechnung, ein Bankauszug, das Foto eines Zählers oder eine in der Plattform ausgetauschte Nachricht wird dorthin gesendet, um gelesen zu werden. Der Assistent der Suchleiste sendet die gestellte Frage, eine zahlenmässige Übersicht über den Bestand der Verwaltung und die Suchergebnisse. Das Korrekturlesen eines Diktats sendet den transkribierten Text und die Liste der Namen der Liegenschaften, Strassen, Ortschaften und Handwerker der Verwaltung, nie die Stimme. Die Übermittlungen sind durch die Vereinbarung über die Datenverarbeitung von Anthropic, Bestandteil seiner kommerziellen Bedingungen, und durch die an das Schweizer Recht angepassten Standardvertragsklauseln abgedeckt

Online-Terminbuchung

Cal.com, europäische Instanz cal.eu, Daten in der Europäischen Union gespeichert. Der Anbieter schliesst diese Instanz am 1^. November 2026; was wir danach einsetzen, steht vor diesem Datum hier

Rechenzentren

Eines von drei Zertifikaten liegt bei uns, und wir sagen lieber, welches. Jenes von Hetzner, dem Betreiber unserer Server, ist in unserem Besitz: ISO/IEC 27001:2022, Nr. ZN‑2025‑35, ausgestellt von SOCOTEC Certification Deutschland, gültig bis 26. September 2028. Unsere fünf Maschinen sind durch eine Messung dem Standort zugeordnet, den es abdeckt, Nürnberg. Supabase und Cloudflare erklären dieselbe Zertifizierung öffentlich, geben ihre Nachweise aber nur in ihren Unternehmensangeboten heraus: Wir besitzen sie daher nicht und stellen sie nicht als gesichert dar. Das ist keine Frage der Zeit, sondern des Abonnements. In jedem Fall ist diese Zertifizierung jene des Rechenzentrumsbetreibers, nie jene von Neolia: Neolia ist nach keinem Standard zertifiziert

Standort der identifizierenden Daten

Schweiz für die Datenbank; Deutschland für den technischen Betrieb und für die verschlüsselte Sicherungskopie der Datenbank; Vereinigte Staaten für die in Anhang 2 des Auftragsbearbeitungsvertrags aufgeführten Anbieter, einschliesslich E-Mail-Versand, Mitteilungen und rechnergestützter Auswertung der Dokumente

Ausser dem Terminkalender auf /demo, der in seinem eigenen Rahmen läuft, lädt die Seite, die Sie lesen, keine Ressource von Dritten: keine Schrift, keine Animationsbibliothek, keine Reichweitenmessung. Alles wird von der Domain der Seite ausgeliefert, sodass Ihre IP-Adresse niemandem ausser dem Hoster der Website bekannt wird.

03Verschlüsselung

Wir verschlüsseln die Festplatten unserer Betriebsserver nicht. Eine Festplattenverschlüsselung schützt vor dem Diebstahl einer Maschine im Rechenzentrum, nicht vor einem Zugriff über das Netz; wir schreiben es lieber hin, als das Gegenteil glauben zu lassen.

04Serverzugang

Die folgenden Kontrollen gelten für sämtliche unserer Server und werden stündlich automatisch nachgeprüft.

• Anmeldung ausschliesslich per Schlüssel: Die Passwort-Authentifizierung ist deaktiviert, das Systemadministrator-Konto kann sich nicht aus der Ferne anmelden, und leere Passwörter werden abgelehnt.
• Höchstens drei Anmeldeversuche, danach werden hartnäckige Adressen automatisch gesperrt.
• Zwei unabhängige Firewalls, eine beim Hoster und eine auf jedem Server, standardmässig geschlossen: Jede Maschine gibt nur frei, was ihre Rolle verlangt.
• Datenbanken, Caches und Verwaltungsoberflächen sind aus dem Internet nicht erreichbar, sondern nur über das private Netz.
• Überprüfung der zugelassenen Schlüssel: Jeder vorhandene Schlüssel gehört zu einer Person oder zu einer identifizierten Komponente, und ein unbekannter Schlüssel löst einen Alarm aus.
• Kein Geheimnis in einer für alle lesbaren Datei und keines in einer Befehlszeile, wo es für jeden Benutzer der Maschine sichtbar wäre.
• Prüfprotokoll ausserhalb der Datenbank geführt, die es erzeugt, damit ein Zugriff auf diese Datenbank nicht die Spur dessen löschen kann, was darin geschehen ist.

Aufseiten Kunde und Bewohner

• Getrennte Profile je nach Rolle, jedes Konto sieht nur die Liegenschaften, die es betreffen.
• Die Anmeldedaten für Anrufe und das Sitzungs-Token liegen im verschlüsselten Speicher des Telefons und sind von Cloud-Sicherungen ausgenommen, sodass eine auf einem anderen Gerät wiederhergestellte Sicherung keinen Zugang zur Gegensprechanlage gibt.

05Überwachung und automatische Reaktion

Unsere Server werden laufend von vier unabhängigen Schleifen überwacht, die selbst beheben, was sie beheben können, und für alles Übrige Alarm schlagen.

Zwei Leitplanken begrenzen diese automatischen Reparaturen. Sie sind auf drei Versuche pro Problem und Tag beschränkt, danach wird die Maschine eingefroren und ein Mensch alarmiert, mit täglicher Erinnerung, solange das Problem besteht. Und alles, was den Fernzugang betrifft, eine wieder aktivierte Passwort-Anmeldung oder ein neuer öffentlicher Port, wird nie automatisch korrigiert, sondern gemeldet: Eine misslungene Korrektur am Fernzugang würde die Reparatur in einen Ausfall verwandeln.

06Entwicklung und Auslieferung

• Infrastruktur als Code, versioniert: Firewalls, Serverkonfiguration und Auslieferungen sind überprüfte und historisierte Dateien, keine Handgriffe.
• Geprüfte Auslieferung sensibler Konfigurationen: Gültigkeitsprüfung vor der Anwendung, Sicherung des vorherigen Zustands, Funktionstest nach dem Neustart und automatische Rückkehr zum alten Stand, wenn der Test fehlschlägt.
• Inbetriebnahme in Stufen: Eine Änderung läuft zuerst in der Testumgebung, und die Produktion verweigert eine Inbetriebnahme, die nicht bereits im Test lief.
• Keine Produktionsdaten auf einem Arbeitsplatzrechner und keine Geheimnisse im Code-Repository.

07Sicherungen und Updates

• Tägliche Sicherungen der Datenbank und der Betriebsserver, mit Rotation, verschlüsselt, bevor sie die erzeugende Maschine verlassen. Eine Replikation zwischen zwei Regionen der Schweiz gibt es nicht, und wir nennen weder ein beziffertes Wiederherstellungsziel noch einen maximalen Datenverlust, solange keine Wiederherstellungsübung sie belegt hat.
• Sicherheitsupdates werden automatisch eingespielt, auf sämtlichen Servern.
• Kontrollierte Neustarts: Verlangt ein Update einen Neustart, starten die Server einzeln neu, nie gemeinsam, und der Vorgang wird aufgeschoben, solange ein Gegensprech-Anruf läuft.

08Umgang mit Vorfällen

Wir behandeln einen Vorfall immer in derselben Reihenfolge: erkennen, eindämmen, beheben, wiederherstellen, verstehen. Jeder Vorfall wird schriftlich analysiert, und überschreitet die Auswirkung einen Einzelfall, erhalten die betroffenen Personen eine Zusammenfassung.

Meldung

• Kunden (Verwaltungen): Benachrichtigung, sobald der Vorfall bestätigt ist, per E-Mail an das technische Konto.
• Betroffene Personen: Ist das Risiko hoch, informieren wir jede Person einzeln und geben ihr konkrete Empfehlungen.
• EDÖB / Behörden: Meldung innert der Fristen von Art. 24 nLPD und Art. 33 RGPD.

09Verantwortungsvolle Offenlegung

Haben Sie eine Schwachstelle in unseren Diensten gefunden? Melden Sie sie uns bitte koordiniert, wir danken Ihnen dafür.

Spielregeln

• Testkonten: Auf Anfrage an contact@neolia.ch eröffnen wir Ihnen einen Testbereich in unserer Vorproduktionsumgebung, staging.manager.neolia.ch. Er umfasst eine fiktive Verwaltung, zwei Konten (eine Geschäftsleitung und einen auf eine Liegenschaft beschränkten Mitarbeiter) und zwei fiktive Liegenschaften, ohne jegliche Kundendaten. Die Konten schliessen sich nach 30 Tagen von selbst. Arbeiten Sie mit diesen Konten statt in der Produktion.
• Auf dieselbe Anfrage hin eröffnen wir in der Vorproduktion auch ein fiktives Installationsunternehmen auf Neolia Pro und zwei fiktive Wohnungen, deren Zugangsdaten das Webportal für Bewohner öffnen. Diese Konten schliessen sich nach 30 Tagen von selbst.
• Keine Angriffe auf echte Daten: Nutzen Sie kein Konto eines Bewohners, einer Verwaltung oder eines Elektrikers, das nicht Ihr eigenes ist, und hören Sie auf, sobald die Schwachstelle belegt ist.
• Kein DoS, kein Social Engineering gegen unsere Mitarbeitenden oder Partner.
• Keine öffentliche Bekanntgabe vor der Korrektur oder vor 90 Tagen, ausser die Lücke wird aktiv ausgenutzt.