veinito.
PLENDE
Menü
Kontakt

So geht die veinito.-Gruppe mit Sicherheit um

ClassKasa, CzynszOK, Kasandro und diese Seite sind eine Gruppe, und sie verbinden sich auf dieselbe Weise mit deiner Bank. Wir schreiben hier nur, was wir belegen können: Jeder Satz lässt sich auf den Code einer App oder die eigene Seite eines Anbieters zurückführen.

Stand

Du meldest dich bei deiner Bank an, nicht bei uns

Wenn du ein Konto verbindest, gehst du zu deiner eigenen Bank und meldest dich dort mit deinen üblichen Zugangsdaten an. Die Verbindung stellt Enable Banking Oy her, ein lizenzierter Anbieter von Kontoinformationsdiensten (AIS) unter Aufsicht der finnischen FIN-FSA. Dein Bankpasswort sehen weder die Apps der Gruppe noch wir.

  • Nur Lesezugriff. Die Apps der Gruppe nutzen ausschließlich den Kontoinformationsdienst (AIS): Die Apps können keine Zahlung auslösen und nichts an deinem Konto ändern.
  • Die Zustimmung bestätigst du bei deiner Bank. Die Bank legt fest, wie lange sie gilt; läuft sie ab, erneuerst du sie.
  • Du kannst die Zustimmung jederzeit widerrufen, bei deiner Bank. Was in der jeweiligen App genau passiert, steht unten.

So läuft es in jeder App

ClassKasa
Die Verbindung des Klassenkontos ist eine Premium-Funktion. Der Kassenwart schaltet sie ein, und nur der Kassenwart kann sie mit einer Schaltfläche trennen: „Bank trennen“. Der Verlauf der Überweisungen bleibt; der Kassenwart kann ihn danach samt gespeicherter Zustimmung löschen. ClassKasa bittet um 90 Tage Zustimmung; das tatsächliche Ablaufdatum liefert die Bank über Enable Banking.
CzynszOK
Es ist ein einmaliges Auslesen ohne dauerhaften Zugriff auf das Konto: Wir lesen dein Bankkonto aus, wenn ein Zertifikat ausgestellt wird. Die Rohdaten der Bank löschen wir im selben Vorgang, der das Ergebnis speichert, noch bevor du die Ergebnisseite siehst. Bei einem gemeinsamen Zertifikat bewahren wir die verschlüsselten Daten, die für die Berechnung nötig sind, höchstens 72 Stunden auf, wie es die Datenschutzerklärung beschreibt. Die Zustimmung zum Auslesen kannst du jederzeit widerrufen.
Kasandro
Kasandro hat den Status „Demnächst“. Seine Seite beschreibt dieselben Regeln: nur Lesezugriff, Anmeldung bei der Bank, Zustimmung bei der Bank widerrufbar und ein Fingertipp, der alle Daten löscht.

Die Vertrauenskette: auf wen wir uns verlassen

Wir nutzen Anbieter, die selbst veröffentlichen, wie sie mit Sicherheit umgehen. Unten steht, was jeder über sich schreibt, mit Link zur Quelle. Das sind die Zertifikate und Berichte dieser Unternehmen, nicht unsere.

  • Enable Banking Oy, die Bankverbindung. Ein registrierter AIS-Anbieter unter Aufsicht der FIN-FSA, geführt im EBA-Register. Er veröffentlicht seine Informationssicherheitsrichtlinie und schreibt dort, dass sein Informationssicherheits-Managementsystem die Norm ISO/IEC 27001:2022 anwendet. Seite des Anbieters ↗
  • Netlify, Hosting aller Apps der Gruppe und dieser Seite. Auf der Sicherheitsseite nennt Netlify einen SOC-2-Type-2-Bericht und ein ISO-27001-Zertifikat. Seite des Anbieters ↗
  • Neon, die Postgres-Datenbank der Apps. Auf der Compliance-Seite nennt Neon SOC-2-Berichte (Type 1 und Type 2) sowie ISO 27001 und ISO 27701. Seite des Anbieters ↗
  • Stripe, Zahlungen in ClassKasa und CzynszOK. Schreibt, dass es nach PCI Service Provider Level 1 zertifiziert ist und dass jedes Jahr SOC-1- und SOC-2-Type-II-Berichte entstehen. Seite des Anbieters ↗

Was wir selbst tun

Nur, was sich in den Repositories prüfen lässt. Ein Scan, der etwas Neues findet, lässt den Build fehlschlagen, und eine Änderung wird erst bei grünem Ergebnis zusammengeführt. Wo wir „bei jedem Pull Request“ schreiben, sind Pull Requests mit Codeänderung gemeint; reine Dokumentations- und Inhaltsänderungen nehmen einen verkürzten Weg. Technische Details, die einem Angreifer helfen würden, lassen wir auf dieser Seite weg.

ClassKasa Live

  • Bei jedem Pull Request lassen diese Prüfungen den Build bei neuen Funden fehlschlagen: statische Analyse (Semgrep, Stufe ERROR), Abhängigkeitsprüfungen (npm audit, Stufe kritisch; OSV-Scanner), die Suche nach Geheimnissen (Secrets) im Repository (gitleaks, TruffleHog) und ein passiver Scan der laufenden App mit OWASP ZAP (Baseline).
  • API-Endpunkte sind in einer Berechtigungsmatrix erfasst (die CI prüft das), und Tests prüfen, dass eine Klasse nicht auf die Daten einer anderen Klasse zugreifen kann.
  • HTTP-Sicherheitsheader, darunter HSTS, sind in der Konfiguration der App gesetzt.

CzynszOK Beta

  • Bei jedem Pull Request lassen diese Prüfungen den Build bei neuen Funden fehlschlagen: statische Analyse (Semgrep, Stufe ERROR), Abhängigkeitsprüfungen (npm audit, Stufe kritisch; OSV-Scanner), die Suche nach Geheimnissen (Secrets) im Repository (gitleaks, TruffleHog) und ein passiver ZAP-Scan (Baseline) der Seiten, die ohne Anmeldung erreichbar sind.
  • Ein Bedrohungsmodell vom 6. Oktober 2026 (Datenflussdiagramm, STRIDE, LINDDUN; Status „vorgeschlagen“) und eine Berechtigungsmatrix liegen im Repository.
  • HTTP-Sicherheitsheader (CSP, HSTS, kein Einbetten in Frames) sind im Code der App gesetzt.

Kasandro Demnächst

  • Bei jedem Pull Request lassen diese Prüfungen den Build bei neuen Funden fehlschlagen: statische Analyse (Semgrep, Stufe ERROR), Abhängigkeitsprüfungen (npm audit, Stufe kritisch; OSV-Scanner, der bei jeder Änderung der Abhängigkeiten, auf main und jede Woche läuft), die Suche nach Geheimnissen (Secrets) im Repository (gitleaks, TruffleHog) und ein passiver ZAP-Scan (Baseline) der gebauten Seite (Marketing, Blog und Rechtsseiten; den Ablauf mit der Bank gibt es noch nicht).
  • Ein Bedrohungsmodell vom 10. Oktober 2026 beschreibt das System, wie es entworfen ist. Sein Status ist „vorgeschlagen“, weil das Produkt noch nicht live ist.
  • HTTP-Sicherheitsheader (CSP, HSTS, kein Einbetten in Frames) sind im Code der App gesetzt.

veinito.com

  • Diese Seite ist statisch: ohne Datenbank und ohne Skripte von Dritten. Ein CI-Test lässt den Build bei neuen Funden fehlschlagen, auch bei einem Skript von Dritten. Die Seite läuft mit strenger CSP und HSTS.

In ClassKasa, CzynszOK und Kasandro öffnet Dependabot jede Woche gruppierte Pull Requests mit Abhängigkeits-Updates. Jeder durchläuft dieselbe CI, die den Build fehlschlagen lässt. In CzynszOK und Kasandro führt ein Mensch sie zusammen. In ClassKasa werden Patch-Updates und Updates aus Sicherheitswarnungen erst nach bestandenen vorgeschriebenen Prüfungen automatisch zusammengeführt, größere Updates (Major) warten immer auf einen Menschen. Eine wöchentliche Routine fasst die offenen Pull Requests zu einem zusammen und bearbeitet ihn, bis die vorgeschriebenen Prüfungen bestehen.

Eine Lücke gefunden? Schreib uns

Die Adresse für Meldungen steht in der security.txt dieser Seite: hello@veinito.com. Schreib, was du gefunden hast und wie man es nachstellt.

Jede App hat eine eigene security.txt (Links unten). Bitte teste nicht an fremden Daten: Eine Beschreibung der Schritte zum Nachstellen genügt völlig.

Sicherheitstests: der Stand heute

Ein passiver OWASP-ZAP-Scan (Baseline) läuft bei jedem Pull Request in ClassKasa, CzynszOK und Kasandro und lässt den Build bei neuen Funden fehlschlagen. Der Scan meldet sich nicht an, deckt also Bereiche hinter der Anmeldung nicht ab. Was ZAP ist und was es prüft, erklärt ein eigener Artikel.

ClassKasa: Am 29. Mai 2026 (Version 3.27.0) wurden die Korrekturen aus einer autorisierten Penetrationstest-Runde eingespielt. Der Inhaber führte sie mit Claude Code und dem Open-Source-Werkzeugsatz pentest-ai-agents durch (Katalogseite): 8 Korrekturen, davon 3 mit hoher Schwere (Rollenprüfung auf dem Server, Bereinigung von Chat-Inhalten, Begrenzung der Beträge im Zahlungsabgleich). Am selben Tag (3.27.1) wurden alle Angriffe wiederholt: Die Korrekturen hielten, und 3 verwandte Schwachstellen derselben Klassen wurden gefunden und geschlossen, jede mit einem Regressionstest, der zuerst rot und dann grün war. Das gilt nur für ClassKasa, und der ganze Ablauf steht in einem eigenen Artikel.

Die Gruppe hat kein ISO-27001-Zertifikat und keinen SOC-2-Bericht. Die Zertifikate der oben genannten Anbieter gehören ihnen, nicht uns.

Die Sicherheitsseiten der Apps

Jede App beschreibt Sicherheit in ihren eigenen Worten, weil jede etwas anderes mit deinen Daten macht.