Funktionen
Plattformen
Anwendungsfälle
Pläne
Vergleichen
PartnerKontakt
AnmeldenLoslegen
Technical Documentation

Security & Encryption
Whitepaper

Umfassende technische Dokumentation zu OnRavens Sicherheitsarchitektur, Verschlüsselung, Audit-Logging und zur Ausrichtung an gängige Sicherheits- und Datenschutzrahmen. Zuletzt aktualisiert: März 2026.

Table of Contents

1. Overview2. Encryption Architecture3. Data Protection4. Audit Logging5. Access Control6. Compliance & Bereitschaft

1. Security Overview

OnRaven is built with security at its core. Our platform implements enterprise-grade security measures to protect your customer conversations and business data at every layer of our infrastructure.

Core Security Principles

  • Defense in Depth: Multiple layers of security controls throughout the stack
  • Encryption at Rest & in Transit: All data encrypted using industry-standard algorithms
  • Comprehensive Audit Logging: Every data access is logged for security monitoring
  • Zero Trust Architecture: Strict access controls and verification at every layer
  • Rahmen-Ausrichtung: Technische und operative Bereitschaft wird anhand gemappter Kontrollthemen (u. a. DSGVO, CCPA, PIPEDA, SOC 2) verfolgt—kein Ersatz für Ihre eigenen Bewertungen oder eine formale Zertifizierung.

2. Encryption Architecture

2.1 Message Encryption at Rest

All conversation messages are encrypted at the database level using AES-256-GCM (Advanced Encryption Standard with Galois/Counter Mode), providing both confidentiality and authenticity.

Encryption Specifications

  • Algorithm: AES-256-GCM
  • Key Length: 256 bits (32 bytes)
  • IV Length: 128 bits (16 bytes, randomly generated per encryption)
  • Authentication Tag: 128 bits (16 bytes)
  • Key Derivation: PBKDF2 with SHA-256 (100,000 iterations)

2.2 Encryption Process Flow

Step 1: Key Derivation

Master encryption key is derived from a secure secret using PBKDF2 with 100,000 iterations and a fixed salt.

Step 2: Message Encryption

Each message array is serialized to JSON and encrypted using AES-256-GCM with a randomly generated IV.

Step 3: Storage Format

Encrypted data is stored as Base64-encoded string containing: [IV + AuthTag + Ciphertext]

Step 4: Retrieval & Decryption

Upon retrieval, the service automatically decrypts messages before returning them to the application layer.

2.3 Transport Layer Security

All data in transit is protected using TLS 1.3 with strong cipher suites:

  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
  • Perfect Forward Secrecy (PFS) enabled
  • HSTS (HTTP Strict Transport Security) enforced

2.4 Key Management

Encryption keys are managed securely:

  • Master keys stored in environment variables (not in code or database)
  • Keys are never logged or exposed in API responses
  • Future roadmap includes AWS KMS integration for enhanced key rotation
  • Per-tenant encryption keys available for enterprise customers

3. Data Protection

3.1 Database Security

  • Encrypted Connections: All database connections use SSL/TLS encryption
  • Network Isolation: Database servers run in private VPC subnets with no public access
  • Automated Backups: Daily encrypted backups with 30-day retention
  • Point-in-Time Recovery: PITR enabled for disaster recovery

3.2 Data Classification

🔴 Highly Sensitive

Customer messages, PII, payment data

Protection: Encrypted at rest + transit, strict access controls, comprehensive audit logs

🟠 Sensitive

API keys, authentication tokens, campaign data

Protection: Encrypted at rest, hashed when possible, limited access

🟡 Internal

User preferences, settings, non-PII metadata

Protection: Role-based access, tenant isolation

🟢 Public

Documentation, marketing materials

Protection: Standard web security practices

3.3 Data Retention & Deletion

We implement strict data retention policies to comply with privacy regulations:

  • Active Data: Retained while account is active and customer has valid subscription
  • Closed Conversations: Retained per customer settings (default: 2 years)
  • Account Deletion: All data permanently deleted within 30 days of account closure
  • Backup Retention: Encrypted backups retained for 30 days, then permanently deleted
  • Right to Deletion: GDPR Article 17 "Right to be Forgotten" fully supported

4. Comprehensive Audit Logging

Every access to sensitive data is logged for security monitoring, compliance, and incident investigation.

4.1 What We Log

Authentication Events

Sign-in attempts (success & failure), Password changes, MFA events, Session creation/termination

Data Access

Message viewing/retrieval, Conversation access, Customer data exports, Admin panel access

Administrative Actions

User role changes, Settings modifications, Integration changes, API key generation/revocation

Data Modifications

Conversation deletions, Account closures, Data exports, GDPR deletion requests

4.2 Audit Log Structure

Each audit log entry contains:

{
  "timestamp": "2026-02-05T10:30:00Z",
  "userId": "uuid",
  "domainId": "tenant-uuid",
  "activityType": "message.access",
  "ipAddress": "192.168.1.1",
  "userAgent": "Mozilla/5.0...",
  "customFields": {
    "conversationId": "conv-uuid",
    "messageCount": 25,
    "action": "view"
  }
}

4.3 Audit Log Retention & Access

  • Audit logs retained for minimum 2 years (configurable per customer requirements)
  • Logs stored in immutable format to prevent tampering
  • Available for customer review via admin dashboard
  • Exportable for external SIEM integration (enterprise customers)
  • Real-time alerting for suspicious activity patterns

5. Access Control & Authentication

5.1 Role-Based Access Control (RBAC)

OnRaven implements granular RBAC with hierarchical permission levels ensuring team members only access what they need. Our system includes platform-level and tenant-level permissions with fine-grained control over features like user management, campaigns, integrations, and customer data access.

5.2 Authentication Mechanisms

  • JWT-based Authentication: Stateless tokens with 24-hour expiration
  • Magic Link Login: Passwordless authentication with single-use tokens (15-minute expiry)
  • Password Security: Bcrypt hashing with proper salt rounds
  • MFA Support: Multi-factor authentication available for enterprise customers
  • API Key Authentication: Encrypted API keys with usage tracking and revocation

5.3 Multi-Tenancy & Data Isolation

Every query includes domain/tenant filtering to ensure complete data isolation:

  • Database queries automatically filtered by domain_id
  • Row-level security prevents cross-tenant data access
  • Separate encryption keys available per tenant (enterprise)
  • Network-level isolation via VPC peering for large customers

6. Compliance, Bereitschaft & Rahmenwerke

Wir überwachen kontinuierlich Code, Cloud und Bereitstellungspipelines gegen gängige Sicherheits- und Datenschutzrahmen (u. a. mit Aikido Security).

6.1 Überwachte Rahmenwerke

PCI DSS Stufe 1

Über Stripe

Karteninhaberdaten verarbeitet Stripe; wir überwachen weiterhin Plattform- und Infrastrukturkontrollen für eine sichere Zahlungsumgebung.

DSGVO

Bereit

Verschlüsselung, Zugriffsverwaltung, Protokollierung und Verarbeitungsschutz werden gegen DSGVO-orientierte Themen überwacht. Bereitschaft ist technisch und operativ—keine behördliche Abnahme.

CCPA

Bereit

Datenzugriff, Löschung und Sicherheit der Verarbeitung werden in der Produktpolitik adressiert und in Infrastruktur- und Anwendungskontrollen überwacht.

PIPEDA

Bereit

Als kanadisches Unternehmen richten wir faire Informations- und Sicherheitsanforderungen an überwachte technische Kontrollen aus.

SOC 2

Bereit

Trust-Services-Kriterien (Sicherheit, Verfügbarkeit, Vertraulichkeit) werden über Cloud, Änderungsmanagement, Zugriff und Schwachstellen-SLAs verfolgt. Ein SOC-2-Typ-II-Bericht ist eine separate formelle Attestierung.

HIPAA

Bereit

Technische Schutzmaßnahmen wie Verschlüsselung, Zugriffskontrolle, Audit-Logging und Backups werden an HIPAA-orientierten Checklisten überwacht. Unternehmenskunden mit BAA-Bedarf kontaktieren uns bitte.

ISO 27001:2022

Bereit

Anhang-A-artige Bereiche—Zugriff, Kryptographie, Logging, Backups, Schwachstellenmanagement und sichere Entwicklung—sind in der kontinuierlichen Überwachung enthalten. ISO-27001-Zertifizierung erfordert ein akkreditiertes Audit.

OWASP Top 10

Bereit

Anwendungs- und Cloud-Prüfungen adressieren u. a. fehlerhafte Zugriffskontrolle, Injection, kryptographische Fehler, SSRF, Logging und verwandte OWASP-Risiken.

NIST SP 800-53

Bereit

Sicherheits- und Datenschutz-Kontrollfamilien für unsere SaaS-Landschaft werden wo zutreffend überwacht—kein FedRAMP-Paket oder behördliches ATO.

CIS Controls & AWS Benchmark

Bereit

CIS Controls v8.1 und Erwartungen des CIS AWS Foundations Benchmark fließen in laufende Konfigurations- und Hygieneüberwachung ein.

NIS2 (EU)

Bereit

IKT-Risikomanagement, Vorfallbearbeitung, Lieferkette und Resilienz werden an NIS2-ausgerichteten Anforderungen überwacht.

DORA (EU)

Bereit

Operative Resilienz—Erkennung, Reaktion, Backup und Governance—wird an DORA-ausgerichteten IKT-Risikothemen überwacht.

UK Cyber Essentials

Bereit

Kernkontrollen für Perimeterschutz, sichere Konfiguration, Zugriff, Malwareschutz und Patches werden an Cyber-Essentials-ähnlichen Kriterien überwacht.

HITRUST CSF

Bereit

Gesundheitsdaten-orientierte Kontrollthemen werden mit hoher Abdeckung in unserem Sicherheitsprogramm überwacht. Dies ist keine HITRUST-Zertifizierung.

Aikido Security Audit Report

6.2 Formelle Attestierungen vs. operative Bereitschaft

Die folgenden Punkte erfordern typischerweise separate Programme, Verträge oder unabhängige Prüfung jenseits des Monitorings gemappter Kontrollen:

  • SOC 2 Typ II: unabhängiger Prüferbericht über einen definierten Zeitraum—getrennt vom kontinuierlichen Kontrollmonitoring.
  • ISO 27001: formelle Zertifizierung erfordert ein Audit durch eine akkreditierte Zertifizierungsstelle.
  • HIPAA für relevante Verarbeitungen: Unternehmenskunden mit BAA-Bedarf sollten uns zur Einordnung kontaktieren.
  • Kundenspezifische Penetrationstests und formelle Reports können unter NDA verfügbar sein, soweit angemessen.

6.3 Betroffenenrechte nach DSGVO

We fully support all GDPR data subject rights:

  • Right to Access (Article 15): Export all personal data via settings panel
  • Right to Rectification (Article 16): Update profile and data through dashboard
  • Right to Erasure (Article 17): Delete account and all associated data
  • Right to Data Portability (Article 20): Export data in machine-readable format
  • Right to Object (Article 21): Opt out of data processing activities

Questions About Our Security?

Our security team is available to answer technical questions, provide additional documentation, or discuss custom security requirements for enterprise deployments.

Contact Security TeamBack to Security Overview