---
title: "Sicherheit bei OXOM"
description: "Wie OXOM Workspaces trennt, Daten schützt und mit Sicherheitsmeldungen umgeht. Maßnahmen, Dienstleister und Meldeweg."
canonical: https://oxom.de/security
last-updated: 2026-10-10
---

# Sicherheit bei OXOM

> Wie OXOM Workspaces trennt, Daten schützt und mit Sicherheitsmeldungen umgeht. Maßnahmen, Dienstleister und Meldeweg.

Canonical HTML: https://oxom.de/security
## Das Wichtigste
- **Getrennte Workspaces** — jede Datenabfrage ist im Code an genau einen Workspace gebunden; Row-Level Security in der Datenbank sichert als zweite Ebene ab.
- **Verschlüsselung** — TLS bei jeder Verbindung, Verschlüsselung im Ruhezustand bei den Anbietern; Zugangsdaten für Integrationen verschlüsselt OXOM zusätzlich selbst mit AES-256-GCM.
- **Anmeldung und Rollen** — Anmeldung über Clerk, Rechte über Rollen pro Workspace; Agents verbinden sich per OAuth 2.0 mit PKCE, Mitgliedschaft und Rolle werden bei jedem Aufruf neu geprüft.
- **Audit-Logs** — wichtige Aktionen an Mitgliedern, Domains, Dateien, Angeboten und durch den Agent werden protokolliert und ein Jahr aufbewahrt.
- **Missbrauchsschutz** — Rate Limits (über Upstash) für anfällige Endpunkte; IP-Adressen werden dafür nur als täglich wechselnder Hashwert gespeichert.
- **In Arbeit** — die Content Security Policy läuft noch im Report-Only-Modus; eine feste Bestätigung vor folgenreichen Agent-Aktionen ist in Arbeit.

## KI-Agent
Kann die Konfiguration eines Workspaces nicht geladen werden, bekommt der Agent nur lesende Werkzeuge. Jede Aktion mit Wirkung nach außen landet im Audit-Log, und eigene MCP-Server werden gegen Zugriffe auf interne Adressen (SSRF) geprüft. Der Agent nutzt Claude von Anthropic über die API; Anthropic verwendet API-Daten standardmäßig nicht zum Training.

## Dienstleister
Externe Anbieter im laufenden Betrieb, unter anderem: Vercel (Hosting), Supabase (Datenbank), Clerk (Anmeldung), Cloudflare (Dateispeicher R2, in der EU), Stripe (Zahlungen), Anthropic (KI-Agent), Liveblocks (Docs), Upstash (Rate Limiting), Resend (E-Mail), Sentry (Fehleranalyse) und Railway (Bots). Integrationen wie Twitch oder Buffer kommen nur ins Spiel, wenn ein Workspace sie verbindet. Die vollständige Liste steht auf https://oxom.de/security

## Advisories
- **OXOM-2026-001** (Hoch, gemeldet und behoben am 03.05.2026) — eine interne Datenbankfunktion zum Entschlüsseln gespeicherter API-Zugangsdaten war ohne Anmeldung über die REST-API erreichbar. Der Zugriff ist seitdem auf den Server beschränkt; Hinweise auf unbefugte Zugriffe gab es keine.

## Lücke melden
Meldungen an security@oxom.de — hilfreich sind die betroffene Adresse, die Schritte zum Nachstellen und die mögliche Auswirkung. Erstbestätigung innerhalb von 72 Stunden; Behebung nach Schweregrad (kritisch: erste Gegenmaßnahme in 72 Stunden, hoch: 7 Tage, mittel: 30 Tage, niedrig: 90 Tage). Wer in gutem Glauben testet, legal bleibt und nur so viele Daten ansieht wie nötig, muss keine rechtlichen Schritte fürchten. Es gibt kein bezahltes Bug-Bounty-Programm und aktuell kein Enterprise-SSO (SAML).

Maschinenlesbar: https://oxom.de/.well-known/security.txt

## Weiterlesen
- [Safety — echte OXOM-Kommunikation erkennen](https://oxom.de/safety)
- [Datenschutzerklärung](https://oxom.de/privacy)
- [Kontakt](https://oxom.de/contact)
- [Status](https://status.oxom.de)