Vertrauen
Wer ein Kassensystem mietet, gibt Umsätze, Kunden und die eigene Belegkette aus der Hand. Deshalb steht hier, wohin sie gehen — nachprüfbar, nicht als Versprechen.
01 Apropos Ort — wo Ihre Daten liegen
Die Kundenumgebungen laufen in einem deutschen Rechenzentrum (Hetzner Online GmbH, Nürnberg). Kein Datenweg in ein Drittland, kein Umweg über einen Konzern.
Kein gemeinsamer Topf. Eine Rücksicherung trifft einen Betrieb statt aller, die GoBD-Kette bleibt getrennt, und eine gescheiterte Migration legt einen Laden lahm statt dreißig.
Täglich um 23:30, dreißig Tage rollierend, dazu die Jahresausleitung nach DSFinV-K für die zehnjährige Aufbewahrung. Das Sicherungskonzept steht schriftlich.
Der Vertrag gehört zum Abschluss dazu. Keine Weitergabe an Dritte, keine Auswertung Ihrer Daten für uns, keine Werbung.
02 Apropos Zugriff — wer hineinsehen kann
Jede Rolle hat ihre Rechte, und geprüft wird nicht nur die Taste, sondern der Weg dahinter. Gespeichert ist nicht dasselbe wie geprüft.
Kommen wir in Ihre Umgebung, geschieht das über einen eigenen Zugang mit Ablaufdatum — und der Grund landet in Ihrem GoBD-Protokoll. Sie sehen jeden unserer Schritte.
Kasse, Lager und Mobile über einen Gerätenachweis aus der Anmeldung; Self-Checkout, Display und Fremdsysteme über einen Schlüssel, der im Back Office erzeugt wird.
Der Assistent bekommt Frage und Ergebnis — keinen Kundennamen, keine Anschrift, keine Belegnummer. Die CRM-Auswertung sieht Käufe und Vorlieben, nie Name oder Kontakt.
03 Apropos Zugang — wie Anmeldungen geschützt sind
Zehntausend Möglichkeiten rechnet ein Rechner in Millisekunden durch, wenn er die Datenbank hat. Das ist der Grund, warum die Speicherung teuer sein muss.
Der Pfeffer steht in der Konfiguration, nicht in der Datenbank: Wer nur eine Sicherung besitzt, kann ohne ihn überhaupt nichts durchprobieren.
Die heutige Empfehlung, nicht die von 2021.
Die übliche Sperre sitzt am Konto und hilft nicht gegen den umgekehrten Versuch — eine PIN gegen alle Kassierernummern. Deshalb zusätzlich eine Grenze je Herkunft und Minute.
HSTS, nosniff, Rahmenschutz und eine Content-Security-Policy gelten nicht nur für den Webauftritt, sondern für jede Kundenumgebung und das Admin-Center — also dort, wo Anmeldung und Kundendaten liegen. Kamera nur für den Scanner, Mikrofon und Ortung gar nicht.
04 Apropos Prüfung — regelmäßig, vollständig, schriftlich
Quelltext, Schnittstelle und Server werden regelmäßig vollständig durchgesehen — mit schriftlichem Bericht, den Sie im Gespräch einsehen können.
Außer den wenigen, die ausdrücklich für Ihre Kunden gedacht sind — die Buchungsseite, die Speisekarte, die Gutscheinabfrage. Alles andere antwortet ohne Anmeldung mit 401.
Bevor eine Umgebung eine neue Fassung bekommt, wird sie gesichert. Geht etwas schief, ist der vorige Stand einen Schritt entfernt.
Sicherung, Zertifikate, TSE und Dienste werden rund um die Uhr beobachtet. Meldet sich etwas, wissen wir es — meist, bevor Sie es merken.
Cloud-TSE von fiskaly, zertifiziert nach BSI TR-03153 (BSI-K-TR-0717-2025, gültig bis 2033), oder ein EFSTA-EFR im Laden. Die Nummer steht auf dem Beleg, nicht nur im Prospekt.
05 Apropos Meldung — der Weg, wenn Ihnen etwas auffällt
Schreiben Sie an info@hb-concepts.net. Was Sie gesehen haben, wie es sich auslösen lässt, in welcher Fassung — mehr brauchen wir nicht. Wir verfolgen niemanden rechtlich, der in gutem Glauben meldet und uns Zeit zum Beheben lässt.
Unter /.well-known/security.txt — nach RFC 9116, auf dieser Seite und in jeder Installation. Damit findet ihn auch ein Werkzeug, nicht nur ein Mensch.
Von jemandem, der das System kennt. Eine Einschätzung folgt innerhalb von fünf Werktagen; auf Wunsch nennen wir Sie in den Release Notes.
Der Cyber Resilience Act verpflichtet uns seit dem 11.09.2026, eine aktiv ausgenutzte Schwachstelle als Frühwarnung an CSIRT und ENISA zu melden — binnen 24 Stunden, vollständig binnen 72.
Welche Bestandteile in welcher Fassung stecken, steht als CycloneDX-Stückliste fest. Wird irgendwo eine Lücke bekannt, ist die Frage „betrifft uns das" in Minuten beantwortet.
06 Apropos Umzug — Sie kommen jederzeit wieder weg
DSFinV-K, DFKA-Taxonomie, Buchungsstapel, CSV-Ausleitungen und 544 Wege der Schnittstelle. Ohne uns zu fragen.
So lange halten wir die Daten zur Abholung bereit. Danach werden sie gelöscht — auch das gehört zum Datenschutz.
Der Testzugang baut sich in etwa einer Minute auf — mit allen Modulen, auch denen, die Sie später vielleicht nicht buchen. Damit Sie nicht raten müssen.
