Die langweiligen Teile richtig gemacht.
Speicherung ruhender Daten in der EU, Firecracker-Isolation für jede Vorschau, TLS 1.3 + AES-256, Kontrollmöglichkeiten auf Anbieterseite, soweit verfügbar, Opt-out von der Nutzung als Trainingsdaten mit Max und Business, volle Eigentumsrechte am Code. Die Details findest du unten – so aufbereitet, dass sich ein Sicherheitsfragebogen ohne Telefonat beantworten lässt.
Wie VULK gebaut ist, in sechs Säulen.
Datenresidenz
Die Produktionsdatenbank ist PostgreSQL 16, gehostet auf AWS RDS in eu-central-1 (Frankfurt). Anwendungsserver in der EU. Statische Assets über CDN. Kein Kundendatensatz verlässt die EU ohne explizites DPA-Addendum.
- ▸Hauptdatenbank: AWS RDS eu-central-1 (Frankfurt)
- ▸Anwendungsserver und Datenbanken generierter Apps: Hetzner, Falkenstein (Deutschland)
- ▸CDN: Cloudflare Global Edge (nur HTTPS)
Generierungs-Isolation
Jede Live-Preview läuft in einer dedizierten Firecracker-microVM mit eigenem Kernel, Rootfs und Netzwerk-Namespace. Ein Projekt kann den Prozessbaum, das Dateisystem oder das Netzwerk eines anderen nicht lesen oder beeinflussen. VMs werden nach der Sitzung abgebaut – kein gemeinsamer persistenter Zustand.
- ▸microVM pro Preview (Firecracker)
- ▸Netzwerk-Namespace + iptables-Egress-Filter
- ▸Ephemeres Rootfs, am Sitzungsende vernichtet
Verschlüsselung
TLS 1.3 bei der Übertragung überall. AES-256 im Ruhezustand auf RDS und R2 / S3. Kunden-Secrets im Schlüsselbund (Umgebungsvariablen auf Anwendungsseite, nie geloggt, nie in API-Antworten zurückgegeben). Webhook-Payloads HMAC-signiert.
- ▸TLS 1.3 (nur HTTPS)
- ▸AES-256 im Ruhezustand (RDS, R2, S3)
- ▸Secrets werden nie geloggt oder zurückgegeben
KI-Provider-Richtlinie
Wir routen über OpenRouter zu Anthropic, Google, OpenAI und anderen. Wo verfügbar, bevorzugen wir Anbieter-Routen mit No-Training- oder Zero-Retention-Kontrollen. Der Ausschluss der Trainingsdatenverwendung durch VULK ist in Max und Business enthalten.
- ▸Aufbewahrungskontrollen der Anbieter, wo verfügbar
- ▸Trainingsdaten-Opt-out bei Max und Business
Authentifizierung
Die OAuth-Anmeldung verwendet PKCE und einmalig nutzbare, serverseitig gespeicherte Autorisierungstransaktionen. Die Verknüpfung von Stripe-Kunden erfolgt ausschließlich serverseitig. Optionale MFA sowie SSO über SAML / OIDC im Business-Plan, mit Übermittlung von Audit-Protokollen an dein SIEM.
- ▸OAuth mit PKCE und sicheren HttpOnly-Cookies
- ▸Optionale MFA via TOTP
- ▸SAML / OIDC SSO im Business-Tier
Code-Eigentum
Jedes Projekt gehört dir – einschließlich des Codes. Exportiere es zu GitHub oder als ZIP-Archiv, führe es auf deiner Infrastruktur aus und kündige uns morgen: Die von dir erstellten Anwendungen laufen weiter. Wir beanspruchen keine Lizenz an deinen Ergebnissen und machen die Laufzeit nicht von einem SaaS-Abonnement abhängig.
- ▸Voller Repo-Export (GitHub oder ZIP)
- ▸Keine proprietäre Runtime
- ▸Unter deinen Bedingungen MIT-lizenzierbar
So handhaben wir Compliance.
Was wir heute tun, klar benannt.
- DSGVOAn der DSGVO ausgerichtetVULK ist für die Datenverarbeitung verantwortlich. Ein Auftragsverarbeitungsvertrag ist auf Anfrage erhältlich. Unterauftragsverarbeiter werden offengelegt; über Änderungen wird informiert.
- AuftragsverarbeitungsvertragVerfügbarKostenlos für Pro- und Business-Pläne. Enterprise-Bedingungen werden innerhalb von 5 Werktagen geprüft.
- PCI-DSSNicht zutreffend – Stripe handhabt KartenKartendaten berühren niemals VULK-Server. Stripe Checkout / Elements übernimmt den gesamten PCI-Scope.
Wer sonst noch auf deine Daten zugreift.
Wir sind verpflichtet, jeden externen Dienst offenzulegen, der deine Daten verarbeiten könnte. Eine Benachrichtigung bei Änderungen ist Teil des DPA.
| Dienst | Zweck | Region |
|---|---|---|
| AWS (RDS, SSM) | Datenbank + Verwaltung von Geheimnissen | eu-central-1 (Frankfurt) |
| Hetzner | Anwendungs- + Preview-Hosting | Falkenstein, Deutschland |
| Cloudflare | CDN, DNS, R2-Speicher, Deploy | Globale Verarbeitung; R2-Jurisdiktion: default (nicht auf die EU beschränkt) |
| Stripe | Abrechnung + Zahlungsverarbeitung | EU + USA (PCI-konform) |
| Resend | Transaktionale E-Mail | USA (E-Mail-Versand) |
| OpenRouter | KI-Modell-Routing | Global (Aufbewahrung abhängig von der Route) |
| Replicate | Bild- und Videogenerierung | USA |
| Tencent Cloud | 3D-Modellgenerierung | Singapur |
| Sentry | Fehlerüberwachung | EU |
Eine Schwachstelle gefunden? Informiere uns zuerst.
Wir begrüßen Responsible Disclosure. E-Mail an security@vulk.dev mit Reproduktionsschritten, erwartetem vs. beobachtetem Verhalten und einer CVSS-ähnlichen Schweregrad-Bewertung. Wir bestätigen innerhalb von 24 Stunden und triagieren innerhalb von 72. Wir verlangen kein NDA für ein Gespräch mit einem Forscher.
Valide Funde werden im Änderungsprotokoll öffentlich genannt – oder anonym, ganz wie du möchtest.
Zuletzt überprüft: April 30, 2026