Sicherheit: wer deine Daten sehen kann

Wer deine Daten sehen kann

Der Heft-Support

Nur wenn du ihn freigibst, als Inhaber oder Geschäftsführung. Dann kann er lesen, aber nichts ändern, und höchstens 30 Tage lang. Du kannst den Zugang jederzeit früher beenden.

Sonst bei Heft

Niemand schaut in deine Daten. Technischen Zugriff auf die Server gibt es nur für Wartung und Notfälle.

Dein Team

Jedes Mitglied sieht, was seine Rolle erlaubt. Eine Assistenz ordnet Belege mit zu, kann aber keinen Monat festschreiben und keine Zugänge ändern.

Deine Steuerberatung

Sie sieht und bearbeitet nur, was ihr Mandat abdeckt, etwa die Buchhaltung oder die Umsatzsteuer. Zugänge und Firmendaten ändern kann sie nie.

So erfährst du davon

Bekommt jemand Zugriff, ein Mitglied, eine Steuerberatung, ein KI-Agent oder ein Login für ein Lieferantenportal, erhalten Inhaber und Geschäftsführung sofort eine Push-Nachricht und eine E-Mail. Die Nachricht nennt nur die Art des Zugriffs, damit auf dem Sperrbildschirm nichts Vertrauliches steht. Wer es ist, siehst du in der App.

Was Heft selbst tut, steht unter Aktivität, jeweils mit Rückgängig.

Bestätigen mit Passkey

Ein Passkey ersetzt das Passwort. Du meldest dich mit Face ID, Fingerabdruck oder der Gerätesperre an; dein Gesicht oder Fingerabdruck verlässt dabei nie dein Gerät.

Wichtige Schritte bestätigst du so, etwa wenn du eine Bank oder ein Postfach verbindest. Heft zeigt dir vorher in Worten, was du bestätigst, und speichert deine Bestätigung mit genau diesem Text. So lässt sich später zeigen, wer was freigegeben hat.

Ein neuer Passkey kann erst nach 24 Stunden etwas bestätigen, außer du bestätigst ihn mit einem Passkey, den du schon hast.

Verschlüsselung und Zugangsdaten

Alle Verbindungen zu Heft und zwischen Hefts Diensten sind verschlüsselt, und gespeicherte Daten liegen verschlüsselt bei Google Cloud.

Zugangsdaten, etwa die Lesefreigabe für Revolut oder ein Login für ein Lieferantenportal, verschlüsselt Heft zusätzlich mit einem eigenen Schlüssel. Der liegt getrennt von der Datenbank; eine Kopie der Datenbank öffnet sie nicht.

Einen Login für ein Lieferantenportal nutzt Heft nur, um dort Rechnungen zu holen: in einem frischen, abgeschotteten Browser, der nur dieses Portal erreicht und danach gelöscht wird.

Wenn dein Handy weg ist

Unter Einstellungen › Konto siehst du jedes angemeldete Gerät und meldest es ab, oder du tippst auf Überall abmelden. Dort entfernst du auch einen Passkey.

Hast du alle Passkeys verloren, stellst du dein Konto per E-Mail wieder her. Das dauert 24 Stunden, und Inhaber und Geschäftsführung bekommen sofort Bescheid. Meldet sich in der Zeit jemand mit deinem Passkey an, ist die Wiederherstellung abgebrochen. Wer nur dein E-Mail-Postfach übernimmt, kommt so nicht sofort an deine Firma.

Verbindungen trennen

Unter Einstellungen › Verbindungen trennst du Bank, Gmail oder Revolut jederzeit. Danach liest Heft dort nichts mehr. Der Zugriff auf die Bank endet außerdem von selbst; die App zeigt dir, bis wann.

Wo verarbeitet wird

Alles läuft in der EU: deine Daten bei Google Cloud in Frankfurt, die KI-Modelle bei Google Cloud in der EU und bei AWS in Frankfurt. Nichts davon wird für KI-Training genutzt.

Eine Sicherheitslücke gefunden? Schreib an support@namequick.app.