Auf dieser Seite finden Sie die Informationen zur Cybersicherheit von Sostenutoo: wie Sie uns eine Schwachstelle melden, wie lange das Produkt Sicherheitsupdates erhält und wie Sie es sicher nutzen. Die Seite dient unter anderem der Umsetzung der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung).
Stand: 17. September 2026
2. Schwachstelle melden
Wenn Sie glauben, eine Sicherheitslücke in Sostenutoo gefunden zu haben, schreiben Sie uns an securite@sostenutoo.com. Das ist unsere zentrale Anlaufstelle für Sicherheitsfragen. Wenn Sie einen anderen Weg bevorzugen, können Sie uns auch per Post an die oben genannte Adresse oder über support@sostenutoo.com schreiben: Wir leiten Ihre Meldung weiter.
Um uns zu helfen, geben Sie bitte nach Möglichkeit Folgendes an:
- den betroffenen Teil (Website, iOS-App, Android-App) und seine Version;
- eine Beschreibung des Problems und seiner möglichen Auswirkungen;
- die Schritte, mit denen es sich nachvollziehen lässt;
- wie wir Sie erreichen können und ob Sie namentlich genannt werden möchten.
Sie können uns auf Französisch, Englisch oder Spanisch schreiben. Die Datei security.txt enthält diese Kontaktdaten in maschinenlesbarer Form.
3. Richtlinie zur koordinierten Offenlegung von Schwachstellen
Was wir tun
- Wir bestätigen den Eingang Ihrer Meldung, in der Regel innerhalb von 10 Arbeitstagen.
- Wir analysieren das Problem und informieren Sie über die wichtigsten Schritte.
- Wir beheben bestätigte Schwachstellen innerhalb einer ihrem Schweregrad angemessenen Frist, die schwerwiegendsten zuerst.
- Liegt die Schwachstelle in einer Drittanbieterkomponente, die Sostenutoo verwendet, melden wir sie auch der Person oder Organisation, die diese Komponente pflegt.
- Sobald eine Korrektur verfügbar ist, veröffentlichen wir einen Sicherheitshinweis (siehe Abschnitt 4) und danken Ihnen auf Wunsch namentlich.
Worum wir Sie bitten
- Veröffentlichen Sie die Schwachstelle nicht, bevor die Korrektur für die Nutzer verfügbar ist, oder, falls es keine gibt, nicht vor Ablauf von 90 Tagen nach Ihrer Meldung. Diese Frist kann im gegenseitigen Einvernehmen verlängert werden, wenn die Korrektur es erfordert.
- Testen Sie nur mit Ihren eigenen Konten. Daten anderer Nutzer dürfen Sie nur so weit einsehen, ändern oder löschen, wie es für den Nachweis des Problems unbedingt erforderlich ist.
- Stören Sie den Dienst nicht (keine Denial-of-Service-Angriffe, keine massenhaften automatisierten Tests), versenden Sie keinen Spam und setzen Sie kein Social Engineering ein.
- Löschen Sie alle Daten, die Sie dabei möglicherweise erlangt haben, sobald die Meldung erfolgt ist.
Forschung, die diese Regeln einhält, betrachten wir als in gutem Glauben durchgeführt, und wir beabsichtigen nicht, rechtlich dagegen vorzugehen. Ein Bug-Bounty-Programm bieten wir nicht an.
Sie können eine Schwachstelle auch dem CERT-FR (ANSSI, französische Behörde für Cybersicherheit) melden, das in Frankreich die Koordinierung übernimmt.
4. Sicherheitshinweise
Wenn eine Schwachstelle behoben ist, veröffentlichen wir hier einen Hinweis, der das Problem, die betroffenen Versionen, die Auswirkungen, den Schweregrad und gegebenenfalls die von Ihnen zu ergreifenden Maßnahmen beschreibt. Mit der Veröffentlichung dieser Einzelheiten können wir warten, bis die Nutzer Zeit hatten, das Update zu installieren.
Bisher wurden keine Sicherheitshinweise veröffentlicht.
5. Wie wir Sie bei Problemen informieren
Wenn eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall die Sicherheit von Sostenutoo beeinträchtigt, informieren wir die betroffenen Nutzer und, falls erforderlich, alle Nutzer so schnell wie möglich. Gegebenenfalls teilen wir ihnen auch mit, welche Maßnahmen sie ergreifen können. Je nach Situation erfolgt diese Information per E-Mail, über eine Benachrichtigung in der App oder über diese Seite.
Diese Pflichten gelten zusätzlich zu den Pflichten nach der DSGVO bei einer Verletzung des Schutzes personenbezogener Daten, die in der Datenschutzerklärung beschrieben sind.
6. Identifikation des Produkts
Sostenutoo gibt es in drei Formen, die dasselbe Konto und denselben Server nutzen:
Die Versionsnummer einer mobilen App steht auf ihrer Seite im App Store bzw. bei Google Play und in den Einstellungen Ihres Smartphones. Die Web-App wird immer in der neuesten Version bereitgestellt.
7. Bestimmungsgemäßer Zweck und Sicherheitseigenschaften
Sostenutoo dient der Verwaltung eines Musikensembles: Mitglieder, Termine, Anwesenheit, Programme, Noten, Nachrichten und Dokumente. Es richtet sich an Vereine, Schulen und Ensembles, ihre Verantwortlichen und ihre Musiker.
Wichtigste Schutzmaßnahmen:
- verschlüsselte Kommunikation (HTTPS/TLS) zwischen den Apps und dem Server;
- Authentifizierung per Passwort (als Hash gespeichert) oder über Apple und Google;
- Trennung der Daten jedes Ensembles auf Datenbankebene und unterschiedliche Berechtigungen je nach Rolle (Mitglied, Administrator);
- Zahlungsabwicklung über Stripe, Apple oder Google: Sostenutoo speichert keine Kartennummern;
- regelmäßige Sicherungen der Datenbank.
8. Bekannte oder vorhersehbare Risiken
Folgende Situationen können Ihre Daten oder die Daten Ihres Ensembles gefährden:
- ein schwaches oder auf anderen Websites wiederverwendetes Passwort oder eine Phishing-E-Mail, die sich als Sostenutoo ausgibt;
- ein gemeinsam genutztes oder verlorenes Gerät, auf dem Sie noch angemeldet sind;
- eine zu großzügig vergebene Administratorrolle oder ein ehemaliges Mitglied, das noch im Ensemble ist;
- ein öffentlich verbreiteter Einladungslink oder -code, während neue Beitritte erlaubt sind;
- ein Browser, ein Betriebssystem oder eine App, die keine Updates mehr erhalten, oder ein Smartphone mit Jailbreak oder Root-Zugriff;
- ein mit Ihrem Konto verbundener KI-Assistent eines Drittanbieters, der mit Ihren Berechtigungen handelt;
- von anderen Mitgliedern hochgeladene Dateien (PDFs, Bilder, Dokumente): Öffnen Sie sie mit derselben Vorsicht wie jede andere Datei, die Sie erhalten.
9. Unterstützungszeitraum und Updates
Sostenutoo erhält mindestens bis Dezember 2032 Sicherheitsupdates. Dieses Datum kann nur nach hinten verschoben werden. Sollten wir den Dienst eines Tages einstellen, würden wir Sie vorher benachrichtigen.
- Sicherheitsupdates sind für alle Nutzer kostenlos, mit oder ohne Abonnement.
- Unterstützt wird nur die neueste Version der Apps: Das Update ist kostenlos, Sie müssen es nur installieren.
- Die Web-App aktualisiert sich selbst: Laden Sie einfach die Seite neu.
- Die mobilen Apps werden über den App Store und Google Play aktualisiert, automatisch, wenn diese Option auf Ihrem Smartphone aktiviert ist (das ist die Standardeinstellung). Die App kann Sie auch darauf hinweisen, dass eine neue Version verfügbar ist.
10. Hinweise zur sicheren Nutzung
Im Alltag
- Wählen Sie ein starkes Passwort, das Sie nirgendwo sonst verwenden, oder melden Sie sich mit Apple oder Google an.
- Melden Sie sich auf gemeinsam genutzten Geräten ab. Wir fragen Sie niemals per E-Mail nach Ihrem Passwort.
- Halten Sie Ihren Browser, Ihr Betriebssystem und die App auf dem neuesten Stand.
- Wenn Sie ein Ensemble verwalten: Vergeben Sie die Administratorrolle nur an Personen Ihres Vertrauens, entfernen Sie ausscheidende Mitglieder und erlauben Sie keine neuen Beitritte, wenn Sie gerade keine Mitglieder aufnehmen.
- Trennen Sie KI-Assistenten, die Sie nicht mehr nutzen, von Ihrem Konto.
Wenn eine Einstellung die Sicherheit Ihrer Daten verändert
Wer eine Administratorrolle vergibt, neue Beitritte erlaubt, einen Einladungslink teilt, eine Bezugsperson hinzufügt oder einen Assistenten eines Drittanbieters verbindet, erweitert den Zugriff auf Daten. Überprüfen Sie diese Einstellungen regelmäßig. Veränderte oder inoffizielle Versionen der Apps werden nicht unterstützt.
Updates installieren
- Web: Laden Sie die Seite neu; die neueste Version wird automatisch geladen.
- iPhone und iPad: Öffnen Sie den App Store, tippen Sie auf Ihr Profilbild und aktualisieren Sie dann Sostenutoo.
- Android: Öffnen Sie Google Play, tippen Sie auf Ihr Profilbild, dann auf „Apps und Gerät verwalten“, und aktualisieren Sie Sostenutoo.
Automatische Updates deaktivieren
Wir empfehlen, sie aktiviert zu lassen. Wenn Sie sie lieber deaktivieren oder aufschieben möchten:
- iPhone und iPad: Einstellungen, App Store, dann „App-Updates“ deaktivieren.
- Android: Google Play, Profilbild, Einstellungen, Netzwerkeinstellungen, „Apps automatisch aktualisieren“. Sie können die Funktion auch nur für Sostenutoo auf der Seite der App deaktivieren (Menü mit den drei Punkten).
- Web: Die Web-App wird von unseren Servern bereitgestellt; sie ist daher immer auf dem neuesten Stand, und diese Einstellung gibt es nicht.
Sostenutoo nicht mehr nutzen und Ihre Daten löschen
- Löschen Sie Ihr Konto unter „Mein Konto“ (Web) oder in den Profileinstellungen (Apps). Ihre Daten werden dann gemäß der Datenschutzerklärung gelöscht.
- Beim Deinstallieren der App werden die auf dem Smartphone gespeicherten Daten gelöscht; Ihr Konto bleibt jedoch bestehen.
- Melden Sie sich auf einem gemeinsam genutzten Computer ab, bevor Sie den Browser schließen.
Integration in andere Produkte
Sostenutoo ist nicht dafür ausgelegt, als Komponente in ein anderes Produkt integriert zu werden.
11. Konformitätserklärung und Software-Stückliste
Die EU-Konformitätserklärung für Sostenutoo wird spätestens am 11. Dezember 2027 auf dieser Seite veröffentlicht, dem Tag, ab dem die entsprechenden Anforderungen der Verordnung (EU) 2024/2847 gelten.
Wir führen eine aktuelle Liste der von Sostenutoo verwendeten Softwarekomponenten (Software-Stückliste, englisch SBOM). Diese Liste wird nicht veröffentlicht, aber den Behörden auf Anfrage übermittelt.
← Zurück zur Startseite