Aufhebung des Asset-Limits für Parqet Abonnenten & weitere Neuigkeiten

@user_7be539 Bisher werden nur TR Dokumente hochgeladen und server-seitig ausgelesen. Andere Broker werden noch lokal ausgelesen. Perspektivisch wird sich das aber ändern.

Privatsphäre-technisch ändert sich von unserer Seite nichts, wir lesen weiterhin ausschließlich anonyme Transaktionsdaten aus. Wir machen dies serverseitig, damit Webapp, mobile App, Autosync und zukünftige Projekte eine einheitliche Möglichkeit haben PDFs auszulesen und wir das nicht in viele unterschiedliche Clients einbauen müssen. Nichts desto trotz verstehe ich, dass durch diese Änderung die Kontrolle weg fällt die man als technisch versierter Nutzer hatte um unsere Prinzipien hier auch zu prüfen. Wir überlegen noch, wir wir dies durch eine dritte Partei öffentlich prüfen lassen können (z.B. TÜV).

Viele Grüße

@user_7be539 Wenn unsere Infrastruktur kompromitiert würde, sind auch die Clients nicht sicher. Außerdems laufen ja schon lange über den Autosync bereits Millionen PDFs über unsere Infra. Die werden nie gespeichert, aber serverseitig ausgelesen. Aber ja, ich verstehe dich und am Ende musst du das für dich entscheiden. Wir werden weiterhin Privatsphäre hoch halten, unsere Prinzipien transparent teilen, uns daran halten und mit externen Experten arbeiten um unsere Infrastruktur entsprechend prüfen zu lassen.
Wir haben z.B. gerade einen externen Pentester beauftragt alles zu prüfen:
https://x.com/TweetsOfSumit/status/1816787406181347442

Da wir das für den Autosync (für unterstützte Banken) sowieso komplett machen, ist es einfach sinnvoll hier alles (Code, Datenschutz, Security Mechanismen, etc) auch auf den PDF-Import auszuweiten. Ich quatsch mal mit dem Team ob es nicht doch eine Möglichkeit gibt weiterhin lokales auslesen möglich zu machen mit verkraftbaren Downsides aber ich wollte dir schonmal Bescheid sagen damit du - wenn nötig - entsprechende Konsequenzen ziehen kannst.

@xesogo48 bzgl. der Verarbeitung personenbezogener Daten durch Parqet würde ich mir da keine große Hoffnung machen. Kurz nach meiner Diskussion hier mit Sumit ist der Eintrag zum client seitigen PDF Import auf der Parqet Datenschutz Seite verschwunden… Dass das einfach so gemacht wird ohne die User z.B. beim Upload von PDF Dokumenten auf die Änderung hinzuweisen ist schon sehr schwach. Sicherlich auch nicht DSGVO konform.

Ich habe mich insoweit arrangiert, als das ich nun vorher sämtliche PDFs für den Import automatisiert durch ein Python Skript anonymisieren lasse.

@xesogo48 Sorry, gerade wenn du im IT Bereich arbeitest verstehe ich nicht wie man (heutzutage) noch regelmässige/automatisierte Passwortänderungen als sinnvoll erachten kann.

Selbst das BSI, als so ziemlich langsamste Security Behörde, hat das vor ca. 4 Jahren eingesehen, andere waren da schneller und sind seit knapp 10 Jahren klüger.

Es nehme sich bitte niemand ein Beispiel an einer, aus u.a. meiner Sicht unsinnigen, Empfehlung einer regelmässig erzwungenen Passwort Änderung.

@sumit Ja, wäre cool wenn du das nochmal im Team besprichst.

Mir geht es auch nicht darum, dass ich euch nicht vertraue, sondern eher dass keine Infrastruktur im IT Bereich dauerhaft sicher ist. Exploits gibt es immer wieder mal, egal wie umfangreich pentesting betrieben wird.

Die Nutzer die sich für den AutoSync entscheiden gehen das Risiko bewusst ein. Deshalb ist es ja so toll, dass ihr den alternativen Weg per PDF Import client-seitig anbietet.

Die Sache mit dem TÜV fände ich super. Hast du schon 2022 in einem anderen Beitrag vorgeschlagen.

Wünsche dir ein schönes Wochenende. Möchte an der Stelle noch erwähnen, dass ich Parqet wirklich Klasse finde und das die lila Copycat euch nicht das Wasser reichen kann! 😉

@sumit da ich aus dem IT Bereich komme und schon einige Vorfälle miterleben durfte. Egal wie sicher und durch geplant alles ist. Der Mensch ist und bleibt der angreifbarste Punkt. Passwörter. Ich kann nur empfehlen Personal mit Zugriff auf kritische Infrastruktur zu regelmäßigen PW Änderungen zuzwingen. oder noch besser dies zu automatisieren.
Was ich schon erlebt habe gerade in den oberen Etage von Unternehmen nur weil man es bequem haben möchte. Jahre lange Firmenspionage. Unbemerkte ausführen von Straftentaten über fremde Accounts/Rechner.
Sowas erfasst leider ein Penetrationstest nicht. Und auch eine Software die Anomalien Netzwerk festellen soll erkennt sowas nicht.

Und das Problem haben alle. Vor paar Jahren haben sich 4-5 Jugenliche durch sämtliche großen IT Firmen “gehackt” nur weil sie an einen Admin Account von Riot kamen. Dort wiederum Zungangsdaten von anderen Accounts ausgelesen usw. MS, Google. über ein jahr lang hinweg haben die jungs alles ausgelesen was sie wollten. Selbst Server des US Militärs Zugriff auf eingeschränkte Bereiche genommen. (Dank Tunnel über MS Server)

Passwörter sind ein Fluch. Wer Sicherheit in der IT haben möchte der muss vorallem dort ansetzen.

E-Mail mit PW Kombination hinterlegt in eurer Datenbank. das muss um jeden Preis geschützt werden. Bzw der Zugriff auf diese massiv eingeschränkt werden.
Wer will schon das nächste Datenleak beim werten Herrn Solmecke werden und ihm ein Boot finanzieren.