Sicherheit bei Montu

Kontodaten, Markenprofile, Metadaten generierter Inhalte und Tokens verbundener Shops liegen in einer verwalteten Neon-PostgreSQL-Datenbank mit Standort in der Europäischen Union. Datenbankverbindungen sind TLS-verschlüsselt, und die Zugangsdaten dafür existieren ausschließlich auf unserer Deployment-Infrastruktur.

Die Anwendung läuft auf Vercel und ist nur über HTTPS erreichbar. HTTP Strict Transport Security wird mit zwei Jahren max-age, includeSubDomains und preload ausgeliefert — ein Browser, der Montu einmal gesehen hat, versucht es nie wieder über einfaches HTTP.

Dodo Payments ist Merchant of Record und wickelt jede Zahlung ab. Montu erhält eine Bestätigung und Ihre Planstufe — nie eine Kartennummer, nie Rechnungsadressdaten. In unserer Datenbank gibt es keine Karteninhaberdaten, die zu schützen wären.

Der Verkehr zu montuai.com und zur API läuft über TLS 1.3 mit vorgeladenem HSTS. Jeder ausgehende Aufruf, den Montu macht — zu Ihrem Shop, zu Suchdatenanbietern, zu Modellanbietern — ist HTTPS.

Shop- und CMS-Access-Tokens werden vor dem Schreiben mit AES-256-GCM verschlüsselt: ein frischer Zufalls-IV je Wert, ein Authentifizierungs-Tag und ein versionierter Umschlag, damit der Schlüssel rotiert werden kann, ohne bestehende Zeilen zu brechen. Ein manipulierter Geheimtext lässt sich nicht entschlüsseln, statt still etwas Falsches zurückzugeben.

Passwörter werden mit bcrypt bei Kostenfaktor 12 gehasht und nie im Klartext geschrieben. Ein Anmeldeversuch für eine Adresse ohne Konto führt trotzdem einen vollständigen bcrypt-Vergleich gegen einen Dummy-Hash aus — an der Antwortzeit lässt sich also nicht ablesen, zu welchen E-Mail-Adressen ein Konto existiert.

Jede authentifizierte API-Route bekommt einen Datenbank-Client, der an die angemeldete Person gebunden ist. Jedes mandantenbezogene Modell — Websites, Inhalte, Keywords, Berichte, Design-Assets, Shop-Verbindungen — wird automatisch auf dieses Konto eingegrenzt: Die Datensatz-ID eines anderen Kontos liest sich als „nicht gefunden“, und ein Schreibzugriff auf fremde Zeilen wirft einen Fehler, statt zu gelingen.

Der eingegrenzte Client ist Verteidigung in der Tiefe, kein Ersatz. Routen prüfen weiterhin, dass die Website und der Datensatz Ihnen gehören, bevor sie handeln; die Eingrenzung ist das Netz, das eine Route auffängt, die es vergisst. Pfade, die von Natur aus kontoübergreifend sind — Abrechnungs-Webhooks, Cronjobs, Authentifizierung, Admin-Werkzeuge — sind bewusst getrennt und bedienen nie Mandantenanfragen.

Langlaufende Generierungsarbeit wird an interne Endpunkte übergeben, die sowohl ein gemeinsames Server-zu-Server-Geheimnis als auch ein für genau diesen Lauf ausgestelltes Berechtigungstoken verlangen. Das Token eines Laufs öffnet dessen Zeile — und nichts sonst.

Nichts, was Sie erzeugen, und nichts, was wir von Ihrer Website lesen, wird zum Training von Modellen verwendet — weder unseren noch denen eines Anbieters. Modellanbieter erhalten je Anfrage nur den betrieblichen Kontext, den eine einzelne Aufgabe braucht, und nichts wird für Training angesammelt.

Shop-Tokens, API-Schlüssel und Passwörter sind nicht Teil irgendeines Prompts. Das Veröffentlichen ist ein eigener serverseitiger Schritt: Er entschlüsselt das Token, ruft die API Ihres Shops auf und verwirft es wieder. Ein Modell bekommt es nie zu sehen.

Artikel, Produkttexte, Beiträge und Designs, die Montu für Sie erstellt, gehören Ihnen. Eine Kündigung nimmt Ihnen nichts, was Sie bereits veröffentlicht haben, und wir löschen niemals Inhalte von Ihrer eigenen Website oder aus Ihrem Shop.

Wenn Sie WordPress, Shopify, Salla, Zid, Ghost, Webflow oder Medium verbinden, macht Montu genau einen authentifizierten, lesenden Aufruf an diese Plattform, um zu belegen, dass die Zugangsdaten funktionieren, bevor es sie speichert. Ein fehlerhaftes Einfügen wird abgelehnt, statt still eine funktionierende Verbindung zu ersetzen.

Montu schreibt nur die Inhaltsfelder, die es erzeugt hat. Preise, Bestand, Varianten, Versand oder Shop-Einstellungen ändert es nicht, und es fragt nie nach dem Passwort Ihres CMS-Kontos. Widerrufen Sie Montus Token jederzeit in der Verwaltung der Plattform, dann endet das Veröffentlichen sofort.

Eine feste Regel, keine Absichtserklärung. Als das Social-Publishing im September 2026 aus dem Produkt entfernt wurde, wurde die Tabelle mit seinen verschlüsselten OAuth-Access- und Refresh-Tokens Dritter in derselben Änderung gelöscht. Zugangsdaten für ein Feature aufzubewahren, das es nicht mehr gibt, ist Angriffsfläche ohne jeden Nutzen.

Jede Antwort trägt eine Content-Security-Policy, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, eine strenge Referrer-Policy, eine Permissions-Policy, die Kamera, Mikrofon und Geolokalisierung abschaltet, sowie vorgeladenes HSTS. Anmeldung, Registrierung, Passwort-Zurücksetzen, Kontakt und Shop-Verbindungs-Endpunkte sind in der Datenbank rate-limitiert, damit ein Limit über alle serverlosen Instanzen hinweg gilt und nicht pro Replik.

Montu ruft URLs ab, die Sie angeben: Ihre Website, Ihre Sitemap, die API Ihres Shops. Diese Anfragen folgen einer Weiterleitung nie blind: Jeder Sprung wird neu geparst und neu aufgelöst, und ein Sprung, der auf einer privaten, Loopback- oder Link-Local-Adresse landet, wird abgelehnt. Damit ist der Weg der Server-Side Request Forgery in interne Infrastruktur geschlossen.

Die öffentlichen Seiten von montuai.com laden Google Analytics 4, einen Meta-Werbepixel und einen Pixel zur Empfehlungszuordnung — und wir sagen es Ihnen lieber, als dass Sie es im Netzwerk-Tab entdecken. Was diese erhalten, sind Seitenaufrufe und, bei angemeldeten Besuchern, eine gehashte Konto-Kennung. Was sie nie erhalten, ist der Teil, auf den es ankommt: keine generierten Inhalte, keine Website- oder Keyword-Daten, keine Shop-Zugangsdaten. Wir verkaufen keine personenbezogenen Daten, und die Cookie-Richtlinie listet jedes Tag und wie Sie es ablehnen.