Sicherheit und Daten

Noch nicht. Die Anwendung von Validiscan, mit einer Konsole, in der Validiscan die Arbeit erledigt, und einem Kundenportal, ist fertig entwickelt, aber nicht in Betrieb: Die Adresse app.validiscan.com ist nicht online.

Diese Seite beschreibt, wie die Anwendung aufgebaut und eingerichtet ist, Stand 6. Oktober 2026. Wo ein Teil noch nicht eingerichtet ist, steht das dabei.

Die Anwendung von Validiscan speichert ihre Datenbank, ihre Benutzerkonten und ihre Dateien bei Supabase, in dessen Region Frankfurt (eu-central-1). Supabase ist ein US-Unternehmen; die Daten selbst liegen in Frankfurt. Gespeichert wird in der EU, aber nicht alles bleibt dort: Sind KI-Entwürfe für einen Shop eingeschaltet, geht ein Auszug des fehlerhaften Codes an Anthropic, ein US-Unternehmen, wie unten beschrieben.

Die Dateien sind Screenshots der gescannten Seiten, das HTML der Seiten, die Rohergebnisse der Tests, Nachweispakete, Patch-Pakete, im Kundenportal hochgeladene Theme-Exporte und Dateien, die Validiscan als Beleg für seine manuellen Prüfungen anhängt. Sie liegen in einem privaten Speicherbereich ohne öffentliche Links. Die Anwendung erzeugt einen Link zu einer Datei erst in dem Moment, in dem jemand mit Zugriff sie öffnet oder herunterlädt, und der Link verfällt nach 60 Sekunden.

Die Korrekturen selbst landen auf Ihrer eigenen Plattform: als Pull Request in Ihrem GitHub-Repository oder als unveröffentlichte Kopie Ihres Themes in Ihrem Shopify-Shop. Ein Patch-Paket wird im Speicher der Anwendung aufbewahrt, und Validiscan schickt es Ihrem Entwicklungsteam.

In der Anwendung von Validiscan sieht jede Kundin und jeder Kunde nur die Daten der eigenen Organisation. Das Validiscan-Team sieht alle Projekte; heute ist das eine Person, William Quaade Rasmussen.

• In der Datenbank durchgesetzt. Jede Tabelle der Anwendung hat Zugriffsregeln auf Zeilenebene (Row-Level-Security): Die Datenbank selbst entscheidet, welche Zeilen ein Konto lesen darf, nicht allein die Seiten der Anwendung. Automatisierte Datenbanktests prüfen, dass keine Kundenorganisation die Daten einer anderen lesen kann.
• Zwei Rollen für Kundinnen und Kunden. In einer Kundenorganisation kann ein Admin Kolleginnen und Kollegen einladen und einen Verifizierungsscan anfordern. Eine Person mit Lesezugriff sieht die Daten der Organisation im Kundenportal, kann aber nichts ändern.
• Zugriffstoken sind verschlüsselt. Ein Theme-Access-Passwort von Shopify, ein GitHub-Token oder das Passwort eines geschützten Staging-Shops wird mit AES-256-GCM verschlüsselt, bevor es gespeichert wird. Die Anwendung zeigt nur an, dass ein Token vorhanden ist. Kein Konto in der Anwendung kann es wieder auslesen, auch kein Konto des Validiscan-Teams; nur der Worker, der Hintergrundprozess der Anwendung, entschlüsselt es, wenn ein Job es verwendet.
• Ein Protokoll jeder Änderung. Jede Änderung, die jemand in der Anwendung vornimmt, wird in einem Änderungsprotokoll (Audit-Log) festgehalten, mit der Angabe, wer sie vorgenommen hat und wann. Nur das Validiscan-Team kann das Audit-Log lesen.
• Logs ohne vertrauliche Daten. Die Logs der Anwendung lassen Passwörter, Tokens, Schlüssel, Cookies und die Inhalte von Anfragen aus.

Die Anwendung von Validiscan setzt KI nur ein, um Korrekturen der Stufe ASSISTED zu entwerfen, und nur in einem Shop, in dem KI-Entwürfe eingeschaltet sind. Standardmäßig sind sie ausgeschaltet. Validiscan schaltet sie für einen Shop erst ein, nachdem die Kundin oder der Kunde schriftlich zugestimmt hat, und nur das Validiscan-Team kann die Einstellung ändern. Auch dann entwirft die Anwendung nach einem Scan nichts von selbst mit KI: Jeden Entwurf fordert Validiscan für einen bestimmten Befund an.

Einen Entwurf schreibt ein Modell von Anthropic (Anthropic PBC, ein US-Unternehmen) über die API von Anthropic. Für jeden Entwurf sendet die Anwendung:

1. die verletzte Regel: ihre ID, ihren Titel, ihre Auswirkung und ihre WCAG-Erfolgskriterien sowie die Plattform des Shops;
2. den Hinweis des Regelkatalogs, wie sie sich beheben lässt;
3. bis zu fünf fehlerhafte Elemente, jeweils mit ihrem CSS-Selektor, der Zusammenfassung des Fehlers, ihrem HTML im gerenderten Zustand (höchstens 2.000 Zeichen) sowie dem Pfad und dem Seitentyp ihrer Seite, aber nicht mit der vollständigen Adresse der Seite;
4. den Pfad der Theme-Datei, auf die sich der Fehler zurückführen ließ, und bis zu 200 nummerierte Zeilen dieser Datei rund um den Code, auf den er zurückgeführt wurde.

Die Anwendung sendet keine Screenshots, keine Passwörter oder Tokens, keine Kunden- oder Kontodaten und nichts aus anderen Shops. Das HTML eines Elements kann dennoch eigene Links oder sichtbare Texte Ihres Shops enthalten.

Zurück kommt ein Änderungsvorschlag mit einer Erklärung. Die Anwendung lehnt einen Entwurf ab, der eine andere als die gezeigte Datei ändert, eine Datei anlegt oder löscht oder dessen Diff länger als 400 Zeilen ist, und sie prüft, ob sich die Änderung sauber anwenden lässt und eine Syntaxprüfung besteht. Ein Entwurf, der diese Prüfungen nicht besteht, wird nie ausgeliefert. Validiscan prüft jeden Entwurf vor der Auslieferung, und Sie oder Ihr Entwicklungsteam prüfen die Änderung noch einmal, bevor Sie sie zusammenführen oder veröffentlichen.

Standardmäßig löscht die Anwendung von Validiscan die Screenshots, das Seiten-HTML und die Rohergebnisse der Tests eines Scans 365 Tage nach dem Scan der Seite, es sei denn, aus diesem Scan wird ein Nachweispaket erstellt. Projektdaten werden nicht automatisch gelöscht.

Wie lange Projektdaten nach dem Ende eines Projekts aufbewahrt werden, ist noch nicht festgelegt. Sie können Validiscan bitten, sie oder ein gespeichertes Zugriffstoken zu löschen: Schreiben Sie dazu an info@validiscan.com. Auf Shopify können Sie den Zugriff auch selbst beenden: Laut Shopifys Dokumentation (Stand: 6. Oktober 2026) widerruft das Löschen des Passworts in der App Theme Access den Zugriff. Die Datenbank wird jeden Tag gesichert, und jedes Backup wird 7 Tage aufbewahrt; aus der Datenbank gelöschte Daten können deshalb bis zu 7 Tage in einem Backup bleiben.

Für einen kostenlosen Check lädt ValidiscanBot in seinem Browser höchstens 15 öffentliche Seiten des Shops, jede in Desktop- und in Smartphone-Größe. Um diese Seiten auszuwählen, stellt er zuvor einfache Anfragen nach der Startseite, der robots.txt, den Sitemaps und infrage kommenden Seiten; er stellt also mehr Anfragen, als er Seiten lädt. Er befolgt die robots.txt des Shops und lässt zwischen den Anfragen, die er selbst stellt, einen Abstand von mindestens 1 s, mit einer bekannten Ausnahme, die unten beschrieben ist. Dateien, die eine Seite selbst nachlädt, etwa Styles, Skripte und Bilder, werden wie in jedem Browser geladen. Er meldet sich nirgends an, legt nie ein Produkt in einen Warenkorb, öffnet nie den Checkout und schickt keine Formulare ab.

• Er nennt seinen Namen. Jede Anfrage trägt die Kennung ValidiscanBot/1.0 (+https://validiscan.com; info@validiscan.com). Im Durchgang in Smartphone-Größe endet dieselbe Zeichenfolge mit dem Wort Mobile.
• Er liest die robots.txt vor den anderen Seiten. Seine erste Anfrage gilt der Startseite, um festzustellen, ob der Shop antwortet. Danach liest er die robots.txt. Verbietet die robots.txt ValidiscanBot die Startseite, oder antwortet der Server auf die Anfrage nach der robots.txt mit einem Serverfehler (5xx), mit 429 (zu viele Anfragen) oder gar nicht, endet der Check an dieser Stelle.
• Er wartet länger, wenn die robots.txt es verlangt. Ein längeres Crawl-delay in der robots.txt wird befolgt, bis zu 10 s.
• Eine bekannte Ausnahme. Antwortet der Shop auf einen Seitenaufruf im Browser mit einer Weiterleitung, folgt der Browser ihr sofort, ohne den Abstand und ohne Abgleich mit der robots.txt. Validiscan hat das als bekannte Lücke seines Scanners festgehalten.
• Er liest nur, was öffentlich ist. Personenbezogene Daten gelangen nur in den Scan, soweit die öffentlichen Seiten des Shops sie zeigen, zum Beispiel ein Name in einer Produktbewertung oder im Impressum.

Führt die Anwendung einen kostenlosen Check aus, bewahrt sie eine Zusammenfassung auf: die Zahl der getesteten Seiten und der Fehler nach Auswirkung, die Plattform und ein etwaiges Barrierefreiheits-Overlay, das sie erkannt hat, sowie bis zu fünf Fehler, jeweils mit der Regel, der Adresse einer Seite, dem CSS-Selektor und dem HTML des fehlerhaften Elements, auf 300 Zeichen gekürzt. Die Zusammenfassung wird nicht automatisch gelöscht. Das Rohergebnis enthält die Befunde mit den Adressen ihrer Seiten und dem HTML der Elemente, aber kein Seiten-HTML, keine Screenshots und keine rohen Testausgaben; standardmäßig wird es 365 Tage nach dem Check gelöscht.

Die Anwendung von Validiscan startet einen vollständigen Scan eines Shops nur, wenn die Einwilligung der Betreiberin oder des Betreibers des Shops erfasst ist. Ein vollständiger Scan geht weiter als der kostenlose Check: Er legt ein Produkt in den Warenkorb und öffnet den ersten Schritt im Checkout, ohne einen Kauf abzuschließen und ohne Zahlungsdaten einzugeben.

Validiscan erfasst die Einwilligung in der Anwendung, mit dem Zeitpunkt und dem Namen der Person bei Validiscan, die sie erfasst hat. Ohne erfasste Einwilligung startet kein vollständiger Scan, das Kundenportal lehnt die Anforderung eines Verifizierungsscans ab, und der Regressionsschutz überspringt seinen Lauf. Um die Einwilligung zu widerrufen, schreiben Sie an Validiscan.

Schreiben Sie an info@validiscan.com. Die E-Mail erreicht William Quaade Rasmussen, der Validiscan betreibt. Was diese Website selbst mit personenbezogenen Daten macht, steht in der Datenschutzerklärung für validiscan.com.