Regulierte Branchen tolerieren keine Lücken im Prüfnachweis: Wer QM-Daten manipulieren oder ausspähen kann, kann Audits gefährden. QIMS ist mit konkreten technischen Mechanismen gebaut — bcrypt-gesicherten Passwörtern, vier Rollen mit Lese- und Schreibrechten je Endpunkt, Login-Rate-Limiting, einem Audit-Log, das gegen Änderung und Löschung gesperrt ist, und Security-Headern wie CSP und HSTS. Keine Marketingversprechen — nachprüfbare Technik.
bcrypt-Passwörter, Login-Rate-Limiting, HttpOnly-Session-Cookies und vier Rollen mit Rechten je Endpunkt.
Append-only — per Datenbank-Trigger gegen Änderung und Löschung gesperrt. Mit Zeitstempel, Person, altem und neuem Wert.
Hosting in Deutschland oder On-Premise, kein Drittland-Transfer, Datenbank-Backup vor jedem Deployment.
Keine Hochglanz-Versprechen — sechs technische Bausteine, die heute im QIMS-Server umgesetzt sind. Jeder Mechanismus ist auf eine konkrete Bedrohung ausgelegt, die in regulierten Branchen real ist.
Passwörter werden ausschließlich als bcrypt-Hash mit Kostenfaktor 12 gespeichert. Nach dem Login erhält der Browser ein Session-Token aus 32 Byte kryptografischem Zufall — als HttpOnly-Cookie (kein JavaScript-Zugriff), SameSite=Strict und im Produktionsbetrieb mit Secure-Flag. Nach 8 Stunden Inaktivität läuft die Session ab.
FDA 21 CFR Part 11 §11.300
Vier Rollen — Viewer, Operator, Supervisor, Admin. Für jeden API-Endpunkt ist serverseitig festgelegt, ab welcher Rolle gelesen und ab welcher geschrieben werden darf. Benutzerverwaltung und die SQL-Konsole für Administratoren sind ausschließlich mit der Admin-Rolle erreichbar.
FDA 21 CFR Part 11 §11.10(d), (g)
Änderungen an QM-Daten werden im Audit-Log festgehalten: Zeitstempel, Person, Aktion, betroffene Tabelle, Datensatz sowie alter und neuer Wert. Das Audit-Log ist manipulationssicher: per Datenbank-Trigger gegen Änderung und Löschung gesperrt — jeder UPDATE- oder DELETE-Versuch wird von der Datenbank abgewiesen, auch für Administratoren.
ISO 13485 §4.2.5 · FDA 21 CFR Part 11 §11.10(e)
Nach 5 fehlgeschlagenen Login-Versuchen von derselben IP-Adresse innerhalb von 60 Sekunden werden weitere Versuche abgewiesen. Ein erfolgreicher Login setzt den Zähler zurück. Auch bei unbekannten Benutzernamen läuft eine bcrypt-Prüfung, damit sich gültige Konten nicht über die Antwortzeit erkennen lassen.
ISO/IEC 27001 A.9.4
Jede Antwort des QIMS-Servers enthält eine Content-Security-Policy (default-src 'self'), X-Frame-Options DENY gegen Einbettung in fremde Seiten, X-Content-Type-Options nosniff und eine Referrer-Policy. Im Produktionsbetrieb kommt HSTS hinzu (Strict-Transport-Security, 2 Jahre, inklusive Subdomains).
OWASP ASVS V14
Cloud-Instanzen laufen bei Hetzner in Deutschland, Enterprise-Kunden betreiben QIMS On-Premise. Die Daten liegen in einer SQLite-Datenbank. Vor jedem Deployment wird automatisch eine Sicherungskopie der Datenbank angelegt; Sicherungen werden 7 Tage aufbewahrt.
DSGVO Art. 32
Geplant, heute noch nicht verfügbar: Diese Funktionen stehen auf der Roadmap. Wir nennen sie, damit Sie wissen, was QIMS heute nicht leistet.
Fragen zur technischen Umsetzung?
In 30 Minuten zeigen wir QIMS live — mit Ihren Sicherheitsanforderungen, Ihrem Anwendungsfall.
QIMS speichert keine Produktionsdaten in den USA oder anderen Drittländern. Alle Cloud-Instanzen (Starter, Professional) laufen bei Hetzner in Deutschland. Für Hersteller mit internen IT-Richtlinien oder Anforderungen aus MDCG, FDA oder vertraglichen Verpflichtungen gegenüber OEMs gibt es im Enterprise-Paket den Betrieb On-Premise.
Hinweis: QIMS speichert die Daten in einer SQLite-Datenbank. In der Cloud wird vor jedem Deployment automatisch eine Sicherungskopie angelegt und 7 Tage aufbewahrt. On-Premise liegen Datenbank und Sicherungen vollständig in Ihrer Verantwortung.
Die Sicherheitsmechanismen in QIMS sind nicht als Zertifizierungs-Checkliste entstanden — sondern weil reale Auditsituationen in Medizintechnik, Automotive und Pharma konkrete technische Anforderungen stellen.
Klarstellung: QIMS ist Software — keine Norm-Zertifizierung. Die genannten Paragraphen beschreiben, nach welchen Anforderungen die Mechanismen entwickelt wurden. Ob QIMS für Ihre spezifische Auditpflicht ausreicht, klären wir im Demo-Gespräch.
Prüfplanung, Messdatenerfassung und Auswertung für Medizinproduktehersteller — mit append-only Audit-Log.
Medizintechnik-Lösung ansehen IATF 16949 · VDA 6.3Prüfplanung, Messdatenerfassung und Auswertung für Tier-1/Tier-2-Zulieferer — Vertraulichkeit kundenseitiger Daten durch rollenbasierte Zugriffssteuerung.
Automotive-Lösung ansehenDieselbe Software, derselbe Funktionsumfang, zwei Betriebsarten. Ob QIMS bei uns in der Cloud oder bei Ihnen im Werk läuft, richtet sich nach Ihren IT- und Datenschutzvorgaben. Ein späterer Wechsel ist möglich.
Wir betreiben QIMS für Sie auf Servern in Deutschland. Updates und Backups übernehmen wir, Ihr Team arbeitet im Browser oder mit der Desktop-App.
QIMS läuft als Container in Ihrem Netz. Ihre IT entscheidet über Zugriff, Backup und Netzwerksegmentierung, auch ganz ohne Internetverbindung.
Welche Betriebsart in welchem Tarif enthalten ist, steht auf der Preisseite.
30 Minuten. Kein Pitch. QIMS live — Audit-Log einsehen, Rollen und Rechte durchspielen, Security-Header prüfen. Mit Ihren Anforderungen, Ihrem Anwendungsfall.
Wir melden uns persönlich zurück.