Sicherheit und Vertrauen
Wer IBANforge betreibt, wo die API läuft, was sie wie lange aufbewahrt und was wir nicht haben. Jede Angabe verweist auf das Dokument oder die Prüfung, die sie belegt.
Geprüft am 6. Oktober 2026. Maßgebend sind die Vertragsdokumente, nicht diese Zusammenfassung.
- Betreiber
- Einzelunternehmen, Schweiz
- Region der API
- Amsterdam (EU)
- Übermittelte IBAN
- Nicht gespeichert
- Frist vor einer Einstellung
- Sechs Monate, zahlende Kunden
Wer IBANforge betreibt
IBANforge ist ein Einzelunternehmen nach Schweizer Recht, betrieben von Claude-Alain Martin.
IBANforgeClaude-Alain Martin
Rue de l'Eglise 23
1045 Ogens
Schweiz
- Nicht im Handelsregister eingetragen: Ein Schweizer Einzelunternehmen muss sich erst ab einem Jahresumsatz von 100 000 Franken eintragen lassen (Art. 931 des Schweizerischen Obligationenrechts).
- Nicht im Schweizer Mehrwertsteuerregister eingetragen.
- Eine Person entwickelt und betreibt den Dienst. Es gibt keine Beschäftigten.
- Kontakt: support@ibanforge.com
Wo der Dienst läuft
Jede Zeile lässt sich von außen prüfen, mit dem Befehl daneben.
API
Railway, Region Amsterdam (Niederlande, EU). Schweizer Datenverkehr gelangt über den Netzwerkrand von Railway in Zürich.
Prüfen
curl -sI https://api.ibanforge.com/health | grep -i x-railway-edgeDer Header x-railway-edge nennt den Netzwerkrand, der Ihnen am nächsten liegt (zrh1 aus der Schweiz). Die Region Amsterdam selbst ist von außen nicht sichtbar.
Website und Dashboard
Vercel. Die Funktionen laufen in der Region Frankfurt (Deutschland, EU); statische Seiten kommen aus dem globalen Netz von Vercel.
Prüfen
curl -sI https://ibanforge.com/legal/dpa | grep -i x-vercel-idIm Header x-vercel-id ist der Teil nach dem ersten :: die Region, in der die Funktion lief: fra1 ist Frankfurt. Der erste Teil ist der Netzwerkrand, der Ihnen am nächsten liegt.
E-Mail, DNS und Sicherungen
Infomaniak, Schweiz. Ein Server dort hält auch die nächtlichen Sicherungen des Kontostands.
Prüfen
dig +short NS ibanforge.comDie Nameserver sind die von Infomaniak.
Was wir aufbewahren und wie lange
- Zur Validierung übermittelte IBAN
- Nicht gespeichert. Verarbeitung im Arbeitsspeicher, um die Anfrage zu beantworten.
- Eine ungültige IBAN
- Nur ihre ersten 4 Zeichen (Ländercode und Prüfziffern), mit den Anfrage-Metadaten, bis zu 12 Monate.
- Anfrage-Metadaten: Pfad, Status, Latenz, Zeit, User-Agent, Präfix des Schlüssels
- 12 Monate, danach automatisch gelöscht. Die IP-Adresse nur als gesalzener Hashwert.
- Protokoll des Netzwerkrands unseres API-Hosters: rohe IP-Adresse, Anfragepfad, Status, User-Agent, Zeit
- 7 Tage, von Railway geführt und gelöscht, außerhalb unserer eigenen Protokolle.
- Eine in das Datei-Audit hochgeladene Datei
- Nur ihr kommentierter Bericht: 2 Stunden, wenn er nicht bezahlt ist, 24 Stunden nach der Zahlung.
- Ihre E-Mail-Adresse, wenn Sie eine angeben
- Solange Ihr Schlüssel besteht. Auf Antrag aus dem aktiven Datenbestand gelöscht; Sicherungen, die sie noch enthalten, laufen innerhalb von 90 Tagen aus.
- Sicherungen des Kontostands: Schlüssel als Hashwerte, E-Mail-Adressen, Kontingente, Guthaben, Kaufbelege
- Jede Nacht auf einen Server von Infomaniak in der Schweiz, 30 Tage an Kopien; monatliche Kopien auf einem Rechner des Betreibers in der Schweiz, die letzten drei aufbewahrt. Keine zur Validierung übermittelte IBAN, kein Anfrageprotokoll. Die Wiederherstellung wird getestet.
IBAN im Body einer POST-Anfrage senden
POST /v1/iban/validate, /v1/iban/batch und /v1/iban/compliance nehmen die IBAN im JSON-Body entgegen. Setzen Sie nie eine IBAN in eine URL: Das Protokoll des Netzwerkrands unseres Hosters erfasst den Anfragepfad.
Unterauftragsverarbeiter
Wer Daten für uns verarbeitet, wo, und auf welcher Grundlage Daten die Schweiz und die EU verlassen. Einträge im Data Privacy Framework am 5. Oktober 2026 im amtlichen Register geprüft.
Railway Corp.
Hosting und Speicherung der API
- Region
- Amsterdam (EU)
- Erhält übermittelte IBAN?
- Ja, im Arbeitsspeicher, um die Anfrage zu beantworten
- Übermittlungsgrundlage
- EU-US- und Swiss-US-Data-Privacy-Framework, aktiv (Railway Corporation)
Vercel Inc.
Website und Dashboard; Eingaben im Playground werden an die API weitergeleitet
- Region
- Funktionen: Frankfurt (EU). Statische Seiten: globales Netz
- Erhält übermittelte IBAN?
- Nur eine im Playground der Website eingegebene IBAN
- Übermittlungsgrundlage
- EU-US- und Swiss-US-Data-Privacy-Framework, aktiv (Vercel Inc.)
Stripe Payments Europe
Kartenzahlungen
- Region
- EU
- Erhält übermittelte IBAN?
- Nein
- Übermittlungsgrundlage
- In der EU niedergelassen. Das verbundene US-Unternehmen Stripe, LLC: EU-US- und Swiss-US-Data-Privacy-Framework, aktiv
Coinbase (CDP-Facilitator)
USDC-Abwicklung von x402-Zahlungen; der x402.org-Facilitator dient als Rückfallebene
- Region
- USA
- Erhält übermittelte IBAN?
- Nein
- Übermittlungsgrundlage
- EU-US- und Swiss-US-Data-Privacy-Framework, aktiv (Coinbase, Inc.)
Infomaniak Network SA
Transaktions- und Support-E-Mail; nächtliche Sicherung des Kontostands
- Region
- Schweiz
- Erhält übermittelte IBAN?
- Nur eine IBAN, die Sie uns in einer E-Mail schreiben
- Übermittlungsgrundlage
- Schweiz: Angemessenheitsbeschluss der Europäischen Kommission
GitHub Inc.
Öffentlicher Quellcode und CI, keine Kundendaten
- Region
- USA
- Erhält übermittelte IBAN?
- Nein
- Übermittlungsgrundlage
- EU-US- und Swiss-US-Data-Privacy-Framework, aktiv (GitHub)
Anthropic PBC
KI-gestützte Entwürfe von Antworten auf E-Mails, vom Betreiber ausgelöst
- Region
- USA
- Erhält übermittelte IBAN?
- Die API sendet ihm nie eine IBAN; nur eine IBAN, die Sie uns in einer E-Mail schreiben
- Übermittlungsgrundlage
- Nicht im Data Privacy Framework zertifiziert. Standardvertragsklauseln des Data Processing Addendum von Anthropic
| Unterauftragsverarbeiter | Rolle | Region | Erhält übermittelte IBAN? | Übermittlungsgrundlage |
|---|---|---|---|---|
| Railway Corp. | Hosting und Speicherung der API | Amsterdam (EU) | Ja, im Arbeitsspeicher, um die Anfrage zu beantworten | EU-US- und Swiss-US-Data-Privacy-Framework, aktiv (Railway Corporation)Registereintrag |
| Vercel Inc. | Website und Dashboard; Eingaben im Playground werden an die API weitergeleitet | Funktionen: Frankfurt (EU). Statische Seiten: globales Netz | Nur eine im Playground der Website eingegebene IBAN | EU-US- und Swiss-US-Data-Privacy-Framework, aktiv (Vercel Inc.)Registereintrag |
| Stripe Payments Europe | Kartenzahlungen | EU | Nein | In der EU niedergelassen. Das verbundene US-Unternehmen Stripe, LLC: EU-US- und Swiss-US-Data-Privacy-Framework, aktivRegistereintrag |
| Coinbase (CDP-Facilitator) | USDC-Abwicklung von x402-Zahlungen; der x402.org-Facilitator dient als Rückfallebene | USA | Nein | EU-US- und Swiss-US-Data-Privacy-Framework, aktiv (Coinbase, Inc.)Registereintrag |
| Infomaniak Network SA | Transaktions- und Support-E-Mail; nächtliche Sicherung des Kontostands | Schweiz | Nur eine IBAN, die Sie uns in einer E-Mail schreiben | Schweiz: Angemessenheitsbeschluss der Europäischen KommissionDokument |
| GitHub Inc. | Öffentlicher Quellcode und CI, keine Kundendaten | USA | Nein | EU-US- und Swiss-US-Data-Privacy-Framework, aktiv (GitHub)Registereintrag |
| Anthropic PBC | KI-gestützte Entwürfe von Antworten auf E-Mails, vom Betreiber ausgelöst | USA | Die API sendet ihm nie eine IBAN; nur eine IBAN, die Sie uns in einer E-Mail schreiben | Nicht im Data Privacy Framework zertifiziert. Standardvertragsklauseln des Data Processing Addendum von AnthropicDokument |
Ein neuer Unterauftragsverarbeiter wird mindestens 30 Tage, bevor er personenbezogene Daten erhält, per E-Mail an die Adresse jedes aktiven Schlüssels und im Changelog angekündigt; nach dem Auftragsverarbeitungsvertrag können Sie widersprechen.
Dieselbe Liste mit denselben Grundlagen bildet Anhang II des Auftragsverarbeitungsvertrags. Auftragsverarbeitungsvertrag
Übermittlungen aus der EU
IBANforge ist in der Schweiz niedergelassen. Die Europäische Kommission erkennt der Schweiz ein angemessenes Datenschutzniveau zu (Entscheidung 2000/518/EG) und hat dies bei ihrer Überprüfung vom 15. Januar 2024 bestätigt: Personenbezogene Daten können ohne Standardvertragsklauseln aus der EU an uns übermittelt werden.
Für danach zertifizierte US-Unterauftragsverarbeiter stützen sich Übermittlungen auf den EU-US-Datenschutzrahmen (Durchführungsbeschluss (EU) 2023/1795 der Kommission) und, aus der Schweiz, auf den Swiss-US-Datenschutzrahmen, in Kraft seit dem 15. September 2024.
Sicherheit
Jeder Pull-Request führt die automatisierten Tests in GitHub Actions aus (API, Website, SDKs) und startet den Produktionscontainer, ebenso jede Änderung, die der Betreiber auf den Hauptzweig pusht. Die automatischen Datenaktualisierungen veröffentlichen ohne diese Testsuite und führen vorher eigene Prüfungen aus: Die Aktualisierungen der BIC-Daten und der tschechischen und italienischen Register führen die API-Tests aus und vergleichen die neuen Daten mit den bisherigen; die wöchentliche Aktualisierung der Compliance-Daten prüft, dass die von der API angekündigte Abdeckung den neuen Listen entspricht.
CI-LäufeDer Code ist öffentlich, unter der MIT-Lizenz: Jeder kann nachlesen, wie eine IBAN verarbeitet wird.
QuellcodeAPI-Schlüssel werden als SHA-256-Hashwerte gespeichert. Ein neu ausgegebener Schlüssel wird zusätzlich einmal zum Abruf vorgehalten und beim ersten Abruf, spätestens nach 7 Tagen, gelöscht.
Der gesamte Datenverkehr ist verschlüsselt. Aktuelle Clients handeln TLS 1.3 aus, HTTP wird auf HTTPS umgeleitet, und beide Hosts senden HSTS.
Eine Schwachstelle melden Sie an support@ibanforge.com mit SECURITY im Betreff. Derselbe Weg steht in der security.txt beider Hosts (RFC 9116) und in unserer Sicherheitsrichtlinie.
Dependabot überwacht die Abhängigkeiten und öffnet Sicherheitsupdates als öffentliche Pull-Requests.
Verfügbarkeit, offen gesagt
Die Statusseite veröffentlicht die Erfolgsquote der API über 7 und 30 Tage, berechnet aus unserem serverseitigen Anfrageprotokoll.
StatusseiteEditor- und OEM-Abonnements haben eine schriftliche SLA: 99,5 % Verfügbarkeit je Kalendermonat, mit Servicegutschriften.
SLAEine externe Sonde auf einem Server bei Infomaniak in der Schweiz ruft die API und die Website jede Minute auf und alarmiert den Betreiber. Ihre Ergebnisse werden nicht veröffentlicht.
Die API läuft als einzelne Instanz mit einem persistenten Speichervolumen in einer Region. Jede Aktualisierung, auch die automatischen Datenaktualisierungen, startet sie neu, und Anfragen, die während des Wechsels eintreffen, warten oder scheitern. Railway dokumentiert dies für jeden Dienst mit Speichervolumen; wir haben Wechsel von unter einer Minute bis zu knapp fünf Minuten beobachtet. Die Statusseite kann diese Anfragen nicht zählen, weil sie die API nie erreichen.
Dokumentation von RailwayWoher die Daten stammen
Wo ein nationales Register abgefragt wird, stammt die Antwort aus ihm und nennt es, mit Datum: die Deutsche Bundesbank für Deutschland, SIX BankMaster für die Schweiz und Liechtenstein, die Nationalbanken Österreichs, Belgiens, Tschechiens und der Slowakei, neben anderen. Andernorts antwortet eine zusammengesetzte BIC-Karte, und die Antwort sagt, dass sie nicht maßgeblich ist.
Wo ein Herausgeber Bedingungen stellt, werden sie in der Antwort selbst eingehalten; die Herausgeber, die uns eine schriftliche Genehmigung erteilt haben, stehen auf der Quellenseite.
Rund zwei Drittel der Zeilen unseres BIC-Verzeichnisses stammen aus einer öffentlichen Kopie des SWIFT-Verzeichnisses, deren Daten von Januar 2018 stammen und nicht mehr aktualisiert werden. Wir sagen das auf der Quellenseite und im Health-Endpunkt der API; wo ein nationales Register antwortet, hat es Vorrang.
Falls IBANforge eingestellt würde
Jeder zahlende Kunde (Pro-Abonnenten, Inhaber von Guthabenpaketen, Editor/OEM-Kunden) wird mindestens sechs Monate vor der Einstellung per E-Mail und in den Nutzungsbedingungen informiert, und für den Monat der Einstellung wird keine Verlängerung berechnet. Für einen kostenlosen Schlüssel beträgt die Frist, bevor wir ihn beenden, mindestens 30 Tage.
Nutzungsbedingungen, Ziffern 3 und 9Der Code ist unter der MIT-Lizenz veröffentlicht, und der Validierungskern ist ein eigenes MIT-Paket auf npm (ibanforge).
Der Code der API kann auf Ihren eigenen Servern laufen. Die Datendateien des Repositorys unterliegen weiterhin den Bedingungen ihrer Herausgeber (NOTICE-Datei), und die Daten, die wir bereitstellen, aber nicht weitergeben dürfen, etwa die Register Österreichs, Belgiens und San Marinos, sind nicht im Repository: Eine anderswo betriebene Kopie antwortet dafür mit „nicht abgefragt“.
NOTICE-DateiWas wir nicht haben
- Keine Zertifizierung nach ISO 27001 oder SOC 2.
- Kein Team: Eine Person entwickelt und betreibt den Dienst.
- Keine zweite Region und keine Bereitschaftsinstanz (siehe Verfügbarkeit).
Die Maßnahmen auf dieser Seite sind das, was wir stattdessen tun, und jede lässt sich prüfen.
Die Dokumente
Der Auftragsverarbeitungsvertrag ist vorunterzeichnet; eine gegengezeichnete PDF-Fassung erhalten Sie auf Anfrage unter support@ibanforge.com. Er sieht Prüfungen einschließlich einer Inspektion vor, höchstens einmal pro Kalenderjahr und mit 30 Tagen Ankündigung, wenn die Unterlagen nicht ausreichen.