Sicherheitszentrum

Wie Tempus AI PM deine Daten schützt, worauf es zugreift und wie du Schwachstellen meldest.

Grundprinzip: Tempus ist eine local-first Chrome-Erweiterung. Deine Jira-, Kalender- und Projektdaten werden in deinem Browser verarbeitet. Tempus betreibt keinen zentralen Anwendungsserver, der deine Daten empfängt oder speichert.

1. Architekturüberblick

Tempus ist eine Chrome-Erweiterung (Manifest V3), die vollständig in deinem Browser als Service Worker plus Seitenpanel läuft. Sie kommuniziert direkt mit deinen bestehenden SaaS-APIs — Jira, Tempo, Google Calendar, Confluence, Dynamics 365, Salesforce — über deine authentifizierten Sitzungen. Keine Daten werden über Tempus-Server geleitet.

Was sich wohin verbindet

Verbindung	Richtung	Daten	Zweck
Jira Cloud	Browser → Jira	Issues, Worklogs, Projekte	Kernfunktionalität
Tempo	Browser → Tempo	Pläne, Zuteilungen, Zeitpläne	Kapazität & Compliance
Google Calendar	Browser → Google	Termine (schreibgeschützt)	Meeting-Sichtbarkeit
Confluence	Browser → Confluence	Seitenerstellung	Berichtsveröffentlichung
Dynamics 365 / Salesforce	Browser → CRM	Projektfelder	CRM-Datensynchronisation
Claude / Gemini	Browser → KI-Anbieter	Ausgewählte Projektmetriken	KI-Analyse (optional, vom Nutzer gestartet)
Supabase	Browser → Supabase	Lizenzschlüssel + Geräte-ID	Nur Lizenzvalidierung

2. OAuth-Scopes & Berechtigungen

Tempus fordert die minimal erforderlichen Scopes für jede Integration an:

Jira / Atlassian (OAuth 2.0 — 3LO)

read:jira-work — Worklogs, Issues, Projekte lesen
write:jira-work — Worklogs erstellen und aktualisieren
read:jira-user — Benutzerprofile für Team-Ansichten lesen
read:confluence-content.all — Confluence-Bereiche lesen (Veröffentlichungsziel)
write:confluence-content — Confluence-Seiten erstellen (Berichte)

Google Calendar (OAuth 2.0)

calendar.events.readonly — schreibgeschützter Zugriff auf Kalendertermine. Tempus kann keine Termine erstellen, ändern oder löschen.

Tempo

Persönliches API-Token — von dir in den Einstellungen angegeben. Wird für Pläne, Zuteilungen, Zeitpläne und Arbeitstagdaten verwendet.

Dynamics 365 / Salesforce

Cookie-basierte Sitzung oder OAuth 2.0 (Dynamics), OAuth 2.0 (Salesforce). Zugriff nur auf die konfigurierten Entitäts-/Objektfelder beschränkt.

3. Token-Speicherung

Tempus nutzt die Erweiterungs-Speicher-APIs von Chrome mit Sicherheits-Best-Practices:

Zugriffstokens werden in chrome.storage.session gespeichert — flüchtiger Speicher, der beim Schließen des Browsers geleert wird und für Content-Skripte oder Webseiten nicht zugänglich ist.
Refresh-Tokens werden in chrome.storage.local gespeichert, der Zugriff ist über setAccessLevel auf vertrauenswürdige Erweiterungskontexte beschränkt (Service Worker und Popup).
Tokens werden niemals Webseiten, Content-Skripten oder anderen Erweiterungen zugänglich gemacht.
Du kannst alle Tokens sofort widerrufen, indem du Integrationen in den Einstellungen trennst oder die Erweiterung deinstallierst.

4. Datenaufbewahrung & -speicherung

Datentyp	Speicher	Aufbewahrung
Jira-Issues, Worklogs	chrome.storage.local	Zwischengespeichert; beim Trennen gelöscht
Kalendertermine	Nur im Arbeitsspeicher	Verworfen, wenn das Popup schließt
Tempo-Daten	In-Memory-Cache (60s TTL)	Nicht persistiert
CRM-Felddaten	chrome.storage.local	Nur Konfiguration; Live-Daten werden pro Ansicht abgerufen
KI-Analyseergebnisse	chrome.storage.local (optional)	Vom Nutzer verwaltet; in Berichten löschbar
Passives Aktivitätsprotokoll	chrome.storage.local	Automatische Bereinigung nach 30 Tagen
Lizenzschlüssel	chrome.storage.local	Bis du die Verbindung trennst

5. Content Security Policy

Die manifest.json der Erweiterung erzwingt eine strikte Content Security Policy. Es werden keine Inline-Skripte verwendet — alle Event-Handler werden programmatisch gebunden. Zur Laufzeit werden keine externen Skripte geladen. Die Erweiterung injiziert keine Content-Skripte in Webseiten.

6. Drittanbieter-Dienste

Dienst	Zweck	Gesendete Daten
Supabase	Lizenzvalidierung & Geräteaktivierung	Lizenzschlüssel, anonymisierter Geräte-Fingerabdruck
Stripe	Zahlungsabwicklung	Vollständig von Stripe abgewickelt — Tempus sieht nie Kartendaten
Resend	Transaktions-E-Mail (Lizenzzustellung)	E-Mail-Adresse + Lizenzschlüssel
Claude API / Gemini API	KI-Analyse (optional, vom Nutzer gestartet)	Ausgewählte Projektmetriken: Titel, Status, Stunden, Namen der Teammitglieder

7. Was Tempus NICHT tut

Sammelt keine Nutzungsanalysen oder Verhaltensdaten
Zeigt keine Werbung
Verkauft oder teilt keine Daten mit Dritten
Betreibt kein zentrales Backend, das deine Jira-Daten verarbeitet
Injiziert keine Skripte in Webseiten
Greift nicht auf Browserverlauf, Lesezeichen oder andere Erweiterungen zu
Speichert keine Zugangsdaten — nur von Chromes APIs verwaltete OAuth-Tokens

8. Meldung von Schwachstellen

Wenn du eine Sicherheitslücke in Tempus entdeckst, melde sie bitte verantwortungsvoll. Alle Meldungen werden ernst genommen und zeitnah beantwortet.

E-Mail: hello@tempus-ai-pm.com (Betreff: "Security Report")

Bitte füge bei:

Beschreibung der Schwachstelle
Schritte zur Reproduktion
Einschätzung der Auswirkungen
Dein Lösungsvorschlag (falls vorhanden)

Meldungen werden innerhalb von 48 Stunden bestätigt, ein Zeitplan zur Behebung wird innerhalb von 5 Werktagen bereitgestellt.

9. Updates

Diese Seite wird mit jeder Version aktualisiert. Erweiterungs-Updates werden automatisch über den Chrome Web Store ausgeliefert. Änderungen an Scopes, Berechtigungen oder Datenverarbeitung werden im Changelog der Erweiterung und auf dieser Seite kommuniziert.

Zuletzt aktualisiert: September 2026 · Erweiterungsversion: 4.5.0