Anlage A: Sicherheitsmassnahmen

Sicherheitsmassnahmen

Diese Anlage beschreibt die vereinbarten technischen und organisatorischen Sicherheitsmassnahmen. Sie ist kein Zertifikat und keine Zusage vollständiger Risikofreiheit.

A1. Zugänge und Mandantentrennung

Nutzer werden authentifiziert; Firmenzugehörigkeit und Rollen werden serverseitig geprüft. Berechtigungen werden auf erforderliche Aufgaben beschränkt. Betreiberzugänge werden getrennt und mit geeigneter starker Authentisierung geschützt. Mitgliedschaften und privilegierte Rechte werden regelmässig und bei Änderungen überprüft.

A2. Verbindungen und Geheimnisse

Die Anwendung wird über HTTPS bereitgestellt. Sitzungscookies werden gegen unverschlüsselte Übertragung und direkten Skriptzugriff geschützt. Zugangsschlüssel und private Schlüssel werden getrennt vom öffentlich zugänglichen Anwendungscode in geschützter Konfiguration verwahrt und nur berechtigten Personen zugänglich gemacht.

A3. Integrität und nachvollziehbare Bearbeitung

Berechtigungsprüfungen, Eingabeprüfung und Begrenzung von Anfragen schützen die Bearbeitung. Zahlungsereignisse werden auf ihre Signatur geprüft. Sicherheits- und Wartungsnachweise enthalten nur die erforderlichen Angaben; Passwörter, private Schlüssel und unnötige Geschäftsinhalte gehören nicht in Protokolle.

A4. Sicherung und Wiederherstellung

Firmensicherungen in Elnio verwenden AES-256-GCM. Die zusätzliche Betreiber-Sicherung der Datenbank und Dateien wird vor dem Speichern auf der externen Festplatte mit age verschlüsselt. Der private Wiederherstellungsschlüssel wird getrennt vom Sicherungsarchiv verwahrt. Nicht exportierbare Dienstgeheimnisse sind nicht automatisch Bestandteil dieser Sicherung.

Am 19. Oktober 2026 wurden Datenbankintegrität, Fremdschlüssel und Dateiprüfsummen anhand einer entschlüsselten Sicherung in einer getrennten lokalen Prüfumgebung kontrolliert. Eine vollständige Neuinstallation des produktiven Cloudflare-Systems aus dieser Sicherung wurde damit noch nicht nachgewiesen.

Die tägliche Sicherungsaufgabe benötigt den laufenden Betreibercomputer, die lokale Sicherungsaufgabe und die angeschlossene Festplatte. Eine erfolgreiche vorherige Sicherung wird dokumentiert; eine ausgefallene oder ausgebliebene Sicherung wird nicht als neue Sicherung ausgegeben. Für einen Wiederanlauf müssen die benötigten Zugangsmittel und Schlüssel verfügbar sein.

Am 24. Oktober 2026 wurde eine aktuelle verschlüsselte Vollsicherung auf der unabhängig gespeicherten Toshiba-Platte zurückgelesen: Datenbankintegrität und sämtliche 25 Dateiverweise wurden geprüft. Neun enthaltene V2-Firmensicherungen wurden mit der separat verschlüsselten Schlüsselkopie entschlüsselt und mit dem Elnio-Anwendungscode isoliert im Arbeitsspeicher wiederhergestellt. Datensatzanzahlen, Integrität und Ablehnung fremder Firmenzugriffe sind geprüft. Dabei wurde eine synthetische Eigentümeridentität verwendet; ein echter WorkOS-Login, produktiver Restore oder vollständiger Anbieter-Failover wird nicht als geprüft behauptet.

A5. Betrieb und Vorfälle

Sicherheitsrelevante Änderungen werden überprüft, Schwachstellen risikogerecht behoben und Störungen dokumentiert. Verantwortlicher Betreiber ist Rafail Werdelis. Es besteht derzeit keine personelle Vertretung. Der Betreiber organisiert die fristgerechte Prüfung und Bearbeitung von Support-, Sicherheits- und Löschanfragen auch während Ferien oder längerer Abwesenheit. Erforderliche Kundeninformationen richten sich nach der AVB; ein nicht vereinbarter persönlicher 24-Stunden-Support wird dadurch nicht zugesagt.

A6. Löschung und Dienstleisterkontrolle

Löschaufträge werden auf Berechtigung geprüft; gesetzliche Sperren und abgeschlossene Löschungen werden dokumentiert. Sicherungskopien dürfen die Löschung nicht dauerhaft unterlaufen. Eingesetzte Dienstleister und Änderungen werden auf Aufgabe, Datenumfang, Schutzmassnahmen und Auslandbearbeitung geprüft. Nachweise werden geschützt aufbewahrt und auf berechtigte Anfrage zugänglich gemacht.