Sicherheit und technische Maßnahmen

1. Trennung der Mandanten

Jeder Betrieb ist ein eigener Mandant. Die Daten mehrerer Betriebe liegen in einer gemeinsamen Datenbank und sind mehrfach voneinander getrennt:

1. Jeder Zugriff ist auf den eigenen Betrieb beschränkt. Die Anwendung schränkt jede Abfrage und jede Änderung auf dem Server auf den Betrieb ein, in dem gearbeitet wird. Die Zuordnung eines Datensatzes zu einem Betrieb lässt sich nachträglich nicht ändern.
2. Modul- und Rollenprüfung. Bei jedem Zugriff wird geprüft, ob das Modul für den Betrieb eingeschaltet ist und ob die Rolle lesen oder schreiben darf.
3. Regeln pro Datensatz. Monteure sehen nur Projekte, denen sie zugewiesen sind, und nur ihre eigenen Zeiteinträge.
4. Prüfung in der Datenbank. Die Datenbank selbst nimmt keine Datensätze ohne Zuordnung zu einem Betrieb an.

Wer nicht Mitglied eines Betriebs ist, erhält auf dessen Adressen die Antwort „nicht gefunden“. Die Existenz fremder Betriebe wird nicht preisgegeben. Automatisierte Tests prüfen diese Regeln bei jeder Änderung der Software.

2. Anmeldung und Sitzungen

• Passwörter mit mindestens 12 Zeichen, gespeichert ausschließlich als kryptografischer Hash. Passwörter, die aus bekannten Datenlecks stammen, werden abgelehnt.
• Zwei-Faktor-Anmeldung mit einer Authenticator-App, für jedes Benutzerkonto einschaltbar.
• Neue Konten werden erst nach Prüfung freigeschaltet.
• Anmeldeversuche werden begrenzt, damit sich Passwörter nicht durchprobieren lassen.
• Sitzungen laufen nach höchstens sieben Tagen ab und lassen sich jederzeit beenden. Das Sitzungs-Cookie ist nur über HTTPS gültig und für Skripte nicht lesbar.
• Links zum Zurücksetzen des Passworts sind eine Stunde gültig und nur einmal verwendbar.
• Es gibt keine voreingestellten Konten oder Standardpasswörter.

3. Rollen und Rechte

Rollen pro Betrieb: Inhaber, Administration, Büro, Projektleitung, Monteur und Buchhaltung. Für jedes Modul ist festgelegt, welche Rolle lesen oder bearbeiten darf. Die Prüfung findet auf dem Server statt, bei jedem Seitenaufruf und jeder Aktion, nicht nur in der Navigation.

4. Verschlüsselung

• Übertragung zwischen Browser und Anwendung ausschließlich per HTTPS (TLS).
• Verbindung zwischen Anwendung und Datenbank per TLS.
• Speicherung in MongoDB Atlas verschlüsselt (Encryption at Rest), einschließlich der Datensicherungen.
• Schutz im Browser: Die Anwendung lässt sich nicht in fremde Seiten einbetten, und eine Content-Security-Policy verhindert, dass eingeschleuste Skripte ausgeführt werden.

5. Änderungsprotokoll

Änderungen an Daten eines Betriebs werden mit Zeitpunkt, handelnder Person, Modul, Aktion und Zusammenfassung protokolliert. Die Anwendung bietet kein Ändern oder Löschen von Protokolleinträgen an. Lesen dürfen Inhaber, Administration und Buchhaltung. IP-Adressen werden nur gekürzt gespeichert.

6. Integrität von Belegen

• Rechnungsnummern werden lückenlos pro Betrieb und Jahr vergeben, und zwar erst beim Finalisieren der Rechnung.
• Beim Finalisieren werden Absender, Empfänger und Positionen eingefroren und mit einer Prüfsumme (SHA-256) über den Inhalt versiegelt.
• Finalisierte Rechnungen werden nicht geändert oder gelöscht. Korrekturen erfolgen per Stornorechnung.

7. Verfügbarkeit und Datensicherung

• Die Datenbank wird auf mehrere Server gespiegelt, sodass der Ausfall eines Servers keine Daten kostet.
• Datensicherung über die Sicherungsfunktionen von MongoDB Atlas in der EU.
• Frühere Versionen der Anwendung lassen sich bei Bedarf sofort wiederherstellen.

8. Hosting und Dienstleister

Die Datenbank liegt bei MongoDB Atlas in der EU-Region Frankfurt. Die Anwendung wird bei Vercel ausgeführt, Funktionsregion fra1 (Frankfurt am Main). Die Rechenzentren der Dienstleister sind nach ISO 27001 zertifiziert und verantworten Zutrittskontrolle und physische Sicherheit. Alle Dienstleister sind im Auftragsverarbeitungsvertrag aufgeführt.

9. Datenschutz durch Technikgestaltung

• Kein Tracking, keine Analyse- oder Werbe-Cookies. Schriften werden selbst ausgeliefert.
• Werbe-Einwilligungen von Endkunden sind standardmäßig aus und werden mit Zeitpunkt gespeichert.
• Protokolle der Anwendung enthalten keine E-Mail-Inhalte und keine Links zum Zurücksetzen von Passwörtern.
• Fehlermeldungen an den Browser enthalten keine internen Details.
• Ein Betrieb kann seine Daten jederzeit vollständig exportieren. Nach einem Löschantrag werden sie nach Ablauf der Frist automatisch endgültig gelöscht.

10. Organisatorische Maßnahmen

• Rollen und Rechte je Betrieb; der Betrieb vergibt sie selbst nach dem Grundsatz der geringsten Berechtigung.
• Neue Benutzerkonten werden erst nach Prüfung durch den Anbieter freigeschaltet.
• Zwei-Faktor-Anmeldung für alle Benutzerkonten verfügbar.
• Verwaltungszugänge des Anbieters sind auf wenige Plattform-Administratoren beschränkt. Jede ihrer Aktionen wird protokolliert.
• Ein Zugriff des Supports auf die Daten eines Betriebs erfolgt nur, wenn er für die Hilfe nötig ist, und wird im Änderungsprotokoll dieses Betriebs festgehalten.
• Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter nach Art. 33 DSGVO binnen 72 Stunden der Aufsichtsbehörde und informiert betroffene Betriebe nach dem Auftragsverarbeitungsvertrag.

11. Regelmäßige Überprüfung

• Automatisierte Tests für Mandantentrennung, Rollen und Belegregeln.
• Jede Änderung wird vor der Veröffentlichung geprüft, Abhängigkeiten werden laufend aktualisiert.