Technische und organisatorische Maßnahmen

1. Hosting und Zutrittskontrolle

Anwendung, Datenbank und Dateien laufen auf einem Server der STRATO GmbH in Deutschland. Den Zutritt zum Rechenzentrum regelt STRATO. Mit STRATO besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; für Rechenzentrum, Netz und Hardware gelten die darin festgelegten technischen und organisatorischen Maßnahmen von STRATO.

2. Zugangs- und Zugriffskontrolle

• Aus dem Internet ist nur der Reverse-Proxy (Caddy) erreichbar (Ports 80 und 443). Der Anwendungsport ist nur auf dem Server selbst gebunden; die Datenbank ist nur im internen Container-Netz erreichbar.
• Die Anwendung läuft im Container als Benutzer ohne Root-Rechte.
• Nutzer melden sich mit E-Mail-Adresse und Passwort an. Passwörter werden als gesalzene Hashwerte gespeichert und gegen Regeln zu Mindestlänge und häufigen Passwörtern geprüft. Registrierung und Passwort-Zurücksetzen sind durch ein Captcha geschützt.
• API-Schlüssel werden nur als Hashwert gespeichert und können ein Ablaufdatum erhalten; API-Anfragen sind mengenbegrenzt.
• Rechnungsdateien liefert der Webserver nie direkt aus, sondern nur über Download-Ansichten, die die Zugehörigkeit prüfen, oder über Links, die an Dokument und Inhaber gebunden und fünf Minuten gültig sind.
• Administrativer Zugriff auf die Anwendung ist auf Administratorkonten des Anbieters beschränkt.
• Der SSH-Zugang zum Server ist ausschließlich per Schlüssel möglich.

3. Verschlüsselung

• Alle Verbindungen zur Website und zur API sind per TLS verschlüsselt (Zertifikat von Let's Encrypt). HTTP wird auf HTTPS umgeleitet; der Browser wird angewiesen, ein Jahr lang nur HTTPS zu nutzen (HSTS). Sitzungs- und CSRF-Cookies werden nur über HTTPS übertragen.
• Gespeicherte Daten (Datenbank, Dateien auf dem Server) verschlüsselt die Anwendung nicht zusätzlich.

4. Trennung der Kundendaten

Kundendaten sind logisch getrennt: Jede Rechnung und jede Datei ist einem Kundenkonto zugeordnet, und die Anwendung zeigt und liefert nur Daten des angemeldeten Kontos. Erzeugte Dateien liegen unter Pfaden je Kunde und Rechnung. Download-Antworten dürfen nicht zwischengespeichert werden und werden ohne Referrer ausgeliefert.

5. Eingabekontrolle und Protokollierung

• Änderungen an Status und Zahlungen einer Rechnung werden mit Zeitpunkt und handelndem Nutzer in einem Änderungsprotokoll erfasst.
• Prüfungen werden zur Zählung des Kontingents mit Zeitpunkt und Dateiname protokolliert.
• Das Zugriffsprotokoll des Webservers wird 7 Tage aufbewahrt und danach gelöscht (Rotation).
• Container-Protokolle (Anwendungs- und Fehlermeldungen) werden nach Größe rotiert: Es werden höchstens 5 Dateien zu je 20 MB aufbewahrt, die älteste Datei wird gelöscht.

6. Verfügbarkeit und Datensicherung

• Datenbank und Rechnungsdateien werden täglich gemeinsam auf dem Server gesichert. Jede Sicherung wird vor dem Abschluss geprüft (Datenbank-Dump, Archiv, Prüfsummen); Sicherungen werden 14 Tage aufbewahrt. Das Verfahren zur Wiederherstellung ist dokumentiert.
• Zusätzliche verschlüsselte Sicherungen an einem externen Speicherort sind geplant.
• Die Dienste starten nach einem Ausfall oder Neustart des Servers automatisch neu. Eine bestimmte Verfügbarkeit wird nicht zugesagt.

7. Löschung

Kunden können einzelne Rechnungen jederzeit löschen. Bei Löschung eines Kundenkontos werden alle Rechnungen samt Dateien, Partei-Vorlagen und Verwaltungsdaten gelöscht. Gelöschte Daten bleiben in den Datensicherungen, bis diese im Rahmen der Rotation nach 14 Tagen gelöscht werden.

8. Verfahren zur regelmäßigen Überprüfung

Änderungen an der Anwendung erfolgen über geprüfte Änderungsanträge mit automatisierten Tests. Die Maßnahmen werden bei Änderungen der Infrastruktur überprüft und in dieser Anlage angepasst.