Technisch-organisatorische Maßnahmen

In diesem Dokument sind die technisch-organisatorischen Maßnahmen (TOMS) aufgeführt, die wir zum Schutz personenbezogener Daten (sowie aller nicht-personenbezogenen sensiblen Daten) in Übereinstimmung mit der DSGVO einsetzen.

Allgemeine Bemerkungen

Wir entwickeln unsere Software nach dem Prinzip "Privacy by Design & Default " und setzen bewährte Verfahren für Sicherheit und Datenschutz ein, darunter:

• Minimierung von Daten : Wir minimieren die Erfassung und Protokollierung unnötiger Informationen und verwenden die kürzestmöglichen Aufbewahrungsfristen für Protokolle.
• Null-Vertrauens-Ansatz : Wir sichern und authentifizieren die gesamte Kommunikation in unserem Netzwerk mit einer Ende-zu-Ende-Verschlüsselung und vergeben keine besonderen Privilegien oder Vertrauen auf der Grundlage von Netzwerksegmenten.
• Verteidigung in der Tiefe (Defense In Depth) : Wir sind bestrebt, den Zugriff auf einzelne Systemkomponenten mit mindestens zwei unabhängigen Sicherheitsmechanismen zu authentifizieren und abzusichern, um sicherzustellen, dass der Ausfall eines einzelnen Sicherheitsmechanismus nicht zu Datenverlust oder Systemkompromittierung führt.
• Infrastruktur, Datenschutz & Sicherheit als Code : Wir systematisieren und automatisieren alle möglichen Aspekte unserer Systeme. Dazu gehört, dass wir die Infrastruktur deklarativ als Softwarecode definieren und die manuelle Verwaltung und Intervention auf ein Minimum reduzieren.
• Minimale externe Abhängigkeiten : Wann immer möglich, hosten und verwalten wir unsere eigenen Infrastrukturdienste, um das Risiko von Drittanbietern zu minimieren.
• Open-Source : Wann immer es möglich ist, verlassen wir uns beim Aufbau unserer Infrastruktur und Dienste auf überprüfbare, bewährte Open-Source-Softwarelösungen. Wo immer möglich, veröffentlichen wir auch unsere eigene Software als Open-Source.
• Einfachheit : Wir bemühen uns, die Komplexität zu minimieren und einfache, verständliche Softwaresysteme zu entwickeln, die leicht zu verstehen, zu optimieren und zu analysieren sind.

Gemeinsame bewährte Praktiken und Anforderungen, die direkt von der DSGVO impliziert werden, sind hier nicht explizit aufgeführt.

Vertraulichkeit der Daten

Die folgenden Maßnahmen zielen darauf ab, die Vertraulichkeit der persönlichen und nicht-persönlichen Daten zu gewährleisten, die wir für unsere Kunden und Nutzer verarbeiten.

Generische Maßnahmen

Die folgenden Maßnahmen gelten sowohl für unsere internen als auch für unsere öffentlichen IT-Dienste.

• Log-Zentralisierung & Audit-Protokollierung : Wir setzen die Protokollerfassung und -zentralisierung ein, um überprüfbare Protokolle aller relevanten Aktivitäten in unserer IT-Infrastruktur zu erstellen.
• Automatisierte Alarmierung : Wir verwenden automatische Benachrichtigungen (per E-Mail, SMS, App), die auf manuell definierten Auslösern basieren, um eine rechtzeitige Reaktion auf Serverprobleme und potenzielle Vorfälle zu gewährleisten.
• Minimierung der Funktionen : Wir entfernen systematisch unwichtige Funktionen aus unseren Softwaresystemen, um die Komplexität und die potenzielle Angriffsfläche zu reduzieren.

Interne IT-Dienste

Die folgenden Maßnahmen zielen darauf ab, unsere internen IT-Dienste zu sichern, zu denen z.B. unsere E-Mail-Infrastruktur, unsere Versionskontrollsysteme, Protokollierungs- und Audit-Dienste sowie persönliche Computergeräte gehören.

• Zugang zu IT-Diensten : Interne IT-Dienste sind nur über einen separaten, durchgängig verschlüsselten Netzwerkkanal zugänglich und durch mindestens zwei unabhängige Authentifizierungsmechanismen gesichert (z. B. ein VPN auf der Grundlage eines persönlichen Zertifikats und ein passwortgeschützter SSH-Schlüssel oder ein passwort- und faktorgeschütztes Benutzerkonto).
• Persönliche Computergeräte : Die Speicherung auf allen persönlichen Computergeräten wird im Ruhezustand verschlüsselt. Die Benutzer müssen die passwortbasierte Authentifizierung und automatische Sperrung aktivieren. Berechtigungsnachweise, die einen erweiterten Zugang zu unserer IT-Infrastruktur ermöglichen (z.B. SSH-Schlüssel), müssen durch automatisch generierte Passwörter geschützt werden, die wiederum durch einen Passwortmanager mit einer verschlüsselten Datenbank (z.B. KeepassXC) geschützt werden. Alle Dienste, die personenbezogene Daten verarbeiten, sind mit mindestens einem zweiten Faktor geschützt (z.B. einem Yubikey und/oder einem TOTP-basierten Einmalcode).

Öffentliche IT-Dienste

Die folgenden Maßnahmen zielen darauf ab, unsere öffentlichen IT-Dienste zu sichern, zu denen kundenorientierte Webdienste und zugehörige Infrastrukturdienste wie Datenbanken, Nachrichtenwarteschlangen und Serverinfrastruktur gehören.

• Physischer Zugang zur Server-Infrastruktur : Niemand in unserem Unternehmen hat in irgendeiner Form physischen Zugang zu unserer Server-Infrastruktur.
• Automatisierte Software-Updates : Wir wenden mindestens einmal täglich automatisch Sicherheitspatches auf alle Server an. Zusätzliche Maßnahmen wie die Zentralisierung von Protokollen und Warnmeldungen sorgen dafür, dass die automatischen Updates nur minimale Störungen verursachen.
• Automatisierte Bereitstellung : Wir automatisieren alle regelmäßigen Bereitstellungsaufgaben und minimieren den manuellen Zugriff auf die Serverinfrastruktur, um das Risiko der Datenpreisgabe zu verringern.

Datenintegrität

Die folgenden Maßnahmen zielen darauf ab, die Integrität der persönlichen und nicht-persönlichen Daten, die wir in unserer Infrastruktur verarbeiten, zu gewährleisten.

• Regelmäßige Backups : Wir führen mindestens täglich Backups aller relevanten Datenbanken und anderer Speicherartefakte durch, um sicherzustellen, dass wir in der Lage sind, Daten bei Verlust wiederherzustellen. Wir testen regelmäßig die Wiederherstellung von Daten aus Backups, um deren Korrektheit sicherzustellen.
• Umfassende Datenüberprüfung : Alle vom Benutzer eingegebenen Daten durchlaufen eine strenge, formularbasierte Datenvalidierungspipeline, um sicherzustellen, dass sie wohlgeformt sind.
• Audit-Protokollierung : Wir protokollieren alle Datenzugriffe und Änderungsvorgänge.
• Datenaufbewahrung : Wir automatisieren die Datenaufbewahrung und löschen Daten, die nicht mehr benötigt werden.

Verfügbarkeit

Die folgenden Maßnahmen zielen darauf ab, die Verfügbarkeit von Diensten und Daten für unsere Kunden und Nutzer zu gewährleisten.

• Redundanz : Wir sind bestrebt, alle zustandslosen Dienste (z. B. Web-APIs oder Worker) mit mindestens einfacher Redundanz zu betreiben, um die Kontinuität der Dienste im Falle eines einzelnen Serverausfalls sicherzustellen. Wir bemühen uns auch um geografische Redundanz, indem wir einzelne Replikate in verschiedenen Rechenzentren hosten.
• Ausfallsicherung : Wir verwenden eine Master-Slave- oder Master-Master-Replikation mit automatischem Failover für unsere Datenbanken, um die Servicekontinuität bei einem Serverausfall zu gewährleisten.
• Ausfalltoleranz : Unsere Services sind so konzipiert, dass sie den Ausfall einzelner Infrastrukturkomponenten problemlos bewältigen. So kann Klaro beispielsweise auf eine lokale Backup-Konfiguration zurückgreifen, wenn die vom Server gehostete Konfiguration nicht verfügbar ist. Es ist auch möglich, das Klaro-Skript für solche Fälle selbst zu hosten.

Bewertung der Maßnahmen

• Regelmäßige Selbst-Audits : Wir führen regelmäßig Selbstaudits unserer Sicherheits- und Datenschutzmaßnahmen durch und stellen Entwicklungskapazitäten für die Wartung, das Refactoring und die Verbesserung von Systemkomponenten und Software bereit.
• Externe Audits von Hochrisikokomponenten : Wir arbeiten mit externen Parteien zusammen, um risikoreiche Komponenten unserer Software-Infrastruktur auf Sicherheits- und Datenschutzprobleme zu prüfen.
• Datenschutz & Sicherheit Triage : Jeder neue Prozess, der Auswirkungen auf die Datensicherheit oder den Datenschutz hat, durchläuft einen internen Triage-Prozess, der mögliche Risiken gleich zu Beginn identifiziert und minimiert.
• Bewertung anhand von Best Practices : Wir bewerten unsere Maßnahmen und Praktiken regelmäßig selbst anhand relevanter Industriestandards und Best Practices, wie z.B. dem "BSI IT Grundschutz" Katalog.
• Open-Sourcing von Software : Wir veröffentlichen unsere Software als Open-Source, um die Überprüfbarkeit zu gewährleisten und der Allgemeinheit die Möglichkeit zu geben, die Software zu inspizieren und zu überprüfen. Außerdem verwenden wir reproduzierbare Build-Mechanismen, um sicherzustellen, dass die binären Artefakte mit dem Quellcode unserer Open-Source-Software übereinstimmen.