Technische und organisatorische Maßnahmen

Entwurfsfassung für den geplanten Betrieb. Gewerbe- und Registerangaben sowie die Liste der Hosting- und Kommunikationsdienstleister sind noch zu bestätigen. Die tatsächlichen Dienstleister und Verarbeitungsorte müssen vor Verarbeitung echter Kundendaten ergänzt werden.

Verantwortlich für die Umsetzung beim Anbieter: Kevin Kozar, Einzelunternehmer, Johann Joseph Fux Gasse 3/11, 8480 Mureck, Österreich; Kontakt: kevin.kozar@kup-solutions.at. Anwendung und Sicherungsdienst sind auf dem VPS eingerichtet und laufen. Die App-Zustandsprüfung sowie das Entpacken und die SQLite-Integritätsprüfung einer erzeugten Sicherung waren erfolgreich. Diese Übersicht unterscheidet vorhandene Funktionen, geprüfte Bereitstellung und noch einzurichtende Betriebsabläufe. Hostinganbieter und Verarbeitungsorte sind weiterhin zu bestätigen; die Freigabe für echte Kundendaten bleibt ausstehend.

1. Vorhandene Funktionen und geprüfte Bereitstellung

• Passwörter und Sitzungsschlüssel: Passwörter werden mit individuellem Zufallssalz und scrypt verarbeitet. Sitzungsschlüssel entstehen aus 32 Zufallsbytes; serverseitig werden ihre SHA-256-Hashes gespeichert. In Produktion trägt das Sitzungscookie Secure, HttpOnly und SameSite=Lax. Sitzungen laufen nach 30 Tagen ab; Logout beendet die betreffende Sitzung, ein Passwort-Reset alle Sitzungen des Nutzers.
• Betriebliche Trennung: Arbeitsbereichszugriffe werden anhand angemeldeter Nutzer und ihrer Betriebszuordnung abgefragt. Die Rolle „Nur lesen“ darf gespeicherte Pläne lesen und exportieren; die Speicher-API verweigert Änderungen durch diese Rolle. Gespeicherte Versionen unterstützen die Erkennung konkurrierender Änderungen.
• Transport und Anwendungsschutz: Der auf dem Host laufende Caddy ist als Reverse Proxy aktiv. HTTPS ist für flottenplan.at und www.flottenplan.at mit ausgestellten Let's-Encrypt-Zertifikaten eingerichtet; Hostnamen und Zertifikatsketten wurden auf dem Server und von außen erfolgreich geprüft. Die automatische Erneuerung ist konfiguriert. Die reguläre Anmeldung setzt HTTPS voraus. Die App setzt Sicherheitsheader und prüft bei schreibenden Anfragen einen vorhandenen Origin-Header gegen die konfigurierte Domain. Anmeldebezogene und schreibende API-Aufrufe werden begrenzt. Diese Funktionen sind kein Nachweis eines Penetrationstests oder vollständiger Angriffssicherheit.
• Ausführung: Die App läuft im Container als Benutzer ohne Root-Rechte. Ihr veröffentlichter Port ist auf 127.0.0.1:4175 gebunden und damit nur lokal auf dem Server erreichbar; Caddy übernimmt den öffentlichen Einstieg. Die App-Zustandsprüfung war erfolgreich. Die weitergehenden Firewall-, SSH- und Administratorprozesse sind vor Freigabe zu dokumentieren.
• Sicherungen: Ein eigener laufender Container erstellt konsistente SQLite-Snapshots bei Start und anschließend alle 24 Stunden. Eine erzeugte Gzip-Sicherung wurde erfolgreich entpackt und per SQLite-Integritätsprüfung kontrolliert; ein vollständiger Wiederherstellungstest der Anwendung ist damit noch nicht belegt. Gzip-Dateien älter als 14 Tage werden bei erfolgreichen Sicherungsläufen entfernt. Die Sicherungen liegen auf einem separaten Volume desselben Servers und sind durch die App nicht verschlüsselt. Ein Serverausfall kann deshalb auch die Sicherungen betreffen. Ein garantiertes Löschdatum erfordert gegebenenfalls gezielte Bereinigung.
• Protokolle: Caddy-Zugriffsprotokolle filtern die URL-Parameter token und next sowie den Referer-Header. Die Rotation ist auf 10 MiB pro Datei, bis zu drei Archivdateien und 14 Tage Archivaufbewahrung konfiguriert. Docker-Protokolle sind gesondert auf drei Dateien von jeweils 10 MB pro Dienst begrenzt; diese Größenrotation hat keine feste Tagesfrist. Ohne SMTP-Konfiguration protokolliert die Produktionsanwendung nur einen allgemeinen Zustellungsfehler, keine Empfänger, Betreffzeilen, Nachrichteninhalte oder geheimen Links. Das separate Datenbank-Auditprotokoll hat derzeit keine automatische Bereinigung. Ablauf von Sitzungs-, Bestätigungs- und Einladungstoken verhindert weitere Nutzung; er löscht deren Datenbankzeilen nicht automatisch.

2. Vor Verarbeitung echter Kundendaten umzusetzen

Der Anbieter muss Hostingvertrag, Verarbeitungs- und Zugriffsorte, Unterauftragnehmer und erforderliche Transfergrundlagen feststellen und dokumentieren. Die eingerichtete automatische Zertifikatserneuerung ist im laufenden Betrieb zu überwachen. Ergänzend sind die Wiederherstellung der gesamten Anwendung mit Testdaten sowie die erforderlichen Löschabläufe zu erproben. Ohne diese Freigabe erfolgt kein Produktivbetrieb mit personenbezogenen Auftragsdaten.

Einzurichten sind dokumentierte Administratorberechtigungen nach Erforderlichkeit, sichere Schlüsselverwaltung, zeitnahe Sicherheitsupdates, Entzug nicht mehr benötigter Zugriffe, Vertraulichkeitsbindungen, Zuständigkeiten und ein erreichbarer Prozess für Datenschutzvorfälle. Datenschutzanfragen, Weisungen, Löschfristen, Export, Rückgabe und Wiederherstellung bereits gelöschter Datensätze müssen nachvollziehbar bearbeitet werden. Wirksamkeit und Anpassungsbedarf sind regelmäßig sowie nach wesentlichen Änderungen zu prüfen.

Bekannte offene Punkte sind zu beheben oder risikogerecht verbindlich zu regeln: Routing-API-Schlüssel können aktuell mit Arbeitsbereichen serverseitig gespeichert und exportiert werden. Lokale Wiederherstellungskopien sind nicht nach Betrieben getrennt und bleiben nach Logout bestehen. Für echte Kundendaten sind entsprechende Schutz- und Bereinigungslösungen erforderlich.

3. Grenzen und Änderungen

Derzeit sind weder Verschlüsselung gespeicherter Daten noch unabhängige externe Sicherungen, Mehrfaktor-Authentifizierung, formelle Zertifizierungen, ein zugesagtes Verfügbarkeitsniveau oder laufende Sicherheitsprüfungen nachgewiesen. Solche Maßnahmen dürfen erst nach tatsächlicher Einrichtung als vorhanden bezeichnet werden. Die Eignung der Gesamtlösung ist anhand Art, Umfang und Risiko der konkreten Datenverarbeitung zu bewerten; bei höherem Risiko sind zusätzliche Maßnahmen vor Nutzung zu vereinbaren und umzusetzen.

Wesentliche Änderungen werden dokumentiert und den betroffenen Kunden mitgeteilt. Die in der AVV vereinbarten Schutzpflichten bleiben verbindlich; eine aktualisierte Beschreibung darf sie nicht stillschweigend abschwächen.