Passwörter & Sessions
Passwörter werden mit Argon2id gehasht. Serverseitige Sessions können ablaufen und widerrufen werden. Produktions-Cookies sind als Secure und HttpOnly mit SameSite=Lax konfiguriert.
Sicherheit
Vertrauen braucht eine klare Grundlage.
Sicherheit entsteht durch konkrete technische Kontrollen und einen verlässlichen Betrieb. Wir machen transparent, was heute im Code verankert ist und was vor einem kommerziellen Betrieb noch ausgebaut werden soll.
Technische Grundlage
Von Anfang an mitgedacht
Die folgenden Prinzipien sind in der bestehenden Plattform umgesetzt. Sie ersetzen keine regelmäßige Überprüfung der Anwendung und ihrer Infrastruktur.
Rollen & Berechtigungen
Die Anwendung prüft Berechtigungen auf dem Server. Die Sichtbarkeit einer Schaltfläche ersetzt keine Autorisierung einer Aktion.
Getrennte Werkstattbereiche
Datenzugriffe werden an die aktive Workspace-Mitgliedschaft gebunden. Mandantenbezogene Prüfungen und zusammengesetzte Datenbankbeziehungen sichern die Zuordnung von Datensätzen.
Private Dokumente
Dokumente werden über geschützte Zugriffswege bereitgestellt. Downloads prüfen Mitgliedschaft, Berechtigungen und den Bezug zum jeweiligen Werkstattobjekt.
Datenintegrität
Datenbank-Constraints sichern Beziehungen und Wertebereiche. Kritische zusammengehörige Änderungen werden transaktional verarbeitet.
Verschlüsselte Übertragung
Die Anwendung ist für den Betrieb hinter HTTPS ausgelegt. Verschlüsselung und korrekte HTTPS-Konfiguration müssen im jeweiligen Deployment eingerichtet und geprüft werden.
Geplanter Betriebsausbau
Vor dem kommerziellen Betrieb
Die Betriebsgrundlage wird während der Praxisphase weiterentwickelt. Diese Punkte sind geplant und keine Zusage über bereits eingerichtete Dienste.
- Automatisierte Offsite-BackupsGeplant
- Regelmäßige Restore-TestsGeplant
- MonitoringGeplant
- Erweitertes Security-ReviewGeplant
- Object StorageGeplant
- Prüfung von Malware-ScanningGeplant
- Betriebs- und NotfallkonzeptGeplant
Datenschutz gehört zum tatsächlichen Betrieb.
Die finale Datenschutzerklärung muss zur eingesetzten Infrastruktur und zur konkreten Verarbeitung passen. Der aktuelle Entwicklungsstand ist auf der Datenschutzseite transparent gekennzeichnet.
Zum Stand der Datenschutzhinweise