Fassung: ad-terms-2026-10-20-v2

Technische und organisatorische Maßnahmen

Zugriffskontrolle

• Einladungspflicht, E-Mail-Verifikation, sichere Sessions, Passwortreset und MFA/TOTP mit einmaligen Backupcodes.

• Serverseitig geprüfte Mandantenrollen, Betriebs-, OE-, Personen- und Berufsscopes; Widerruf wirkt bei jedem Zugriff.

• Sessionwiderruf bei relevanten Authänderungen. Rollenvorschau ist read-only und keine Impersonation.

• Plattformoperatoren sind getrennte, explizit aktivierte Identitäten; Tenantrollen erhalten keinen Plattformzugriff.

Mandanten- und Datenbanktrennung

• Tenant- und Business-Bindung in PostgreSQL, Composite-Fremdschlüssel und serverseitige Autorisierung; Cross-Tenant-/Cross-Business-Zugriffe werden abgewiesen.

• Getrennte Rollen für App, Worker, Backup, Provisionierung, Migration und Export. PostgreSQL besitzt keinen öffentlichen Port.

• Runtime-Rollen haben kein SUPERUSER, CREATEDB, CREATEROLE, REPLICATION oder BYPASSRLS. Migration/Erasure sind offline und minimal privilegiert.

Verschlüsselung und Secrets

• HTTPS/TLS am Reverse Proxy; private Dateispeicherung mit AES-256-GCM und verschlüsselte .adpg-Backups.

• Backup-/Dateischlüssel und Dienstzugänge liegen außerhalb Git und Browser in geschützten Secretdateien; HiDrive erhält keinen Entschlüsselungsschlüssel.

• Keine Secrets in DOM, Audit, Evidence oder Chat. Betreiberdateien sind rootgeschützt.

Uploads

• Allowlist für Dateiendung, MIME und Magic Bytes, Größenlimits, sichere Dateinamen, private Ablage sowie Tenant-/Personenbindung.

• Ausführbare und inkonsistente Inhalte werden abgewiesen; Abruf bleibt autorisiert. Ein externer Malware-Scanner wird nicht behauptet.

Audit und Datenschutz

• Tatsächlicher Actor, Zeitpunkt, Mandant und relevante Aktion werden serverseitig protokolliert; Secret-Schlüssel werden rekursiv aus Audit-JSON ausgeschlossen.

• Relevante Fachhistorien, Retention-Evidence und Erasure-Receipts sind unveränderlich.

• Rootgeschützter Erasure-Operator prüft Freigabe, Retention und Legal Hold; Fachinhalte werden gelöscht/anonymisiert, minimaler digestbasierter Nachweis bleibt.

Backup, Restore und Verfügbarkeit

• Lokales verschlüsseltes Backup und IONOS HiDrive/WebDAV-Offsite mit vollständiger Remote-Rücklesung und SHA-256-Prüfung beim Transport.

• Offsite erfolgt manuell, der Offsite-Timer ist inaktiv. Kein garantierter RPO/RTO. Als Betriebsanforderung gelten drei Nächte, höchstens sieben Stände und höchstens 30 Kalendertage; deren tatsächliche Durchsetzung ist nicht aktiviert.

• Restore erfolgt isoliert. Sessions und Queues werden nicht wiederbelebt; nichtleeres Erasure-Ledger wird vollständig replayed oder der Restore bleibt gesperrt.

• Systemmonitor prüft App, PostgreSQL, Worker, SMTP, Backup, Offsite, Timer, CPU, RAM und Disk. Healthchecks und restartfähige Dienste sind vorhanden.

Deployment und Änderungen

• Commitgebundene Linux-x 64-Releases, internes Hashmanifest, statische Assetintegrität, versioniertes Migrationsledger und dokumentierte Rollbacks.

• Datenbankänderungen laufen atomar; fehlgeschlagene Migrationen stoppen. Frühere Releases und Backups bleiben als definierte Rückfallstände erhalten.

Incident-Behandlung

• Technische Eindämmung durch Zugangs-/Credentialwiderruf, Dienstisolation, Audit-/Securityevent-Sicherung und kontrollierten Restore.

• Rechtliche Bewertung, Behördenmeldung und Betroffeneninformation erfolgen nicht automatisch, sondern durch Verantwortliche/Datenschutzberatung gemäß Vorfallshinweisen.

• Bestätigter Eingang impressum@kobico.de, interne Koordination Geschäftsführung;

Kunde wird nach Bekanntwerden einer Fachdatenschutzverletzung unverzüglich informiert, keine pauschale 72-Stunden-Wartefrist des Auftragsverarbeiters.