Sicherheit und Datenschutz

Alle Ihre Daten werden in Rechenzentren in Frankreich und in der Europäischen Union gehostet. Damit ist gewährleistet, dass Ihre Informationen die europäische Rechtsordnung nie verlassen. Unsere Hosting-Dienstleister sind auf der Seite Unterauftragsverarbeiter aufgeführt.

Die gesamte Kommunikation zwischen Ihrem Browser und unseren Servern ist durch TLS-Verschlüsselung (HTTPS) geschützt, sodass keine dritte Partei Ihre Daten während der Übertragung abfangen kann.

Sensible Daten, die in unseren Datenbanken gespeichert sind, werden im Ruhezustand verschlüsselt. Das ergänzt eine weitere Schutzschicht gegen unbefugten physischen oder logischen Zugriff.

Automatisierte tägliche Sicherungen mit einer rollierenden Aufbewahrung von 90 Tagen gewährleisten die Wiederherstellung Ihrer Daten in jeder Lage. Die Integrität der Sicherungen wird regelmäßig überprüft.

Die Daten jedes Vereins sind innerhalb unserer Infrastruktur logisch voneinander getrennt. Das verhindert jeden übergreifenden Zugriff zwischen Organisationen und gewährleistet strikte Vertraulichkeit.

Bei Schließung Ihres Kontos werden Ihre personenbezogenen Daten unwiderruflich gelöscht oder anonymisiert, innerhalb der Fristen und nach den gesetzlichen Ausnahmen, die in unserer Datenschutzerklärung im Einzelnen beschrieben sind.

Wir setzen ein feingranulares Berechtigungssystem ein, das sicherstellt, dass jede Nutzerin und jeder Nutzer nur auf die Daten und Funktionen zugreift, die der eigenen Rolle im Verein entsprechen. Die Berechtigungen sind von den Administratoren konfigurierbar.

Standardmäßig erhalten Nutzerinnen und Nutzer nur die für ihre Aufgabe unbedingt erforderlichen Mindestberechtigungen. Dieser Ansatz verkleinert die Angriffsfläche und begrenzt die Auswirkungen einer möglichen Kompromittierung.

Passwörter werden mit modernen Verfahren gehasht. Die Zwei-Faktor-Authentifizierung (2FA) steht als zusätzliche Schutzschicht zur Verfügung. Sitzungen werden sicher verwaltet, mit Mechanismen zum automatischen Ablauf.

Alle sensiblen Vorgänge wie Rollenänderungen, Datenlöschungen, Zugriffsänderungen und Konfigurationsanpassungen werden lückenlos nachvollziehbar protokolliert, was gründliche Sicherheitsprüfungen ermöglicht.

Nutzersitzungen sind gegen Hijacking- und Fixation-Angriffe geschützt. Automatische Ablaufzeiten sorgen dafür, dass untätige Sitzungen beendet werden, was das Risiko unbefugter Zugriffe senkt.

Der Zugang zu den Vereinsbereichen wird über ein sicheres Einladungssystem gesteuert. Niemand kann einer Vereinsumgebung ohne die ausdrückliche Freigabe einer Administratorin oder eines Administrators beitreten.

Unsere Entwicklungspraxis berücksichtigt durchgängig den Schutz vor den wichtigsten von der OWASP benannten Schwachstellen: XSS, CSRF, SQL-Injection, IDOR und viele weitere.

Wir führen regelmäßig Sicherheitstests durch, um Schwachstellen proaktiv zu finden und zu beheben, bevor sie ausgenutzt werden können. So bleibt unsere Plattform gegenüber neuen Bedrohungen auf dem neuesten Stand.

Sämtliche Abhängigkeiten von Dritten werden regelmäßig mit automatisierten Werkzeugen geprüft, um bekannte Schwachstellen zu erkennen und zu beheben. Das sichert unsere Software-Lieferkette ab.

Jede Codeänderung wird vor dem Ausrollen in die Produktion systematisch von Kolleginnen und Kollegen geprüft. Das sichert Qualität, Konsistenz und die Abwesenheit von Sicherheitsrückschritten.

Sicherheit ist in jeden Schritt unseres Entwicklungsprozesses eingebaut, vom Entwurf und den Architekturentscheidungen bis zu Tests und Auslieferung, orientiert an den besten Praktiken der Branche.

Unsere Systeme werden fortlaufend überwacht, um ungewöhnliche Aktivitäten, Leistungsauffälligkeiten oder mögliche Sicherheitsbedrohungen zu erkennen, mit automatisierten Alarmen für eine schnelle Reaktion.

Wir setzen ein zentrales System zur Kontenverwaltung ein, das die Steuerung und Überwachung der Nutzerzugriffe vereinfacht und damit die Sicherheit all unserer internen Systeme stärkt.

Wir wahren die Integrität und Sicherheit der Zugangsdaten über ein robustes System zur Passwortverwaltung. Die Zwei-Faktor-Authentifizierung (2FA) ist für alle Konten verpflichtend und bildet eine wesentliche Schutzschicht gegen unbefugte Zugriffe.

Zugriffsrechte werden sorgfältig nach dem Grundsatz der geringsten Rechte vergeben. Nutzerinnen und Nutzer erhalten nur das Mindestmaß an Zugriff, das für ihre Aufgaben nötig ist, wodurch mögliche Risiken minimiert werden.

Wir beobachten fortlaufend Schwachstellen, neue Bedrohungen und bewährte Sicherheitspraktiken, um unsere Abwehr proaktiv anzupassen und die Plattform aktuell zu halten.

Sicherheitsbewusstsein ist eine dauerhafte Verpflichtung. Regelmäßige Schulungen, die Mitarbeit in fachlichen Sicherheitsgemeinschaften und stetige Eigenweiterbildung sorgen dafür, dass Sicherheitsentscheidungen stets auf den neuesten Standards und Bedrohungen beruhen.

Ein dokumentiertes Verfahren erlaubt es uns, Sicherheitsvorfälle schnell und transparent zu erkennen, darauf zu reagieren und darüber zu informieren, mit fortlaufender Verbesserung unserer Abwehr.