Technische und organisatorische Maßnahmen

1 Grundsätze

Die Maßnahmen sind ergebnisbezogen beschrieben. FlowCards überprüft sie nach schwerwiegenden Sicherheitsvorfällen und nach wesentlichen Änderungen der Systeme. FlowCards beansprucht keine Zertifizierung, keinen festen Rhythmus für Penetrationstests, keine zugesicherten Wiederherstellungszeiten oder Datenverlustgrenzen und keine Rund-um-die-Uhr-Besetzung.

2 Hosting und Trennung

• Die Systeme von FlowCards laufen bei Amazon Web Services in der Region Frankfurt am Main (eu-central-1).
• Produktions- und Testumgebung sind getrennte Umgebungen.
• Daten verschiedener Kunden sind logisch getrennt. Jeder Datenzugriff der Anwendung ist an den Mandanten des angemeldeten Kunden gebunden.

3 Verschlüsselung

• Daten werden bei der Übertragung verschlüsselt.
• Daten in den Datenbanken (Amazon DynamoDB), im Dateispeicher (Amazon S3) und in den Nachrichtenwarteschlangen (Amazon SQS) werden verschlüsselt gespeichert.
• Postkartendateien werden in nicht öffentlichen, versionierten Speicherbereichen abgelegt.

4 Zugang und Zugriff

• Die Anmeldung erfolgt über Amazon Cognito mit Passwortrichtlinie, Widerruf von Anmeldetoken und rollenbasierter Berechtigung.
• Berechtigungen von Diensten und Personen folgen dem Prinzip der geringsten Rechte. Geheimnisse wie Zugangsschlüssel werden im AWS Systems Manager Parameter Store gespeichert und nicht im Quellcode.
• Der Zugriff auf die Produktionsumgebung ist auf die Personen beschränkt, die ihn für den Betrieb benötigen.
• Die FlowCards-Administrationsoberfläche unterstützt für alle Administratorrollen eine Mehrfaktor-Authentifizierung mit Einmalcodes (TOTP) und kann sie technisch erzwingen. Die verpflichtende Durchsetzung für alle privilegierten Konten wird schrittweise eingeführt; jeder Schritt wird mit Datum dokumentiert. Für gewöhnliche Kundenkonten ist die Mehrfaktor-Authentifizierung freiwillig.

5 Schutz vor Missbrauch

• Die Produktionsumgebung ist durch eine Web Application Firewall mit Ratenbegrenzung und verwalteten Sicherheitsregeln geschützt.
• Technische Versandlimits je Stunde und Tag begrenzen die Folgen eines missbräuchlich genutzten Kontos.

6 Protokollierung und Nachvollziehbarkeit

• Zugriffe auf die AWS-Infrastruktur werden mit AWS CloudTrail protokolliert; die Protokolldateien sind verschlüsselt und gegen unbemerkte Veränderung geschützt.
• Eingriffe von FlowCards-Administratoren in Kundenkonten, insbesondere Sperrungen, Regelsperren und manuelle Gutschriften, werden vor ihrer Ausführung in einem Prüfprotokoll festgehalten. Kann der Eintrag nicht geschrieben werden, unterbleibt der Eingriff.
• Anwendungsprotokolle sind so gestaltet, dass sie keine Empfängernamen, Postanschriften und E-Mail-Adressen von Empfängern enthalten. Eine automatisierte Prüfung im Build verhindert, dass solche Felder wieder in Protokollaufrufe gelangen.
• Anfragen tragen eine Korrelationskennung, über die zusammengehörige Protokolleinträge ohne personenbezogene Inhalte nachvollzogen werden können.

7 Verfügbarkeit und Wiederherstellung

• Für die Datenbanken ist die zeitpunktgenaue Wiederherstellung (Point-in-Time Recovery) aktiviert; in der Produktion sind sie gegen versehentliches Löschen geschützt.
• Die Verarbeitung erfolgt über Warteschlangen mit Wiederholungsversuchen und Warteschlangen für fehlgeschlagene Nachrichten.
• Die Systeme werden mit Amazon CloudWatch überwacht; betriebliche Alarme melden Störungen.

8 Speicherfristen und Datenminimierung

• QR-Code-Scans werden ohne Klartext-IP-Adresse und ohne Klartext-Browser-Kennzeichen gespeichert; diese Werte werden mit einem Schlüssel gehasht (HMAC-SHA-256), der alle 30 Tage wechselt. Scan- und Klickereignisse werden 90 Tage nach ihrer Erfassung automatisch gelöscht.
• Anwendungsprotokolle werden in der Produktion 30 Tage aufbewahrt.
• Eine Postkarte wartet höchstens 12 Monate ab ihrer Auslösung. Danach wird sie kostenfrei storniert, und ihre Empfängerdaten werden entfernt.
• Unbeantwortete Sammelversände mit eigener Vorlage werden 30 Tage nach der Benachrichtigung storniert; die Empfänger- und Personalisierungsdaten der wartenden Postkarten werden dabei gelöscht.
• Statuseinträge zu einzelnen Postkarten enthalten nur Kennungen und keine Empfängerdaten. Sie werden 90 Tage nach ihrem Abschluss gelöscht, Einträge wartender Postkarten spätestens 400 Tage nach ihrer Anlage.
• Einträge zu fehlgeschlagenen Zustellversuchen an Produktionspartner werden nach 30 Tagen gelöscht.
• Nach der Deinstallation der App werden die Empfängerdaten des Shops auf Anforderung von Shopify automatisch gelöscht und die übrigen Daten des Kunden nach 90 Tagen, mit einer Warnung 14 Tage vorher. Buchungsunterlagen werden für die gesetzliche Aufbewahrungsfrist pseudonymisiert aufbewahrt.

9 Umgang mit Sicherheitsvorfällen

• Für Sicherheitsvorfälle besteht eine dokumentierte Vorgehensweise. Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).
• Betroffene Kunden werden über eine Verletzung des Schutzes ihrer Daten unverzüglich informiert, nachdem FlowCards von ihr Kenntnis erlangt hat; Informationen können schrittweise nachgereicht werden.

10 Unterauftragsverarbeiter und Überprüfung

• Unterauftragsverarbeiter erhalten nur Zugriff auf die Daten, die sie für ihre Leistung benötigen.
• Geplant und noch nicht durchgeführt sind folgende wiederkehrende Nachweise: eine jährliche Übung zum Umgang mit Sicherheitsvorfällen, ein jährlicher Wiederherstellungstest mit betrieblichen Empfänger- und Bestelldaten, eine vierteljährliche Überprüfung der privilegierten Zugänge, eine Sicherheitsüberprüfung nach wesentlichen Änderungen der Architektur und eine fortlaufende Überwachung von Abhängigkeiten und Schwachstellen. FlowCards dokumentiert jeden durchgeführten Nachweis mit Datum.