Entwurf – juristische Prüfung ausstehend (A15)

Technische und organisatorische Maßnahmen (TOM)

Anbieter: Jasmann Werk 52, Inhaber Muhammad Saeed, Elberfelder Str. 72, 42553 Velbert (Einzelunternehmen).

1. Vertraulichkeit

Die Server stehen in einem Rechenzentrum der Hetzner Online GmbH in Deutschland. Zutritt, Überwachung und Stromversorgung regelt Hetzner; Nachweise dazu stellt Hetzner auf Anfrage bereit.
Der Anbieter betreibt keine eigenen Server in Büroräumen. Der Arbeitsrechner, auf dem verschlüsselte Sicherungen liegen, steht in den Räumen des Anbieters (Velbert).

Server: Anmeldung nur per SSH mit kryptografischem Schlüssel, Kennwortanmeldung abgeschaltet. Nach außen offen sind nur die Ports 22, 80 und 443.
Anwendung: Kennwörter werden nur als scrypt-Prüfwert gespeichert. Ein zweiter Faktor (TOTP) ist für Administratoren Pflicht. Nach fünf Fehlversuchen (Kennwort oder zweiter Faktor) wird der Zugang zunehmend gesperrt, höchstens eine Stunde; zusätzlich bremst eine Anfragegrenze je IP-Adresse.
Sitzungen: Das Sitzungscookie trägt 32 zufällige Byte; in der Datenbank steht nur deren SHA-256. Das Cookie ist HttpOnly, Secure, SameSite=Lax und als __Host--Cookie an die eigene Adresse gebunden. Jeder schreibende Aufruf braucht zusätzlich ein CSRF-Merkmal. Eine Sitzung endet nach 4 Stunden ohne Aufruf, spätestens nach 12 Stunden; nach der Anmeldung entsteht ein neues Cookie.

Rollen je Nutzer: Administrator, Qualität, Werker, Leser. Die Schnittstelle prüft die Rolle bei jedem Aufruf.
Row Level Security: Jede Tabelle mit Geschäftsdaten trägt die Kennung des Betriebs; die Datenbank liefert nur Zeilen des Betriebs, der für die Anfrage gesetzt ist. Ohne gesetzten Betrieb liefert keine Abfrage eine Zeile. Die Datenbankrolle der Anwendung ist weder Eigentümer der Tabellen noch Superuser und hat kein Recht, die Regeln zu umgehen; die Anwendung verweigert den Start, wenn das anders ist. Automatische Prüfungen weisen mit zwei Betrieben nach, dass kein Betrieb die Daten des anderen lesen kann.
Betreiberzugriff: Eine eigene Rolle für Verwaltungsaufgaben arbeitet über die Grenzen der Betriebe hinweg. Sie läuft nur auf ausdrücklichen Aufruf auf dem Server; Änderungen, die sie vornimmt, stehen im Änderungsprotokoll des betroffenen Betriebs.

Trennung der Betriebe in der Datenbank (1.3) und in der Dateiablage: je Betrieb ein eigenes Verzeichnis und ein eigener Datenschlüssel.
Getrennte Umgebungen: Entwicklung und Prüfung arbeiten nur mit erzeugten Beispielzeichnungen; Zeichnungen von Kunden kommen nie in das Quellcode-Archiv.
Auf dem geteilten Server hat irot Erstmuster eigene Container, eine eigene Datenbank und feste Ressourcengrenzen.

Dateien: AES-256-GCM mit dem Datenschlüssel des Betriebs. Die Datenschlüssel sind mit einem Hauptschlüssel verpackt, der nicht in der Datenbank steht. Jeder Geheimtext ist an Betrieb und Datei gebunden: eine in ein fremdes Verzeichnis kopierte Datei lässt sich nicht entschlüsseln. Beim Lesen wird die Prüfsumme nachgerechnet; eine veränderte Datei wird nicht ausgeliefert.
Zweiter Faktor: Die TOTP-Geheimnisse sind ebenfalls mit dem Schlüssel des Betriebs verschlüsselt.
Übertragung: nur verschlüsselt (TLS). HSTS wird vor dem Verkaufsstart eingeschaltet (in Umsetzung).
Sicherungen: mit age verschlüsselt; der private Schlüssel liegt nicht auf dem Server.
Schwärzen: Auf Wunsch erzeugt die Anwendung eine Kopie einer Zeichnung ohne Schriftfeld, Firmen- und Personenangaben; die Kopie wird neu aufgebaut, sodass unter den Schwärzungen nichts erhalten bleibt.

Die Oberfläche lädt nichts von fremden Servern; eine strenge Content-Security-Policy erlaubt nur eigene Quellen. Keine Analyse-, Werbe- oder Fehlerverfolgungsdienste.
Die Zeichnung wird auf dem eigenen Server gelesen. An einen Dienst außerhalb gehen Daten nur nach der Liste der Unterauftragnehmer; an generative KI-Dienste nie eine Zeichnung.
Hochgeladene Dateien werden geprüft (Art, Größe, Seitenzahl); Excel-Vorlagen von Kunden werden gegen Makros, Archivbomben und externe Verweise geprüft.

Änderungsprotokoll: Alles, was in einem unterschriebenen Bericht steht – Bestätigung von Merkmalen, Änderung einer Toleranz, Freigabe des Prüfplans, Ausgaben, Entscheidungen zu n.i.O. –, hinterlässt einen Eintrag: wer, wann, was, vorher, nachher. Zeitpunkt und Prüfsummenkette setzt die Datenbank selbst; ein Auslöser weist jedes Ändern und Löschen von Einträgen zurück. Die Kette lässt sich jederzeit nachrechnen.
Unveränderliche Stände: Ein freigegebener Prüfplan ist unveränderlich; eine Änderung erzeugt eine neue Version.
Berechnete Urteile: i.O./n.i.O. wird aus Messwert und Grenzmaß berechnet, nie eingetippt.

Tägliche, verschlüsselte Sicherung von Datenbank und Dateien; 14 Tage auf dem Server, Kopien beim Anbieter.
Möglicher Datenverlust im Ernstfall: höchstens seit der letzten Nacht (RPO 24 Stunden). Die Zeit bis zum Wiederanlauf (RTO) wird bei der ersten Wiederherstellungsprobe gemessen und hier eingetragen.
Die Dienste starten nach einem Absturz selbst neu; eine Gesundheitsprüfung läuft alle 30 Sekunden.
Feste Grenzen für Speicher und Rechenzeit verhindern, dass ein Dienst andere verdrängt.
Fehler in Hintergrundaufträgen und gehäufte Serverfehler meldet die Anwendung per E-Mail an den Anbieter.

Wiederherstellung aus einer Sicherung in eine getrennte Umgebung, mit Nachrechnen des Änderungsprotokolls je Betrieb und Prüfung jeder Datei; die laufende Produktion bleibt dabei unberührt.
Probe vierteljährlich; die erste Probe ist vor dem ersten zahlenden Kunden vorgesehen (Stand: ausstehend).

Automatische Prüfungen bei jeder Änderung des Programms, darunter die Trennung der Betriebe, die Unveränderlichkeit des Protokolls und die Ver- und Entschlüsselung. Ein Stand mit fehlgeschlagener Prüfung wird nicht ausgeliefert.
Sicherheitsupdates des Betriebssystems täglich automatisch.
Vor dem Verkaufsstart: Sicherheitsprüfung des Codes, Prüfung der Abhängigkeiten, Anfragegrenzen an allen öffentlichen Endpunkten (in Umsetzung).
Überprüfung dieser TOM mindestens jährlich und bei jeder wesentlichen Änderung.

Unterauftragnehmer nur mit Vertrag nach Art. 28 Abs. 4 DSGVO; Liste und Stand im Dokument Unterauftragnehmer.
Weisungen des Kunden werden über die Einstellungen der Anwendung (Aufbewahrung, Null-Retention, Training, KI-Textfunktionen) und in Textform erteilt.

Personen mit Zugriff auf Server oder Sicherungen: der Inhaber allein; weitere Personen erhalten Zugriff erst nach schriftlicher Verpflichtung zur Vertraulichkeit.
Geheimnisse (Schlüssel, Kennwörter) nie im Quellcode-Archiv und nie in Nachrichten; der Hauptschlüssel liegt zusätzlich im Passwortmanager des Anbieters.
Datensparsamkeit: Der Webserver schreibt kein Zugriffsprotokoll; die Anwendung protokolliert Zugriffe auf Zeichnungen mit Betrieb, aber ohne Inhalt.