Entwurf, nicht anwaltlich geprüft
Maßnahmen
Technische und organisatorische Maßnahmen, gruppiert nach Bereich. Aufgeführt sind die veröffentlichten Einträge.
Diese Angaben sind unvollständig: 13 weitere Einträge sind noch nicht veröffentlicht.
Zum Stand der Maßnahmen
umgesetzt oder teilweise umgesetzt = im Code vorhanden, im Betrieb nicht geprüft (kein Produktivsystem)
Zugriffskontrolle
Zugriffsschutz auf Zeilenebene für die Compliance-Tabellen
teilweise umgesetztAbsicherung der zeitgesteuerten Aufrufe durch ein geheimes Token
umgesetztPrüfung des Dateipfads beim Anlegen eines Medieneintrags: nur Dateien im eigenen Ordner der Person oder eines Hauses der eigenen Organisation
teilweise umgesetzt
Authentifizierung
Anmeldung über einen Anmeldedienst mit eigener Nutzerverwaltung und interner Kennung
umgesetztSitzungs-Cookie nicht per Skript lesbar, nur verschlüsselt übertragen, Same-Site-Schutz
umgesetztSitzungserneuerung auf dem Server; das Weiterleitungsziel nach der Anmeldung bestimmt der Server
umgesetzt
Anwendungssicherheit
Sicherheits-Header gegen Einbettung, Typ-Fehldeutung und Datenabfluss sowie HSTS
teilweise umgesetztRatenbegrenzung der Anmeldung
teilweise umgesetztZeitlimit für Aufrufe an die Datenbank und den Anmeldedienst
umgesetzt
Verschlüsselung
Transportverschlüsselung (HSTS) in der Produktion
umgesetzt
Betroffenenrechte
Löschsicherheit: Sperre je Anfrage, Löschung in einer einzigen Transaktion, Protokoll nur mit Kennungen
teilweise umgesetzt