This page is currently available in German only.

Technische und organisatorische Massnahmen

Anlage zur Vereinbarung über die Auftragsbearbeitung. Stand: 20. Oktober 2026

Diese Übersicht beschreibt nur Massnahmen, die im Dienst umgesetzt und mit dem Betriebsnachweis überprüfbar sind oder ausdrücklich als organisatorische Massnahme gekennzeichnet sind.

1. Hosting und Systemverwaltung

Dedizierter Server (nicht geteilt mit anderen Kunden des Anbieters) der Server4You GmbH im Rechenzentrum Strasbourg (Frankreich). Physische Sicherheit, Strom und Netz liegen beim Anbieter. Gemäss den öffentlichen Angaben des Anbieters verfügt das Rechenzentrum über strenge Zutrittskontrollen, eine Brandfrüherkennung und eine Überwachung rund um die Uhr. Eine auf dieses Rechenzentrum bezogene Zertifizierung ist uns anhand der bisher geprüften öffentlichen Informationen nicht nachgewiesen. Die genannten Massnahmen beruhen auf Anbieterangaben und wurden nicht unabhängig vor Ort auditiert.
Betriebssystem, Webserver, Datenbank und Anwendung verwaltet ausschliesslich Hunkeler Digital Services.
Notfallzugriff (organisatorisch): zuerst Rettungssystem durch uns; reicht das nicht, Eingriff des Anbieter-Supports nur auf unseren Auftrag, zeitlich begrenzt und im Betriebsprotokoll festgehalten; danach Wechsel aller betroffenen Zugangsdaten; wenn nötig Notfallmigration auf ein neues System und Wiederherstellung aus der Sicherung.
Programmcode und Konfiguration liegen ausserhalb des öffentlichen Webverzeichnisses; Zugangsdaten stehen nur in einer geschützten Konfigurationsdatei.

2. Zugangs- und Zugriffskontrolle

Passwörter mindestens 12 Zeichen, Prüfung gegen bekannte Datenlecks (k-Anonymität, nur Hashpräfix), Speicherung als Argon2id-Hash.
Bei lokaler Anmeldung ist die Zwei-Faktor-Anmeldung (TOTP) für Inhaber, Administratoren und Betreiber verpflichtend; pro Organisation für alle Benutzer einschaltbar; Wiederherstellungscodes nur als Hash. Bei Single Sign-on gelten die von der Organisation konfigurierten Mehrfaktor-Einstellungen. Bei der Einstellung «Dem Anbieter vertrauen» wird ein zweiter Faktor durch den Dienst nicht selbst überprüft; die Organisation übernimmt die Verantwortung für die entsprechende Konfiguration ihres Identitätsanbieters. Der lokale Notzugang erfordert weiterhin Passwort und Zwei-Faktor-Anmeldung. Neues Verbinden der Authenticator-App nur mit Passwort und Code aus dem neuen Schlüssel; der alte Schlüssel wird dabei ungültig, gemerkte Geräte werden entfernt.
Single Sign-on (SAML 2.0, OpenID Connect) je Organisation, nur für nachgewiesene Domains und erst nach erfolgreicher Testanmeldung: SAML nur mit RSA-SHA256 signierter Assertion und festgehaltenem Zertifikat, genau eine Assertion, Schutz vor Signature Wrapping, keine DTD; OpenID Connect nur RS256 mit state, nonce und PKCE; jede Anmeldebestätigung nur einmal; vom Anbieter ausgelöste Anmeldungen abgewiesen. Mehrfaktor-Einstellung je Organisation (Nachweis vom Anbieter, zusätzlicher eigener Code oder dokumentiertes Vertrauen); SSO-Pflicht mit Notzugang; Client-Secret verschlüsselt gespeichert.
Rollen (Inhaber, Administrator, Bearbeiter, Leser) mit abgestuften Rechten; Abo und Rechnungen nur für Inhaber und Administratoren.
Sitzungen: automatische Abmeldung nach 60 Minuten Inaktivität (auch Betreiber), höchstens 12 Stunden; Sitzungskennung wird regelmässig erneuert; Cookies mit den Attributen Secure, HttpOnly und SameSite.
Postfächer der Plattform (E-Mails an unsere Adressen) nur für Betreiber; Text, Kopfzeilen und Anhänge gespeicherter E-Mails sowie die Zugangsdaten der Postfächer verschlüsselt (libsodium), Schlüssel getrennt von Datenbank und Sicherungen aufbewahrt; Inhalte in HTML nur als Text, Anhänge nur als Download.
Sitzungsübersicht mit Abmelden einzelner oder aller Geräte; «Gerät merken» höchstens 90 Tage, auch für Betreiber; auf einem gemerkten Gerät entfällt bei der Anmeldung der Zwei-Faktor-Code, die erneute Bestätigung sicherheitskritischer Aktionen verlangt weiterhin Passwort und Code; Widerruf im Profil und automatisch bei Passwort- oder Zwei-Faktor-Änderung.
Erneute Bestätigung vor sicherheitskritischen Aktionen (E-Mail-Wechsel, Übertragung der Inhaberschaft, Betreibereinstellungen und Eingriffe in Kundenkonten): Bei lokaler Anmeldung mit Passwort und Zwei-Faktor-Code; bei ausschliesslicher SSO-Anmeldung durch eine erfolgreiche SSO-Authentifizierung, die höchstens 15 Minuten zurückliegt. Die Berechtigung zur jeweiligen Aktion wird zusätzlich serverseitig geprüft.
Sperre nach wiederholten Fehlversuchen (pro Konto und pro IP-Adresse); E-Mail bei Anmeldung von einem neuen Gerät und bei Fehlversuchen.

3. Übertragung

Verbindungen ausschliesslich verschlüsselt (HTTPS mit HSTS).
Sicherheitsheader (Content-Security-Policy ohne Drittquellen, Schutz vor Einbettung in fremde Seiten).
Abruf und Versand der Postfächer nur verschlüsselt (IMAP und SMTP über TLS bzw. STARTTLS) mit Prüfung des Zertifikats.

4. Eingabekontrolle und Protokollierung

Sicherheitsrelevante Vorgänge und Eingriffe des Betreibers werden mit Zeitpunkt, Konto und IP-Adresse protokolliert (Aufbewahrung zwei Jahre).
Einmal-Links und Gerätekennungen nur als Prüfsumme gespeichert.
Bearbeitung der Postfächer (Abruf, Zuordnung, Antworten mit Prüfsummen der Anhänge, Download von Anhängen, Löschläufe) wird protokolliert.

5. Verfügbarkeit und Wiederherstellung

Automatisierte Sicherungen mit Plesk (Datenbank, Datenordner der Anwendung, Anwendungs-, Mail- und Systemkonfiguration); Schlüssel und Zugangsdaten getrennt geschützt.
Verschlüsselte Übertragung und Speicherung auf einem vom Produktionssystem getrennten, eigenen Rechner in der Schweiz; Aufbewahrung längstens sechs Monate (Rotation).
Zielwerte: höchstens 12 Stunden Datenverlust (RPO); Wiederaufnahme des Dienstes spätestens am nächsten Werktag nach Eintritt bzw. Feststellung der Störung (RTO).
Zusätzlicher Wiederherstellungspunkt vor jedem Release und jeder Datenbankmigration.
Überwachung mit automatischer Benachrichtigung bei Ausfall des Servers und bei fehlgeschlagener Sicherung (organisatorisch, periodische Kontrolle der Zustellung).
Wiederherstellungstests (RPO und RTO) in einer isolierten Umgebung nach festgelegtem Verfahren; Protokoll im Betriebshandbuch. Die produktive Datenbank wird dafür nicht verändert.
Wiederherstellung auf demselben oder einem neuen Server (Notfallmigration) durch Hunkeler Digital Services.
Restrisiko: Nach einer Wiederherstellung führt der tägliche Löschlauf fristgebundene Löschungen erneut aus; nach dem Sicherungszeitpunkt vollständig gelöschte Organisationen und Konten können wieder erscheinen.

6. Datenminimierung und Löschung

Automatische Löschung und regelmässige Überprüfung nach festgelegten Fristen: Kundendaten grundsätzlich 30 Tage nach Vertragsende; E-Mails an unsere Adressen mit Bezug zu einer Organisation fünf Jahre ab der letzten Nachricht (auch nach Vertragsende), übrige E-Mails 24 Monate, E-Mails zu Datenschutzbegehren mit deren Detailinformationen, jeweils auch im Postfach auf dem Mailserver; Konten ohne Vertrag nach den Voraussetzungen der Datenschutzerklärung; Sitzungen, Gerätekennungen und Protokolle nach den dort genannten Fristen; Buchhaltungsunterlagen und Prüfsummen der Geld-zurück-Garantie nach den jeweils festgelegten Aufbewahrungsfristen; Bankverbindungen für Rückzahlungen nach deren Ausführung. Bei Datenschutzbegehren werden nicht mehr benötigte Detailinformationen grundsätzlich zwölf Monate nach Abschluss gelöscht; das minimierte Nachweisprotokoll bleibt grundsätzlich sechs Jahre erhalten. Offene Rechnungen werden spätestens zwölf Monate nach Fälligkeit zur dokumentierten Entscheidung vorgelegt. Gesetzliche Aufbewahrungspflichten und dokumentierte Ausnahmen bleiben vorbehalten. Kundinnen und Kunden laden keine Dokumente in den Dienst hoch; Anhänge von E-Mails an unsere Adressen werden verschlüsselt abgelegt und nach den genannten Fristen gelöscht.
Täglicher Kontrolllauf; Betriebsnachweis prüft, dass keine Frist überschritten ist.

7. Trennung

Daten verschiedener Kunden sind logisch getrennt (Zuordnung zur Organisation, Prüfung der Berechtigung bei jedem Zugriff).
Buchhaltungsunterlagen nach Vertragsende getrennt und nur für den Betreiber zugänglich; nach der Übertragung in die Buchhaltung im Dienst gelöscht.
Begehren betroffener Personen (Auskunft, Löschung, Berichtigung) werden mit einem auf die erforderlichen Angaben beschränkten Nachweisprotokoll dokumentiert. Dieses enthält insbesondere die Identität der antragstellenden Person, die Art des Begehrens, die relevanten Zeitpunkte, die Bearbeitungsfristen und das Ergebnis in zusammengefasster Form. Das Nachweisprotokoll wird grundsätzlich sechs Jahre nach Abschluss aufbewahrt. Freitexte, ausführliche Bearbeitungsvermerke und weitere nicht mehr benötigte Detailinformationen werden zwölf Monate nach Abschluss automatisch gelöscht, sofern keine gesetzliche Pflicht oder dokumentierte Ausnahme eine längere Aufbewahrung erfordert. Die Identitätsprüfung erfolgt ohne dauerhafte Speicherung von Ausweiskopien.