Technische und organisatorische Maßnahmen
Zutritts-, Zugangs- und Zugriffsschutz
- Hetzner-Infrastruktur am bestätigten Standort Frankfurt, Deutschland; Administration über gesicherte Betreiberzugänge.
- HTTPS, HSTS, restriktive HTTP-Sicherheitsheader, SameSite-/HttpOnly-Cookies und Origin-Prüfung.
- Lehrkraftzugriff auf Live-Auswertungen über zufälliges, gehasht gespeichertes Sitzungstoken.
- Kontopasswörter mit scrypt, individuellem Salt und Mindestlänge; Wiederherstellungscodes und Tokens nur gehasht.
- Owner-Funktionen werden serverseitig autorisiert.
Mandanten-, Zweck- und Eingabekontrolle
- Konten, Vorlagen und Berechtigungen sind über zufällige Konto-IDs getrennt.
- Schülerantworten werden nicht in Online-Vorlagen übernommen.
- Anonyme Teilnahme ist Standard; Kürzel/Name erfordern Konto und eine erneute schulische Bestätigung.
- Serverseitige Größenlimits, Methodenberechtigungen, Rate-Limits, idempotente Abgabe-IDs und signaturgeprüfte Zahlungswebhooks.
Übertragung, Protokollierung und Datenminimierung
- Transportverschlüsselung über HTTPS; keine Tracker, Werbenetzwerke oder externen Laufzeit-CDNs.
- Keine Antworten, Namen, Tokens, Raumcodes oder IP-Adressen in Anwendungslogs.
- Kurzlebige Rate-Limit-Schlüssel nur gehasht im Arbeitsspeicher.
- Fehlermeldungen nach außen enthalten keine internen Details oder personenbezogenen Inhalte.
Verfügbarkeit und Wiederherstellung
- Container-Healthcheck und transaktionale SQLite-Datenbank mit WAL und Busy-Timeout.
- Verschlüsselte Restic-Backups im Hetzner Object Storage mit 7 täglichen, 5 wöchentlichen und 6 monatlichen Ständen.
- Das Backupskript entfernt Live-Sessions, Antworten und Anmeldetokens vor der Sicherung aus der Backupkopie.
- Wiederherstellungsproben sind nach Einrichtung und anschließend mindestens quartalsweise vorgesehen.
Überprüfung und Vorfälle
- Automatisierte Tests für Parallelabgaben, Duplikatschutz und geschützte Lehrkraftzugriffe.
- Sicherheitsupdates und Abhängigkeitsprüfungen im Betreiberprozess.
- Datenschutzverletzungen werden dokumentiert und betroffene Verantwortliche unverzüglich mit den für Art. 33/34 DSGVO erforderlichen Informationen benachrichtigt.