Anlage 1: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, Bestandteil des Auftragsverarbeitungsvertrags. Version 1.0, Stand 2026-08-07. Beschrieben ist der Stand der von Fade Media GmbH betriebenen Instanz unter https://postomnia.de.

1. Vertraulichkeit

1.1 Zutrittskontrolle

Die Anwendung läuft in einem Rechenzentrum der Hetzner Online GmbH in Deutschland. Zutritt, Videoüberwachung, Besucherprotokollierung und Zugangskontrolle zu den Räumen liegen beim Rechenzentrumsbetreiber und sind dort nach ISO/IEC 27001 zertifiziert. Eigene Hardware wird nicht betrieben.

1.2 Zugangskontrolle (Systeme)

Serverzugang ausschließlich über SSH mit Public-Key-Verfahren; Passwort-Anmeldung ist deaktiviert.
Administrativer Zugriff auf den Anwendungsserver beschränkt auf namentlich benannte Personen des Auftragsverarbeiters.
Anmeldung an der Anwendung über E-Mail und Passwort; Passwörter werden ausschließlich als gesalzener Hash gespeichert, niemals im Klartext.
Brute-Force-Schutz: Sperre einer E-Mail-Adresse nach fünf Fehlversuchen für 15 Minuten, zusätzlich IP-bezogenes Rate-Limit auf allen Authentifizierungsrouten.
Zwei-Faktor-Authentisierung (TOTP) für Administratorkonten.
Sitzungen laufen über zufällige Bearer-Token; ein Passwort-Reset entwertet alle bestehenden Sitzungen, KI-Verbindungen und den bisherigen API-Schlüssel.

1.3 Zugriffskontrolle (Daten)

Alle Ressourcen – Konten, Beiträge, Medien, Belege, Bio-Seiten – gehören einem Workspace und sind strikt gegeneinander isoliert; jeder Lese- und Schreibzugriff wird serverseitig gegen den Workspace-Kontext geprüft.
Rollenmodell owner / admin / member mit abgestuften Rechten; Plan- und Rollenprüfung erfolgt serverseitig, nicht in der Oberfläche.
Automatisierungen (MCP, REST-Aktionen) laufen über einen eigenen, geprüften Capability-Dispatcher mit denselben Rollen- und Freigaberegeln.
Sicherheitsrelevante Vorgänge – Löschungen, Abrechnungsänderungen, E-Mail-Versand, öffentliche Links – erfordern eine ausdrückliche Freigabe, bevor sie ausgeführt werden.

1.4 Trennungskontrolle

Mandantentrennung logisch über den Workspace-Bezug jeder Ressource. Produktions-, Test- und Entwicklungsumgebungen sind getrennt; Echtdaten werden nicht in Test- oder Entwicklungsumgebungen übernommen.

1.5 Pseudonymisierung und Verschlüsselung

Transport: ausschließlich TLS (HTTPS) mit automatischer Zertifikatserneuerung; HTTP wird auf HTTPS umgeleitet. Strikte Content-Security-Policy und Sicherheits-Header.
Ruhende Daten: Zugangsdaten der angebundenen Social-Media-Konten sowie OAuth-Access- und Refresh-Token werden mit AES-256-GCM verschlüsselt gespeichert (eigener Schlüssel, zufälliger Initialisierungsvektor je Datensatz).
Backups: vor dem Verlassen des Servers symmetrisch verschlüsselt; der Ablageort erhält nie lesbare personenbezogene Daten.
Protokolle: Geheimnisse werden in Logs automatisch maskiert.

2. Integrität

2.1 Weitergabekontrolle

Eine Übermittlung an Social-Media-Plattformen erfolgt nur für die vom Verantwortlichen ausgewählten Konten und freigegebenen Inhalte. Ausgehende Abrufe fremder URLs (Medien-Import, Vorschauen) laufen durch eine SSRF-Prüfung, die Zugriffe auf interne Netzbereiche unterbindet. Ein Datenexport ist jederzeit im JSON-Format möglich; Geheimnisse sind darin maskiert.

2.2 Eingabekontrolle

Sicherheitsrelevante Aktionen werden mit Zeitstempel, handelndem Konto und Zielobjekt in einem Audit-Log erfasst (Anmeldungen, Kontoverbindungen, Veröffentlichungen, Löschungen, Abrechnungsänderungen, Freigaben). Das Log ist für Workspace-Administratoren einsehbar.

3. Verfügbarkeit und Belastbarkeit

Nächtliche automatisierte Sicherung der Datenbank, verschlüsselt an einen vom Produktionsserver getrennten Ablageort. Aufbewahrung der letzten 30 Sicherungen (Rotation).
Wiederherstellungsziele: RPO 24 Stunden (Stand der letzten Nachtsicherung), RTO 4 Stunden ab Feststellung des Ausfalls.
Wiederherstellungstests werden mindestens halbjährlich durchgeführt und protokolliert.
Betriebsüberwachung über Prometheus-Metriken (Anfragen, Fehler, Anmeldefehler, Veröffentlichungen) und strukturierte JSON-Logs; öffentlicher Betriebszustand unter /status.
Automatische Wiederholung fehlgeschlagener Veröffentlichungen ausschließlich für die betroffenen Kanäle – ein Kanalausfall zieht keine Doppelveröffentlichung auf den übrigen nach sich.

4. Verfahren zur regelmäßigen Überprüfung

Automatisierte Testsuite und statische Prüfungen laufen bei jeder Codeänderung; ohne grüne Prüfungen wird nicht ausgeliefert.
Automatisierte Abhängigkeitsprüfung auf bekannte Schwachstellen in der Auslieferungskette.
Meldeweg für Sicherheitslücken und Reaktionsfristen: /sicherheit.html.
Datenschutzvorfälle werden dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis gemeldet (§ 10 AVV).
Diese Anlage wird jährlich sowie bei wesentlichen Änderungen überprüft und fortgeschrieben.

5. Auftragskontrolle

Unterauftragsverarbeiter werden ausschließlich nach Maßgabe von § 7 AVV eingesetzt und auf ein gleichwertiges Schutzniveau verpflichtet. Die aktuelle Liste steht in Anlage 2; Änderungen werden 30 Tage vorab angekündigt.

Version 1.0 · Stand: 2026-08-07