Datensicherheit
Ihre Notfall- und Gesundheitsdaten sind sensibel. Diese Seite beschreibt, welche technischen Schutzmaßnahmen in unserer Anwendung umgesetzt sind.
Kontrollierter Zugriff auf den Notfallpass
- Der öffentliche Notfallpass ist nur über einen zufälligen Zugriffs-Token (QR-Code) oder über die aufgedruckte ID-Nummer erreichbar.
- Unbekannte, deaktivierte, gesperrte oder ausgeblendete Codes liefern dieselbe Antwort „nicht gefunden“. So lässt sich nicht erkennen, ob ein Code existiert.
- Öffentliche Abrufe sind pro Anfragequelle mengenmäßig begrenzt, um systematisches Ausprobieren von Codes zu erschweren.
- Sie entscheiden pro Feld, welche Daten auf dem Notfallpass sichtbar sind. Wenn Sie QR-Code und Link neu erzeugen, verlieren alle bisherigen Codes ihre Gültigkeit.
Anmeldung und Konto
- Passwörter werden nicht im Klartext gespeichert, sondern als bcrypt-Hash.
- Sitzungen basieren auf signierten Tokens (JWT, HS256). Diese liegen in httpOnly-Cookies und sind damit für Skripte im Browser nicht auslesbar.
- Optional können Sie die Zwei-Faktor-Authentifizierung aktivieren (Authenticator-App oder Code per E-Mail). Geheimnisse der Authenticator-App werden mit AES-GCM verschlüsselt gespeichert, Wiederherstellungscodes nur als bcrypt-Hash.
- Anmeldeversuche sind begrenzt (Ratenbegrenzung). Bei auffälligem Verhalten wird zusätzlich eine Sicherheitsabfrage mit Cloudflare Turnstile verlangt.
Übertragung und Cookies
- Im Produktivbetrieb werden Sitzungs-Cookies mit dem Secure-Flag und SameSite=Lax gesetzt, also nur über verschlüsselte Verbindungen übertragen.
- Details zu den verwendeten Cookies finden Sie in unserer Cookie-Richtlinie.
Zahlungen
- Die Zahlungsabwicklung für kostenpflichtige Tarife erfolgt über den Zahlungsdienstleister Stripe.
Löschung
- Sie können Ihr Konto selbst löschen. Die Löschung wird per Bestätigungslink an Ihre E-Mail-Adresse bestätigt. Bestellungen und Rechnungen werden gemäß Steuerrecht aufbewahrt.
Weitere Informationen
Ausführliche Angaben zur Verarbeitung personenbezogener Daten finden Sie in der Datenschutzerklärung. Fragen zur Sicherheit richten Sie bitte an info@sosid.net.