Sicherheit und Datenschutz

Architektur

andarama.com läuft auf Cloudflare: Ein Worker liefert die API, das Studio und die Rundgänge aus; die Datenbank ist D1 (verwaltetes SQLite); Medien und Kacheln liegen in R2 (Objektspeicher); KV speichert kurzlebige technische Daten, und Durable Objects koordinieren die Echtzeitbearbeitung und die Live-Touren. Konten, Anmeldung und Abrechnung übernimmt Clerk. Die Besucheranalytik ist eine eigene Lösung ohne Cookies, die der Website übernimmt Plausible.

Wo die Daten liegen

• Datenbank (D1) und Medien (R2): in Cloudflare-Rechenzentren in Westeuropa. Das ist der beim Anlegen gewählte Standort; wir arbeiten daran, ihn auch per EU-Jurisdiktion festzulegen.
• Ausführung: Der Code läuft im Netz von Cloudflare, im Rechenzentrum, das den Besuchenden am nächsten ist.
• KV: flüchtige technische Daten (Lesesitzungen, Veröffentlichungszeiger), im ganzen Netz repliziert.
• Konten und Abrechnung: bei Clerk, in den Vereinigten Staaten (E-Mail, Name, Sitzung und Rechnungsdaten). Rundgänge und Medien laufen nicht über Clerk.
• Website-Analytik: Plausible, in der Europäischen Union, ohne Cookies und ohne IP-Adressen.

Wenn die Institution alles im eigenen Haus braucht, wird dieselbe Anwendung auf ihrer eigenen Infrastruktur installiert (siehe unten).

Verschlüsselung

Der gesamte Verkehr läuft über HTTPS mit TLS und HSTS. Cloudflare verschlüsselt die D1-Datenbank und die R2-Objekte im Ruhezustand. Passwörter und Geheimnisse des Dienstes werden nie im Klartext gespeichert, und API-Tokens werden als Hash gespeichert.

Zugang und Authentifizierung

Auf andarama.com verwaltet Clerk den Zugang, mit verfügbarer Zwei-Faktor-Authentifizierung. Innerhalb der Anwendung haben Organisationen Rollen (verwalten, bearbeiten, mitarbeiten, lesen), und die Berechtigungen werden auf jeder Route serverseitig geprüft. Bei einer eigenen Installation gibt es außerdem lokale Konten mit Zwei-Faktor-Authentifizierung (TOTP) und institutionelles SSO per OIDC.

Schutz der Anwendung

Content Security Policy (CSP) mit Nonces, CSRF-Schutz mit doppeltem Token, Anfragelimits, Turnstile gegen Missbrauch von Formularen, Bereinigung von SVG, Markdown und CSS und ein Audit-Log der Verwaltungsaktionen. Die Continuous Integration führt bei jeder Änderung die Tests und das Abhängigkeits-Audit aus.

Backups

D1 erlaubt es, die Datenbank innerhalb des von Cloudflare angebotenen Zeitraums auf einen Zeitpunkt zurückzusetzen (Time Travel), und das Admin-Panel exportiert eine vollständige Kopie der Datenbank. Die Medien in R2 haben keine automatische Versionierung: Deshalb empfehlen wir, die Originale der Fotos aufzubewahren und wichtige Rundgänge zu exportieren.

Prüfbarer Code

Der vollständige Code ist unter EUPL-1.2 auf GitHub veröffentlicht: Jeder kann nachsehen, wie die Daten verarbeitet werden. Sicherheitslücken werden vertraulich gemeldet, wie in der Datei SECURITY.md des Repositorys beschrieben. Mehr auf der Seite Open Source.

Ausstiegsplan

Nichts, was entsteht, bleibt gefangen. Die Rundgänge lassen sich jederzeit als statisches ZIP, einzelne HTML-Datei oder PWA exportieren, die ohne Andarama funktionieren, und als Datei .andarama. Das Format tour.json ist dokumentiert. Und dieselbe Anwendung lässt sich auf der Infrastruktur der Institution installieren (Docker, ihr Cloudflare-Konto oder eine ausführbare Desktop-Datei); an dem Tag, an dem der gehostete Dienst nicht mehr gebucht wird, geht die Arbeit also weiter.

Was wir (noch) nicht haben

Andarama hat keine eigene Zertifizierung nach dem spanischen Esquema Nacional de Seguridad (ENS) oder nach ISO 27001. Cloudflare und Clerk haben als Anbieter ihre eigenen Zertifizierungen. Verlangt die Institution ENS, fällt die eigene Installation auf ihrer Infrastruktur unter ihr ENS. Auf Anfrage bereiten wir den Auftragsverarbeitungsvertrag (Artikel 28 DSGVO) und ein technisches Datenblatt mit diesen Informationen vor.