Anlage TOM – Technische und organisatorische Maßnahmen für OPERIO
Version R2.4 – ausführliche Pre-Live-Fassung – Stand: 13. August 2026
1. Grundsatz
Diese Anlage beschreibt ausschließlich den aktuellen, technisch belegten Schutzrahmen. Nicht belegte Maßnahmen werden nicht als bestehend zugesagt. Insbesondere wird eine Verschlüsselung der Backup-Artefakte derzeit nicht als bestehende Maßnahme behauptet.
Die Maßnahmen werden anlassbezogen und bei wesentlichen Sicherheits-/Architekturänderungen überprüft.
2. Identität und Zugang
- persönliche Benutzer- und Administrationskonten;
- passkey-/WebAuthn-basierte Produktanmeldung;
- separate OPERIO-Gerätebindung je freigegebenem Gerät;
- Benutzerverifikation durch den jeweiligen Authenticator;
- keine Verarbeitung biometrischer Vorlagen durch OPERIO;
- kein regulärer Passwort-/SMS-/OTP-Fallback für die aktuelle Produktanmeldung;
- rollen-, modul- und objektbezogene serverseitige Zugriffskontrollen;
- Mandantentrennung;
- Widerruf nicht mehr benötigter Rechte und Sessions.
3. Kontenbezogene Recovery und Widerruf
- öffentliche Recovery-Anforderung ausschließlich per E-Mail-Adresse;
- kein Mandantenkürzel/Kundenkennzeichen als öffentliches Recovery-Eingabefeld;
- E-Mail-Nachweis hash-/HMAC-basiert gespeichert, single-use und 20 Minuten gültig;
- GET/Link-Preview verbraucht den Nachweis nicht;
- ausdrückliche Nutzerbestätigung vor Verbrauch;
- 30-Minuten-Account-Recovery-Grant, serverseitig an genau einen Benutzer/Mandanten gebunden;
- Recovery-Grant ist keine normale Anwendungssitzung und gewährt keinen Geschäftsdatenzugriff;
- einmaliger Widerruf aller vor der Recovery bestehenden Sessions, Gerätebindungen und WebAuthn-Credentials;
- mehrere neue Geräte innerhalb eines aktiven Grants möglich;
- jedes Zielgerät benötigt eigene Device-Intent-/WebAuthn-Bindung;
- zusätzliche Geräte werden über kurzlebige, single-use Pairing-Mechanismen plus geräteeigenen Nachweis freigegeben;
- alte Geräte werden nicht automatisch wieder vertrauenswürdig;
- Startgerät, E-Mail-Bestätigungsgerät und Zielgerät dürfen voneinander abweichen.
4. Übertragung und Netze
- HTTPS/TLS für öffentliche Verbindungen;
- kontrollierte Reverse-Proxy-/Gateway-Struktur;
- Beschränkung öffentlich erreichbarer Dienste;
- mandanten- und rollenbezogene API-Prüfungen;
- sichere Cookies für Authentisierung/zweckgebundene Recovery-Fähigkeiten;
- CSRF- und Rate-Limit-Schutz an relevanten schreibenden bzw. sicherheitskritischen Grenzen.
5. Daten- und Mandantentrennung
- logische Tenant-Isolation in Anwendung und Datenzugriff;
- serverseitige Bindung von Benutzer, Sitzung und Geschäftsobjekten an den Mandanten;
- kundenbezogene Objekt-/Dateizugriffe nur im zulässigen Tenant-Kontext;
- Schutz gegen Pfadüberschreitung in Dateizugriffen;
- Browser-/Offline-Daten nutzer-/mandantenbezogen getrennt.
6. Logging, Audit und Nachvollziehbarkeit
- sicherheits- und fachlich relevante Auditereignisse;
- Zeit-/Akteursbezug für wesentliche Verwaltungs- und Sicherheitsaktionen;
- Wiederholungs-/Replay-Schutz an sicherheitskritischen Einmalnachweisen;
- Secret-/Tokenwerte werden nicht als reguläre Evidence-/Log-Inhalte ausgegeben;
- Lösch-, Export-, Recovery- und Releaseaktionen werden mit nicht inhaltsbezogenen Nachweisen dokumentiert, soweit technisch vorgesehen.
Konkrete Logaufbewahrungszeiten werden nur zugesagt, soweit sie im laufenden Betrieb separat bestätigt sind; dieses TOM-Dokument erfindet keine unbelegten 14/30/90/12-Monats-Fristen.
7. Backup, Löschung und Wiederherstellung
- integritätsgeprüfte Datenbank- und Speicherbackups;
- manifestbasierte Sicherungsinventare;
- maximale reguläre Backup-Rotation 90 Tage;
- geschützte Wiederherstellungsanker können während ihrer Schutzdauer von der normalen Rotation ausgenommen sein;
- einheitlicher Mandanten-Purge für Testende und abgeschlossenen Anbieterwechsel;
- wiederholbare Speicherlöschaufträge mit Fehlerbehandlung;
- operatorgebundener, dokumentierter Legal Hold blockiert Löschung ohne zusätzlichen Datenzugriff;
- geschützter Lösch-/Reconciliation-Nachweis außerhalb des wiederhergestellten Datenbankzustands;
- Wiederanwendung bereits wirksamer Lösch- und Widerrufspflichten nach Restore;
- dokumentierte Restore-/Integritätsprüfungen.
Keine Zusage: Backup-Verschlüsselung wird derzeit nicht als bestehende Kontrolle ausgewiesen.
8. Entwicklungs- und Release-Sicherheit
- Versionskontrolle;
- automatisierte Backend-/Frontend-/Migrations-/Security-Tests;
- Secret-Scans;
- reproduzierbare Build-/OCI-Artefakte, soweit im qualifizierten Releaseprozess vorgesehen;
- Inhalts- und Berechtigungsmanifeste;
- kontrollierte Named-Service-Produktionsumschaltung;
- frischer Backup-Anker vor produktiven Änderungen nach Releasevertrag;
- Datenbank-Identitätsguard und Schutz vor unnötiger DB-/Caddy-Neuerstellung;
- Trennung von Entwicklung, Test und Produktion.
9. Externe Dienstleister / KI
- Hetzner: aktuelles Hosting der OPERIO-Anwendung und produktiver Speicherkomponenten;
- goneo: Domain-/DNS-/E-Mail-Dienste und Website-Hosting;
- kein aktuell aktiver OpenAI-/externer KI-Modellanbieter für OPERIO-Kundendaten;
- kein aktuell aktiver externer Zahlungsdienst in der Produktivkonfiguration.
10. Review-Nachweis
Der interne technische TOM-Nachweis kann pro Kontrolle insbesondere CONTROL, STATUS, EVIDENCE, LAST_REVIEWED_AT, OWNER und gegebenenfalls REMEDIATION führen. Nicht produktiv nachgewiesene Maßnahmen werden nicht in die vertragliche Aktiv-Liste aufgenommen.
Kontrollmatrix R3.5
| Kontrolle | Status | Qualifizierte Evidence / Grenze |
|---|---|---|
| Passkey/WebAuthn-Anmeldung | IMPLEMENTED | backend/app/api/v1/auth.py, Session-/Passkey-Tests |
| Gerätebindung | IMPLEMENTED | backend/app/auth/field_devices.py, Device-Lock-Routing-Test |
| E-Mail-only Account-Recovery | IMPLEMENTED | backend/app/access/recovery_router.py, recovery_service.py, Owner-Parity-Test |
| Session-, Geräte- und Credential-Widerruf | IMPLEMENTED | Recovery-Service, Session-Control und Passkey-Truth-Test |
| Logout, Sitzungsablauf und Invalidation | IMPLEMENTED | Auth-Router, session_control.py, sessions.py, Session-Tests |
| Rollen-/Objektberechtigung | IMPLEMENTED | authorization.py, context.py, Central-Object-Authorization-Test |
| Mandantentrennung | IMPLEMENTED | Auth-Context/Envelope und Tenant-Isolation-Evidence |
| CSRF-Schutz | IMPLEMENTED | csrf.py, CSRF-Unit-Test |
| Rate-Limits für sicherheitsrelevante Wege | IMPLEMENTED | rate_limits.py, Rate-Limit-Unit-Test |
| TLS für öffentliche Produktzugriffe | IMPLEMENTED | qualifizierte HTTPS-Runtime und Website-Security-Gate |
| Evidence-Integrität | IMPLEMENTED | Hash-/Herkunftsprüfungen in den qualifizierten Nachweiswegen |
| Security-/Audit-Logging | IMPLEMENTED | backend/app/audit/models.py, service.py, Audit-Service-Test; ereignisbezogen, keine Vollüberwachung |
| Exportausschluss von Secrets/Sicherheitsmaterial | IMPLEMENTED | backend/app/lifecycle/export_package.py, Export-Isolation-Test |
| Browser-/Offline-Zwischenspeicherung | PARTIAL | tenant-/nutzergebundener Kurzzeitpuffer; kein vollständiger Dauer-Offlinebetrieb und keine positive Verschlüsselungsbehauptung |
| Backup-Rotation | IMPLEMENTED | Backup-Rotation-Skript und Unit-Test; regulär bis 90 Tage |
| Restore-Löschabgleich | IMPLEMENTED | Restore-Deletion-Reconciliation und R2.2-Paritätsevidence |
| Legal Hold | IMPLEMENTED | operatorgebundener dokumentierter Hold im qualifizierten Lifecycle |
| Analyse-/Werbetracker | NOT_APPLICABLE | im qualifizierten Produktmodell nicht eingesetzt; technisch erforderliche Speicherung bleibt ausgewiesen |
| Externer KI-Provider für ASSISTO | NOT_APPLICABLE | aktuell nicht aktiv; keine Kundendatenübertragung an externes Modell |
| Autonome bindende ASSISTO-Entscheidung | NOT_APPLICABLE | nicht Teil des qualifizierten Produktverhaltens |
| Backup-Verschlüsselung | NOT_VERIFIED | keine positive Evidence; deshalb keine Behauptung als aktive TOM |
Die Matrix bewertet den Stand, nicht einen Ausbauplan. PARTIAL und NOT_VERIFIED dürfen weder im Vertrag noch öffentlich in IMPLEMENTED umgedeutet werden.
R2.4-Prüfvermerk zum aktuellen Implementierungsstand
Stand 13. August 2026 wurden konkrete TOM-Aussagen gegen den Security Fact Canon R3.5 geprüft. Passkey/WebAuthn, E-Mail-only Recovery, Widerruf alter Sessions/Geräte/Credentials, serverseitige Rollen-/Mandantengrenzen, CSRF und Rate-Limits sind als implementiert belegt. Backup-Rotation bis 90 Tage und Restore-Löschabgleich sind belegt. Eine bestehende Backup-Verschlüsselung ist NOT_VERIFIED und wird nicht als aktive TOM behauptet. Offline-Zwischenspeicherung ist PARTIAL und begrenzt; eine Verschlüsselung lokaler Entwürfe wird nicht behauptet.