Sicherheit und Transparenz

Wie wir den Zugang zu Ihren Daten schützen, was wir protokollieren und wie Integritätsprüfungen funktionieren.

Authentifizierung und Sitzung

Passwort-Hashing

Passwörter werden mit dem Argon2id-Algorithmus gespeichert — einem der sichersten Hash-Algorithmen. Das ursprüngliche Passwort kann praktisch nicht aus dem Hash rekonstruiert werden.

Session-Verwaltung

Nach der Anmeldung wird eine Sitzung mit begrenzter Gültigkeit erstellt. Das Session-Cookie ist HttpOnly und Secure — nicht aus JavaScript zugänglich.

Prüfung im Browser: DevTools → Application → Cookies → HttpOnly und Secure.

Schutz gegen wiederholte Versuche

Nach mehreren fehlgeschlagenen Anmeldeversuchen kann das Konto vorübergehend gesperrt werden. Dies hilft gegen automatisierte Angriffe (Brute-Force).

CSRF-Schutz

Zentrale Formulare und Server-Aktionen sind gegen Cross-Site Request Forgery-Angriffe geschützt.

Was wir protokollieren

Audit-Protokolle dienen der Transparenz — damit die Organisation einen Überblick hat, wer was getan hat.

✓Anmeldung und Abmeldung
✓Erstellung und Schließung von Abstimmungen
✓Abgabe und Änderung von Stimmen
✓Hochladen und Bearbeitung von Dokumenten
✓Änderungen von Rollen und Mitgliedschaften
✓Veröffentlichung von Mitteilungen
✓Export von Daten und Protokollen

Was wir NICHT protokollieren

—Inhalt privater Nachrichten (wir protokollieren nur die Tatsache des Versands)
—Passwörter in jeglicher Form
—Aktivität auf anderen Websites
—Persönliche Notizen von Mitgliedern

IP-Adresse und Browser-Identifikator werden bei wichtigen Verwaltungsaktionen (Anmeldung, Abstimmung, Änderungen) aus Sicherheits- und Nachvollziehbarkeitsgründen erfasst. Diese Daten sind nicht öffentlich und dienen ausschließlich Audit-Zwecken.

Dateispeicherung

Dokumente und Anhänge werden außerhalb des öffentlichen Zugangs gespeichert. Der Download erfolgt über einen autorisierten Endpunkt — das System prüft die Mitgliedschaft. Logo und Banner der Organisation können eine öffentliche Adresse haben, weil sie auf dem öffentlichen Profil erscheinen.

Integritätsprüfung

Einträge auf der Zeitachse können mit einem kryptografischen Hash (SHA-256) versehen werden. Wenn der Hash dem Inhalt des Eintrags entspricht, wurde der Eintrag nach dem Speichern nicht geändert. Dies ist ein technisches Instrument für Transparenz — es handelt sich nicht um eine rechtliche Zertifizierung oder amtliche Überprüfung.

Den Hash eines Eintrags können Sie nach der Anmeldung auf der Zeitachse vergleichen. Das ist ein technischer Nachweis, keine amtliche Prüfung.

Umfang und Grenzen des Systems

Verwalt.ch ist für transparente interne Verwaltung konzipiert. Hier erfahren Sie, wie das System funktioniert und was Sie erwarten können.

·Die Rechtsgültigkeit von Entscheidungen hängt von den Statuten Ihrer Organisation ab
·Exporte und Protokolle sind technische Ausgaben für interne Zwecke
·Abstimmungen sind standardmässig nachvollziehbar (Konto zugeordnet). Der Vorstand kann eine geheime Abstimmung aktivieren (mind. 4 Stimmberechtigte).
·Kontroll-Hashes überprüfen die Integrität von Einträgen, nicht deren Rechtsgültigkeit
·Das System ist ein Verwaltungstool, kein Ersatz für offizielle Register oder Datenboxen

Was wir noch nicht haben

·Wir haben keine ISO-27001- oder SOC-2-Zertifizierung
·Wir haben keine 24/7-Überwachung und kein vertragliches Verfügbarkeits-SLA
·Einen Penetrationstest veröffentlichen wir erst nach Abschluss — nicht früher

Schutz personenbezogener Daten (Unterstützung von DSGVO)

·Export personenbezogener Daten: Mitglieder können ihre Daten herunterladen (DSGVO Art. 20)
·Kontolöschung: auf Anfrage — personenbezogene Daten werden pseudonymisiert
·Datenaufbewahrung: abgelaufene Sitzungen, Tokens und temporäre Exporte werden regelmäßig gelöscht
·Isolierung von Organisationen: jede Anfrage ist an die Organisation aus der Session gebunden; automatisierte Tests prüfen die Trennung

Plattformbetreiber: TimeDeals Pavelka, Berglistrasse 28a, 8180 Bülach, Schweiz (UID: CHE-393.597.780). Kontakt für Datenschutz: privacy@verwalt.ch

Datenschutzerklärung →Nutzungsbedingungen →DPA — Datenverarbeitung →

Organisation kostenlos gründen Haben Sie eine Frage? Kontaktieren Sie uns →