Technische und organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO für "Board"

Stand: 23. August 2026

1. Authentifizierung und Anwendungssicherheit

• Passwörter werden nie im Klartext gespeichert, sondern mit Argon2id gehasht (mit automatischem Fallback auf einen SHA-256-vorgehashten bcrypt, falls Argon2id auf dem Zielserver nicht verfügbar sein sollte);
• Session-Regenerierung beim Login zum Schutz gegen Session-Fixation;
• temporäre Kontosperre (15 Minuten) nach 5 fehlgeschlagenen Login-Versuchen in Folge, inkl. Warnmail an den betroffenen Nutzer;
• Passwort-Reset-Link ist eine Stunde lang gültig und nur einmal nutzbar;
• Registrierung nur nach Bestätigung der E-Mail-Adresse (Double-Opt-In);
• dynamischer Spamschutz (Rechenaufgabe) bei öffentlichen Formularen (Registrierung, Passwort vergessen);
• Session-Cookie mit HttpOnly, SameSite=Strict und, sofern per HTTPS aufgerufen, Secure.

2. Protokollierung

• nachvollziehbare Protokollierung sicherheitsrelevanter Vorgänge (Login-Versuche, Fehler) mit signiertem Backup-Hash zur Erkennung nachträglicher Veränderung;
• produktive Protokolle enthalten keine Klartext-Passwörter.

3. Infrastruktur

Die Anwendung läuft auf einem Root-Server der netcup GmbH in Deutschland (exklusive Ressourcen, alleiniger administrativer Zugriff durch den Anbieter selbst, siehe Verzeichnis der Unterauftragsverarbeiter). Regelmäßige, komprimierte und über einen Prüfsummen-Vergleich verifizierte Datenbank-Backups sichern den Datenbestand.