137 lines
6.6 KiB
Markdown
137 lines
6.6 KiB
Markdown
# Rechtlicher und sicherer Produktivbetrieb
|
|
|
|
Stand: 20. Juli 2026
|
|
|
|
Diese Datei beschreibt die mitgelieferten technischen Schutzmaßnahmen und die Punkte, die ein Betreiber vor einer öffentlichen Bereitstellung selbst prüfen und vervollständigen muss. Sie ersetzt keine Rechtsberatung für den konkreten Einzelfall.
|
|
|
|
## 1. Vor dem ersten öffentlichen Start
|
|
|
|
1. `.env.example` nach `.env` kopieren und alle `REPLACE_ME`-Werte durch zutreffende Angaben ersetzen.
|
|
2. `LEGAL_STRICT=true` aktiv lassen. Der Dienst verweigert dann den Start, wenn Kernangaben fehlen.
|
|
3. Impressum, Datenschutzerklärung und Barrierefreiheitserklärung im fertig deployten System prüfen:
|
|
- `/impressum`
|
|
- `/datenschutz`
|
|
- `/barrierefreiheit`
|
|
4. Tatsächliche Hosting-, Proxy-, CDN-, DNS-, Logging-, Backup-, Monitoring- und Lizenzdienste mit der Datenschutzerklärung abgleichen.
|
|
5. Bei Verbraucherverträgen prüfen, welche Angaben nach dem Verbraucherstreitbeilegungsgesetz erforderlich sind. Die frühere EU-OS-Plattform wurde eingestellt; ein alter OS-Link sollte nicht übernommen werden.
|
|
6. Bei journalistisch-redaktionellen Angeboten prüfen, ob ein Verantwortlicher nach § 18 Abs. 2 MStV benannt werden muss.
|
|
7. Bei Angeboten an Verbraucher prüfen, ob das BFSG und die BFSGV anwendbar sind. Eine bloße Selbsterklärung ersetzt keinen Accessibility-Audit.
|
|
|
|
## 2. Anbieterkennzeichnung
|
|
|
|
Die Vorlage deckt typische Felder für § 5 DDG und § 18 MStV ab. Je nach Betreiber können weitere Angaben erforderlich sein, etwa:
|
|
|
|
- Rechtsform und Vertretungsberechtigte;
|
|
- Register, Registernummer und Registergericht;
|
|
- Umsatzsteuer-Identifikationsnummer;
|
|
- Aufsichtsbehörde und berufsrechtliche Angaben;
|
|
- redaktionell Verantwortliche mit Name und Anschrift;
|
|
- Erklärung zur Verbraucherstreitbeilegung.
|
|
|
|
Offizielle Grundlagen:
|
|
|
|
- § 5 DDG: https://www.gesetze-im-internet.de/ddg/__5.html
|
|
- § 18 MStV: https://www.gesetze-bayern.de/Content/Document/MStV-18
|
|
- § 36 VSBG: https://www.gesetze-im-internet.de/vsbg/__36.html
|
|
|
|
## 3. Datenschutz
|
|
|
|
Die ausgelieferte Weboberfläche verwendet keine Cookies, kein Tracking und keine Browser-Speicher wie Local Storage. Das allein macht einen Betrieb nicht automatisch datenschutzkonform. Relevant sind insbesondere die tatsächlichen Infrastruktur-Logs und zusätzlich eingebundene Dienste.
|
|
|
|
Technischer Standardzustand:
|
|
|
|
- kein Datenbank- oder Session-Speicher für Generator-Eingaben;
|
|
- keine Query-Strings in den Anwendungslogs;
|
|
- keine Client-IP in den Anwendungslogs, solange `LOG_CLIENT_IP=false` bleibt;
|
|
- URL-Parameter können dennoch in Browser-Verläufen, Reverse-Proxy-, CDN- oder Hosting-Logs erscheinen;
|
|
- Hybrid- und Online-Lizenzmodi kommunizieren mit dem konfigurierten Lizenzserver;
|
|
- öffentliche Erklärungs-URLs dürfen keine vertraulichen oder unnötigen personenbezogenen Daten enthalten.
|
|
|
|
Der Betreiber muss insbesondere festlegen und umsetzen:
|
|
|
|
- Rechtsgrundlagen und Zwecke;
|
|
- Empfänger und Auftragsverarbeiter;
|
|
- Lösch- und Aufbewahrungsfristen;
|
|
- Drittlandübermittlungen;
|
|
- technisch-organisatorische Maßnahmen;
|
|
- Prozesse für Betroffenenrechte und Datenschutzvorfälle.
|
|
|
|
Offizielle Grundlagen:
|
|
|
|
- Art. 13 DSGVO: https://eur-lex.europa.eu/eli/reg/2016/679/oj
|
|
- § 25 TDDDG: https://www.gesetze-im-internet.de/ttdsg/__25.html
|
|
|
|
## 4. Barrierefreiheit
|
|
|
|
Die Anwendung nutzt semantische Formulare und Tabellen, sichtbare Fokuszustände, responsive Layouts und Textalternativen. Sie erhebt ohne gesonderten Audit keinen Anspruch auf vollständige WCAG- oder EN-301-549-Konformität.
|
|
|
|
Für ein erfasstes Verbraucherangebot sind unter anderem zu prüfen:
|
|
|
|
- Tastaturbedienung und Fokusreihenfolge;
|
|
- Kontraste, Zoom und Reflow;
|
|
- verständliche Fehlermeldungen;
|
|
- Screenreader-Ausgabe;
|
|
- Alternativtexte eingebetteter Badges;
|
|
- Barrierefreiheit des vollständigen Bestell- oder Vertragspfads;
|
|
- gesetzlich verlangte Informationen zur Barrierefreiheit.
|
|
|
|
Offizielle Informationen: https://www.bundesfachstelle-barrierefreiheit.de/DE/Barrierefreiheitsstaerkungsgesetz
|
|
|
|
## 5. Sicherheitsstandard
|
|
|
|
Mitgeliefert werden unter anderem:
|
|
|
|
- restriktive Content Security Policy mit zufälliger Nonce je HTML-Antwort;
|
|
- `frame-ancestors 'none'`, `X-Frame-Options: DENY`, `nosniff`, Referrer- und Permissions-Policy;
|
|
- HSTS bei HTTPS-Basis-URL;
|
|
- Größenlimit und striktes JSON-Decoding für den Validator;
|
|
- Begrenzung paralleler Validierungsanfragen;
|
|
- validierte und begrenzte Request-IDs;
|
|
- Proxy-Header nur aus ausdrücklich konfigurierten Proxy-Netzen;
|
|
- standardmäßig deaktivierte Client-IP-Logs und Prometheus-Metriken;
|
|
- verpflichtender Bearer-Schutz bei aktiviertem `/metrics`;
|
|
- Non-Root-Container, schreibgeschütztes Dateisystem, entfernte Linux-Capabilities und `no-new-privileges`.
|
|
|
|
Zusätzlich in der Betriebsumgebung erforderlich:
|
|
|
|
- TLS-Terminierung und sichere Zertifikatsverwaltung;
|
|
- Rate Limits am Edge/Ingress;
|
|
- regelmäßige Image- und Abhängigkeitsupdates;
|
|
- Secret-Management statt Klartext-Umgebungsvariablen, soweit möglich;
|
|
- Netzwerksegmentierung für Metriken und Lizenzserver;
|
|
- zentrale Log-Löschung entsprechend `LOG_RETENTION`;
|
|
- Backup-, Restore- und Incident-Response-Verfahren;
|
|
- Überwachung ohne unnötige personenbezogene Telemetrie.
|
|
|
|
## 6. Reverse Proxy
|
|
|
|
`TRUST_PROXY=true` darf nur zusammen mit `TRUSTED_PROXY_CIDRS` verwendet werden. Trage ausschließlich Netze ein, aus denen dein kontrollierter Reverse Proxy die Anwendung tatsächlich erreicht. Andernfalls könnten Clients weitergeleitete IP-Header vortäuschen.
|
|
|
|
Beispiel für einen ausschließlich lokalen Proxy:
|
|
|
|
```env
|
|
TRUST_PROXY=true
|
|
TRUSTED_PROXY_CIDRS=127.0.0.1/32,::1/128
|
|
```
|
|
|
|
Docker-, Kubernetes- oder Cloud-Netze unterscheiden sich je Umgebung und dürfen nicht pauschal kopiert werden.
|
|
|
|
## 7. Metriken
|
|
|
|
`/metrics` ist standardmäßig nicht registriert. Für eine Aktivierung:
|
|
|
|
```env
|
|
METRICS_ENABLED=true
|
|
METRICS_TOKEN_FILE=/run/secrets/metrics-token
|
|
```
|
|
|
|
Der Bearer-Token schützt den Endpunkt auf Anwendungsebene. Zusätzlich sollte der Endpunkt nicht über den öffentlichen Ingress erreichbar sein.
|
|
|
|
## 8. KI-Transparenz
|
|
|
|
Der Standard unterstützt freiwillige Dokumentation und bestimmte Transparenz-Workflows. Er entscheidet nicht automatisch, ob Artikel 50 des AI Act auf einen konkreten Inhalt anwendbar ist. Die offiziellen Transparenzleitlinien der Europäischen Kommission wurden am 20. Juli 2026 veröffentlicht; Artikel 50 gilt ab dem 2. August 2026.
|
|
|
|
- AI Act: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
|
|
- Leitlinien: https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
|
|
- FAQ: https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
|