HTTPS und HSTS
Die öffentliche Website wird ausschließlich verschlüsselt ausgeliefert und nutzt HSTS.
Sicherheit
Defensiv gebaut, klar dokumentiert, auf Behördenanforderungen ausgerichtet.
Sicherheitskommunikation darf nicht größer sein als die Architektur. Darum formuliert S-KAT präzise, prüfbar und ohne Showeffekte.
Schutzmaßnahmen
Was bereits sichtbar umgesetzt ist
Content Security Policy
Skripte sind auf der Website vollständig blockiert. Inhalte werden statisch ausgeliefert.
Frame Schutz
X Frame Options und frame ancestors verhindern Einbettung in fremde Oberflächen.
Permissions Policy
Kamera, Mikrofon, Geolocation, Payment, USB und Sensoren sind für die Website deaktiviert.
Produkt Sicherheit
Was im Plattformkontext zählt
Mandantentrennung
Organisationen müssen voneinander getrennt und rollenbasiert verwaltet werden.
Row Level Security
Datenzugriff wird auf Datensatzebene abgesichert.
Audit Fähigkeit
Enterprise Kunden erhalten Nachvollziehbarkeit für kritische Vorgänge.
AVV Fähigkeit
Für Organisationen mit personenbezogenen Daten wird eine vertragliche Datenschutzgrundlage benötigt.