Sicherheit
Die Produkte und die Infrastruktur von BetterNow wurden mit einem klaren Fokus auf Sicherheit entwickelt. Du vertraust uns die personenbezogenen Daten Deiner Unterstützer*innen an – dieser Verantwortung sind wir uns bewusst und wir nehmen sie sehr ernst.
Die Sicherheit der Daten Deiner Unterstützer*innen ist ein zentraler Faktor bei jeder Produkt- und Infrastrukturentscheidung, die wir bei BetterNow treffen.
Im Folgenden findest Du eine Übersicht ausgewählter Sicherheitsmaßnahmen, mit denen wir die Daten Deiner Unterstützer*innen schützen.
Keine Passwörter
Für die Anmeldung verwenden wir sichere Login-Links, die an die E-Mail-Adresse der Nutzer*innen gesendet werden. Diese Links sind nur für einen kurzen Zeitraum gültig. Die Sicherheit basiert auf dem bestehenden Schutz des jeweiligen E-Mail-Postfachs, anstatt ein zusätzliches Passwort einzusetzen. Für unsere Mitarbeitenden ist Multi-Faktor-Authentifizierung (MFA) auf allen Systemen verpflichtend. Gleiches gilt für Administrator*innen auf Kundenseite.
Kontoverifizierung für Nutzer*innen
Alle Nutzer*innen müssen ihr Konto über einen Link bestätigen, der in einer automatisierten E-Mail bereitgestellt wird.
Schutz vor Angriffen
Wir betreiben einen Proxy vor unserer Anwendung, der zahlreiche Arten von Angriffen blockiert. Zusätzlich begrenzen wir die Anzahl von Anfragen pro Zeitintervall (Rate Limiting). Besonders sensible Endpunkte – wie beispielsweise Anmelde- oder Passwortänderungsfunktionen – sind mit strengeren Limits versehen, um Angriffe wie Credential Stuffing zu verhindern.
Dauerhafte Löschung
Nutzer*innen können Fundraising-Seiten über die Self-Service-Plattform löschen, sofern sie über die entsprechenden Zugriffsrechte verfügen. Die Plattform bietet alle erforderlichen Funktionen, um Daten zu löschen und die Anforderungen der DSGVO zu erfüllen.
Speicherung personenbezogener Daten
Alle personenbezogenen Daten werden innerhalb der EU gespeichert.
Hohe Verfügbarkeit
Wir gewährleisten eine hohe Verfügbarkeit durch automatisierte und manuelle Tests, kontinuierliches Monitoring der Produktionsumgebung, Protokollierung und Alarmierung, schnelle kontinuierliche Deployments sowie den Einsatz einer Cloud-Infrastruktur nach Industriestandard.
Hosting und Speicherung personenbezogener Daten
Die Services und Daten des Auftragsverarbeiters werden in Rechenzentren von Amazon Web Services (AWS) innerhalb der EU (Region EU-West-1) gehostet.
Verschlüsselung personenbezogener Daten
Personenbezogene Daten werden bei der Übertragung zwischen BetterNow und dem Browser mittels Transport Layer Security (TLS) verschlüsselt.
Im Ruhezustand (at rest): Personenbezogene Daten, die im Auftrag unserer Kund*innen verarbeitet werden, werden ausschließlich in der Produktionsumgebung gespeichert und dort mit AES-256 verschlüsselt.
Netzwerkkommunikation: Die Netzwerkkommunikation erfolgt über TLS und ist verschlüsselt sowie authentifiziert.
Schwachstellen-Scanning und Patching der Produktionsumgebung
Wir prüfen unsere Abhängigkeiten mehrmals täglich auf bekannte Sicherheitslücken – unter anderem bei jeder Änderung an der Anwendung. Zusätzlich aktualisieren wir sämtliche Abhängigkeiten einmal täglich auch im Hinblick auf nicht sicherheitsrelevante Updates.
Wir entwickeln und pflegen automatisierte Tests, um Sicherheitsrisiken wie SQL-Injection, Cross-Site-Scripting (XSS) und ähnliche Schwachstellen frühzeitig zu erkennen.Kritische und hochkritische Sicherheitsupdates werden implementiert und getestet, sobald sie bekannt werden – gegebenenfalls auch außerhalb regulärer Geschäftszeiten, einschließlich abends und an Wochenenden.
Updates mit geringerer Kritikalität werden an Werktagen eingespielt und getestet.
Das Hosting der Infrastruktur erfolgt über AWS. Betriebssystem-Updates der Infrastruktur werden vom Hosting-Anbieter verwaltet und Patches bzw. Updates werden täglich angewendet.
Backup- und Logging-Richtlinie
Unsere Backup-Prozesse gewährleisten Daten- und Informationskonsistenz nach hohen Standards. Für Backups von Datenspeichern, die personenbezogene Daten enthalten, nutzen wir Heroku. Die Datensicherung erfolgt kontinuierlich; zusätzlich werden täglich Offsite-Backups erstellt. Auf Anwendungsebene speichern wir Aktivitätsprotokolle in einer zentralisierten Logging-Lösung.
Incident response
Im Falle von Sicherheitsvorfällen informieren wir unsere Kund*innen transparent über unsere Status-Website sowie direkt über unser Support-System.
Wir halten die Vorgaben der DSGVO zu Meldefristen ein. Die dänische Datenschutzbehörde („Datatilsynet“) wird spätestens innerhalb von 72 Stunden informiert. Betroffene Verantwortliche werden so früh wie möglich nach einer ersten Bewertung des Vorfalls benachrichtigt.
Monitoring, Logging und Audit-Trail
Wir protokollieren sämtliche Nutzeraktionen im System mit vollständigem Audit-Trail. Alle Protokolldaten werden an eine zentrale Log-Management-Lösung übermittelt, in der Anomalieerkennung und Alarmmechanismen konfiguriert sind.
Continuous delivery
Wir arbeiten mit einer modernen, agilen Softwareentwicklungs-Methodik sowie klar definierten Change-Management-Prozessen. Unsere Deployment-Methoden ermöglichen Aktualisierungen ohne Ausfallzeiten der Anwendung.
Personal
Rollenbasierter Zugriff
Die Zugriffsrechte der Mitarbeitenden des Auftragsverarbeiters richten sich nach ihrer jeweiligen Rolle und folgen dem Prinzip der minimalen Rechtevergabe (Least-Privilege-Prinzip).
Sicherer Zugriff
Der Auftragsverarbeiter nutzt Single Sign-on (SSO), verbindliche Passwort-Richtlinien sowie Virtual Private Networks (VPN), um einen sicheren Zugriff auf die Systeme zu gewährleisten.
Multi-Faktor-Authentifizierung
Für sämtliche privilegierten Zugriffe sowie auf allen Systemen ist Multi-Faktor-Authentifizierung (MFA) verpflichtend.
Sicherheit auf Endgeräten der Mitarbeitenden
Alle Endgeräte der Mitarbeitenden müssen mit vollständiger Festplattenverschlüsselung eingerichtet sein. Multi-Faktor-Authentifizierung ist verpflichtend, und sowohl eingehende als auch ausgehende Firewalls sind aktiviert.
Alle Geräte sind mit den strengstmöglichen automatischen Sperreinstellungen (Auto-Lock) konfiguriert. Betriebssysteme und Webbrowser werden täglich aktualisiert.
Vertraulichkeit
Alle Arbeits- und Dienstleistungsverträge mit Mitarbeitenden und externen Auftragnehmern enthalten Vertraulichkeitsklauseln.
Dienstleister (Vendors)
Auswahl von Dienstleistern
Alle vom Auftragsverarbeiter eingesetzten Dienstleister bieten branchenführende Produkte an und durchlaufen eine Sicherheitsprüfung, um sicherzustellen, dass ihre Maßnahmen unseren Sicherheits- und Compliance-Standards entsprechen.
Vendor Security Alliance (VSA)
Der Auftragsverarbeiter hat den VSA Core Self-Assessment-Fragebogen der Vendor Security Alliance abgeschlossen. Dieser kann auf Anfrage zur Verfügung gestellt werden.
DSGVO
Die Anforderungen der DSGVO sind fest in die Geschäftsprozesse, Sicherheitsrichtlinien und Schulungen der Mitarbeitenden integriert.Eine DSGVO-Prüfung ist Bestandteil der Risikoanalyse und der internen Audits des Auftragsverarbeiters.
BetterNow ist dankbar für die Beiträge zur Softwaresicherheit, die Sicherheitsforscher*innen in unserer Branche leisten.Wenn Du der Ansicht bist, eine Sicherheitslücke bei BetterNow entdeckt zu haben, kontaktiere uns bitte direkt unter security@betternow.org. Du kannst hierfür gerne unseren PGP-Schlüssel verwenden.
BetterNow bedankt sich bei den folgenden Personen für die verantwortungsvolle Meldung von Sicherheitslücken sowie für die Einräumung angemessener Zeit zur Behebung:
