Zum Inhalt springen

Sprache

Vertrauen

Sicherheit

Diese Übersetzung dient nur der Orientierung. Weicht sie von der englischen Fassung ab, ist die englische Fassung maßgeblich.

Einwilligungsnachweise sind Beweismittel. Wenn sie verloren gehen, verändert werden oder nach außen dringen können, schützen sie Sie in keinem Audit. Diese Seite beschreibt, wie Cookiesh den Dienst und Ihre Daten absichert. Enterprise-Kunden können unter security@cookiesh.eu ausführlichere Unterlagen und ausgefüllte Sicherheitsfragebögen anfordern.

Infrastruktur

  • Die Cookiesh-Plattform läuft bei Amazon Web Services in Frankfurt (Deutschland), verteilt auf mehrere Availability Zones.
  • Das Consent-Skript wird über das globale Edge-Netzwerk von Cloudflare ausgeliefert, das auch Denial-of-Service-Angriffe abfängt.
  • Produktions-, Staging- und Entwicklungsumgebungen sind vollständig getrennt. Kundendaten werden nie für Tests verwendet.
  • Die Infrastruktur ist als Code definiert, wird wie Anwendungscode geprüft und automatisch ausgerollt.

Datenschutz

  • Verschlüsselung bei der Übertragung. Der gesamte Datenverkehr nutzt TLS 1.2 oder neuer, mit HSTS auf jeder Cookiesh-Domain.
  • Verschlüsselung im Ruhezustand. Datenbanken, Backups und Exporte werden mit AES-256 verschlüsselt, die Schlüssel werden im AWS Key Management Service verwaltet.
  • Datenminimierung. Einwilligungsnachweise enthalten eine pseudonyme ID, nie eine rohe IP-Adresse. Nutzer-IDs, die an identify() übergeben werden, speichern wir nur als gesalzene Hashes.
  • Datenhaltung in der EU. Einwilligungsnachweise werden in der EU gespeichert und verarbeitet. Unsere Seite zu Unterauftragsverarbeitern listet jeden Anbieter auf, der personenbezogene Daten verarbeitet.

Manipulationssichere Einwilligungsnachweise

Einwilligungsnachweise sind nur anhängbar (append-only). Jeder Datensatz enthält einen SHA-256-Hash seines eigenen Inhalts und des vorherigen Datensatzes, sodass pro Website eine Kette entsteht. Wird ein Datensatz geändert oder gelöscht, stimmt kein späterer Hash mehr. Jede Manipulation ist damit erkennbar.

Wir verifizieren jede Kette täglich automatisch. Enterprise-Kunden können die Kettennachweise exportieren und unabhängig prüfen.

Anwendungssicherheit

  • Jede Codeänderung wird vor dem Merge von einer zweiten Person geprüft.
  • Automatisierte Prüfungen untersuchen jede Änderung auf verwundbare Abhängigkeiten, geleakte Secrets und verbreitete Sicherheitslücken.
  • Ein unabhängiges Unternehmen testet die Plattform mindestens einmal im Jahr auf Schwachstellen, und wir beheben die Ergebnisse nach Schweregrad.
  • Das Dashboard unterstützt Single Sign-on mit SAML 2.0 und erzwingt für Anmeldungen per Passwort eine Multi-Faktor-Authentifizierung.

Skriptintegrität

Das Consent-Skript läuft auf den Websites unserer Kunden, deshalb behandeln wir es mit besonderer Sorgfalt:

  • Releases werden in einer isolierten Pipeline gebaut und müssen von zwei Entwicklern freigegeben werden.
  • Versionierte Skript-URLs unterstützen Subresource-Integrity-Hashes (SRI), sodass Browser eine veränderte Datei ablehnen.
  • Das Skript funktioniert mit einer strikten Content Security Policy. Es unterstützt Nonces und verwendet kein eval().
  • Das Skript setzt außer cookiesh_consent keine Cookies und sendet keine Daten an Dritte.

Zugriffskontrolle

  • Mitarbeitende erhalten nur dann Zugriff auf Produktionssysteme, wenn ihre Rolle es erfordert, und jeder Zugriff wird protokolliert.
  • Der Zugriff auf die Produktion erfordert Single Sign-on mit hardwaregestützter Multi-Faktor-Authentifizierung.
  • Wir überprüfen Zugriffsrechte jedes Quartal und entziehen sie noch am selben Tag, an dem jemand die Rolle wechselt oder das Unternehmen verlässt.
  • Mitarbeitende absolvieren beim Eintritt und danach jährlich Schulungen zu Sicherheit und Datenschutz.

Verfügbarkeit und Backups

  • Datenbanken werden kontinuierlich gesichert, mit Point-in-Time-Recovery für die letzten 30 Tage.
  • Wir testen die Wiederherstellung aus Backups jedes Quartal.
  • Ist der Consent-Dienst nicht erreichbar, greift das Skript auf die gespeicherte Entscheidung des Besuchers zurück oder, bei neuen Besuchern, auf den restriktivsten Standard der Region. Bei einem Ausfall werden blockierte Skripte also nie einfach freigegeben (kein Fail-open).
  • Enterprise-Tarife enthalten ein SLA mit 99,99 % Verfügbarkeit.

Reaktion auf Sicherheitsvorfälle

Wir haben einen dokumentierten Incident-Response-Plan mit Bereitschaftsdienst rund um die Uhr. Betrifft ein Sicherheitsvorfall Ihre Daten, informieren wir Sie unverzüglich, spätestens 48 Stunden, nachdem wir davon Kenntnis erlangt haben, wie es unser Auftragsverarbeitungsvertrag verlangt. Danach halten wir Sie auf dem Laufenden, bis der Vorfall behoben ist.

Responsible Disclosure

Wenn Sie glauben, eine Sicherheitslücke in Cookiesh gefunden zu haben, schreiben Sie an security@cookiesh.eu mit den Details und den Schritten zur Reproduktion. Wir bestätigen den Eingang Ihrer Meldung innerhalb von zwei Werktagen und halten Sie auf dem Laufenden, während wir die Lücke schließen.

Gegen Forschende, die in gutem Glauben handeln, gehen wir nicht rechtlich vor. Das heißt: Sie greifen nicht auf Daten anderer zu und verändern sie nicht, beeinträchtigen den Dienst nicht und geben uns angemessen Zeit, das Problem zu beheben, bevor Sie es veröffentlichen.