Reaktion auf Sicherheitsvorfälle – E-Rechnung Deutschland

1. Geltungsbereich

Diese Richtlinie beschreibt, wie aoex Sicherheitsvorfälle der Shopify-App E-Rechnung Deutschland behandelt. Sie gilt für die App, ihre PostgreSQL-Datenbank und die gespeicherten Rechnungsdateien. Kontakt: contact@aoex.be.

2. Was ein Sicherheitsvorfall ist

Ein Sicherheitsvorfall ist ein bestätigter oder wahrscheinlicher unbefugter Zugriff, Verlust, Veränderung oder Offenlegung von personenbezogenen Daten oder Rechnungsdateien, eine Kompromittierung von Zugangsdaten oder ein Angriff, der die App unzugänglich macht. Ein einzelner abgewiesener Webhook, dessen HMAC-Signatur nicht stimmt und der nur protokolliert wird, ist für sich genommen kein Vorfall.

3. Schutzmaßnahmen

• Die App, ihre PostgreSQL-Datenbank und der KoSIT-Validator laufen auf Fly.io in der Region Frankfurt (fra).
• Alle Verbindungen nutzen HTTPS.
• Webhooks von Shopify werden nur angenommen, wenn die HMAC-Signatur geprüft wurde und stimmt.
• Der Zugriff auf die Produktion ist auf die Mitglieder des aoex-Teams beschränkt, die ihn brauchen. Diese Zugänge nutzen eine Zwei-Faktor-Authentifizierung.
• Aktionen an Rechnungen werden im Prüfprotokoll festgehalten.

4. Vorgehen

• Erkennen: Server-Protokolle, abgewiesene Webhooks und Meldungen an contact@aoex.be.
• Eindämmen: betroffene Sitzungen widerrufen und den betroffenen Zugang sperren.
• Bewerten, ob personenbezogene Daten oder Rechnungsdateien betroffen sind.
• Melden, wie in Abschnitt 5 beschrieben, und die Ursache beheben.

5. Meldung nach Art. 33 und 34 DSGVO

Wird aoex eine Verletzung des Schutzes personenbezogener Daten bekannt und ist voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen die Folge, meldet aoex dies der zuständigen Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Ist ein hohes Risiko wahrscheinlich, informiert aoex die betroffenen Personen binnen 72 Stunden nach Bekanntwerden (Art. 34 DSGVO). Händler, deren Shop oder deren Kunden betroffen sind, werden in derselben Frist informiert. Käufer wenden sich zuerst an den Händler; aoex unterstützt ihn. Fragen und Meldungen: contact@aoex.be.

6. Aufzeichnung

aoex hält den Vorfall, die getroffenen Maßnahmen und die erfolgte Meldung fest. Was sich daraus ergibt, wird in der App umgesetzt.

7. Kontakt

Sicherheitsmeldungen und Fragen: contact@aoex.be.

aoex · contact@aoex.be · https://aoex.be/