Sicherheit und Reaktion auf Vorfälle

Als Sicherheitsvorfall bezeichnen wir jedes Ereignis, das die Vertraulichkeit, die Integrität oder die Verfügbarkeit der von uns verwahrten Daten beeinträchtigt. Dazu zählen insbesondere:

• Ein unbefugter Zugriff: Jemand sieht Daten ein, ohne dazu berechtigt zu sein — kompromittiertes Konto, entwendeter Zugangsschlüssel, ausgenutzte Sicherheitslücke.
• Ein Datenverlust: Daten gehen unwiederbringlich verloren, sei es durch versehentliches Löschen oder durch ein technisches Versagen.
• Eine Veränderung: Daten werden ohne Berechtigung oder auf unkontrollierte Weise verändert.
• Eine Offenlegung: Daten werden für Personen sichtbar, die sie nicht hätten sehen dürfen.

Dies gilt für die Daten der Händler, die LIORA nutzen, ebenso wie für die Daten ihrer eigenen Kunden, auf die die Anwendung für ihren Betrieb zugreift.

Eine Betriebsunterbrechung, die keine Daten unzugänglich macht und sie weder offenlegt noch verändert, gehört zum Support und fällt nicht unter diese Richtlinie. Eine Störung hingegen, die den Zugriff auf Ihre Daten dauerhaft verhindert, beeinträchtigt sehr wohl deren Verfügbarkeit: Sie wird hier behandelt.

Diese Unterscheidung bestimmt alles Weitere, insbesondere die Frage, wer die Aufsichtsbehörde zu unterrichten hat.

• Ihre Konto- und Rechnungsdaten: Hierfür ist Hugo BILLAUX EI der Verantwortliche. Die Meldepflichten obliegen uns.
• Die Daten der Kunden Ihres Shops: Hier handelt Hugo BILLAUX EI in Ihrem Auftrag, als Auftragsverarbeiter. Verantwortlicher bleiben Sie, und es liegt bei Ihnen, die Aufsichtsbehörde einzuschalten, wenn eine Verletzung des Schutzes personenbezogener Daten dies erfordert. Unsere Rolle besteht darin, Sie zu warnen und Sie zu unterstützen.

Schreiben Sie an direction@liora-eu.com und beschreiben Sie, was Sie festgestellt haben und, sofern möglich, wie es sich nachvollziehen lässt. Diese Adresse liest der Einzelunternehmer, der LIORA betreibt, persönlich.

Wir bestätigen den Eingang spätestens am nächsten Arbeitstag nach Eingang Ihrer Nachricht. Diese Zusage betrifft die Eingangsbestätigung, nicht die Behebung: Die Frist für die Korrektur hängt von der Art des Vorfalls ab, und wir legen keine Frist im Voraus fest, die wir nicht einhalten könnten.

Wenn Sie in der Sicherheitsforschung tätig sind, können Sie uns eine Schwachstelle über dieselbe Adresse melden. Wir bieten kein Prämienprogramm an, und wir gehen rechtlich gegen niemanden vor, der uns in gutem Glauben eine Sicherheitslücke meldet, ohne sie über das für ihren Nachweis erforderliche Maß hinaus ausgenutzt zu haben. Diese Zusage bindet allein Hugo BILLAUX EI und steht der Strafverfolgung von Amts wegen nicht entgegen.

Die Bewertung nimmt der Einzelunternehmer vor, der LIORA betreibt und zugleich die technische Verantwortung für den Dienst trägt. Es gibt kein Bereitschaftsteam: Das ist die Folge unserer Größe, und wir schreiben es lieber, als eine Organisation vermuten zu lassen, die es nicht gibt.

Wir beginnen mit der Bewertung, sobald wir von der Meldung Kenntnis erlangen, und führen sie so zügig durch, wie es der Vorfall zulässt. Wir legen dafür keine Frist fest: Sie hängt davon ab, was zu prüfen ist. Drei Kriterien leiten uns dabei:

• Die Art der betroffenen Daten: Kontodaten, Rechnungsdaten, Daten der Kunden eines Händlers.
• Der Umfang: ein Konto, mehrere Konten oder der gesamte Dienst.
• Das Risiko für die Personen: was jemand mit den betroffenen Daten anfangen könnte — Identitätsmissbrauch, unerwünschte Werbeansprache, finanzieller Schaden.

Jeder Vorfall wird einer von drei Schweregradstufen zugeordnet, die die Priorität der Behebung bestimmen:

• Stufe 1 — kritisch: nachgewiesene oder dringend vermutete Verletzung des Schutzes personenbezogener Daten, Kompromittierung eines Administratorzugangs oder eines Geheimnisses oder Beeinträchtigung von Shop-Daten, die über Shopify bezogen wurden. Sofortige Eindämmung, Zurückstellung aller anderen Aufgaben und Benachrichtigungen innerhalb der weiter unten beschriebenen Fristen.
• Stufe 2 — hoch: ausnutzbare Sicherheitslücke ohne Anzeichen einer Ausnutzung oder Störung, die den Zugriff auf die Daten dauerhaft verhindert. Vorrangige Behebung und Suche nach jedem Anzeichen einer Ausnutzung, das den Vorfall auf Stufe 1 heben würde.
• Stufe 3 — mäßig: Ereignis ohne Beeinträchtigung der Daten — abgewehrter Versuch, Konfigurationsfehler ohne Offenlegung, theoretische Schwachstelle. Geplante Behebung.

Die festgelegte Stufe wird angehoben, sobald die Tatsachen es erfordern. Die Benachrichtigungen hängen nicht von ihr ab, sondern von den Tatsachen: Schon ein bloßer Verdacht, der über Shopify bezogene Daten betrifft, genügt, um Shopify zu benachrichtigen, gleich auf welcher Stufe.

Sobald ein Vorfall bestätigt ist, versuchen wir zuallererst, ihn zu stoppen, noch bevor wir nach seiner Ursache suchen:

• Entzug der kompromittierten Zugänge: Schließen der betroffenen Sitzungen, Deaktivieren der beteiligten Konten.
• Wechsel der Geheimnisse: Erneuerung der Zugangsschlüssel und Token, die offengelegt worden sein könnten, einschließlich der Zugangsdaten, über die wir bei unseren technischen Dienstleistern verfügen.

Ist der Schaden eingedämmt, folgt die Behebung:

• Korrektur: Die Ursache wird ermittelt, behoben und die Korrektur anschließend ausgerollt.
• Überprüfung: Wir spielen den Ablauf des Vorfalls erneut durch, um sicherzustellen, dass er nicht mehr funktioniert.

Das Abschalten eines kompromittierten Zugangs hat immer Vorrang vor der Fortführung des Dienstes: Wenn wir eine Funktion unterbrechen müssen, um einen Datenabfluss zu stoppen, dann unterbrechen wir sie.

Sobald ein Vorfall vermutet wird, und vor jeder Behebung, die sie löschen könnte, sichern wir die Elemente, anhand derer sich der Sachverhalt feststellen lässt: Protokolle, Zeitstempel, betroffene Dateien und Nachrichten. Sie dienen ausschließlich der Analyse des Vorfalls und der Beantwortung behördlicher Anfragen und werden nicht länger aufbewahrt, als der Vorfall im Verzeichnis geführt wird.

Betrifft eine Verletzung des Schutzes personenbezogener Daten solche Daten, für die Hugo BILLAUX EI Verantwortlicher ist — Konto- und Rechnungsdaten —, melden wir sie der Aufsichtsbehörde (CNIL) spätestens 72 Stunden, nachdem sie uns bekannt geworden ist, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen (Artikel 33 DSGVO). Sind nicht alle Informationen innerhalb dieser Frist verfügbar, melden wir, was wir wissen, und ergänzen die Angaben danach.

Betrifft die Verletzung die Daten der Kunden eines Händlers, informieren wir diesen Händler unverzüglich, gemäß Artikel 33 Absatz 2 DSGVO. Es ist dann seine Sache, als Verantwortlicher über die Meldung an die Aufsichtsbehörde zu entscheiden. Unsere Mitteilung nennt die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die bereits ergriffenen Maßnahmen, damit er seine Entscheidung treffen kann.

Ist die Verletzung voraussichtlich mit einem hohen Risiko für die betroffenen Personen verbunden, werden diese benachrichtigt (Artikel 34 DSGVO). Bei den Kontodaten obliegt uns diese Benachrichtigung. Bei den Kunden eines Händlers obliegt sie dem Händler, der allein Verantwortlicher ist und allein mit ihnen in Verbindung steht: Wir stellen ihm die dafür erforderlichen Angaben bereit (Artikel 28 Absatz 3 Buchstabe f).

Betrifft der Vorfall über Shopify bezogene Shop-Daten oder kann er sie betreffen, benachrichtigen wir Shopify innerhalb von 24 Stunden, nachdem wir davon Kenntnis erlangt haben, schon beim bloßen Verdacht und ohne das Ende der Bewertung abzuwarten, wie es seine Nutzungsbedingungen für die API verlangen.

Wir kommunizieren nicht öffentlich über einen Vorfall, solange die Sicherheitslücke nicht behoben ist, um anderen nicht zu zeigen, wie sie sich ausnutzen lässt. Diese Zurückhaltung verzögert weder die Meldung an die Aufsichtsbehörde noch die Information der Händler, der betroffenen Personen oder von Shopify.

Jeder Vorfall wird in einem internen Verzeichnis festgehalten, auch dann, wenn er zu keiner Benachrichtigung führt. Das Verzeichnis nennt das Datum der Entdeckung, den Sachverhalt, die betroffenen Daten, die vorgenommene Bewertung, die ergriffenen Maßnahmen und gegebenenfalls die versandten Benachrichtigungen — an die Aufsichtsbehörde, die Händler, die betroffenen Personen und Shopify — mit ihrem Datum.

Dieses Verzeichnis wird nach Artikel 33 Absatz 5 DSGVO geführt, der die Dokumentation jeder Verletzung des Schutzes personenbezogener Daten vorschreibt, damit die Aufsichtsbehörde die Einhaltung dieser Pflichten überprüfen kann. Es wird ihr auf Verlangen vorgelegt.

Ist der Vorfall abgeschlossen, suchen wir danach, was ihn möglich gemacht hat, und nicht danach, wer dafür verantwortlich ist. Die Frage lautet immer gleich: Was hat dazu geführt, dass dies geschehen konnte, und was wird verhindern, dass es sich wiederholt?

Die Behebung endet deshalb nicht beim Fehler selbst: Wo es möglich ist, fügen wir eine automatische Prüfung hinzu, die fehlschlägt, sobald der Fehler erneut auftritt, damit dieselbe Ursache nicht zweimal denselben Vorfall hervorbringen kann.

Diese Maßnahmen schützen Ihre Daten dauerhaft. Wir nennen hier nur, was tatsächlich umgesetzt ist.

• Verschlüsselung bei der Übertragung: Alle Verbindungen zur Website, zur Anwendung und zum Anmeldedienst laufen über HTTPS, zu dessen Verwendung die Browser verpflichtet sind (HSTS).
• Verschlüsselung im Ruhezustand: Die Datenbank der Anwendung, die auch die von Ihnen hochgeladenen Dateien enthält, wird von ihrem Hoster verschlüsselt; die übrigen Dateien der Anwendung werden in privaten, verschlüsselten Speicherbereichen aufbewahrt. Die Zugangstoken zu den Shopify-Shops verschlüsselt die Anwendung zusätzlich selbst (AES-256-GCM), mit einem Schlüssel, der außerhalb der Datenbank aufbewahrt wird.
• Trennung nach Unternehmen: In der Datenbank der Anwendung gehört jeder Datensatz zu einem Unternehmen, und die Datenbank selbst verweigert es, einem Unternehmen die Daten eines anderen anzuzeigen (Sicherheit auf Zeilenebene).
• Eingeschränkter Zugang: Die Datenbank der Anwendung ist nur von einer Liste zugelassener Adressen aus erreichbar, und die Anwendung verbindet sich mit ihr über eine Rolle mit eingeschränkten Rechten, getrennt von derjenigen, die ihre Struktur ändert.
• Passwörter und Anmeldung: Passwörter werden als Hash gespeichert; die Zwei-Faktor-Authentifizierung wird jedem Kunden angeboten und ist für jedes Mitglied unseres Teams vorgeschrieben; die Zahl der Anmeldeversuche ist begrenzt; das Zurücksetzen des Passworts beendet alle auf der Website offenen Sitzungen, nicht aber eine bereits in der Anwendung geöffnete Sitzung, die mit ihrem Ablauf von selbst endet.
• Protokollierung: Jede Aktion unseres Teams an einem Kundenkonto wird festgehalten — Urheber, Aktion, Datum — und drei Jahre aufbewahrt; in der Anwendung zeichnet das Aktivitätsprotokoll auf, wer was getan hat, und jeder Export personenbezogener Daten hinterlässt dort eine Spur.
• Sicherungen: Die Datenbank der Anwendung wird von ihrem Hoster täglich automatisch gesichert, und diese Sicherungen sind verschlüsselt.
• Hosting in Europa: Die Anwendung und ihre Daten werden in Frankreich gehostet; die Website läuft in Paris, und ihre Datenbank befindet sich in Frankfurt am Main.
• Organisation: Der Zugang zu den Verwaltungswerkzeugen ist befugten Personen vorbehalten, jede beschränkt auf die für ihre Aufgabe erforderlichen Bereiche und auf Lesezugriff, wenn sie nicht handeln muss; diese Personen sind zur Vertraulichkeit verpflichtet.

Die Speicherdauern und die Rolle jedes unserer Dienstleister sind in unserer Datenschutzerklärung beschrieben, unsere Zusagen für die Daten Ihrer Kunden in unserer Vereinbarung zur Auftragsverarbeitung.

Eine Sicherheitsrichtlinie ist so viel wert wie das, was sie einhält. Hier also, was Hugo BILLAUX EI heute nicht hat:

• Keine Rufbereitschaft rund um die Uhr: Eine Meldung, die an einem Sonntagabend eingeht, wird erst am nächsten Arbeitstag gelesen.
• Kein Überwachungszentrum: Wir haben kein Team, das den Dienst dauerhaft überwacht.
• Keine Zertifizierung: weder ISO 27001 noch SOC 2 noch Vergleichbares. Wir nehmen keine für uns in Anspruch.
• Kein Prämienprogramm: Meldungen von Schwachstellen sind willkommen, sie werden jedoch nicht vergütet.
• Keine garantierte Verfügbarkeitsquote: Wir schulden ein sorgfältiges Bemühen, ohne Verfügbarkeitsquote, wie es unsere Verkaufsbedingungen festlegen.

Was weiter oben beschrieben ist, tun wir dagegen tatsächlich. Diese Seite wird aktualisiert, wenn sich unsere Mittel ändern.