Sicherheit und Reaktion auf Vorfälle

Als Sicherheitsvorfall bezeichnen wir jedes Ereignis, das die Vertraulichkeit, die Integrität oder die Verfügbarkeit der von LIORA verwahrten Daten beeinträchtigt. Dazu zählen insbesondere:

• Ein unbefugter Zugriff: Jemand sieht Daten ein, ohne dazu berechtigt zu sein — kompromittiertes Konto, entwendeter Zugangsschlüssel, ausgenutzte Sicherheitslücke.
• Ein Datenverlust: Daten gehen unwiederbringlich verloren, sei es durch versehentliches Löschen oder durch ein technisches Versagen.
• Eine Veränderung: Daten werden ohne Berechtigung oder auf unkontrollierte Weise verändert.
• Eine Offenlegung: Daten werden für Personen sichtbar, die sie nicht hätten sehen dürfen.

Dies gilt für die Daten der Händler, die LIORA nutzen, ebenso wie für die Daten ihrer eigenen Kunden, auf die die Anwendung für ihren Betrieb zugreift.

Eine Betriebsunterbrechung, die keine Daten unzugänglich macht und sie weder offenlegt noch verändert, gehört zum Support und fällt nicht unter diese Richtlinie. Eine Störung hingegen, die den Zugriff auf Ihre Daten dauerhaft verhindert, beeinträchtigt sehr wohl deren Verfügbarkeit: Sie wird hier behandelt.

Diese Unterscheidung bestimmt alles Weitere, insbesondere die Frage, wer die Aufsichtsbehörde zu unterrichten hat.

• Ihre Konto- und Rechnungsdaten: Hierfür ist LIORA der Verantwortliche. Die Meldepflichten obliegen uns.
• Die Daten der Kunden Ihres Shops: Hier handelt LIORA in Ihrem Auftrag, als Auftragsverarbeiter. Verantwortlicher bleiben Sie, und es liegt bei Ihnen, die Aufsichtsbehörde einzuschalten, wenn eine Verletzung des Schutzes personenbezogener Daten dies erfordert. Unsere Rolle besteht darin, Sie zu warnen und Sie zu unterstützen.

Schreiben Sie an direction@liora-eu.com und beschreiben Sie, was Sie festgestellt haben und, sofern möglich, wie es sich nachvollziehen lässt. Diese Adresse wird von der Geschäftsführung von LIORA gelesen.

Wir bestätigen den Eingang spätestens am nächsten Werktag nach Eingang Ihrer Nachricht. Diese Zusage betrifft die Eingangsbestätigung, nicht die Behebung: Die Frist für die Korrektur hängt von der Art des Vorfalls ab, und wir legen keine Frist im Voraus fest, die wir nicht einhalten könnten.

Wenn Sie in der Sicherheitsforschung tätig sind, können Sie uns eine Schwachstelle über dieselbe Adresse melden. Wir bieten kein Prämienprogramm an, und wir gehen rechtlich gegen niemanden vor, der uns in gutem Glauben eine Sicherheitslücke meldet, ohne sie über das für ihren Nachweis erforderliche Maß hinaus ausgenutzt zu haben. Diese Zusage bindet allein LIORA und steht der Strafverfolgung von Amts wegen nicht entgegen.

Die Bewertung nimmt die Geschäftsführung von LIORA vor, die zugleich die technische Verantwortung für den Dienst trägt. Es gibt kein Bereitschaftsteam: Das entspricht unserer Größe, und wir schreiben es lieber, als eine Organisation vermuten zu lassen, die es nicht gibt.

Wir beginnen mit der Bewertung, sobald wir von der Meldung Kenntnis erlangen, und führen sie so zügig durch, wie es der Vorfall zulässt. Wir legen dafür keine Frist fest: Sie hängt davon ab, was zu prüfen ist. Drei Kriterien leiten uns dabei:

• Die Art der betroffenen Daten: Kontodaten, Rechnungsdaten, Daten der Kunden eines Händlers.
• Der Umfang: ein Konto, mehrere Konten oder der gesamte Dienst.
• Das Risiko für die Personen: was jemand mit den betroffenen Daten anfangen könnte — Identitätsmissbrauch, unerwünschte Werbeansprache, finanzieller Schaden.

Aus dieser Bewertung ergeben sich die Priorität der Behebung und die zu versendenden Benachrichtigungen.

Sobald ein Vorfall bestätigt ist, versuchen wir zuallererst, ihn zu stoppen, noch bevor wir nach seiner Ursache suchen:

• Entzug der kompromittierten Zugänge: Schließen der betroffenen Sitzungen, Deaktivieren der beteiligten Konten.
• Wechsel der Geheimnisse: Erneuerung der Zugangsschlüssel und Token, die offengelegt worden sein könnten, einschließlich der Zugangsdaten, über die wir bei unseren technischen Dienstleistern verfügen.

Ist der Schaden eingedämmt, folgt die Behebung:

• Korrektur: Die Ursache wird ermittelt, behoben und die Korrektur anschließend ausgerollt.
• Überprüfung: Wir spielen den Ablauf des Vorfalls erneut durch, um sicherzustellen, dass er nicht mehr funktioniert.

Das Abschalten eines kompromittierten Zugangs hat immer Vorrang vor der Fortführung des Dienstes: Wenn wir eine Funktion unterbrechen müssen, um einen Datenabfluss zu stoppen, dann unterbrechen wir sie.

Betrifft eine Verletzung des Schutzes personenbezogener Daten solche Daten, für die LIORA Verantwortlicher ist — Konto- und Rechnungsdaten —, melden wir sie der Aufsichtsbehörde (CNIL) spätestens 72 Stunden, nachdem sie uns bekannt geworden ist, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen (Artikel 33 DSGVO). Sind nicht alle Informationen innerhalb dieser Frist verfügbar, melden wir, was wir wissen, und ergänzen die Angaben danach.

Betrifft die Verletzung die Daten der Kunden eines Händlers, informieren wir diesen Händler unverzüglich, gemäß Artikel 33 Absatz 2 DSGVO. Es ist dann seine Sache, als Verantwortlicher über die Meldung an die Aufsichtsbehörde zu entscheiden. Unsere Mitteilung nennt die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die bereits ergriffenen Maßnahmen, damit er seine Entscheidung treffen kann.

Ist die Verletzung voraussichtlich mit einem hohen Risiko für die betroffenen Personen verbunden, werden diese benachrichtigt (Artikel 34 DSGVO). Bei den Kontodaten obliegt uns diese Benachrichtigung. Bei den Kunden eines Händlers obliegt sie dem Händler, der allein Verantwortlicher ist und allein mit ihnen in Verbindung steht: Wir stellen ihm die dafür erforderlichen Angaben bereit (Artikel 28 Absatz 3 Buchstabe f).

Betrifft der Vorfall Shop-Daten, die über Shopify bezogen wurden, informieren wir auch Shopify, nach den Vorgaben seiner Nutzungsbedingungen für die API.

Wir kommunizieren nicht öffentlich über einen Vorfall, solange die Sicherheitslücke nicht behoben ist, um anderen nicht zu zeigen, wie sie sich ausnutzen lässt. Diese Zurückhaltung verzögert weder die Meldung an die Aufsichtsbehörde noch die Information der Händler noch die der betroffenen Personen.

Jeder Vorfall wird in einem internen Verzeichnis festgehalten, auch dann, wenn er zu keiner Benachrichtigung führt. Das Verzeichnis nennt das Datum der Entdeckung, den Sachverhalt, die betroffenen Daten, die vorgenommene Bewertung, die ergriffenen Maßnahmen und gegebenenfalls die versandten Benachrichtigungen.

Dieses Verzeichnis wird nach Artikel 33 Absatz 5 DSGVO geführt, der die Dokumentation jeder Verletzung des Schutzes personenbezogener Daten vorschreibt, damit die Aufsichtsbehörde die Einhaltung dieser Pflichten überprüfen kann. Es wird ihr auf Verlangen vorgelegt.

Ist der Vorfall abgeschlossen, suchen wir danach, was ihn möglich gemacht hat, und nicht danach, wer dafür verantwortlich ist. Die Frage lautet immer gleich: Was hat dazu geführt, dass dies geschehen konnte, und was wird verhindern, dass es sich wiederholt?

Die Behebung endet deshalb nicht beim Fehler selbst: Wo es möglich ist, fügen wir eine automatische Prüfung hinzu, die fehlschlägt, sobald der Fehler erneut auftritt, damit dieselbe Ursache nicht zweimal denselben Vorfall hervorbringen kann.

Eine Sicherheitsrichtlinie ist so viel wert wie das, was sie einhält. Hier also, was LIORA heute nicht hat:

• Keine Rufbereitschaft rund um die Uhr: Eine Meldung, die an einem Sonntagabend eingeht, wird erst am nächsten Werktag gelesen.
• Kein Überwachungszentrum: Wir haben kein Team, das den Dienst dauerhaft überwacht.
• Keine Zertifizierung: weder ISO 27001 noch SOC 2 noch Vergleichbares. Wir nehmen keine für uns in Anspruch.
• Kein Prämienprogramm: Meldungen von Schwachstellen sind willkommen, sie werden jedoch nicht vergütet.
• Keine Verfügbarkeitszusage: Der Dienst wird „wie besehen“ bereitgestellt, wie es unsere Allgemeinen Geschäftsbedingungen angeben.

Was weiter oben beschrieben ist, tun wir dagegen tatsächlich. Diese Seite wird aktualisiert, wenn sich unsere Mittel ändern.

Die dauerhaften Maßnahmen — Hosting der Kontodaten in der Europäischen Union, Hashing der Passwörter, Rolle und Zusagen unserer Auftragsverarbeiter, Speicherdauern — sind in unserer Datenschutzerklärung beschrieben, die durch diese Seite nicht ersetzt wird.