Vorfallreaktionsplan

1. Zweck und Geltungsbereich

Dieser Plan beschreibt, wie Bungaflow (betrieben von Redor AS) Sicherheitsvorfälle und Datenschutzverletzungen erkennt, darauf reagiert und sich davon erholt.

Er gilt für alle Systeme, Daten und Mitarbeiter, die am Betrieb der Bungaflow-Plattform beteiligt sind.

2. Definitionen

• Sicherheitsvorfall: Jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit der Bungaflow-Plattform oder ihrer Daten gefährdet.
• Datenschutzverletzung (personenbezogene Daten): Eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt (DSGVO Art. 4(12)).
• Schweregrade: S1 Kritisch, S2 Schwerwiegend, S3 Gering (wie in unserem SLA definiert).

3. Erkennung und Meldung

• Automatische Überwachung: Fehlerverfolgung (Sentry), Verfügbarkeitsüberwachung, CI/CD-Sicherheitsscanning (Gitleaks, Dependabot).
• Protokollierung: Aktivitätsprotokolle für alle Datenänderungen in der Anwendung.
• Interne Meldung: Teammitglieder melden verdächtige Vorfälle unverzüglich dem Vorfallverantwortlichen.
• Externe Meldung: Benutzer können Sicherheitsbedenken an security@bungaflow.com melden.
• Verantwortungsvolle Offenlegung: Wir begrüßen Sicherheitsforscher, die Schwachstellen verantwortungsvoll melden.

4. Vorfallklassifizierung

5. Reaktionsverfahren

Phase 1: Identifizierung (0–1 Stunde)

• Bestätigen, dass der Vorfall real ist (kein Fehlalarm)
• Schweregrad klassifizieren
• Vorfallverantwortlichen benennen
• Dokumentation im Vorfallprotokoll beginnen

Phase 2: Eindämmung (1–4 Stunden für S1/S2)

• Kurzfristig: Betroffene Systeme isolieren (Zugriff entziehen, IPs blockieren, Funktionen deaktivieren)
• Beweise sichern (Protokolle, Snapshots)
• Schadensumfang bewerten (welche Daten/Benutzer betroffen)

Phase 3: Beseitigung (4–24 Stunden für S1/S2)

• Ursache beseitigen (Schwachstelle beheben, Zugangsdaten rotieren, Abhängigkeiten aktualisieren)
• Behebung mit Sicherheitsüberprüfung verifizieren
• Über CI/CD-Pipeline mit automatisierten Prüfungen bereitstellen

Phase 4: Wiederherstellung (24–48 Stunden für S1/S2)

• Normalbetrieb wiederherstellen
• Auf Wiederauftreten überwachen
• Datenintegrität verifizieren

Phase 5: Nachbereitung (innerhalb von 5 Werktagen)

• Ursachenanalyse
• Zeitlinie der Ereignisse
• Was gut lief, was verbessert werden kann
• Maßnahmen und präventive Vorkehrungen
• Diesen Plan bei Bedarf aktualisieren

6. DSGVO-Meldung bei Verletzung

Gemäß DSGVO Artikel 33 und 34:

An die Aufsichtsbehörde (Datenschutzbehörde)

Innerhalb von 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Einzelpersonen. Die Meldung umfasst: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen, Kontaktdaten, voraussichtliche Folgen und ergriffene Maßnahmen.

An betroffene Personen

Unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten darstellt. Klare, verständliche Sprache, die beschreibt: Art der Verletzung, Kontaktdaten, voraussichtliche Folgen, ergriffene Maßnahmen und empfohlene Handlungen.

An Verantwortliche

Wenn Bungaflow Daten im Auftrag eines Verantwortlichen verarbeitet (siehe unseren Auftragsverarbeitungsvertrag), wird der Verantwortliche innerhalb von 48 Stunden benachrichtigt.

7. Kommunikation

• Intern: Der Vorfallverantwortliche koordiniert die gesamte interne Kommunikation.
• Betroffene Kunden: Direkte E-Mail-Benachrichtigung für S1/S2-Vorfälle, die ihre Daten betreffen.
• Öffentlich: Statusseite wird bei dienstebeeinträchtigenden Vorfällen aktualisiert.
• Medien: Alle Medienanfragen werden an contact@bungaflow.com gerichtet.
• Keine Veröffentlichung technischer Details, die eine weitere Ausnutzung ermöglichen könnten.

8. Vorhandene Sicherheitsmaßnahmen (präventiv)

• Verschlüsselung: TLS während der Übertragung, AES-256-GCM für sensible Felder im Ruhezustand.
• Authentifizierung: Supabase Auth mit OAuth und Magic Links (keine gespeicherten Passwörter).
• Autorisierung: Rollenbasierte Zugriffskontrolle (Admin/Lite) mit serverseitiger Verifizierung.
• Header: HSTS, X-Frame-Options, Content-Security-Policy.
• CI/CD: Automatisches Linting, Typprüfung, Build-Verifizierung und Geheimnisscanning (Gitleaks) bei jeder Codeänderung.
• Abhängigkeiten: Automatisches Schwachstellenscanning über Dependabot.
• Datenminimierung: Nur notwendige Daten werden erhoben, Kaskadenlöschung bei Kontoentfernung.
• Unterauftragsverarbeiter-Prüfung: Alle Unterauftragsverarbeiter verfügen über einen Auftragsverarbeitungsvertrag und Sicherheitszertifizierungen (SOC 2 Type II, ISO 27001).

Für vollständige Details siehe unsere Datenschutzerklärung.

9. Rollen und Verantwortlichkeiten

• Vorfallverantwortlicher: Koordiniert die Reaktion, trifft Entscheidungen zur Eindämmung, kommuniziert mit Stakeholdern.
• Entwicklungsteam: Implementiert technische Korrekturen, stellt Patches bereit.
• Datenschutz: Bewertet DSGVO-Auswirkungen, übernimmt Behördenmeldungen.

Kontakt: security@bungaflow.com

10. Überprüfung und Aktualisierung

• Dieser Plan wird mindestens jährlich überprüft.
• Wird nach jedem S1/S2-Vorfall basierend auf gewonnenen Erkenntnissen aktualisiert.
• Alle Teammitglieder sind mit diesem Plan vertraut.