Sunset Docs soll unnötige Dokumentkopien vermeiden und die Verfügbarkeit aktiver Dateien zeitlich begrenzen. Diese Seite beschreibt unsere Schutzmaßnahmen und ihre praktischen Grenzen. Sie ist weder eine Zertifizierung noch eine Garantie dafür, dass sich jede Bedrohung verhindern lässt.
1. Geteilte Verantwortung
Sunset Docs schützt den Dienst und die verarbeiteten Daten. Kunden bleiben dafür verantwortlich, für jedes Dokument eine rechtmäßige Erhebungsgrundlage zu haben, einen angemessenen Löschtermin zu wählen, die Mitgliedschaft im Arbeitsbereich zu verwalten und Kopien zu schützen, die außerhalb des Dienstes heruntergeladen oder aufbewahrt werden.
Die Nutzung von Sunset Docs allein macht einen Kunden weder DSGVO-konform noch erfüllt sie automatisch andere gesetzliche oder branchenspezifische Vorgaben.
2. Konten und Zugriff auf Arbeitsbereiche
Jeder Dokumentenaufruf wird anhand der Mitgliedschaft des angemeldeten Benutzers im Arbeitsbereich geprüft. Inhaber verwalten den Mitgliederzugriff und die Berechtigung zum Herunterladen von Originalen. Die Bestätigung in zwei Schritten steht für jedes Konto zur Verfügung und ist nach ihrer Aktivierung bei der Anmeldung erforderlich.
Passwörter werden mit Argon2id gehasht. Sitzungen laufen nach sieben Tagen ab und verwenden Secure- und SameSite-Cookies, CSRF-Schutz sowie serverseitigen Widerruf. Das Zurücksetzen des Passworts widerruft bestehende Sitzungen.
3. Verschlüsselung und Speicherung
Die Anwendung verschlüsselt Originale, Vorschauen und erzeugte Kopien vor der Speicherung mit AES-256-GCM. Jedes Dokument besitzt einen eigenen Datenschlüssel, der separat mit dem Hauptschlüssel des Dienstes umschlossen wird.
Aktive verschlüsselte Objekte liegen auf privater Hetzner-Infrastruktur und werden in einen privaten Cloudflare-R2-Bucket gespiegelt. Es gibt keine öffentlichen Objekt-URLs, und Speicherpfade enthalten keine Dateinamen von Kunden. TLS schützt Daten während der Übertragung.
4. Dateieingang und Schadsoftwareprüfung
Unterstützte Dateien werden anhand ihres Inhalts geprüft, in Quarantäne gestellt und gescannt, bevor sie verfügbar sind. Passwortgeschützte, fehlerhafte, nicht unterstützte oder verdächtige Dateien werden abgelehnt. Die Webanwendung stellt keine Dateien aus der Quarantäne bereit.
Schadsoftwareprüfung und Validierung verringern Risiken, erkennen aber nicht jede gefährliche Datei. Ein erfolgreicher Scan beweist weder die Sicherheit noch die Echtheit einer Datei.
5. Grenzen von Ansicht und Download
Im Ansichtsmodus werden erzeugte Seitenbilder statt der Originaldatei bereitgestellt. Seiten-, Druck- und Originalanfragen nutzen kurzlebige, signierte Berechtigungen und strenge Cache-Header. Wasserzeichen in der Ansicht nennen den angemeldeten Benutzer und den Zeitpunkt.
Wer ein Dokument sehen kann, kann den Bildschirm weiterhin fotografieren oder aufzeichnen. Beim Drucken kann eine weitere Kopie entstehen. Inhaber des Arbeitsbereichs können Originaldownloads separat freigeben.
6. Termingerechte und manuelle Löschung
Jedes Dokument hat einen Löschtermin. Die geplante oder berechtigt manuell ausgelöste Löschung entfernt aktive Originale, Vorschauen, temporäre Druckausgaben, umschlossene Schlüssel, Dateinamen, Absenderdaten und weitere sensible Metadaten aus dem lokalen Speicher und aus R2.
Ein inhaltsfreier Minimalvermerk bleibt 12 Monate lang bestehen. Er hält die Löschung fest, enthält aber weder das Dokument noch dessen Dateinamen oder die Identität des Absenders.
7. Sicherungen und Wiederherstellung
Verschlüsselte Datenbanksicherungen sind vom normalen Anwendungszugriff getrennt und laufen innerhalb von 30 Tagen ab. Verbleiben gelöschte Daten als geschützter Rest in einer Sicherung, werden sie nicht für den normalen Kundenzugriff wiederhergestellt und laufen mit dieser Sicherung ab.
Der R2-Objektlebenszyklus bildet eine zusätzliche Höchstgrenze. Für die Einhaltung des genauen Löschtermins eines Dokuments ist der Löschauftrag der Anwendung zuständig.
8. Betriebliche Kontrollen
Die Anwendung läuft hinter einem Reverse Proxy. Der Dokumentenspeicher liegt außerhalb des öffentlichen Webverzeichnisses, und wesentliche Dokumentaktionen werden protokolliert. Produktionszugriff ist auf Personen beschränkt, die ihn für Betrieb oder Sicherheit des Dienstes benötigen und zur Vertraulichkeit verpflichtet sind.
Transaktions-E-Mails enthalten keine Dokumentanhänge, Dateinamen, Vorschauen, Absenderidentitäten oder Links, die Dokumentenzugriff gewähren. Eingehende Dokumenten-E-Mails werden direkt von Sunset Docs empfangen. Nach der Annahme werden Anhänge aus der E-Mail-Verarbeitung entfernt.
9. Sicherheitsvorfälle
Wir untersuchen mutmaßliche Vorfälle, begrenzen bestätigte Probleme, sichern die für die Untersuchung erforderlichen Nachweise und benachrichtigen betroffene Kunden ohne unangemessene Verzögerung, wenn personenbezogene Kundendaten betroffen sind. Falls anfangs noch nicht alle Einzelheiten feststehen, stellen wir Informationen schrittweise bereit.
10. Grenzen außerhalb von Sunset Docs
Der E-Mail-Eingang kann keine Kopien entfernen, die bereits im Gesendet-Ordner des Absenders, auf einem Mailserver, in einer Sicherung oder in einem anderen externen System liegen. Das Löschen eines Dokuments in Sunset Docs entfernt keine Kopien, die ein Kunde oder eine andere Person heruntergeladen, gedruckt, fotografiert oder anderweitig gespeichert hat.
11. Sicherheitslücke melden
Sicherheitsmeldungen senden Sie an [email protected]. Fügen Sie keine persönlichen Dokumente oder Kundeninformationen bei. Greifen Sie nicht auf fremde Daten zu, stören Sie den Dienst nicht und verzichten Sie auf Social Engineering. Falls Sie auf Kundendaten stoßen, beenden Sie den Zugriff und melden Sie nur die Mindestangaben, die wir für die Untersuchung benötigen.