Datensicherheit

FehlzeitenRadar verarbeitet sensible schulbezogene Daten. Der Schutz dieser Daten hat für uns höchste Priorität. Auf dieser Seite beschreiben wir die technischen und organisatorischen Maßnahmen (TOMs), die wir zum Schutz der verarbeiteten Daten umsetzen.

1. Serverstandort und Hosting

Alle Daten werden ausschließlich auf einem dedizierten virtuellen Server in einem ISO 27001- und DIN EN 50600-zertifizierten Rechenzentrum in Deutschland gespeichert und verarbeitet. Es findet keine Datenübermittlung in Drittländer oder an Cloud-Dienste außerhalb der EU statt.

2. Verschlüsselung

2.1 Transportverschlüsselung

Sämtliche Datenübertragungen zwischen Endgerät und Server erfolgen ausschließlich über HTTPS mit TLS 1.2 oder höher. Die SSL-Zertifikate werden automatisch über Let's Encrypt bereitgestellt und regelmäßig erneuert.

2.2 Verschlüsselung in Ruhe

Die Datenbank läuft in einem isolierten Docker-Container. Der Zugriff auf die Datenbank ist ausschließlich über das interne Docker-Netzwerk möglich und von außen nicht erreichbar.

3. Zugriffskontrolle

3.1 Serverebene

  • SSH-Zugang nur über Public-Key-Authentifizierung (kein Passwort-Login)
  • Root-Login per SSH deaktiviert
  • Firewall (UFW): nur Port 80, 443 und SSH geöffnet
  • Regelmäßige Sicherheitsupdates des Betriebssystems

3.2 Anwendungsebene

  • Authentifizierung über OpenID Connect (OIDC) Single Sign-On via WebUntis
  • Keine lokale Passwortspeicherung in FehlzeitenRadar
  • Rollenbasiertes Berechtigungssystem: Lehrkräfte sehen nur Daten ihrer eigenen Klassen
  • Session-Timeout nach 24 Stunden Inaktivität

3.3 API-Ebene

  • WebUntis-API-Zugriff über OAuth2 Client Credentials Grant (Server-to-Server)
  • Ausschließlich lesende Zugriffsrechte (read-only)
  • Token-basierte Authentifizierung mit automatischer Erneuerung

4. Datenisolierung

FehlzeitenRadar gewährleistet die strikte Trennung der Daten verschiedener Schulen:

  • Jede Schule operiert mit eigenen, isolierten Zugangsdaten (Client-ID und Client-Secret)
  • Datenbankseitige Mandantentrennung: Abfragen werden stets auf die jeweilige Schule gefiltert
  • Kein schulübergreifender Datenzugriff möglich

5. Datensicherung

  • Tägliche automatisierte Backups der Datenbank
  • Backups werden verschlüsselt und auf dem gleichen Hetzner-Standort gespeichert
  • Aufbewahrung der Backups: 7 Tage rollierend

6. Verfügbarkeit

  • Automatischer Neustart der Anwendung bei Ausfall (Docker Restart-Policy)
  • Health-Checks auf alle Dienste (Anwendung, Datenbank, Reverse-Proxy)
  • Monitoring des Serverstatus und der Dienstverfügbarkeit

7. Software-Sicherheit

  • Containerisierte Architektur (Docker): Anwendung, Datenbank und Webserver laufen in isolierten Containern
  • Anwendung läuft als nicht-privilegierter Benutzer (non-root)
  • Regelmäßige Updates der Abhängigkeiten und Sicherheitspatches
  • Keine Verwendung von Tracking-Tools, Analyse-Diensten oder externen Skripten

8. Organisatorische Maßnahmen

  • Zugriff auf den Server ausschließlich durch den technischen Administrator (Elmar Distelhoff)
  • Dokumentierte Prozesse für Datenlöschung bei Vertragsende
  • Auftragsverarbeitungsvertrag (AVV) mit jeder Schule gemäß Art. 28 DSGVO
  • Regelmäßige Überprüfung der Sicherheitsmaßnahmen

9. Incident Response

Im Falle einer Datenschutzverletzung wird die betroffene Schule sowie die zuständige Aufsichtsbehörde unverzüglich, spätestens jedoch innerhalb von 72 Stunden, informiert (Art. 33 DSGVO). Anfragen zum Thema Datensicherheit richten Sie bitte an: datenschutz@fehlzeitenradar.de

Stand: Februar 2026