Sicherheit und Zugang

1. Status des Sicherheitsrahmens

Dieses Dokument definiert ein Zielminimum, keine Zertifizierung, keinen Penetrationstest, keine Sicherheitsgarantie, Compliance-Aussage oder Bestätigung, dass jede Kontrolle bereitgestellt ist. Öffentliche Aussagen dürfen nur verifizierten Zustand beschreiben.

Vor dem Piloten sind Bedrohungsmodell, Datenklassifizierung, Berechtigungsmatrix, Wiederherstellungstest, Vorfallplan und unabhängige Prüfung erforderlich. Betreiber ist XIXOIO LTD; die bestätigte und betreute Kontaktadresse für Support, Datenschutz und Sicherheit lautet info@xixoio.com. Die Zustimmung des Betreibers zum Pilotbetrieb ersetzt weder den Nachweis der anwendbaren rechtlichen, datenschutzrechtlichen, sicherheitsbezogenen und betrieblichen Voraussetzungen noch die fachliche Prüfung dieser Entwürfe.

2. Einladungszugang und Verifizierung

• 01öffentliche Selbstregistrierung ist deaktiviert; eine Einladung legt Identität, Community, Rolle und Zeitraum fest
• 02eine Einladung ist einmalig, begrenzt und widerruflich und kann keine andere E-Mail-Identität aktivieren
• 03ein Identitätsanbieter ist nur ein Verifizierungsschritt, keine Partnerschaft oder Empfehlung
• 04nativer TOTP-Authenticator ist verpflichtender zweiter Faktor; E-Mail-Prüfung allein erzeugt kein AAL2, SMS oder Telefonnummer sind nicht erforderlich
• 05die aktuelle Sitzung benötigt natives AAL2 mit verifiziertem TOTP-Faktor; sensible Befehle erfordern zusätzlich frisches TOTP und eigene Berechtigung; normales Lesen hat kein wiederkehrendes Zehn-Minuten-Prüfintervall
• 06ein Passwort wird erst nach Verifizierung erstellt und mittels sicherer Einwegableitung gespeichert
• 07sensible Handlungen erfordern frische Mehrfaktorprüfung, kontrollierte Sitzungen und gesicherte Wiederherstellung

3. Community-Trennung und minimale Rechte

Jede Berechtigung wird serverseitig für Nutzer, Community, Unternehmen, Objekt und Handlung geprüft. URL, Kennung oder clientseitiges Rollenetikett schaffen keinen Zugang. Standard ist Ablehnung.

Plattformverwaltung, Unternehmensverwaltung, Mitglieder, institutionelle Beobachter, Moderation, Support und KI besitzen getrennte Befugnisse. Ein Token verleiht keine menschliche Rolle. Dienstkonten haben begrenzten Zweck, kurze Lebensdauer und keine geteilten menschlichen Zugangsdaten.

4. Schutz von Daten und Geheimnissen

• 01nachgewiesenes aktuelles TLS und angemessene Verschlüsselung sensibler gespeicherter Daten
• 02Geheimnisse und kryptografische Schlüssel außerhalb von Code, Client-Bundles, Chat und Logs; Rotation und minimale Rechte
• 03Tests zum Ausschluss von Passwörtern, Codes, vollständigen Sitzungstoken, privaten Inhalten und überflüssigen Daten aus Logs
• 04getrennte verschlüsselte Backups, Aufbewahrungsregeln und erfolgreicher Wiederherstellungstest
• 05keine Ende-zu-Ende-Verschlüsselungsbehauptung ohne Architektur, in der der Betreiber Inhalte tatsächlich nicht entschlüsseln kann
• 06keine Behauptung extern wirksamer Zielkontrollen ohne vollständige Nachweise und keine absolute Sicherheitsgarantie

5. Audit, Erkennung und Vorfallreaktion

Sicherheitsereignisse umfassen Einladungsausgabe und -annahme, Anmeldung, Wiederherstellung, Rollenänderungen, sensible Zugriffe, Export, Moderation und Verwaltung. Die Auditspur muss zeitkonsistent, manipulationsgeschützt und nur berechtigten Kontrollfunktionen zugänglich sein.

Vor dem Piloten müssen Kontakte, Vorfallklassifizierung, Eindämmung, Beweissicherung, Wiederherstellung, Auswertung und Prüfung von Meldepflichten nach tatsächlichem Betreiber, Daten und Rechtsrahmen bestehen.

6. Sichere Entwicklung und Anbieter

• 01Peer-Review, automatisierte Tests, Abhängigkeitsprüfung, statische Analyse sowie getrennte Entwicklung, Staging und Produktion
• 02keine tatsächlichen persönlichen oder vertraulichen Daten in öffentlichen Vorschauen, Testdaten, Screenshots oder Repositories
• 03Änderungsnachweis, Releasefreigabe, Rollback und verifizierte Sicherungen vor riskanten Änderungen
• 04Anbieterprüfung zu Zugriff, Orten, Unterauftragnehmern, Vorfällen, Verträgen und Ausstiegsplan
• 05unabhängiger Penetrationstest und negative Trennungstests vor externen Teilnehmern

7. Teilnehmerpflichten und Schwachstellenmeldung

Teilnehmer schützen Geräte, verwenden einzigartige Passwörter, geben keine Codes weiter und melden verlorenen Zugang, verdächtige Anmeldungen oder versehentliche Offenlegung unverzüglich. Destruktive Tests, Social Engineering oder Zugriff auf fremde Daten sind untersagt.

Der betreute Kontakt info@xixoio.com nimmt Sicherheitsmeldungen entgegen. Senden Sie keine Passwörter, TOTP-Codes, Kopplungsschlüssel oder privaten Inhalte anderer. Regeln koordinierter Offenlegung, Reaktionszeiten, verifizierte Kontowiederherstellung und Notfalleskalation bleiben nachzuweisende Betriebsvoraussetzungen, keine durch eine Mailadresse entstehenden Garantien.