Sicherheit & Compliance

• Personen-, Kunden- und Bestelldaten: Deutsches Rechenzentrum, deutscher Anbieter (Hetzner).
• Backups der Personen-, Kunden- und Bestelldaten: Deutsches Rechenzentrum, deutscher Anbieter (Hetzner); zusätzlich im niederländischen Rechenzentrum eines US-Anbieters (Wasabi S3).
• Dateien: Deutsches Rechenzentrum, US-Anbieter (Wasabi S3).
• Backup der Dateien: Niederländisches Rechenzentrum, US-Anbieter (Wasabi S3).

Subdienstleister sind mit Land in der Liste der Subdienstleister aufgeführt. Für die Verarbeitung möchten wir Folgendes ergänzen:

• Amazon Web Services: Standard-Mailserver. Ihr Fotostudio kann einen eigenen Mailserver einbinden, sodass AWS dann nicht mehr zum Versand von E-Mails genutzt wird. Um in diesem Fall die Speicherregion zu klären, wenden Sie sich bitte an Ihr zuständiges Fotostudio.
• Intuition Machines: Captcha-Anbieter, den wir zur Absicherung gegen Spam und Bot-Attacken einsetzen.
• Mapbox: Kartendienst, über den Bestelldaten visualisiert werden. Die Darstellung erfolgt nur nach Postleitzahl und Land der Lieferanschrift, nicht nach weiteren Daten.

Backups der Personen-, Kunden- und Bestelldaten werden täglich durchgeführt. Dateien werden fortlaufend nach dem Hochladen in einen separaten Backup-Speicher kopiert.

Ja. Unser Wiederherstellungskonzept legt fest, wie Daten und Systeme nach einem Ausfall, einem Fehler oder einem Angriff aus den Backups wiederhergestellt werden, wer dafür zuständig ist und in welcher Reihenfolge vorgegangen wird. Unser Ziel ist es, den Betrieb innerhalb von 24 Stunden wiederherzustellen.

Ja. Wir führen vierteljährlich einen Service Continuity Test durch. Dabei stellen wir unsere Systeme und Daten aus dem Backup in einer Testumgebung wieder her und prüfen, ob alle Funktionen wie vorgesehen arbeiten. Außerdem messen wir die Dauer der Wiederherstellung, um sicherzustellen, dass unser Ziel von 24 Stunden eingehalten wird. Jeder Test wird protokolliert.

Ja. Unsere Backups bei Wasabi liegen in separaten Speicherbereichen, die mit Object Lock geschützt sind. Gesicherte Daten können dort für 30 Tage weder verändert noch gelöscht werden, auch nicht bei einem erfolgreichen Angriff, etwa durch Ransomware.

• Personen-, Kunden- und Bestelldaten: Unsere Systeme können Backups nur hochladen, aber nicht verändern oder löschen.
• Dateien: Der Speicheranbieter kopiert die Dateien fortlaufend in den Backup-Speicher. Unsere Systeme haben darauf keinen Zugriff.

Backups der Personen-, Kunden- und Bestelldaten werden bei Hetzner nach 7 Tagen und im geschützten Speicher bei Wasabi nach 30 Tagen automatisch gelöscht. Gelöschte Dateien werden 30 Tage nach ihrer Löschung automatisch auch aus dem Backup entfernt.

• Login nur mit Studiokürzel: Ein Zugangscode funktioniert nur zusammen mit dem richtigen Studiokürzel. Länge und Komplexität der Codes legen die Fotografen selbst fest.
• Schutz vor Ausprobieren: Beim Login wird ein Captcha abgefragt. Nach mehreren Fehlversuchen werden weitere Versuche zunehmend verzögert (Rate-Limit mit Backoff). Fehlermeldungen geben keine Hinweise darauf, welche Angabe falsch war.
• Überwachung von Downloads: Wir vergleichen das tägliche Download-Volumen mit historischen Werten. Ungewöhnliche Spitzen lösen automatisch eine Meldung aus.

Zugangscodes für Endkunden werden verschlüsselt und gehasht gespeichert. Logindaten von Fotografen und deren Mitarbeitern werden gehasht gespeichert. Für die Verschlüsselung wird XSalsa20-Poly1305 und für das Hashing bcrypt verwendet.

• Verschlüsselung: Dateien werden bei jeder Übertragung per HTTPS (TLS) verschlüsselt und beim Speicheranbieter (Wasabi) verschlüsselt gespeichert (AES-256). So sind sie auch dann geschützt, wenn jemand unbefugt an die Datenträger im Rechenzentrum gelangt. Den Schlüssel verwaltet Wasabi.
• Zugriff: Auf die Dateien greift ausschließlich unsere Anwendung zu, um sie in Galerien anzuzeigen und für Bestellungen bereitzustellen.
• Backup: Die Sicherung der Dateien übernimmt der Speicheranbieter selbst. Unsere Anwendung hat auf das Backup keinen Zugriff.

Ja. Fotografen und deren Mitarbeiter können die Zwei-Faktor-Authentifizierung in den Einstellungen aktivieren.

Wir führen alle zwei Wochen einen festen Sicherheits- und Wartungscheck durch. Dabei spielen wir verfügbare Updates und Patches ein und prüfen anschließend, ob alle Funktionen wie vorgesehen arbeiten.

Werden kritische Sicherheitslücken bekannt, etwa durch Warnungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) oder der Hersteller, reagieren wir unabhängig von diesem Rhythmus und spielen die nötigen Updates umgehend ein.

Ja. Wer eine Sicherheitslücke in unseren Systemen findet, kann sie uns vertraulich an contact@picshop.me melden. Bitte nutzen Sie zur Kommunikation unseren PGP-Schlüssel. Wir prüfen jede Meldung, beheben bestätigte Lücken zeitnah und belohnen relevante Funde.

Geltungsbereich

• Das Programm umfasst unsere Webseite, unsere App und die damit verbundenen Schnittstellen.
• Nicht umfasst sind Systeme unserer Subdienstleister sowie eigene Domains, Mailserver oder Speicheranbieter, die Fotostudios selbst einbinden.

Erlaubtes Vorgehen

• Tests dürfen nur mit eigenen Accounts durchgeführt werden.
• Es darf nicht auf Daten anderer Nutzer zugegriffen werden, und es dürfen keine Daten verändert oder gelöscht werden. Erhalten Sie versehentlich Zugriff auf fremde Daten, brechen Sie den Test sofort ab, speichern Sie keine Daten und melden Sie uns den Vorfall.
• Denial-of-Service-Angriffe, Lasttests und automatisierte Massen-Scans, die den Betrieb beeinträchtigen können, sind nicht erlaubt.
• Social Engineering, Phishing, physische Angriffe sowie der massenhafte Versand von E-Mails oder Nachrichten sind nicht erlaubt.

Meldung

• Melden Sie Sicherheitslücken an contact@picshop.me und verschlüsseln Sie Ihre Nachricht mit unserem PGP-Schlüssel.
• Die Meldung sollte eine Beschreibung der Lücke, die Schritte zur Reproduktion, die mögliche Auswirkung und, falls vorhanden, einen Proof of Concept enthalten.
• Wir bestätigen den Eingang Ihrer Meldung innerhalb von 7 Werktagen.
• Bitte behandeln Sie die Lücke vertraulich, bis sie behoben ist, höchstens jedoch 90 Tage nach Ihrer Meldung.

Belohnung

• Belohnt wird nur die erste Meldung einer Sicherheitslücke. Doppelte Meldungen werden nicht belohnt.
• Die Höhe der Belohnung richtet sich nach dem Schweregrad der Lücke und liegt in unserem Ermessen. Ein Rechtsanspruch auf eine Belohnung besteht nicht.
• Von der Belohnung ausgeschlossen sind unsere Mitarbeiter und Dienstleister. Für die Versteuerung der Belohnung ist der Empfänger selbst verantwortlich.

Ausgeschlossene Meldungen

• Fehlende Security-Header ohne nachweisbare Auswirkung, Angaben zu Softwareversionen und ungeprüfte Ergebnisse automatisierter Scanner
• Self-XSS sowie Clickjacking auf Seiten ohne sensible Aktionen
• Konfiguration von SPF, DKIM oder DMARC
• Fehlende Rate-Limits auf unkritischen Endpunkten
• Schwachstellen, die physischen Zugriff auf ein Gerät oder ein manipuliertes Endgerät voraussetzen

Rechtlicher Schutz (Safe Harbor)

Wenn Sie in gutem Glauben handeln und diese Teilnahmebedingungen einhalten, betrachten wir Ihre Tests als autorisiert. Wir werden in diesem Fall keine rechtlichen Schritte gegen Sie einleiten und keine Strafanzeige erstatten. Werden Ihre Tests von Dritten rechtlich beanstandet, bestätigen wir auf Anfrage, dass Sie im Rahmen dieses Programms gehandelt haben. Diese Zusage gilt nicht bei Verstößen gegen die Teilnahmebedingungen.

Die Höhe der Belohnung richtet sich nach dem Schweregrad der Sicherheitslücke, den wir anhand des CVSS (Common Vulnerability Scoring System) bewerten:

• Niedrig (CVSS 0,1–3,9): bis zu 250 €
• Mittel (CVSS 4,0–6,9): bis zu 1.000 €
• Hoch (CVSS 7,0–8,9): bis zu 3.000 €
• Kritisch (CVSS 9,0–10,0): bis zu 7.500 €

Bei der Bewertung berücksichtigen wir auch, wie leicht sich die Lücke ausnutzen lässt und welche Daten betroffen wären. Die Auszahlung erfolgt nach Behebung der Lücke.

Die folgenden Beispiele dienen der Orientierung. Die genaue Einstufung hängt immer vom konkreten Fall ab, etwa davon, ob ein Login erforderlich ist oder ob das Opfer aktiv werden muss.

Niedrig (CVSS 0,1–3,9)

• Ein Angreifer kann einen Nutzer über einen präparierten Link abmelden (CSRF beim Logout).
• Eine Sitzung bleibt nach einer Passwortänderung kurzzeitig gültig.
• Fehlermeldungen geben nach dem Login technische Details wie interne Pfade preis.

Mittel (CVSS 4,0–6,9)

• Über einen präparierten Link wird Skript im Browser des Opfers ausgeführt (Reflected XSS).
• In einer Galeriebeschreibung gespeichertes Skript wird bei Kunden ausgeführt (Stored XSS).
• Über eine präparierte Webseite werden Kontoeinstellungen eines eingeloggten Nutzers geändert (CSRF).
• Ein eingeloggter Kunde kann durch Ändern einer ID fremde Bestelldaten einsehen.

Hoch (CVSS 7,0–8,9)

• Fremde Galerien oder Originaldateien sind ohne Login abrufbar, z. B. über erratbare Adressen.
• Ein Mitarbeiter-Account mit eingeschränkten Rechten kann sich Administratorrechte verschaffen.
• Das Rate-Limit beim Login mit Zugangscode lässt sich umgehen, sodass Codes massenhaft ausprobiert werden können.
• Über einen Fehler beim Zurücksetzen des Passworts kann ein Account übernommen werden, wenn das Opfer einen Link aufruft.

Kritisch (CVSS 9,0–10,0)

• Über eine SQL-Injection ist ohne Login Zugriff auf die Datenbank möglich.
• Über eine präparierte Datei kann Code auf dem Server ausgeführt werden (Remote Code Execution).
• Ein Angreifer kann sich ohne Passwort und ohne Mitwirkung des Opfers als beliebiger Nutzer anmelden.
• Zugangsdaten zum Dateispeicher sind öffentlich einsehbar und erlauben das Lesen oder Löschen aller Dateien.

Ja. Wir haben eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchgeführt und die Risiken sowie unsere Schutzmaßnahmen dokumentiert. Die vollständige DSFA ist ein internes Dokument, das wir auf Anfrage der zuständigen Aufsichtsbehörde vorlegen.

Unser externer Datenschutzbeauftragter ist:

IITR Datenschutz GmbH
Dr. Sebastian Kraska
Marienplatz 2
80331 München
E-Mail: email@iitr.de
Telefon: 089 18917360