Zum Inhalt springen

REPORT · 2026-10-05

Security Overview

Kontrollen, Datenspeicherung und Sicherheitslage von DrohnenAtlas - Stand 2026-10-05.

Zweck

Diese Übersicht beschreibt, wie DrohnenAtlas (Website, Web-App, iOS/Android) Sicherheit und Datenschutz technisch absichert. Sie ist kein Zertifikat, keine Pen-Test-Attestierung und keine Rechtsberatung.

Verantwortlicher

Pixel & Process UG (haftungsbeschränkt), Lübeck. Kontakt: info@pixelandprocess.de. Details im Impressum.

Architektur (Kurz)

  • Kontrollebene: Laravel-API mit Sanctum; Clients sind nicht die Datenbank-Perimeter.
  • Speicher: Primäre App-Daten und Nutzer-Uploads auf Hetzner in Deutschland (uploads_disk).
  • Mobile: Offline-First wo sinnvoll; sensible Tokens in Secure Storage.
  • Marketing: Next.js auf drohnenatlas.app mit Security-Headern und CSP Report-Only.

Kontrollen (Betrieb)

  • Autorisierung über Policies und Form Requests; Organisationsrollen am Datensatz-Kontext.
  • API-Login gibt bei bestätigter 2FA erst nach Challenge (TOTP/Recovery) ein Token aus.
  • Webhooks (Zahlungen/Push) mit Signaturprüfung und Idempotenz wo vorgesehen.
  • Sentry mit Scrubbing; Default-PII in Preview-Config abgeschaltet.
  • Analytics (Umami/Plausible) nur nach ausdrücklicher Einwilligung.
  • Account-Löschung inkl. lokalem Wipe auf dem Gerät (Drift, Prefs, Tokens, Push-Logout).
  • Geozonen-Cache mit TTL und Hard-Stale-Hinweis - abgelaufene Snapshots werden nicht als „grün“ dargestellt.
  • Dependabot für Composer, npm (API + Marketing), Actions und Docker.
  • Container non-root / restricted securityContext; Redis mit AUTH im Preview-Cluster.

Session & Portale

Für Single-Sign-On zwischen App- und Genehmigungsportal bleibt die Session-Domain .drohnenatlas.app bestehen. Kompensierende Maßnahmen: Session-Verschlüsselung, verkürzte Lebensdauer, Secure/HttpOnly/SameSite. Host-only Cookies sind bewusst nicht gewählt (würden das Portal-SSO brechen).

Was wir nicht behaupten

  • Kein SOC 2, kein ISO 27001 / 27701-Zertifikat.
  • Kein abgeschlossener externer Pen-Test (Briefing intern vorhanden; Durchführung offen).
  • Keine Live-Freigabe von Produktions-Probes (G1-G3) ohne gesonderte Owner-Freigabe.

Weiterlesen

Kein Zertifikat · Keine Rechtsberatung · Stand 2026-10-05

← Zurück zum Trust Center