Sicherheit und Datenschutz

Sie verarbeiten Unterlagen, die Ihre Mandanten niemandem sonst anvertrauen würden. Diese Seite erklärt vollständig, wie FileDock damit umgeht, damit Sie es selbst beurteilen können und nicht auf Zusicherungen vertrauen müssen.

Warum es kein Passwort für Mandanten gibt

Der erste Einwand gegen FileDock lautet fast immer: Ohne Passwort kann das doch nicht sicher sein. Der Einwand ist berechtigt und die Antwort lohnt sich.

Ein Passwort schützt nur so gut, wie es benutzt wird. In der Praxis verwenden Mandanten dasselbe Passwort mehrfach, notieren es, geben es innerhalb der Familie weiter oder fordern es zwei Mal im Jahr neu an. Ein dauerhafter Zugang, der auf einem schwachen oder geteilten Passwort steht, ist über Jahre hinweg angreifbar. Ein Zugang, den es nicht gibt, kann dagegen weder erraten noch wiederverwendet werden.

FileDock arbeitet deshalb nicht mit Konten für Mandanten, sondern mit Einzelberechtigungen. Ihr Mandant erhält einen Link, der ausschließlich für eine bestimmte Anfrage gilt, zeitlich begrenzt ist und jederzeit entzogen werden kann. Fachlich ist das eine sogenannte Capability-URL: Der Besitz des Links ist die Berechtigung, und diese Berechtigung ist so eng zugeschnitten wie möglich.

Wie der Zugriffslink aufgebaut ist

Jeder Link enthält einen Code aus 256 zufälligen Bit, erzeugt mit einem kryptografisch sicheren Zufallsgenerator. Die Anzahl möglicher Codes liegt in einer Größenordnung, in der systematisches Durchprobieren keine praktische Bedeutung hat. Der Code lässt sich weder erraten noch aus einem anderen Link ableiten.

Der Code wird bei uns nicht im Klartext gespeichert, sondern nur als kryptografische Prüfsumme. Selbst wenn jemand vollständigen Zugriff auf unsere Datenbank erlangen würde, ließe sich daraus kein funktionierender Link rekonstruieren.

Was hinter einem Link erreichbar ist

Ausschließlich die eine Anfrage, für die er erstellt wurde. Über den Link besteht kein Zugriff auf andere Mandanten Ihrer Kanzlei, keine Einsicht in frühere Anfragen desselben Mandanten und keine Möglichkeit, bereits übermittelte Unterlagen wieder herunterzuladen.

Sie legen je Anfrage fest, wie lange der Link gilt, wie viele Dateien und wie viel Datenvolumen zulässig sind. Sie können einen Link jederzeit sofort deaktivieren. Danach führt er ins Leere, auch für jemanden, der ihn zwischenzeitlich kopiert hat.

Trennung zwischen Kanzleien

FileDock ist ein System, in dem mehrere Kanzleien parallel arbeiten. Die Trennung der Daten ist deshalb keine Einstellung, sondern in der Datenstruktur selbst angelegt: Mandanten, Anfragen und Dateien liegen innerhalb des Datensatzes Ihrer Kanzlei und lassen sich nur über eine bestehende Mitgliedschaft in dieser Kanzlei erreichen.

Zusätzlich prüft die Anwendung bei jedem einzelnen Zugriff, ob die anfragende Person zu der Kanzlei gehört, deren Daten sie abruft. Beides greift unabhängig voneinander, damit ein Fehler an einer Stelle nicht genügt.

Verschlüsselung

Jede Verbindung zu FileDock ist mit TLS verschlüsselt, sowohl im Dashboard Ihrer Kanzlei als auch auf der Upload-Seite Ihres Mandanten. Das gilt durchgehend bis in den Speicher.

Zusätzlich werden die Unterlagen bereits im Browser Ihres Mandanten verschlüsselt, bevor das erste Byte den Rechner verlässt. Verwendet wird AES-256-GCM mit einem eigenen Zufallsschlüssel je Datei. Was im Speicher liegt, ist damit Chiffretext und nicht das Dokument.

Der Dateischlüssel wird seinerseits mit einem Hauptschlüssel verschlüsselt, der ausschließlich in der Umgebung unseres Anwendungsservers liegt, weder in der Datenbank noch im Speicher. Ein Einbruch allein in den Speicher liefert unlesbare Daten, ein Einbruch allein in die Datenbank liefert Schlüssel, die sich nicht öffnen lassen.

Den vollständigen Weg einer Datei, einschließlich der Stellen, an denen dieser Schutz endet, haben wir auf einer eigenen Seite offengelegt: Datenfluss im Detail.

Die Dateien werden beim Hochladen direkt vom Browser Ihres Mandanten an den Speicher übertragen und laufen dabei nicht über einen Zwischenserver, auf dem sie ungeschützt liegen könnten. Der Speicher ist nicht öffentlich zugänglich: Jeder einzelne Zugriff erfordert eine von uns signierte Berechtigung, die nach kurzer Zeit verfällt.

Wo die Daten liegen

Vollständig in Deutschland, bei einem deutschen Anbieter. FileDock läuft auf Servern der Hetzner Online GmbH in Nürnberg. Das gilt für alles: die Anwendung, die Verwaltungsdaten wie Mandantennamen, Anfragen und Protokolle, und die hochgeladenen Unterlagen selbst.

Es ist kein Anbieter aus einem Drittland beteiligt und keine Verarbeitung außerhalb Deutschlands erforderlich. Damit entfällt die Frage nach Übermittlungen in Drittländer und nach den Zugriffsmöglichkeiten ausländischer Behörden, die bei US-Anbietern zu prüfen wäre.

Alle eingesetzten Unterauftragsverarbeiter benennen wir namentlich im Auftragsverarbeitungsvertrag, damit Sie Ihre eigene Dokumentation vollständig führen können.

Wer bei uns Zugriff hat

Auf die Unterlagen Ihrer Mandanten greifen wir im laufenden Betrieb nicht zu. Ein Zugriff durch uns findet nur statt, wenn Sie uns bei einem konkreten technischen Problem ausdrücklich darum bitten.

Wir werten Ihre Inhalte nicht aus, geben sie nicht an Dritte weiter und nutzen sie nicht für Werbung oder für das Training von Software. Auf unseren Seiten setzen wir keine Tracking-Dienste und keine Werbenetzwerke ein.

Auftragsverarbeitung

Wenn Sie FileDock einsetzen, verarbeiten wir personenbezogene Daten in Ihrem Auftrag. Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO stellen wir Ihnen bereit, einschließlich einer vollständigen Liste der eingesetzten Unterauftragsverarbeiter. Schreiben Sie uns dazu an [email protected].

Wenn Sie tiefer prüfen möchten

Fragen Ihres Datenschutzbeauftragten beantworten wir konkret und schriftlich, auch zu technischen Details, die auf dieser Seite nicht stehen. Wenn Sie vor einer Entscheidung eine Prüfung durchführen, schreiben Sie uns, welche Angaben Sie benötigen.