Sicherheit und Datenschutz
Für Datenschutzbeauftragte, IT-Betreuer und alle, die es genau wissen wollen: wie Schweigepost Anfragen und Dokumente schützt und was wir sehen können.
Kurz gesagt
Inhalte und Dokumente werden im Browser des Absenders verschlüsselt, bevor sie das Gerät verlassen. Gespeichert wird nur Chiffretext. Entschlüsselt wird erst im Browser der Praxis oder Kanzlei, mit einem Schlüssel, den nur deren Team hat.
Ihre Inhalte werden in Ihrem Browser verschlüsselt. Wir speichern sie nur verschlüsselt und haben keinen Schlüssel.
Verschlüsselung im Browser
- Für jede Einsendung erzeugt der Browser einen neuen Zufallsschlüssel und verschlüsselt Formularinhalt und Dokumente mit AES-256-GCM.
- Diesen Schlüssel verpackt er mit dem öffentlichen Schlüssel der Praxis oder Kanzlei, per RSA-OAEP mit 3072 Bit und SHA-256.
- Beides läuft über die WebCrypto-Schnittstelle, die jeder aktuelle Browser mitbringt. Patienten und Mandanten installieren nichts und brauchen kein Konto.
- Dateiname und Dateityp gehören zum verschlüsselten Teil. Dateigrößen werden auf feste Stufen aufgefüllt, damit die genaue Größe nicht erkennbar ist.
- Jeder Datensatz trägt ein Versionsfeld. So lässt sich das Verfahren später austauschen, etwa gegen ein Post-Quanten-Verfahren, sobald Browser eines anbieten.
Auf der Startseite können Sie die Verschlüsselung selbst ausprobieren. Sie läuft dort mit demselben Verfahren in Ihrem Browser.
Schlüssel und Zugang
- Bei der Einrichtung erzeugt der Inhaber das Schlüsselpaar der Organisation in seinem eigenen Browser.
- Der private Schlüssel wird für jeden Mitarbeiter einzeln verpackt, geschützt mit einem Schlüssel aus dessen Passwort. Dafür nutzen wir Argon2id, ein Verfahren, das Angriffe auf gestohlene Daten stark verteuert.
- Die Anmeldung verlangt Passwort und zweiten Faktor aus einer Authenticator-App.
- Bei der Einrichtung erhält der Inhaber einen Notfallschlüssel zum Ausdrucken. GENLOC bewahrt keine Kopie auf. Ohne Passwort und ohne Notfallschlüssel sind die Daten verloren.
- Scheidet jemand aus dem Team aus, entfernt der Inhaber den Zugang samt verpacktem Schlüssel.
Was der Server lesen kann
Einige Angaben muss der Server lesen, damit er arbeiten kann. Sie sind nicht Ende zu Ende verschlüsselt, aber eingegrenzt:
| Angabe | Wofür | Schutz |
|---|---|---|
| Kontaktadresse des Absenders | Bestätigungscode, Eingangsbestätigung, Benachrichtigung | eigene Tabelle, zusätzlich verschlüsselt, früh gelöscht |
| Zeitpunkt, Organisation, Anliegen, Größenstufe | Übersicht im Postfach, Löschfristen | keine Inhalte, Größen nur in Stufen |
| Konten der Mitarbeiter | Anmeldung | Passwort nur als Hash, zweiter Faktor zusätzlich verschlüsselt |
| Statusmeldungen | Anzeige auf der Statusseite | nur Textbausteine ohne individuelle Inhalte |
| Empfängerdaten im Dokumenten-Ausgang | Versand von Link und Code | nur bis zum Abruf, zusätzlich verschlüsselt |
| Protokolle | Nachweis von Downloads und Löschungen | ohne Inhalte, IP-Adressen nur gehasht |
Die zusätzlich verschlüsselten Felder liegen in der Datenbank nur als Chiffretext. Der Schlüssel dafür gehört nicht zum Backup. Ein abgezogener Datenbank-Dump zeigt sie deshalb nicht im Klartext.
Dokumente an Patienten und Mandanten
- Die Praxis oder Kanzlei verschlüsselt Dokumente in ihrem Browser mit einem neuen Schlüssel.
- Der Empfänger erhält per E-Mail einen Link. Der Schlüssel steht im Teil nach dem
#. Diesen Teil schicken Browser nie an einen Server, er steht weder in unserer Datenbank noch in Logs. - Erst nach einem Code per SMS oder an eine zweite E-Mail-Adresse gibt der Server die verschlüsselten Dateien heraus. Nach wenigen Fehlversuchen ist der Code gesperrt.
- Wer nur das E-Mail-Postfach des Empfängers knackt, hat keinen Code. Wir haben weder den Schlüssel aus dem Link noch den Code.
- Bei Kanzleien ist schon die Tatsache vertraulich, dass jemand Mandant ist. Deshalb ist auch das Adressbuch Ende zu Ende verschlüsselt.
Löschung
- Jede Praxis und Kanzlei wählt 7, 14 oder 30 Tage. Mehr als 30 Tage sind nicht möglich.
- Danach entfernt ein täglicher Job Datenbankeintrag und verschlüsselte Datei und schreibt einen Eintrag ins Löschprotokoll.
- Wenige Tage vor Ablauf erinnern wir an Dokumente, die noch niemand heruntergeladen hat.
- Mit dem Download ist der Zweck erfüllt. Die Akte führt die Praxis oder Kanzlei in ihrer eigenen Software.
Server und Betrieb
- Die Anwendung läuft auf eigenen Servern innerhalb der EU, getrennt von dieser Website und von anderen Kunden.
- Die Server sind gehärtet und werden laufend aktualisiert. Zugang haben nur wenige, zur Verschwiegenheit verpflichtete Personen.
- Im Browser läuft nur Code von der eigenen Domain, ohne fremde Skripte und ohne externe Dienste.
- Änderungen nur über einen festgelegten, signierten Weg. Eine Integritätsprüfung meldet jede Änderung außerhalb eines Deployments.
- Die Daten der einzelnen Praxen und Kanzleien sind auf mehreren Ebenen voneinander getrennt.
- Keine Tracker, keine Analysedienste, keine Schriften oder Skripte von fremden Servern. Das gilt auch für diese Website.
- Backups liegen verschlüsselt innerhalb der EU.
- Technische Einzelheiten und das Rechenzentrum nennen wir unseren Kunden im Vertrag zur Auftragsverarbeitung und in den technischen und organisatorischen Maßnahmen, nicht öffentlich.
Vertrag und Recht
- Mit jeder Praxis und Kanzlei schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, elektronisch.
- Alle Beteiligten bei GENLOC sind als mitwirkende Personen nach § 203 StGB zur Verschwiegenheit verpflichtet. Der Vertrag regelt das ausdrücklich.
- Alle Unterauftragsverarbeiter, etwa für Rechenzentrum und SMS-Versand, stehen im Vertrag zur Auftragsverarbeitung.
- Über Schweigepost findet keine Beratung statt. Rückmeldungen an Patienten und Mandanten kommen nur aus Textbausteinen der Praxis oder Kanzlei.