Technische Sicherheitsmaßnahmen

Technische und organisatorische Maßnahmen (TOMs) gemäß DSGVO Art. 32 — insbesondere für den KI-Reflexionsassistenten Mindy und alle personenbezogenen Daten auf der Plattform.

Ende-zu-Ende-Verschlüsselung (Mindy)

AES-256-GCM

Alle Reflexionsinhalte werden mit AES-256-GCM via pgcrypto verschlüsselt gespeichert. Klartext existiert ausschließlich in-memory — nie auf der Festplatte oder in Logs.

Krypto-Audit-Log & Key-Rotation

HMAC-Chain

Jede Ver-/Entschlüsselung erzeugt einen append-only Eintrag mit HMAC-Chain. Das Audit-Log ist per Postgres-Trigger gegen Änderungen gesichert. Master-Key-Rotation alle 90 Tage.

EU-Datenhaltung (Hetzner Deutschland)

Hetzner / DE

Backend, Postgres und alle personenbezogenen Daten liegen ausschließlich auf Hetzner-Servern in Deutschland. Kein Drittlandtransfer für Kerndaten.

DDoS-Schutz & Edge-Security

Cloudflare WAF

Cloudflare WAF, DDoS-Mitigation und Bot-Fight-Mode schützen alle Endpunkte. Audio-CDN und Subscription-Cache mit EU-Jurisdiction-Lock (Cloudflare R2/KV).

PII-Minimierung in Logs & Monitoring

Sentry EU-FR

Sentry ist mit requestDataIntegration(cookies/data/query_string = false) konfiguriert. Keine E-Mail-Adressen oder Namen in Fehler-Reports. EU-Datenresidenz Frankfurt.

Anomalie-Detection & Alerting

Cron · stündlich

Stündlicher Cron prüft Decrypt-Raten. Mehr als 10× Normalrate triggert Sentry-Alert. Crisis-Detection-Loop in jeder Mindy-LLM-Antwort; nach 3× Trigger kein weiterer LLM-Call.

Backup & Recovery

30-Tage-Retention

Tägliche Postgres-Snapshots auf Hetzner mit 30-Tage-Retention. Audio-Dateien redundant in Cloudflare R2 mit EU-Jurisdiction. RTO/RPO-Details auf Anfrage.

Responsible Disclosure (VDP)

security.txt

Sicherheitslücken bitte ausschließlich an security@leadwave-academy.de melden. Wir bestätigen Eingang binnen 48 Stunden und veröffentlichen behobene Findings nach koordinierter Offenlegung. Eine security.txt gemäß RFC 9116 ist unter /.well-known/security.txt abrufbar.

/.well-known/security.txt öffnen →