Sicherheit

HERA legt großen Wert auf die Sicherheit von Zugängen und Daten. Diese Seite informiert Entscheider über die technischen Maßnahmen.

Benutzer können sich per Magic-Link anmelden: Nach Eingabe der E-Mail-Adresse erhalten sie einen zeitlich begrenzten Link zur Anmeldung.
Kein Passwort muss übertragen werden – reduziert Risiken durch Phishing und Passwort-Leaks.

2FA per TOTP (Time-based One-Time Password): Nutzer mit Rollen müssen ein Einmal-Passwort einrichten (z.B. mit Google Authenticator, Authy oder 1Password).
OV-weite Verpflichtung: Ein Ortsverband kann festlegen, dass alle Nutzer 2FA verwenden müssen.
TOTP-Verschlüsselung: Die TOTP-Geheimnisse werden verschlüsselt in der Datenbank gespeichert.

Die Speicherung von Passworten erfolgt mit einem bewährten Hashing-Verfahren (bcrypt).

Datensicherheit

Die folgenden Daten werden verschlüsselt in der Datenbank gespeichert:

Kategorie	Beispiele
Zugangsdaten	TOTP-Geheimnisse (2FA)
Gesundheitsdaten	Impfungen, medizinische Angaben
Persönliche Mitgliedsdaten	Adressen, Kontaktdaten, Bankverbindungen, weitere sensible Felder

Jede HERA-Instanz verwendet einen eigenen Anwendungsschlüssel (Salt, ENCRYPTION_SALT).
TOTP-Geheimnisse und andere anwendungsweite Daten werden damit verschlüsselt.

Jeder Ortsverband hat einen eigenen Verschlüsselungsschlüssel (organization_encryption_keys).
Persönliche und Gesundheitsdaten von Mitgliedern werden mit diesem organisationsspezifischen Schlüssel verschlüsselt.
Ein Schlüsselverlust bei einem Ortsverband betrifft nicht die Daten anderer Ortsverbände.
Im Fall eins Schlüsselverlusts, können die Daten durch einen neuen Import aus THWin neu erfasst werden.