Security by Design

Security by Design bedeutet, dass wir Sicherheit von Anfang an einbauen, in Architektur, Entwicklung und Betrieb, statt sie nachträglich hinzuzufügen. Wir arbeiten nach drei Grundsätzen: Vertrauen durch Transparenz, Vorbeugen statt Reagieren und kontinuierliche Verbesserung.

Auf dieser Seite beschreiben wir nur Maßnahmen, die wir in unserem Code oder in der Dokumentation unseres Hosting-Anbieters belegen können. Wo etwas nicht umgesetzt ist, sagen wir das.

CoachBall läuft auf Laravel Cloud, einer verwalteten Hosting-Plattform auf der Infrastruktur von Amazon Web Services (AWS), mit dem Cloudflare-Netzwerk davor.

Edge-Netzwerk: Jede Anfrage erreicht zuerst den nächstgelegenen Cloudflare-Standort. Dort durchläuft sie DDoS-Abwehr und eine Web Application Firewall (WAF), bevor sie an die Anwendung weitergeleitet wird. Statische Dateien wie CSS, JavaScript und Bilder werden an der Edge zwischengespeichert, und dieser Cache wird bei jedem Deployment geleert.

Compute-Netzwerk: Die Anwendung läuft in einem privaten Netzwerk und ist nur über das Edge-Netzwerk erreichbar, nicht direkt aus dem Internet.

• DDoS-Schutz: Überlastungs- und Amplification-Angriffe werden an der Edge abgefangen, bevor sie die Anwendung erreichen.
• Web Application Firewall: Das OWASP Core Ruleset von Cloudflare filtert häufige Angriffe wie Injection, bevor sie die Anwendung erreichen.
• Verschlüsselte Verbindungen: Der gesamte Verkehr läuft über HTTPS (TLS), mit automatisch erneuerten Zertifikaten.
• Sicherheits-Header: Unsere Seiten senden eine Content Security Policy, die festlegt, von welchen externen Domains eine Seite Inhalte laden darf, und verhindert, dass andere Websites CoachBall einbetten, dazu X-Content-Type-Options: nosniff und eine strikte Referrer-Policy.

• Passwörter werden nur als Einweg-Hash (bcrypt) gespeichert. Niemand kann sie lesen, auch wir nicht.
• Anmeldeversuche sind begrenzt, damit ein Passwort nicht endlos erraten werden kann.
• Cookies sind verschlüsselt, und jedes Formular ist gegen Cross-Site Request Forgery (CSRF) geschützt.
• Zugriff nach Rolle: Was jemand sehen und tun kann, hängt von seiner Rolle im Team oder Verein ab, zum Beispiel Coach, Spieler oder Elternteil.

Jede Verbindung zu CoachBall ist verschlüsselt, und hochgeladene Fotos und Dateien werden von unserem Speicheranbieter verschlüsselt gespeichert (AES-256). Passwörter werden als Einweg-Hash gespeichert, und Zugriffstoken für verbundene Dienste wie YouTube liegen verschlüsselt in unserer Datenbank.

Wir behaupten nicht, dass jede Information auf Anwendungsebene verschlüsselt ist. Wir verkaufen niemals Teamdaten, und du kannst dein Konto und deine Daten jederzeit löschen.

CoachBall ist nicht nach ISO/IEC 27001 zertifiziert und hat keinen SOC-2-Bericht. Wir nutzen die Grundsätze dieser Standards als Leitfaden, etwa für Zugriffskontrolle, Verschlüsselung und den Umgang mit Vorfällen.

Unser Hosting-Anbieter Laravel Cloud ist nach ISO/IEC 27001 zertifiziert und hat eine SOC 2 Type 2-Testierung für Security, Confidentiality und Availability. Das betrifft die Plattform, auf der CoachBall läuft, nicht CoachBall selbst.

Bei konkreten Compliance-Fragen, etwa zu einem Auftragsverarbeitungsvertrag, kontaktiere uns.

Sicherheit ist ein fortlaufender Prozess. Wir überwachen Fehler und Anwendungslogs, aktualisieren Abhängigkeiten regelmäßig und prüfen unseren Code auf Sicherheitsprobleme. Finden wir ein Problem, beheben wir es und passen diese Seite bei Bedarf an.

Hast du Fragen zu unserem Vorgehen oder brauchst du mehr technische oder rechtliche Details? Kontaktiere uns.