Sicherheit & Datenschutz

KRISENSTAB wird auf Servern betrieben, die sich ausschließlich in Deutschland befinden. Der Betrieb erfolgt über europäische Infrastruktur und unterliegt damit vollständig der Datenschutz-Grundverordnung (DSGVO) sowie deutschem Datenschutzrecht. Der Zugriff auf Serverdaten ist auf autorisierte Administratoren der Notfallakademie beschränkt. Es werden keine Daten an Server außerhalb der EU übertragen.

Alle Verbindungen zu KRISENSTAB werden ausschließlich über HTTPS (TLS 1.2 oder höher) übertragen. Eine unverschlüsselte HTTP-Verbindung ist nicht möglich. Passwörter werden niemals im Klartext gespeichert. Sie werden vor der Ablage in der Datenbank mit dem Verfahren bcrypt gehasht — das bedeutet, dass auch bei einem hypothetischen Datenbankzugriff keine Klartextpasswörter lesbar wären. Sitzungs-Tokens (Sessions) werden serverseitig verwaltet und sind zeitlich begrenzt. Nach Ablauf der Sitzung oder manuellem Abmelden wird das Token ungültig.

Alle Übungsdaten, Nachrichten, Protokolleinträge und Nutzerdaten werden in einer PostgreSQL-Datenbank gespeichert, die sich auf denselben deutschen Servern wie die Anwendung befindet. Die Datenbank ist nicht öffentlich erreichbar und nur über die Anwendung selbst zugänglich. Gespeichert werden: • Nutzerdaten: E-Mail-Adresse, Name, Rolle, gehashtes Passwort, Organisationszugehörigkeit • Übungsdaten: Lageeinträge, Aufgaben, Entscheidungen, Risiken, Nachrichten, Injects • Technische Daten: Sitzungsinformationen, Zeitstempel, Aktivitätsprotokolle Es werden keine sensiblen personenbezogenen Daten über die für die Nutzung notwendigen Informationen hinaus erhoben.

KRISENSTAB setzt ein mehrstufiges Rollenmodell ein. Jeder Nutzer hat ausschließlich Zugriff auf die Daten seiner eigenen Organisation und seiner zugewiesenen Übungen. Ein Nutzer einer Organisation kann keine Daten anderer Organisationen einsehen. Innerhalb einer Übung gilt: Rollenspezifische Inhalte (z. B. Injects, die nur an S3 gerichtet sind) sind ausschließlich für die jeweilige Rolle sichtbar. Beobachter haben ausschließlich Lesezugriff und können keine Daten erstellen oder verändern. Administratoren der Notfallakademie können zu Supportzwecken auf Übungsdaten zugreifen. Dies geschieht ausschließlich auf Anfrage oder zur Fehlerbehebung und wird protokolliert.

Die NPC-Kommunikationsfunktion (KI-gestützte virtuelle Teilnehmer) wird vollständig auf dem eigenen Server der Notfallakademie betrieben. Es wird Ollama eingesetzt — ein lokal laufendes KI-System, das keine Daten an externe Dienste oder Server außerhalb der EU überträgt. Nachrichten, die an NPCs gesendet werden, verlassen den Server der Notfallakademie zu keinem Zeitpunkt. Die KI-Verarbeitung findet ausschließlich lokal statt. Bitte beachten: In Übungen sollten keine echten personenbezogenen Daten (z. B. Namen realer Personen, Patientendaten) im NPC-Chat verwendet werden. Übungsinhalte sollten fiktiver Natur sein.

Das Impressum, die Datenschutzerklärung und die AGB werden als iframe von der IT-Recht Kanzlei München eingebettet (itrk.legal). Beim Laden dieser Seiten stellt Ihr Browser eine Verbindung zu Servern der IT-Recht Kanzlei her. Dabei können technische Daten wie IP-Adresse und Browsertyp übertragen werden. Die Lagekarte basiert auf OpenStreetMap. Beim Laden der Karte werden Kartenkacheln von OpenStreetMap-Servern abgerufen. Dabei werden technische Verbindungsdaten an die OpenStreetMap Foundation übermittelt.

Übungsdaten werden nach Abschluss einer Übung auf Wunsch der administrierenden Organisation gelöscht. Nutzerdaten werden auf Anfrage an admin@notfallakademie.org gelöscht. Es bestehen gesetzliche Aufbewahrungspflichten für buchhalterisch relevante Daten (z. B. Rechnungsdaten). Diese werden unabhängig von der Plattform verwaltet und berühren keine Übungsdaten. Eine automatische Löschung nach einem definierten Zeitraum ist in Planung.

Bei einem vermuteten Sicherheitsvorfall, einer Datenpanne oder sonstigen sicherheitsrelevanten Ereignissen wenden Sie sich bitte unverzüglich an: E-Mail: admin@notfallakademie.org Betreff: [Sicherheitsvorfall KRISENSTAB] Wir nehmen Hinweise auf Sicherheitslücken (Responsible Disclosure) ernst und bearbeiten entsprechende Meldungen mit Priorität.