Technische und organisatorische Maßnahmen

TOM-Anlage zur AVV

Version 2026-11-09. Diese Anlage beschreibt den im Quellcode, in den übermittelten Konfigurationsberichten und durch Betreiberangaben dokumentierten Schutzumfang. Einstellungsnachweise und betriebliche Vorgaben sind von durchgeführten Funktionstests zu unterscheiden. Die Anlage enthält keine Zertifizierung der Gesamtinfrastruktur.

Hosting und Serverzugriff

Der Betreiber bestätigt die Nutzung der STRATO-Pakete „Hosting-Starter“ und „VPS Linux PA-4-8-240“. Die Paketbezeichnungen sind kein Nachweis einer bestimmten Sicherungsfunktion, einer Backupfrist oder der Zuordnung einzelner Verarbeitungsvorgänge zu einem Paket.

Nach Angaben des Betreibers ist der SSH-Zugriff auf den Server auf den Seitenbetreiber und STRATO beschränkt. Diese Angabe umfasst keine Zusage über die verwendeten Authentifizierungsverfahren, die technische Durchsetzung oder weitere administrative Zugänge innerhalb von WordPress.

Ausgewählte produktive Konfiguration

Nach dem vom Betreiber übermittelten Konfigurationsbericht vom 9. November 2026 ist die WordPress-Website mit https://showreport2invoice.com konfiguriert. Dies belegt für sich keine durchgängige TLS-Erzwingung, HSTS oder korrekte Proxy-Konfiguration. WP_DEBUG und WP_DEBUG_LOG sind deaktiviert. WP_DEBUG_DISPLAY ist aktiviert, was allein keine tatsächliche Fehleranzeige bei deaktiviertem Debugmodus belegt. FORCE_SSL_ADMIN ist nicht aktiviert; eine HTTPS-Erzwingung auf Webserverebene wurde damit weder bestätigt noch ausgeschlossen.

Stripe ist im Produktivmodus aktiviert, die zusätzliche Stripe-Protokollierung ist ausgeschaltet. Die aktuelle WooCommerce-PayPal-Integration ist aktiviert; das alte zusätzliche PayPal-Gateway ist deaktiviert. E-Mails werden über WP Mail SMTP und smtp.strato.de versendet. Für SMTP sind TLS, Port 587, AutoTLS und Authentifizierung konfiguriert. Dies ist ein Einstellungsnachweis, kein Verbindungstest und kein Zustellungsnachweis; eine Ende-zu-Ende-Verschlüsselung der E-Mails ist damit nicht belegt.

Für Nginx ist tägliche Logrotation mit 14 Archivgenerationen, Komprimierung und Überspringen leerer Dateien konfiguriert. Die Rotation muss zusätzlich tatsächlich ausgeführt werden. Die erfassten Direktiven belegen weder die konkreten Logfelder noch eine starre maximale Speicherdauer von 14 Tagen. Die globale Standardkonfiguration nennt wöchentliche Rotation und vier Generationen; sie ist nicht anstelle der spezifischen Nginx-Regel auf alle Protokolle anzuwenden.

Der Betreiber bestätigt wöchentliche Standardbackups bei STRATO. Als Aufbewahrungsvorgabe sind die letzten vier wöchentlichen Sicherungen festgelegt. Die tatsächliche Umsetzung dieser Vorgabe bei STRATO sowie konkreter Sicherungsumfang und Wiederherstellungsverfahren wurden noch nicht bestätigt. Aus dem Sicherungsintervall wird keine Löschfrist abgeleitet. UpdraftPlus ist nach dem vorgelegten Bericht nicht als aktives WordPress-Plugin vorhanden; die bestätigten Sicherungen sind daher nicht als durch UpdraftPlus verwaltet beschrieben.

Complianz ist aktiv. Die konfigurierte Statistik-Auswahl ist „no“, der allgemeine Drittanbieter-Schalter ist „yes“ und „Records of Consent“ ist auf „no“ gesetzt. Der Betreiber bestätigt, dass keine konkreten Drittanbieterdienste in Complianz angegeben sind. Diese Listenangabe wird nicht als Nachweis der Abwesenheit sämtlicher externer Verbindungen oder der bereits beschriebenen Zahlungs-/Mail-/Lexware-Dienste verstanden. Für die Bannerlaufzeit wurde kein ausdrücklich gespeicherter Wert ermittelt. Es wird deshalb weder eine bestimmte Laufzeit noch die Abwesenheit weiterer Dienste behauptet.

WPForms Lite ist als aktives Plugin gemeldet. Der Betreiber bestätigt, dass auf der Website kein Kontaktformular angeboten wird. Eine Erhebung von Kontaktformularangaben wird deshalb nicht als angebotene Funktion beschrieben. Das installierte Plugin wurde durch diese Dokumentationsänderung nicht deaktiviert; mögliche technische Einbindungen sind im Cookie-/Drittanbieterscan zu berücksichtigen.

Für die abgefragten WooCommerce-Konto-/Bestellkategorien sind keine numerischen Aufbewahrungsfristen eingetragen. Die automatischen Erasure-Schalter für Bestell- und Downloaddaten sind deaktiviert. Zeitgesteuerte Löschung oder automatische vollständige Bearbeitung eines Löschersuchens wird daher nicht als vorhandene Maßnahme beschrieben. Die eigene kontrollierte Konverter-Löschfunktion bleibt hiervon getrennt.

Anwendung: nachgewiesene Maßnahmen

• Zugriffskontrolle: WordPress-Anmeldung, serverseitige Prüfung der Konverterberechtigung, Gerätebindung und kontobezogener Zugriff. REST-Anfragen mit Cookie-Anmeldung werden durch die WordPress-REST-Nonce abgesichert. Administrative Löschungen erfordern manage_options und eine aktions-/kontobezogene Nonce.
• Minimierung: Ursprüngliche CSV-Dateien werden nicht hochgeladen. Easybill-Dateien entstehen lokal. Die eigene Integration legt keine vollständigen Rechnungsinhalte in der WordPress-Datenbank ab.
• Geheimnisschutz: Optional gespeicherte API-Schlüssel sind mit AES-256-GCM, zufälligem IV, Authentifizierungstag und Kontobindung verschlüsselt. Die Ableitung hängt vom WordPress-Auth-Salt ab. Der Server muss entschlüsseln können. Saltverlust/-wechsel erfordert eine erneute Schlüsseleingabe.
• Übermittlung: Aufrufe an Lexware verwenden https://api.lexware.io mit TLS-Prüfung durch den WordPress-HTTP-Client, ohne automatische Weiterleitungen. Die Produktionswebsite muss separat durchgängig HTTPS bereitstellen; dies ist hier kein Infrastruktur-Nachweis.
• Trennung: Kontoabhängige HMAC-Nachweise und Verschlüsselung; Rechnungsstatusabrufe sind an bestätigte Importe des angemeldeten Kontos gebunden. API-Schlüssel werden nicht über die Schlüsselstatusantwort an den Browser zurückgegeben.
• Integrität: Atomare Importansprüche, Prüfsummen und vorsichtiger Umgang mit unklaren Antworten begrenzen Doppelanlagen. Änderungen bestehender Rechnungsdaten führen zu manueller Prüfung. Dies ist keine globale Dublettengarantie über verschiedene Konten oder neue API-Schlüssel hinweg.
• Zwischenspeicher: Private REST-Antworten erhalten no-store. Konverterseiten werden als nicht cachebar markiert. Proxy-/CDN-Konfiguration ist zusätzlich zu prüfen.
• Löschung: Gespeicherte Schlüssel sind durch den Kontoinhaber löschbar. Kontozugeordnete Nachweise werden kontrolliert administrativ gelöscht, nach Stilllegung laufender Übertragungen und mit fortbestehender Importsperre. Downloads und Daten bei Lexware werden dabei nicht verändert.
• Widerruf und Datenminimierung: Unsere Integration deaktiviert die zusätzliche Erfassung von IP-Adresse und User-Agent direkt im Widerrufsdatensatz. Der eigenständige Spam-Schutz kann weiterhin vorübergehende Kennungen verwenden; Webserver- und Mailprotokolle sind hiervon nicht erfasst.
• Nachvollziehbarkeit: AVV-Abschluss dokumentiert Konto, Auftraggeber, Zeitpunkt, Erklärung, Version und Prüfsumme. Vertragsfassungen mit TOM bleiben für den Nachweis verfügbar.

Festgelegter Aufbewahrungsplan

Allgemeiner Support ohne Vertrags-/Abrechnungs-/Streitbezug: sechs Monate nach Abschluss. Erforderliche Nachweise zu vertragsbezogenem Support und Widerruf: im Regelfall bis zum Ende des dritten Kalenderjahres nach Abschluss; AVV-Nachweise während des Auftrags und im Regelfall bis zum Ende des dritten Kalenderjahres nach Beendigung. Gesetzliche Pflichten und konkret erforderliche Anspruchsnachweise haben Vorrang. Die Umsetzung erfolgt kontrolliert administrativ; eine automatische Löschroutine für diese Kategorien wird nicht behauptet. Tatsächliche Backupaufbewahrung ist nicht aus diesem Plan abgeleitet.

Grenzen des dokumentierten Schutzumfangs

Für MFA, Firewallregeln, SSH-Authentifizierungsverfahren, Patchintervalle, Backupverschlüsselung, Wiederherstellungstests und eine durchgängige Proxy-/CDN-Absicherung liegt in dieser Dokumentation kein technischer Funktionsnachweis vor. Diese Maßnahmen werden deshalb nicht als bereits umgesetzt oder zertifiziert zugesagt. Der dokumentierte Zugriffsschutz und die nachgewiesenen Anwendungseigenschaften bleiben hiervon unberührt. Der Auftragnehmer muss die für die konkrete Verarbeitung erforderlichen risikogerechten Maßnahmen nach Art. 32 DSGVO treffen und ihre Wirksamkeit regelmäßig prüfen; diese Pflicht wird durch den begrenzten Umfang der vorliegenden Nachweise nicht eingeschränkt.

Bei Datenschutzvorfällen oder entsprechenden Anhaltspunkten sind betroffene Verarbeitungen zu untersuchen und erforderliche Schutzmaßnahmen einzuleiten. Für Auftragsdaten gelten die unverzügliche Unterrichtung und Unterstützung nach der AVV. Sicherheitsmeldungen können an info@showreport2invoice.com gerichtet werden.