Warum ein Verein anders ist als ein Adressbuch

Die meisten Vereinsprogramme behandeln Datenschutz als Kapitel im Handbuch. Hier ist es die Bauform: Wer die Verschlüsselung ausbauen wollte, müsste das halbe System umschreiben.

Verschlüsselung mit einem Schlüssel je Verein

IBANs, Notfallkontakte, interne Notizen, Gesundheitshinweise und hochgeladene Dokumente liegen verschlüsselt in der Datenbank und auf der Platte — nicht mit einem Schlüssel für alle, sondern mit einem eigenen je Verein. Verfahren: XChaCha20-Poly1305 in einer Umschlagkonstruktion, wie sie auch bei Bankanwendungen üblich ist.

Jeder verschlüsselte Wert ist zusätzlich an seinen Platz gebunden — an Verein, Tabelle, Spalte und Zeile. Ein Datenblock, den jemand von einer Zeile in eine andere kopiert, lässt sich hinterher nicht mehr entschlüsseln. Das klingt exotisch, ist aber genau der Fall, den ein Angreifer mit Datenbankzugriff als Erstes probiert.

Kryptografisches Löschen

Artikel 17 DSGVO verlangt Löschung. Sicherungsbänder lassen sich aber nicht selektiv ändern — eine Datenbanksicherung von letztem Dienstag enthält, was sie enthält.

Deshalb: Man kann ein Bandarchiv nicht selektiv ändern, aber man kann den Schlüssel wegwerfen. Wird ein Verein beendet, wird sein Datenschlüssel vernichtet. Danach sind seine verschlüsselten Felder auch in jeder älteren Sicherung nicht mehr lesbar.

Der Hauptschlüssel gehört nicht ins Backup

Wer Schlüssel und Datenbank in dasselbe Backup legt, hat die Verschlüsselung abgeschafft: Ein gestohlenes Band enthält dann alles im Klartext. Das ist der häufigste Fehler beim Betrieb verschlüsselter Systeme — und deshalb keine Empfehlung, sondern eine Abbruchbedingung.

Das Sicherungswerkzeug von KlubHerz durchsucht das Zielverzeichnis und bricht ab, wenn dort Schlüsselmaterial liegt. Gesucht wird nach Inhalt, nicht nach Dateinamen — eine umbenannte Konfigurationsdatei ist immer noch eine Konfigurationsdatei.

Rechte, die man nachvollziehen kann

Eine Rechteprüfung, die niemand erklären kann, ist eine Rechteprüfung, der niemand traut. In KlubHerz fällt jede Entscheidung an einer einzigen Stelle, in dreizehn nachvollziehbaren Schritten — und für jeden Bereich lässt sich anzeigen, aus welcher Rolle und welcher Ebene die geltende Stufe kommt.

Fehlt eine Aktion im Katalog, ist sie verboten — nicht erlaubt. Das ist die wichtigste Eigenschaft des ganzen Systems: Wer eine neue Funktion baut und vergisst, das Recht dafür einzutragen, bekommt eine Fehlermeldung und kein offenes Scheunentor.

Trennung der Vereine

Jede Abfrage trägt die Vereinskennung; die Datenschicht erzwingt sie und wirft, statt leer zu liefern. Eine eigene Testreihe probiert jede Kennung aus Verein B mit den Rechten von Verein A durch — und sie muss 404 bekommen, nicht 403. Der Unterschied ist nicht kosmetisch: „Das gibt es, aber du darfst nicht" ist bereits die Auskunft, die niemand bekommen soll.

Support sieht nichts, ohne dass ihr es erlaubt

Wir können nicht einfach in euren Verein schauen. Der Support fragt an, mit Ticketnummer und Grund; der Verein gibt frei — höchstens 24 Stunden, lesend als Standard, und vier Bereiche bleiben auch dann gesperrt: IBANs im Klartext, Gesundheitsdaten, Notfallkontakte und der Chat.

Jeder einzelne Aufruf während einer Supportsitzung wird vermerkt, auch der lesende. Danach bekommt der Verein die vollständige Liste — ungefragt.

Notfallzugriff, der laut ist

Ein Kind bricht auf dem Platz zusammen, der Betreuer braucht die Nummer der Eltern und hat das Recht dafür nicht. In dem Moment ist eine Rechteprüfung, die gewinnt, das falsche System.

Also: niedrige Hürde beim Zugriff — mit Begründung, sofort. Und hohe Sichtbarkeit danach: Die betroffene Person und alle mit Rechteverwaltung bekommen am nächsten Tag eine Mail, wer wann was angesehen hat und warum. Ein Notfallzugriff ohne diesen zweiten Teil wäre eine stille Hintertür.

Auskunft und Mitnahme

Jedes Mitglied bekommt seine Auskunft nach Artikel 15 auf Knopfdruck — als lesbares Dokument und als Datei für die Maschine (Artikel 20). Ein Elternteil bekommt sie auch für sein Kind. Daten Dritter stehen nicht darin; die Begründung einer fremden Absage gehört nicht in die eigene Akte.

Der Vollexport des ganzen Vereins ist nicht verboten — aber er bleibt nicht unbemerkt: Er verlangt den Vereinsnamen als zweite Bestätigung, und jeder Vereinsadministrator bekommt eine Mail darüber.

Wo die Daten stehen

• Server in Deutschland.
• Keine Weitergabe an Dritte, keine Werbenetzwerke, keine Analysedienste.
• Kein Zähler und keine fremde Schrift — weder in der Anwendung noch auf den Vereinsseiten.
• Verarbeitungsverzeichnis nach Artikel 30 wird aus dem Datenkatalog erzeugt, nicht von Hand gepflegt.
• Auftragsverarbeitungsvertrag nach Artikel 28 gehört zum Vertrag.

Und was wir nicht behaupten

Kein System ist unangreifbar. Was hier steht, beschreibt, wie KlubHerz gebaut ist — nicht, dass nichts passieren kann. Drei Dinge, die wir deshalb offen sagen:

• Ein Virenscanner ist nicht überall da. Auf geteiltem Hosting läuft oft keiner. Dann prüft KlubHerz die Struktur jeder Datei — Makros, ausführbare Dateien, Startbefehle in PDFs — und sagt ausdrücklich, dass kein Scanner läuft, statt „geprüft" zu behaupten.
• Wer den Hauptschlüssel verliert, verliert die Daten. Das ist kein Fehler, sondern die Grundlage des kryptografischen Löschens. Die Sicherung des Schlüssels ist eine eigene Aufgabe, und sie gehört an einen zweiten Ort.
• Barrierefreiheit ist maschinell geprüft und von Hand nachgetestet — aber nicht von einem Menschen, der täglich einen Screenreader benutzt. Das steht offen im Bericht.