security_compliance.md

Security & Compliance Review

Stand: 6. April 2026
Version: 1.0.0
Kategorie: Security

📑 Inhaltsverzeichnis

• 📋 Überblick
• 🎯 Geltungsbereich
• 📚 Referenz-Dokumente
• 🧾 Audit-Checkliste
• ✅ Verifikation
• ⚠️ Offene Punkte
• 📝 Änderungsverlauf

Dieses Dokument fasst den Sicherheits- und Compliance-Status von ThemisDB zusammen, verlinkt die relevanten Detaildokumente und enthält eine überprüfbare Checkliste für Audits.

📋 Vollständige Audit-Checkliste: Für eine umfassende Compliance-Prüfung nach BSI C5, ISO 27001, DSGVO, eIDAS, SOC 2 und DIN-Normen siehe: Vollständige Audit-Checkliste

Geltungsbereich

• Daten-at-Rest und Daten-in-Transit
• Schlüsselverwaltung und Kryptokonfiguration
• PII-Erkennung, Audit/Retention
• Härtung, Bedrohungsmodell, Betriebsprozesse
• Compliance-Mappings (GDPR/DSGVO, ISO 27001-nahe Praktiken)

Referenz-Dokumente

• Überblick: Security Overview
• Schlüsselverwaltung: Key Management
• Verschlüsselung: Encryption Strategy, Encryption Deployment, Column Encryption
• PII: PII Detection (Overview), PII Engines, PII Engine Signing
• Audit & Retention: Audit & Retention
• Threat Modeling: Threat Model
• Hardening: Security Hardening Guide
• Compliance: Compliance Audit, Governance-Strategie, Compliance-Integration, Governance Usage
• Operations: Deployment & Betrieb, Operations Runbook, Tracing & Observability

Audit-Checkliste (Kernpunkte)

• Kryptographie
  • Transportverschlüsselung (TLS/Reverse Proxy) konfiguriert
  • At-Rest: Komponentenspezifische Verschlüsselung (SST/Blob/Spalten) bewertet und konfiguriert
  • Schlüsselrotation, KMS-Integration (Konzept & Schnittstellen) dokumentiert
• Zugriff & AuthZ
  • Admin-Endpoints abgesichert, sensible Operationen geloggt
  • Optionales RBAC/Scopes (Roadmap) definiert
• PII & Datenschutz
  • PII-Detection Flows und Ausnahmenprozess dokumentiert
  • Retention-Policies (TTL/Archivierung) technisch verankert
• Auditierbarkeit
  • Audit-Events definiert (Create/Update/Delete, Indexops, Admin)
  • Retention & Export der Auditdaten beschrieben
• Härtung
  • Container/K8s Best Practices, minimaler OS-Footprint, Secrets-Handling
  • Angriffspunkte aus Threat Model gemappt auf Mitigations
• Observability & Incident Response
  • Prometheus-/Tracing-Integration, Alarme (SLOs) vorhanden
  • Runbook: Playbooks für Ausfälle, Rebuilds, Backups

Verifikation (Stichproben)

• /metrics enthält sicherheitsrelevante Zähler (z. B. Fehler, Auth-Fehlschläge sofern implementiert)
• Konfiguration (Secrets, Ports, CORS) in deployment.md/docker-compose.yml nachvollziehbar
• CDC-/SSE-Endpunkte: Hinweis auf Reverse-Proxy-Konfiguration (TLS, Timeouts)

Offene Punkte / Empfehlungen

• RBAC/Policies: Ausarbeitung und Implementierungsfahrplan (siehe Roadmap)
• Keys at rest: Optionale Integration externer KMS (HashiCorp Vault, AWS KMS)
• Secrets-Scanning in CI (gitleaks) und SBOM/Signaturen (Syft/Cosign)
• Penetrationstest-Checkliste ergänzen; Fuzzing-Pfade (Parser) prüfen

Änderungsverlauf

• 2025-11-02: Erstveröffentlichung der konsolidierten Review-Seite