Personendaten von Kameradinnen und Kameraden. Gesundheitsdaten aus dem Atemschutz. Bankverbindungen.
Sicherheit ist eingebaut, nicht angeflanscht.
Florian verwaltet die sensibelsten Daten, die eine Wehr hat. Deshalb läuft es auf Ihrem Server, kennt Rechte bis aufs Feld, protokolliert jede Änderung unveränderlich und lässt sich vollständig verschlüsseln. Hier steht, wie.
Kurz gesagt.
Wie schützt Florian Mitgliederdaten?
Florian ist self-hosted: Alle Daten liegen auf dem Server der Wehr, der Hersteller hat keinen Zugriff, an den Lizenz-Server gehen nur technische Angaben. Der Zugriff wird über rollen- und feldbezogene Rechte, Zwei-Faktor-Anmeldung und optional Single Sign-on per OpenID Connect gesteuert. Ein nicht editierbares Audit-Log protokolliert jede Änderung mit Alt- und Neuwert. Transport läuft über HTTPS, die Datenbank lässt sich mit SQLCipher und Backups mit Passphrase verschlüsseln. Updates werden signiert geprüft und automatisch gesichert. Löschkonzept, Auskunfts-Export nach Art. 15 und Datenübertragbarkeit nach Art. 20 sind eingebaut.
Ein Prozess, ein Server, Ihre Hoheit.
Florian läuft als einzelner Dienst auf einem Rechner Ihrer Wehr, mit eingebautem Webserver und eingebetteter SQLite-Datenbank. Es gibt keine Cloud dazwischen und keinen Zugriff des Herstellers auf Ihre Inhalte.
Systemvoraussetzungen und NetzwerkSelf-hosted auf Ihrer Hardware
Windows-Dienst, systemd unter Linux, launchd unter macOS oder Docker-Container: Sie entscheiden, wo Florian läuft, ob nur im LAN, per VPN oder öffentlich hinter einem Zertifikat.
Alle Daten in einem Verzeichnis
Datenbank, Uploads und Vorlagen liegen in Ihrem Datenverzeichnis. Damit ist klar, was zu sichern ist, wer Zugriff hat und wo die personenbezogenen Daten physisch liegen.
Rechtearmer Dienstbenutzer
Unter Linux und macOS läuft der Dienst unter einem eigenen Systembenutzer ohne Anmelde-Shell; die dokumentierte systemd-Unit kapselt den Prozess mit ProtectSystem, NoNewPrivileges und ReadWritePaths.
Wer was sieht, entscheiden Sie. Bis aufs Feld.
Rechte gelten nicht nur je Modul, sondern je Feld, in vier Stufen: kein Zugriff, lesen, bearbeiten, freigeben. Sie greifen überall, auch in Listen, Exporten, Serienbrief-Platzhaltern und der REST-API.
Benutzer, Rollen & RechteSieben Standardrollen, frei anpassbar
Kommandant, Gerätewart, Atemschutzwart, Schriftführer, Kassier, Jugendwart und Mitglied als praxistauglicher Ausgangspunkt; eigene Rollen entstehen vollständig über die Oberfläche. Bankdaten sieht standardmäßig nur der Kassier.
Zwei-Faktor-Anmeldung (TOTP)
Zeitbasierte Einmalcodes aus einer Authenticator-App, mit Wiederherstellungscodes, empfohlen für Administrator, Kommandant und Kassier. Passwörter werden ausschließlich als Hash gespeichert.
Single Sign-on per OpenID Connect
Anbindung an Authentik, Keycloak oder einen anderen OIDC-Anbieter, inklusive Rollen-Mapping aus den Gruppen des Identitätsdienstes. Das Client-Secret speichert Florian verschlüsselt.
API-Schlüssel mit Minimalrechten
Maschinenzugriff nur über explizit angehakte Modul-Berechtigungen, optional mit Ablaufdatum, jederzeit widerrufbar; der Klartext-Schlüssel ist genau einmal sichtbar und wird als Argon2id-Hash gespeichert.
Jede Änderung hat einen Namen und eine Uhrzeit.
Das Audit-Log ist die Grundlage der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Es ist bewusst nicht editierbar: Einträge lassen sich weder ändern noch einzeln entfernen.
Audit-Log im HandbuchAlt- und Neuwert je Feld
Änderungen an Personendaten werden mit dem vorherigen und dem neuen Wert protokolliert, ebenso Statuswechsel, Löschungen, Wiederherstellungen und Auskunfts-Exporte.
Freigaben und Self-Service
Sofort wirksame Änderungen der Mitglieder ebenso wie eingereichte, genehmigte oder abgelehnte Freigabe-Vorschläge, jeweils mit Antragsteller, Freigeber und Zeitpunkt.
Rechte, Rollen, Anmeldungen
Rechte- und Rollenänderungen sowie An- und Abmeldungen sicherheitsrelevanter Konten. Der gefilterte Ausschnitt lässt sich exportieren, etwa als Nachweis gegenüber der Aufsichtsbehörde.
Verschlüsselt unterwegs, auf Wunsch auch im Ruhezustand.
HTTPS ist Pflicht, schon weil Browser Kamera, PWA-Installation und Push nur auf sicheren Verbindungen freigeben. Darüber hinaus schützen Sie Datenbank und Sicherungen nach Bedarf.
Datenbank-VerschlüsselungTLS in drei Varianten
Selbstsigniertes Zertifikat für das LAN, eigenes PFX aus Ihrer internen oder kommunalen Zertifikatsverwaltung oder Let's Encrypt mit automatischer Erneuerung über den eingebauten ACME-Client.
Datenbank-Verschlüsselung mit SQLCipher
Optional wird die komplette Datenbankdatei verschlüsselt, per Konfiguration, auch nachträglich für bestehende Instanzen mit geprüfter Migration und Sicherungskopie. Ohne Schlüssel liefert die Datei nur „file is not a database“.
Verschlüsselte Backups
Sicherungen, die den Server verlassen, erhalten eine Passphrase. Es gibt keine Hintertür, auch nicht für den Support: Ohne Passphrase ist die Sicherung nicht wiederherstellbar.
Lizenzprüfung mit lokaler Signatur.
Ihr Lizenzschlüssel ist ein Ed25519-signiertes Token, das Florian lokal gegen den eingebauten öffentlichen Schlüssel prüft. Der private Schlüssel liegt ausschließlich auf unserem Lizenz-Server, nie in Florian.
Aktivierung und LizenzumfangSignatur statt Klartext-Schlüssel
Florian prüft die Signatur des Lizenzschlüssels lokal. Die Freischaltung Ihrer Wehr und der gebuchte Umfang werden im Angebot geklärt.
Keine Mitgliederdaten an uns
Für eine Aktivierung sind technische Angaben zur Instanz und zum gebuchten Umfang erforderlich. Mitgliederdaten gehören nicht zu diesen Angaben.
Grenzen nachvollziehbar
Bei überschrittenem Aktiv-Limit zeigt Florian eine Frist an. Die bereits erfassten Daten bleiben in Ihrer Instanz; bei Fragen zum Export hilft der Support.
Updates: signiert, gesichert, rückrollbar.
Kein Update wird eingespielt, das nicht verifiziert ist. Und kein Update kann Ihre Daten in Gefahr bringen, weil davor automatisch gesichert und bei Fehlstart automatisch zurückgeschaltet wird.
Updates einspielenSignatur und Prüfsumme
Jedes Paket, online wie offline, wird in ein separates Versionsverzeichnis entpackt; Code-Signatur und SHA-256-Prüfsumme werden geprüft, ein nicht verifizierbares Paket wird verworfen.
Auto-Backup und Health-Check
Vor der Datenbank-Migration entsteht eine konsistente Sicherung; nach dem Neustart prüft der Launcher, ob die neue Version sauber hochfährt, und schaltet sonst selbstständig auf die Vorversion zurück.
Offline-Update im abgeschotteten Netz
Server ohne Internetzugang erhalten signierte .fupkg-Pakete aus dem Kunden-Portal, mit demselben Prüf-, Backup- und Rollback-Ablauf.
Werkzeuge für Löschung, Auskunft und Übertragung.
Florian setzt die Betroffenenrechte technisch um. Die fachlichen Entscheidungen, etwa die richtige Aufbewahrungsfrist, bleiben bei Ihrer Wehr als Verantwortlicher.
Datenschutz (DSGVO) im HandbuchLöschkonzept mit Aufbewahrung
Ausgetretene Mitglieder wechseln schreibgeschützt in die Aufbewahrung; nach der konfigurierten Frist erfolgt die Löschung gesteuert oder automatisch im nächtlichen Wartungslauf. Ein Sperrvermerk schützt Datensätze mit laufenden Verfahren.
Auskunft nach Art. 15, Export nach Art. 20
Ein Klick im Mitgliederdatensatz bündelt alle zur Person gespeicherten Daten in einer menschenlesbaren Auskunftsdatei; für die Datenübertragbarkeit gibt es zusätzlich den strukturierten Export.
Soft-Delete mit Wiederherstellung
Gelöschte Datensätze verschwinden sofort aus allen Ansichten, bleiben aber innerhalb der Aufbewahrung wiederherstellbar. Erst der Hard-Delete entfernt sie unwiderruflich, dokumentiert im Audit-Log.
Was diese Website und die App nicht tun.
Auch außerhalb Ihrer Instanz gilt Datensparsamkeit: keine Tracking-Cookies, keine fremden Schriften oder Skripte, keine Analysedienste in der App.
DatenschutzerklärungWebsite ohne Tracking
Ausschließlich technisch notwendige Cookies, selbst gehostete Schriften und Skripte. Beim Kauf werden Zahlungsdaten direkt vom Zahlungsdienstleister Stripe erhoben; wir erhalten keine vollständigen Kartendaten.
App spricht nur mit Ihrem Server
Die Barcode-Erkennung läuft auf dem Gerät, Profilbilder werden serverseitig von Metadaten wie GPS befreit, das Rechtesystem gilt in der App wie im Browser und jede Aktion wird serverseitig geprüft.
Hosting durch uns nur mit AVV
Betreiben wir Ihre Instanz auf Wunsch selbst, sind wir Auftragsverarbeiter nach Art. 28 DSGVO und schließen einen Auftragsverarbeitungsvertrag; Verantwortliche bleibt Ihre Wehr.
Klare Rollenverteilung.
Verantwortliche bleibt Ihre Wehr. Wir liefern die Werkzeuge.
Weil Florian bei Ihnen läuft, verarbeiten wir keine Mitgliederdaten in Ihrem Auftrag. Ein Auftragsverarbeitungsvertrag ist für den lokalen Betrieb nicht nötig. Die technischen und organisatorischen Maßnahmen liegen bei Ihnen; das Handbuch nennt sie konkret.
- Sichere Serverumgebung und Zugriffsschutz auf den Server
- TLS-Transportverschlüsselung (Zertifikat aus dem Setup-Assistenten)
- Regelmäßige, verschlüsselte Backups auf ein getrenntes Ziel
- Restriktive Rollen- und Rechtevergabe, 2FA für Verwaltungskonten
- Aufbewahrungsfristen und Löschregeln fachlich festgelegt
- Florian im Verzeichnis der Verarbeitungstätigkeiten (Art. 30) geführt
Diese Hinweise sind eine praktische Orientierung, keine Rechtsberatung. Für Ihre Datenschutz-Dokumentation ziehen Sie im Zweifel den behördlichen oder externen Datenschutzbeauftragten hinzu.
Sicherheitslücke gefunden?
Schreiben Sie uns direkt, bevor Sie sie veröffentlichen. Wir antworten persönlich, bestätigen den Eingang und halten Sie über die Behebung auf dem Laufenden. Bitte keine Mitgliederdaten in der Meldung.
[email protected]Selbst prüfen statt glauben.
Rechte, Audit-Log, Löschkonzept und Auskunfts-Export sehen Sie in der Online-Demo oder 7 Tage lang mit Ihren eigenen Daten auf Ihrem eigenen Server.