Sheltra schützt eure Daten auf mehreren Ebenen: Vereinszugänge werden voneinander getrennt, Zugangsdaten geschützt gespeichert und hochgeladene Dateien vor der Übernahme geprüft.
Daneben bestimmt ihr selbst, welche Teammitglieder welche Informationen sehen dürfen und was ihr nach außen freigebt. Eine technische Schutzmaßnahme ersetzt deshalb nicht die sorgfältige Vergabe von Zugängen.
Können andere Vereine unsere Akten sehen?
Die Zuordnung zu eurem Verein wird auf dem Server anhand der angemeldeten Mitgliedschaft geprüft. Eine bloße andere Vereinsangabe im Browser reicht nicht, um auf fremde Daten zuzugreifen. Auch Verknüpfungen zwischen Einträgen müssen zum selben Verein gehören.
Davon zu unterscheiden sind Inhalte, die ihr selbst öffentlich freigebt, etwa ausgewählte Tierdaten für eure Website. Prüft solche Freigaben gesondert.
Die Schriftarten der Anwendung werden von Sheltra selbst bereitgestellt. Werbe- oder Zählpixel werden in der Oberfläche nicht eingesetzt. Zur eigenen Nutzungsstatistik und zu externen Diensten findest du weitere Angaben unter Werden meine Daten an Dritte weitergegeben?.
Wie werden Passwörter und andere Zugangsdaten gespeichert?
Passwörter und Zwei-Faktor-Backup-Codes werden als nicht zurücklesbare Prüfwerte gespeichert. Das bedeutet: Sheltra kann eine Eingabe prüfen, aber dir das ursprüngliche Passwort nicht wieder anzeigen. Auch der Support kann es nicht auslesen.
Zugangsdaten, die für eine Verbindung zu anderen Diensten benötigt werden, sowie Zwei-Faktor-Geheimnisse werden verschlüsselt gespeichert. Fehlt der notwendige Schlüssel, wird die betroffene Funktion nicht mit ungeschützter Speicherung weiterbetrieben.
Viele Anmelde-, Code- oder Passwort-Reset-Versuche in kurzer Zeit lösen eine vorübergehende Sicherheitspause aus. Diese Pause allein ist keine dauerhafte Kontosperre.
Was wird bei hochgeladenen Dateien geprüft?
Sheltra prüft Dateityp, Größe und tatsächlichen Dateiinhalt. Eine Datei einfach anders zu benennen ändert ihren Inhalt nicht und umgeht diese Prüfung nicht. Hinzu kommt ein Virenscan.
Wird Schadsoftware erkannt, wird die Datei abgelehnt und gelöscht, bevor ein Akteneintrag entsteht. Die Meldung lautet Diese Datei wurde abgelehnt, weil sie Schadsoftware enthält. Lade diese Datei nicht unverändert erneut hoch und versuche nicht, die Prüfung durch Umbenennen zu umgehen.
Für gewöhnliche Dokumente gilt eine Grenze von 100 MB, für Fotos von 25 MB. Einzelne Uploadbereiche haben abweichende Grenzen. Hilfe findest du unter Warum kann ich keine Datei hochladen?.
Wer in unserem Team darf persönliche Daten sehen?
Das legt ihr über Rollen unter Einstellungen → Team & Rechte → Benutzer fest. Gebt jedem Teammitglied nur die Rechte, die es für seine Aufgabe benötigt.
Vorhandene Rollen lassen sich in allen Tarifen zuweisen. Ab Pro könnt ihr sie unter Einstellungen → Team & Rechte → Rollen individuell anpassen. Dabei gelten Änderungen immer für alle Mitglieder mit dieser Rolle. Mehr dazu unter Sind die Rollen und Berechtigungen individuell anpassbar?.
Können wir Änderungen und Anmeldungen nachvollziehen?
Wichtige Änderungen an Tieren, Personen, Vermittlungen und Patenschaften stehen zwei Jahre in der Historie. Vereinsweite Verwaltungsvorgänge findet ihr mit den passenden Rechten unter Übersicht → Letzte Änderungen.
Ab Pro zeigt Einstellungen → Team & Rechte → Benutzer → Auth-Ereignisse zusätzlich Anmeldeereignisse. Lesezugriffe auf Personendetails werden getrennt ein Jahr protokolliert; diese Lesezugriffsprotokolle sind nicht in einer Benutzeransicht abrufbar.
Die Unterschiede erklärt Wie sehe ich, wer eine Änderung vorgenommen hat?.
Was kann ich selbst tun?
Richte unter Profil → Sicherheit → Zwei-Faktor-Authentifizierung → Zwei-Faktor einrichten einen zusätzlichen Anmeldeschutz ein. Bewahre die Backup-Codes getrennt vom Handy sicher auf.
Prüfe Profil → Sicherheit → Aktive Geräte. Nicht zuordenbare Sitzungen kannst du mit Widerrufen beenden. Bei einem verlorenen Gerät beachte vor Überall abmelden, dass du die Zugangsdaten und einen funktionierenden zweiten Faktor oder Backup-Code brauchst, um wieder hineinzukommen.
Lege vor umfangreichen Änderungen unter Einstellungen → Snapshots eine Sicherung an. Diese Sicherungen werden verschlüsselt an zwei getrennten Speicherstandorten außerhalb des laufenden Datenspeichers abgelegt.
Informationen für eure technische oder Datenschutz-Ansprechperson
Die verwendeten Verfahren sind bcrypt für Passwort- und Backup-Code-Prüfwerte sowie AES-256-GCM für gespeicherte Geheimnisse. Uploads werden anhand erlaubter MIME-Typen, Größe und Dateisignatur geprüft und mit ClamAV gescannt. Abhängigkeiten werden nachts auf bekannte Schwachstellen geprüft.
Weitere Einordnung bieten Ist die Anwendung DSGVO-konform? und Wo werden meine Daten gespeichert?.
