Vertrauen

Antworten auf den Sicherheitsfragebogen.

95 Antworten auf die Fragen des HECVAT, in der Reihenfolge des Fragebogens, aus dessen englischem Wortlaut übersetzt.

Die Fragen, die nicht zutreffen, und warum
Was LFW heute tut, im Einklang mit der Vertrauensseite
Ihr Formular ausgefüllt, Abweichungen für Ihren Vertrag markiert

Zuletzt aktualisiert: 6. Oktober 2026

Unverbindliche Übersetzung. Maßgeblich ist die englische Fassung.

Der Fragenkatalog.

HECVAT Lite gibt es nicht mehr als eigene Datei. Der aktuelle Fragebogen, HECVAT 4.1.6, fasst Full, Lite und On-Premise in einer Arbeitsmappe zusammen und benennt seine Fragen von kritischer Bedeutung als Ersatz für den Lite-Ansatz. Dies sind diese Fragen, abgeglichen mit der Arbeitsmappe am 6. Oktober 2026.

Was enthalten istDie acht Fragen zum Geltungsbereich, die Angaben zur Organisation und jede kritische Frage des HECVAT 4.1.6, jeweils mit der Antwort von LFW. Die Kennungen der Fragen sind die der Arbeitsmappe, damit Ihre prüfende Stelle sie zuordnen kann.
Was nicht enthalten istDie Standardfragen und die Fragen geringerer Bedeutung, die die vollständige Arbeitsmappe ergänzt. LFW beantwortet sie in Ihrem Formular, auf Grundlage derselben Fakten. Verwendet Ihre Einrichtung noch ein älteres HECVAT Lite, entsprechen dessen Kategorien den Abschnitten unten.
Der angenommene GeltungsbereichDie Lösung ist der Website-Betrieb von LFW: der Betrieb einer Website im eigenen Hosting der Einrichtung, dazu das LFW-Konto unter my.lfw.com, in dem das Personal der Einrichtung Anfragen sendet und Berichte liest. Das Portal ist das einzige System, das LFW hostet.

Hier beginnen

Fragen zum Geltungsbereich.

Die acht Fragen, die entscheiden, welche Abschnitte zutreffen. Ihre Antworten sind der Grund, warum die Abschnitte zu HIPAA, Zahlungskarten und KI unten als nicht zutreffend markiert sind.

REQU-01 Bieten Sie ein cloudbasiertes Produkt an? Ja Teilweise. Der Dienst läuft in Ihrem eigenen Hosting-Konto. Das LFW-Konto (my.lfw.com) ist eine gehostete Anwendung, die LFW betreibt; die Fragen zum Produkt unten werden daher für dieses Konto beantwortet.
REQU-02 Hat Ihr Produkt oder Ihre Dienstleistung eine Benutzeroberfläche? Ja Das LFW-Konto für Ihr Personal und die Website, die LFW für Ihre Besucherinnen, Besucher und Redaktion erstellt oder betreut.
REQU-03 Erbringen Sie Beratungsleistungen? Ja Das Team von LFW arbeitet in Ihren Systemen: Ihrem Content-Management-System, Ihrem Hosting-Konto und Ihrer Cloudflare-Zone, über Konten, die Sie vergeben.
REQU-04 Verfügt Ihre Lösung über KI-Funktionen, oder ist geplant, in den nächsten 12 Monaten KI-Funktionen einzuführen? Nein Das LFW-Konto hat keine KI-Funktionen. Das Portal kann mit Ihrer Einwilligung über eine Standardverbindung mit einem KI-Assistenten Ihrer Wahl verbunden werden; LFW ruft in Ihrem Auftrag kein Modell auf. LFW nutzt KI-Werkzeuge in der eigenen Arbeit, behandelt unten unter Datenschutz.
REQU-05 Verarbeitet Ihre Lösung geschützte Gesundheitsinformationen (PHI) oder Daten, die unter den Health Insurance Portability and Accountability Act (HIPAA) fallen? Nein LFW übernimmt keine Websites oder Formulare, die unter HIPAA fallende Gesundheitsinformationen erheben.
REQU-06 Ist die Lösung dafür ausgelegt, Kreditkartendaten zu verarbeiten, zu speichern oder zu übertragen? Nein Weder das LFW-Konto noch die eigene Website von LFW verarbeiten Kartendaten. Auf der Website eines Kunden gehen Zahlungen an den eigenen Zahlungsdienstleister der Einrichtung, nie über Seiten, deren Daten LFW speichert.
REQU-07 Erfordert der Betrieb Ihrer Lösung, dass die Einrichtung eine physische oder virtuelle Appliance in ihrer eigenen Umgebung betreibt oder eingehende Firewall-Ausnahmen einrichtet, damit Ihre Mitarbeitenden Systeme in der Umgebung der Einrichtung aus der Ferne verwalten können? Nein Keine Appliance und keine eingehenden Ausnahmen. LFW meldet sich bei Ihren gehosteten Systemen so an, wie es Ihr eigenes Personal tut.
REQU-08 Hat Ihre Lösung Zugriff auf personenbezogene Daten oder Daten der Einrichtung? Ja Die Inhalte Ihrer Website, die Konten der Redaktion und Formulareinsendungen, in Ihren Systemen. Im Portal: die Namen und E-Mail-Adressen Ihres Personals, die Anfragen, die es sendet, und die Dateien, die es anhängt.

GNRL, COMP, DOCU

Organisation.

Wer LFW ist und welche Dokumente vorliegen.

GNRL-01 Name des Lösungsanbieters Antwort von LFW LFW.com LLC, tätig unter dem Namen LFW.
GNRL-02 Name der Lösung Antwort von LFW LFW Maintenance und das LFW-Konto.
GNRL-03 Beschreibung der Lösung Antwort von LFW Website-Betreuung gegen eine monatliche Pauschale: Updates, Sicherheit, Tests und Korrekturen zur Barrierefreiheit, Inhaltsänderungen und ein schriftlicher Monatsbericht, in einem Hosting, das der Einrichtung gehört. Im LFW-Konto sendet das Personal der Einrichtung Anfragen und liest Berichte.
GNRL-04 Name der Ansprechperson beim Lösungsanbieter Antwort von LFW Leland Fiegel, Gründer und technischer Leiter.
GNRL-06 E-Mail-Adresse der Ansprechperson beim Lösungsanbieter Antwort von LFW hello@lfw.com; Sicherheitsmeldungen an security@lfw.com.
GNRL-07 Telefonnummer der Ansprechperson beim Lösungsanbieter Antwort von LFW (703) 662-1617.
GNRL-08 Land des Unternehmenssitzes Antwort von LFW Vereinigte Staaten (Arlington, Virginia). Die gesamte Arbeit von LFW wird in den Vereinigten Staaten erbracht, von Arlington aus.
COMP-01 Haben Sie ein oder mehrere eigene Teams für Software- und Systementwicklung (z. B. Kundensupport, Implementierung, Produktmanagement usw.)? Nein LFW besteht aus einer Person, dem Gründer, der Entwicklung, Support und Implementierung übernimmt (1, Stand 27. September 2026).
COMP-02 Beschreiben Sie den geschäftlichen Hintergrund und die Eigentümerstruktur Ihrer Organisation, einschließlich aller Beziehungen zu Mutter- und Tochtergesellschaften. Antwort von LFW LFW.com LLC ist eine Limited Liability Company nach dem Recht von Virginia, 2020 im District of Columbia gegründet und 2022 nach Virginia verlegt, vollständig im Eigentum von Leland Fiegel. Sie hat keine Muttergesellschaft, keine Tochtergesellschaften und keine Offshore-Strukturen.
COMP-03 Haben Sie diese Lösung in den letzten 12 Monaten ohne ungeplante Unterbrechungen betrieben? Nein Ein selbst verursachter Ausfall von etwa einer Minute am 8. September 2026, als ein Deployment den Webdienst anhielt, bevor dessen Sicherung abgeschlossen war. Das Deployment-Verfahren wurde noch am selben Tag ersetzt; Releases leiten den Datenverkehr jetzt erst um, nachdem das neue Release seine Prüfungen bestanden hat.
COMP-04 Haben Sie eigenes Personal oder eine eigene Stelle für Informationssicherheit? Nein Der Gründer ist die Ansprechperson für Sicherheit (security@lfw.com). Eine separate Stelle gibt es nicht.
COMP-05 Nutzen Sie dieses Feld, um Informationen über Ihre Umgebung zu geben, die bei der Bewertung des Datensicherheitsprogramms Ihres Unternehmens helfen. Antwort von LFW Ein Server bei Hetzner in Ashburn, Virginia, hinter Cloudflare. Die Firewall nimmt Webverkehr nur von den Adressen von Cloudflare an; SSH nur per Schlüssel, Passwörter abgeschaltet. Die Anwendung, ihre Datenbank und der Suchindex lauschen auf der Loopback-Adresse. Einzelheiten stehen in der Richtlinie zur Informationssicherheit.
DOCU-01 Haben Sie einen gut dokumentierten Business-Continuity-Plan (BCP) mit klarer Verantwortung, der jährlich getestet wird? Nein Nicht als getesteten Plan. Die veröffentlichte Kontinuitätsregelung von LFW: Ihr Hosting-Konto und Ihr Repository laufen vom ersten Tag an auf Ihren Namen, ein Betriebshandbuch in Ihrem Repository wird monatlich aktualisiert, der Support Ihres Hosters ist rund um die Uhr erreichbar, und die Zugänge werden bei Ende der Betreuung kostenlos zurückgegeben.
DOCU-02 Haben Sie einen gut dokumentierten Disaster-Recovery-Plan (DRP) mit klarer Verantwortung, der jährlich getestet wird? Teilweise Sicherungen sind dokumentiert und automatisch: ein verschlüsselter, deduplizierter Snapshot jeden Tag und bei jedem Release, wöchentlich geprüft, mit einer externen Kopie. Eine geplante jährliche Wiederherstellungsübung ist noch nicht Teil der Aufzeichnungen; verantwortlich ist der Gründer.
DOCU-03 Haben Sie ein SSAE-18/SOC-2-Audit durchlaufen? Nein LFW hat keinen SOC-2-Bericht. Die eigenen Berichte Ihres Hosters decken die Infrastruktur ab, auf der Ihre Website läuft.
DOCU-04 Entsprechen Sie einem bestimmten branchenüblichen Sicherheitsrahmenwerk (z. B. NIST Cybersecurity Framework, CIS Controls, ISO 27001 usw.)? Nein LFW beansprucht keine Konformität mit einem Rahmenwerk. Die Verfahren von LFW sind vollständig auf dieser Website veröffentlicht, damit Sie sie Ihrem eigenen Rahmenwerk zuordnen können.
DOCU-05 Können Sie Diagramme der gesamten System- und/oder Anwendungsarchitektur bereitstellen, einschließlich einer vollständigen Beschreibung des Datenflusses für alle Komponenten des Systems? Ja Auf Anfrage. Der Datenfluss ist kurz: Besucher, Cloudflare, nginx auf dem Server, die Node-Anwendung, eine SQLite-Datenbank auf demselben Server, mit verschlüsselten Sicherungen im Sicherungsverzeichnis des Servers und in Cloudflare R2.
DOCU-06 Hat Ihre Organisation eine Datenschutzrichtlinie? Ja Veröffentlicht unter lfw.com/privacy, mit Datum und früheren Fassungen.
DOCU-07 Haben Sie eine dokumentierte und aktuell umgesetzte Richtlinie für das Onboarding und Offboarding von Mitarbeitenden? Nicht zutreffend LFW hat keine Mitarbeitenden. Die Zugriffskontrollrichtlinie regelt, wie der eigene Zugang von LFW zu Ihren Systemen erteilt und entzogen wird; sie dient zugleich als Offboarding-Liste.

THRD, CHNG, PPPR

Dritte und Änderungen.

Die Unternehmen, auf die sich LFW stützt, und wie Änderungen und Patches gehandhabt werden.

THRD-01 Führen Sie Sicherheitsbewertungen von Drittunternehmen durch, mit denen Sie Daten teilen (z. B. Hosting-Anbieter, Cloud-Dienste, PaaS, IaaS, SaaS)? Teilweise LFW liest die veröffentlichte Sicherheitsdokumentation jedes Anbieters, bevor sie ihn nutzt, und hält die Liste der Anbieter öffentlich (die Unterauftragsverarbeiter auf der Vertrauensseite). Eigene Audits dieser Anbieter führt LFW nicht durch.
THRD-02 Haben Sie mit Dritten vertragliche Regelungen, die den Zugriff auf Daten der Einrichtung regeln? Ja Die Standardbedingungen und Auftragsverarbeitungsbedingungen jedes Anbieters. LFW verhandelt mit ihnen keine individuellen Verträge.
THRD-03 Regeln die Verträge mit diesen Dritten die Haftung im Fall einer Datenschutzverletzung? Teilweise Nur so, wie es die Standardbedingungen des jeweiligen Anbieters tun. LFW hat mit keinem Anbieter ausgehandelte Haftungsregeln für Datenschutzverletzungen.
THRD-04 Haben Sie eine umgesetzte Strategie für das Management von Dritten? Teilweise Eine kurze, veröffentlichte Liste, die geprüft wird, sobald ein Anbieter hinzukommt oder wegfällt; die Datenschutzerklärung, die Sicherheitsseite und die Vertrauensseite ändern sich gemeinsam.
CHNG-01 Wird die Einrichtung über wesentliche Änderungen an Ihrer Umgebung informiert, die die Sicherheitslage der Einrichtung beeinflussen könnten? Ja In Ihrem Monatsbericht und über die datierten Dokumente auf der Vertrauensseite, die sich öffentlich nachvollziehbar ändern.
CHNG-02 Unterstützt das System kundenspezifische Anpassungen von einem Release zum nächsten? Ja Ihre Website ist ein eigenes Theme in einem Repository, das Ihnen gehört; ein Update überschreibt daher nichts von Ihnen. Das LFW-Konto wird nicht pro Kunde angepasst.
CHNG-03 Haben Sie einen umgesetzten Prozess für das Konfigurationsmanagement von Systemen (z. B. gesicherte "Gold"-Images usw.)? Ja Das Provisionierungsskript des Servers, die Service-Units, die Firewall-Regeln und die Webserver-Konfiguration liegen in der Versionsverwaltung. Jedes Release wird in einem Wegwerf-Container gebaut und als Ganzes aktiviert.
PPPR-01 Haben Sie einen dokumentierten Prozess für das Patch-Management? Ja Für Ihre Website: monatliche Updates, Sicherheitsreleases vor dem regulären Zyklus und dazwischen eine Firewall, die bekannte Angriffe blockiert. Für die Systeme von LFW: Abhängigkeiten werden bei jedem Release geprüft, und eine Version, die vor weniger als sieben Tagen veröffentlicht wurde, wird abgelehnt.
PPPR-02 Kann Ihre Organisation bei Bedarf die Richtlinien der Einrichtung zu Privatsphäre und Datenschutz in Bezug auf Nutzende der Systeme der Einrichtung einhalten? Ja Im Rahmen Ihres Vertrags. Senden Sie die Richtlinie; LFW liest sie vor der Unterzeichnung.
PPPR-03 Unterliegt Ihr Unternehmen den Gesetzen und Vorschriften der geografischen Region der Einrichtung? Ja LFW ist ein Unternehmen in den Vereinigten Staaten. Im Vertrag mit einer öffentlichen Einrichtung akzeptiert LFW das Recht und den Gerichtsstand des Bundesstaates der Einrichtung.

CONS

Zugriff als Dienstleister.

Wie LFW in Ihren Systemen arbeitet.

CONS-01 Benötigt der Dienstleister Zugriff auf Netzwerkressourcen der Einrichtung? Nein Kein Netzwerkzugang, kein VPN, keine Appliance. LFW nutzt namentlich zugeordnete Konten, die Sie in Ihren gehosteten Systemen vergeben.
CONS-02 Wurde der Dienstleister im Umgang mit (sensiblen, HIPAA-, PCI- usw.) Daten geschult? Nein Es gibt kein formelles Schulungsprogramm; eine Person hat den Zugang. Die schriftlichen Regeln sind die Nutzungsrichtlinie und die Zugriffskontrollrichtlinie auf dieser Website.
CONS-03 Sind die Daten verschlüsselt (im Ruhezustand), solange sie sich beim Dienstleister befinden? Teilweise LFW belässt Ihre Daten in Ihren Systemen und vermeidet Kopien auf eigenen Geräten. Laufende Arbeit liegt in dem Repository, das Ihnen gehört. Verschlüsselte Sicherungen von LFW decken die Datensätze des LFW-Kontos ab.
CONS-04 Kann der Zugriff anhand der Quell-IP-Adresse eingeschränkt werden? Ja Soweit Ihre Plattform es unterstützt. LFW arbeitet innerhalb einer Adress-Allowlist, die Sie festlegen.

APPL, FIDP, VULN, DCTR

Anwendung und Infrastruktur.

Das LFW-Konto und der Server, auf dem es läuft.

APPL-01 Beruhen die Zugriffskontrollen für Konten der Einrichtung auf strukturierten Regeln, etwa rollenbasierter (RBAC), attributbasierter (ABAC) oder richtlinienbasierter Zugriffskontrolle (PBAC)? Ja Die Rollen im Portal sind Eigentümer, Mitglied und Leser, mit Freigaben je Website für Mitglieder. Das Team von LFW kann nicht als Kunde schreiben: eine Ansicht eines Kundenkontos durch LFW ist schreibgeschützt und wird protokolliert.
APPL-02 Nutzen Sie eine Web Application Firewall (WAF)? Ja Die Web Application Firewall von Cloudflare vor LFW.com und dem Portal; der Server nimmt Webverkehr nur von Cloudflare an. Kundenwebsites laufen mit Wordfence Premium und der Firewall von Cloudflare.
APPL-03 Nutzen die Systeme oder Anwendungen, die Zugriff auf Daten der Einrichtung haben werden, ausschließlich aktuell unterstützte Betriebssysteme, Software und Bibliotheken? Ja Ein aktuelles Node.js-Release und aktuelle Bibliotheken, in einer Lockfile festgeschrieben und bei jedem Release geprüft. Der Build lehnt eine bekannte Schwachstelle hohen Schweregrads ab.
APPL-04 Benötigt Ihre Anwendung Zugriff auf Standort- oder GPS-Daten? Nein Nein. Die Seitenaufrufstatistik behält nur ein Land oder eine Region, die aus der Adresse berechnet wird; die Adresse selbst wird nicht gespeichert.
APPL-05 Sieht Ihre Anwendung eine Funktionstrennung zwischen Sicherheitsadministration, Systemadministration und normalen Benutzerfunktionen vor? Teilweise Zwischen LFW und Kunden ja: die interne Verwaltung von LFW und das Kundenportal sind getrennte Websites mit getrennten Sitzungen. Innerhalb von LFW nein: eine Person hat sowohl die Rolle der Sicherheits- als auch der Systemadministration.
APPL-06 Unterziehen Sie Ihren Code vor dem Release einer statischen Codeanalyse und/oder statischen Anwendungssicherheitstests? Teilweise Linting, eine Abhängigkeitsprüfung beider Produktionsbäume und die Testsuite laufen vor jedem Release in einem Wegwerf-Container und lassen das Release bei einem Fehler scheitern. Ein separates SAST-Produkt gibt es nicht.
APPL-07 Haben Sie etablierte Softwaretestprozesse (dynamisch oder statisch), die befolgt werden? Ja Eine automatisierte Testsuite bei jedem Release, Browserprüfungen auf geänderten Seiten und die täglichen Prüfungen der Live-Website durch LFW Monitor.
FIDP-01 Nutzen Sie eine Firewall mit Stateful Packet Inspection (SPI)? Ja Die Host-Firewall des Servers (netfilter über ufw), mit Cloudflare davor.
FIDP-02 Haben Sie eine dokumentierte Richtlinie für Änderungsanträge an der Firewall? Ja Die Firewall-Regeln stehen im Provisionierungsskript in der Versionsverwaltung; eine Änderung ist ein geprüfter Commit und ein Deployment.
FIDP-03 Haben Sie ein (netzwerkbasiertes) Intrusion-Detection-System eingerichtet? Nein Kein netzwerkbasiertes Intrusion-Detection-System. Die Firewall und der DDoS-Schutz von Cloudflare stehen vor dem Server, und nur Cloudflare erreicht ihn auf den Webports.
FIDP-04 Setzen Sie hostbasierte Intrusion Detection ein? Teilweise fail2ban sperrt Adressen nach wiederholten fehlgeschlagenen Verbindungen. Ein umfassenderes Produkt zur Host-Intrusion-Detection gibt es nicht.
FIDP-05 Gibt es Audit-Logs für alle Änderungen an Netzwerk, Firewall, IDS- und IPS-Systemen? Ja Jede Änderung an der Firewall oder der Serverkonfiguration ist ein Commit in der Versionsverwaltung, mit Autor und Datum, und ein Eintrag im Deployment-Log.
VULN-01 Werden Ihre Systeme und Anwendungen vor neuen Releases mit einem authentifizierten Benutzerkonto auf Schwachstellen gescannt (die dann behoben werden)? Nein Vor einem Release läuft kein authentifizierter Scanner. Was läuft: die Abhängigkeitsprüfung, die Testsuite und die täglichen nicht authentifizierten Prüfungen von LFW Monitor zu Headern, TLS und Content Policy.
VULN-02 Stellen Sie der Einrichtung die Ergebnisse von Schwachstellenscans der Anwendung und des Systems zur Verfügung? Ja Die tägliche Prüfung von LFW.com durch LFW Monitor ist öffentlich, und die Ausgabe der Abhängigkeitsprüfung wird auf Anfrage geteilt.
VULN-03 Erlauben Sie der Einrichtung, eigene Schwachstellentests und/oder Scans Ihrer Systeme und/oder Anwendung durchzuführen, sofern dies zu einem gemeinsam vereinbarten Zeitpunkt geschieht? Ja Zu einem vereinbarten Zeitpunkt, im Rahmen der Regeln der Richtlinie zur Offenlegung von Schwachstellen unter lfw.com/security.
DCTR-06 Umschließt eine physische Barriere den Raum vollständig und verhindert so unbefugten physischen Kontakt mit Ihren Geräten? Ja LFW besitzt kein Rechenzentrum. Der Server steht im Standort von Hetzner in Ashburn; die physischen Kontrollen sind die von Hetzner, beschrieben in der veröffentlichten Dokumentation von Hetzner, und von LFW nicht vor Ort überprüft.
DCTR-10 Werden redundante Stromversorgungskonzepte getestet? Ja Laut Betreiber des Rechenzentrums. LFW hat dies nicht vor Ort überprüft.

AAAI

Authentifizierung und Protokollierung.

Wie sich Personen beim LFW-Konto anmelden und was protokolliert wird.

AAAI-01 Unterstützt Ihre Lösung Single-Sign-on-Protokolle (SSO) für die Authentifizierung von Benutzern und Administratoren? Ja OpenID Connect, direkt mit Ihrem Identitätsanbieter (zum Beispiel Entra ID, Okta oder Google Workspace). Die Weiterleitungsadresse wird von Ihrer IT registriert.
AAAI-02 Unterstützt Ihre Lösung für Kunden ohne SSO lokale Authentifizierungsprotokolle für Benutzer und Administratoren? Ja Ein per E-Mail gesendeter Link, der einmal funktioniert und nach 15 Minuten abläuft, oder ein Passkey. Passwörter gibt es nicht.
AAAI-03 Können Sie für Kunden ohne SSO Komplexitätsanforderungen an Passwörter/Passphrasen (von der Einrichtung vorgegeben) durchsetzen? Nicht zutreffend Es gibt keine Passwörter, für die Regeln gelten könnten.
AAAI-04 Hat das System für Kunden ohne SSO Beschränkungen bei Komplexität oder Länge von Passwörtern? Nicht zutreffend Keine Passwörter.
AAAI-05 Haben Sie für Kunden ohne SSO dokumentierte Verfahren zum Zurücksetzen von Passwörtern/Passphrasen, die im System und/oder im Kundensupport aktuell umgesetzt sind? Nicht zutreffend Es gibt nichts zurückzusetzen. Ein neuer Anmeldelink ersetzt einen verlorenen; ein Passkey kann nach der Anmeldung per E-Mail erneut registriert werden.
AAAI-06 Nimmt Ihre Organisation an InCommon oder einer anderen mit eduGAIN verbundenen Vertrauensföderation teil? Nein Kein Mitglied. SSO wird je Einrichtung mit Ihrem eigenen Identitätsanbieter eingerichtet.
AAAI-07 Sind in Ihren Systemen oder Lösungen Passwörter/Passphrasen fest im Code hinterlegt? Nein Geheimnisse liegen in einer Datei auf dem Server, beschränkt auf den Serveradministrator und das Dienstkonto. Das Repository enthält keine; die Überprüfung im September 2026 hat dies kontrolliert.
AAAI-08 Speichern Sie Passwörter im Klartext? Nein LFW speichert überhaupt keine Passwörter.
AAAI-09 Gibt es Audit-Logs, die MINDESTENS Folgendes enthalten: Anmeldung, Abmeldung, ausgeführte Aktionen und Quell-IP-Adresse? Teilweise Das Portal protokolliert Aktionen an Anfragen und Dokumenten (ein nur anfügbarer Verlauf), jede Ansicht eines Kundenkontos durch LFW und verwendete Anmeldetokens. Die Webserver-Logs enthalten die Quelladresse jeder Anfrage. Ein Bericht über An- und Abmeldungen pro Person steht Kunden noch nicht zur Verfügung.
AAAI-11 Können Sie der Einrichtung Unterlagen zur Aufbewahrungsdauer dieser Logs bereitstellen, dazu, wie die Logs geschützt sind, und ob sie für den Kunden zugänglich sind (und falls ja, wie)? Ja Auf Anfrage, schriftlich, für die oben genannten Logs.

DATA

Daten.

Wo die Daten der Einrichtung in den Systemen von LFW liegen, verschlüsselt oder nicht, und was am Ende mit ihnen geschieht.

DATA-01 Werden die Daten der Einrichtung auf Geräten (Datenbankserver, Dateiserver, SAN, NAS usw.) gespeichert, die mit Nicht-RFC-1918/4193-IP-Adressen (also öffentlich routbaren) konfiguriert sind? Ja Der eine Server hat eine öffentliche Adresse. Seine Firewall nimmt Webverkehr nur aus den Adressbereichen von Cloudflare an und SSH nur per Schlüssel; die Datenbank ist eine Datei auf diesem Server, lesbar allein für das Dienstkonto.
DATA-02 Wird die Übertragung sensibler Daten mit Sicherheitsprotokollen/-algorithmen verschlüsselt (z. B. vom System zum Client)? Ja TLS 1.3 zu Besuchern, mit einer HSTS-Richtlinie von einem Jahr; ältere TLS-Versionen werden abgelehnt. Der Datenverkehr zwischen Cloudflare und dem Server ist ebenfalls verschlüsselt.
DATA-03 Wird die Speicherung sensibler Daten mit Sicherheitsprotokollen/-algorithmen verschlüsselt (z. B. Festplattenverschlüsselung, im Ruhezustand, Dateien und innerhalb einer laufenden Datenbank)? Teilweise Sicherungen werden verschlüsselt, bevor sie den Server verlassen. Die laufende Datenbank ist durch Dateiberechtigungen und die Firewall geschützt; LFW beansprucht für sie keine Festplattenverschlüsselung.
DATA-04 Entsprechen alle in Ihrer Lösung verwendeten kryptografischen Module den Federal Information Processing Standards (FIPS PUB 140-2 oder 140-3)? Nein Eine FIPS-Validierung wird nicht beansprucht.
DATA-05 Bleiben die Daten der Einrichtung nach Abschluss dieses Vertrags für einen gewissen Zeitraum im System verfügbar? Ja 30 Tage nach dem Ende, während der Übergabe, die der Dienstleistungsvertrag festlegt; auf Anfrage exportiert LFW Ihre Portaldaten.
DATA-06 Bleiben die Eigentumsrechte an allen Daten, Eingaben, Ausgaben und Metadaten auch bei einer Übernahme oder Insolvenz des Anbieters erhalten? Ja Ihre Inhalte und Daten bleiben nach dem Dienstleistungsvertrag Ihre, und die Arbeit, die Sie bezahlen, gehört Ihnen, sobald sie bezahlt ist. Ein Wechsel der Eigentümerschaft von LFW ändert daran nichts.
DATA-07 Verlassen Sicherungen mit Daten der Einrichtung jemals die Datenzone der Einrichtung, physisch oder über Netzwerk-Routing? Ja Der Server und seine Sicherungen stehen in Ashburn, Virginia. Die verschlüsselte externe Kopie liegt in Cloudflare R2 in der Standardjurisdiktion von Cloudflare, wodurch sie sich außerhalb der Vereinigten Staaten befinden kann; die Kopie wird verschlüsselt, bevor sie den Server verlässt. Die Sicherungen Ihrer Website bleiben bei Ihrem Hoster.
DATA-08 Werden Medien zur langfristigen Aufbewahrung von Geschäftsdaten und zu Archivzwecken in einem sicheren, umweltgeschützten Bereich gelagert? Ja Keine physischen Medien. Die Aufbewahrung erfolgt in den Rechenzentren von Hetzner und Cloudflare.

ITAC

Digitale Barrierefreiheit.

Für das LFW-Konto und LFW.com sowie für die Websites, die LFW erstellt.

ITAC-06 Wurde in den letzten 12 Monaten ein VPAT oder ACR für die betrachtete Lösung und Version erstellt oder aktualisiert? Ja Ein Accessibility Conformance Report für LFW.com vom 2. Oktober 2026 ist auf der Vertrauensseite veröffentlicht. Für eine Website, die LFW erstellt, wird beim Start ein Bericht geliefert.
ITAC-07 Verpflichtet sich Ihr Unternehmen vertraglich, Ihren angegebenen Barrierefreiheitsstandard oder WCAG 2.1 AA für die Lösung zu erfüllen? Ja Für die Vorlagen und Seiten, die LFW erstellt und betreut, als Standard in Ihrem Vertrag. Für Inhalte, die LFW nicht kontrolliert, sagt LFW keine Konformität zu einem Termin zu.
ITAC-08 Entspricht die Lösung im Wesentlichen WCAG 2.1 AA? Ja LFW.com, laut dem selbst erstellten Bericht: jedes Kriterium der Stufen A und AA wird unterstützt oder trifft nicht zu. Der Bericht sagt selbst, dass er kein unabhängiges Audit ist.
ITAC-09 Haben Sie einen dokumentierten und umgesetzten Prozess zum Melden und Verfolgen von Barrierefreiheitsproblemen? Ja Melden Sie eine Barriere per E-Mail, wie es die Erklärung zur Barrierefreiheit beschreibt, oder in Ihrem LFW-Konto. Befunde werden als Anfragen verfolgt, und LFW Monitor prüft die Seiten täglich erneut.

PCOM, PTHP, PDAT, PRPO, DPAI

Datenschutz.

Datenschutzverletzungen, Dritte, die Arten von Daten, die LFW nicht erhebt, und KI-Werkzeuge.

PCOM-01 Hatten Sie in den letzten drei Jahren eine Verletzung des Schutzes personenbezogener Daten, die eine Meldung an eine Behörde, eine Benachrichtigung von Personen (auch freiwillig) oder eine Benachrichtigung einer anderen Organisation oder Einrichtung erforderte? Nein Keine.
PTHP-01 Haben Sie vertragliche Vereinbarungen mit Dritten, die diese verpflichten, Standards einzuhalten und alle regulatorischen Anforderungen zu erfüllen? Ja Die Standardbedingungen und Auftragsverarbeitungsbedingungen jedes Anbieters.
PDAT-01 Erheben, verarbeiten oder speichern Sie demografische Informationen? Nein Nein.
PDAT-02 Erfassen oder erzeugen Sie genetische, biometrische oder verhaltensbiometrische Informationen (z. B. Gesichtserkennung oder Fingerabdrücke)? Nein Nein. Die biometrische Prüfung eines Passkeys findet auf dem eigenen Gerät der Person statt; LFW erhält nur einen öffentlichen Schlüssel.
PDAT-03 Verknüpfen Sie Daten der Einrichtung (einschließlich "de-identifizierter", "anonymisierter" oder anderweitig maskierter Daten) mit personenbezogenen Daten aus anderen Quellen? Nein Nein.
PRPO-06 Haben Sie ein Programm zur Sensibilisierung/Schulung im Datenschutz? Nein Kein formelles Programm. Die Datenschutzerklärung ist die schriftliche Regel.
PRPO-12 Geben Sie Daten der Einrichtung ohne gültigen Durchsuchungsbeschluss oder gültige Vorladung an Strafverfolgungsbehörden weiter? Nein Nein.
DPAI-02 Werden Daten der Einrichtung bei der KI-Verarbeitung gespeichert? Nein Die Systeme von LFW haben keine KI-Funktionen. In der eigenen Arbeit von LFW können KI-Werkzeuge Kundeninformationen verarbeiten, um Arbeit zu entwerfen und zu prüfen; sie werden nie zum Trainieren von Modellen verwendet, eine Person prüft jedes Ergebnis, und alle Daten, die Sie in Ihrem Vertrag benennen, sind ausgenommen.
DPAI-03 Haben Sie Vereinbarungen mit Dritten oder Unterauftragsverarbeitern zum Schutz von Kundendaten und zur Nutzung von KI? Ja Die gewerblichen Bedingungen von Anthropic, die das Training mit Kundeninhalten ausschließen. Die Liste der Unterauftragsverarbeiter auf der Vertrauensseite nennt jeden KI-Anbieter.

HIPA, PCID, KI-Abschnitte

Nicht zutreffend, und warum.

Kritische Fragen, die durch die Antworten zum Geltungsbereich entfallen. Jede ist aufgeführt, damit Ihre prüfende Stelle sieht, dass die Kennung nicht übersprungen wurde.

HIPA-01 bis HIPA-04 HIPAA-Schulungen, Risikobereiche, getestete Pläne und Business Associate Agreements. Nicht zutreffend LFW verarbeitet keine geschützten Gesundheitsinformationen (REQU-05).
PCID-01 bis PCID-03 PCI-DSS-Bescheinigung, PA-DSS-Listung und Umgang Dritter mit Karteninhaberdaten. Nicht zutreffend Durch die Systeme von LFW laufen keine Kartendaten (REQU-06). Zahlungen auf der Website eines Kunden gehen an den eigenen Zahlungsdienstleister der Einrichtung.
AIGN-01 bis AIGN-03 KI-Risikomodell, Abschalten von KI-Funktionen, Schulung zu verantwortungsvoller KI. Nicht zutreffend Keine KI-Funktionen in der Lösung (REQU-04).
AIPL-01 bis AIPL-04 Veröffentlichte KI-Richtlinien, gemessene KI-Risiken, Abschalten und erneutes Einschalten von KI-Funktionen nach einem Vorfall. Nicht zutreffend Keine KI-Funktionen in der Lösung (REQU-04).
AISC-01 bis AISC-03 Entfernen von Daten aus einem Modell, Beeinflussung eines Modells durch Benutzereingaben, Protokollierung von KI-Aktionen. Nicht zutreffend Keine KI-Funktionen in der Lösung (REQU-04).
AIML-01, AIML-02, AILM-01 bis AILM-04 Trennung und Rückmeldung von Trainingsdaten für maschinelles Lernen; Berechtigungen, Trainingsdaten, menschliches Eingreifen und Plugins großer Sprachmodelle. Nicht zutreffend Keine KI-Funktionen in der Lösung (REQU-04).

Senden Sie uns das Formular Ihrer Einrichtung.

HECVAT, ein Fragebogen eines Bundesstaates oder Ihre eigene Tabelle. Sie erhalten es auf Grundlage dieser Antworten ausgefüllt zurück, mit Links zu den zitierten Richtlinien.

E-Mail an hello@lfw.com Beschaffung