Richtlinie zur Zugriffskontrolle

Unverbindliche Übersetzung. Maßgeblich ist die englische Fassung.

Eine Regel zieht sich durch diese Richtlinie: LFW fragt nie nach den Passwörtern eines Kunden und speichert sie nie. Es nutzt delegierten Zugriff, im eigenen Namen, beschränkt auf das, was die Arbeit erfordert, und jederzeit vom Kunden widerrufbar.

Version 1.0, 6. Oktober 2026. Teil der veröffentlichten Praktiken auf der Vertrauensseite. Die Informationssicherheitsrichtlinie behandelt die Systeme, in denen diese Konten bestehen.

1. Konten im Namen des Kunden

Hosting, Domain, Code-Repository und die Administratorkonten der Website eines Kunden laufen vom ersten Tag an auf den Namen des Kunden. LFW ist Nutzer in den Konten des Kunden, nie deren Eigentümer.

Der Kunde sieht genau, worauf LFW zugreifen kann, und kann es entfernen, ohne zu fragen. Endet die Website-Betreuung, gibt LFW Zugangsdaten, Kontozugriff und Repository-Zugriff kostenlos zurück.

2. Wie LFW Zugriff auf ein Kundensystem erhält

Für jedes System, das die Arbeit erfordert, bittet LFW den Kunden, über die Delegationsfunktion des Anbieters ein namentliches Konto für die eigene Adresse von LFW einzurichten: ein Mitglied im Hosting-Konto, ein Firmennutzer im Dashboard des Hosters, ein Mitglied mit eingeschränkter Rolle im Cloudflare-Konto, ein Administrator in WordPress.

LFW nimmt jede Einladung an und aktiviert auf diesem Konto die Multi-Faktor-Authentifizierung, wo die Plattform sie anbietet. Wo ein Anbieter keine Delegation kennt, bittet LFW um eine eigens dafür angelegte Anmeldung, nie um die persönliche Anmeldung des Eigentümers.

Die wenigen Zugangsdaten, die LFW halten muss, liegen in einem Passwortmanager, in einem Tresor nur für diesen Kunden. Ein Kunde übermittelt solche Zugangsdaten über einen sicheren Einmal-Link, nicht per E-Mail.

LFW fragt nur nach dem, was der Auftrag erfordert. Zugriff auf den Domain-Registrar ist meist gar nicht nötig: Die bevorzugte Einrichtung ist DNS, delegiert an eine Cloudflare-Zone, wobei der Registrar unberührt bleibt.

3. Anmeldung bei den Systemen von LFW

Das Kundenportal hat keine Passwörter. Ein Kunde meldet sich mit einem per E-Mail gesendeten Link an, der einmal funktioniert und nach 15 Minuten abläuft, mit einem Passkey oder über den eigenen Identitätsanbieter des Kunden per OpenID Connect.

Anfragen nach Anmeldelinks sind pro Adresse und pro E-Mail begrenzt, und die Antwort ist dieselbe, ob die Adresse ein Konto hat oder nicht, sodass sich mit dem Formular keine Kundenliste erstellen lässt. Eine Sitzung dauert 14 Tage, in einem Cookie, das der Browser hostgebunden, sicher und für Skripte unerreichbar hält.

Das Personal von LFW meldet sich auf dieselbe Weise bei der Personalseite an, auf einem getrennten Origin. In den Systemen von LFW gibt es nirgends ein Passwort, das gestohlen oder wiederverwendet werden könnte.

4. Rollen im Kundenportal

Portalzugang wird von LFW bewusst und für jede Person einzeln erteilt. Als Kontakt hinterlegt zu sein oder bei einer Kundenorganisation zu arbeiten, gewährt ihn nicht. Wird der Zugang entzogen, werden alle Sitzungen dieser Person ungültig, und eine spätere Freigabe belebt sie nicht wieder.

Die Kundenrollen sind Eigentümer, Mitglied und Betrachter. Eigentümer sehen jede Website ihrer Organisation; ein Mitglied sieht die freigegebenen Websites und sonst nichts, keine andere Website der eigenen Organisation und keine andere Organisation. Der Dokumentverlauf ist nur erweiterbar, eine Wiederherstellung fügt also eine Revision hinzu, statt eine zu löschen.

Wenn das Personal von LFW das Portal eines Kunden ansieht, um bei einer Anfrage zu helfen, ist die Ansicht schreibgeschützt, auf dem Bildschirm gekennzeichnet, protokolliert und über ein Einmaltoken erreichbar, das nach zwei Minuten abläuft.

5. Zugriff auf den Server

Der Server nimmt SSH nur mit Schlüssel an. Die Anwendung und jeder geplante Job laufen unter einem Dienstkonto ohne Privilegien und ohne Login-Shell, und das Datenverzeichnis ist nur für dieses Konto lesbar. Die Datei mit den Geheimnissen ist auf die Serveradministration und dieses Konto beschränkt.

Builds berühren nie die Schlüssel des Servers: Sie laufen in einem Wegwerf-Container ohne Mounts, der den Quellcode über seine Eingabe erhält und die gebaute Website über seine Ausgabe zurückgibt.

6. Überprüfung und Entzug

LFW führt pro Kunde ein Verzeichnis aller Konten, die es hält, und wie sie sich widerrufen lassen. Das Verzeichnis ist die Liste für den Abschluss: Endet die Website-Betreuung, wird jeder Eintrag zurückgegeben oder entfernt, und der Kunde bestätigt es.

Ein Kunde kann den Zugriff von LFW jederzeit ohne Ankündigung entfernen. LFW betrachtet das nicht als Vertragsverletzung, und es ändert nichts an dem, was dem Kunden gehört.

7. Subunternehmer

LFW hat keine Angestellten und setzt auf der Website eines Kunden keinen Subunternehmer ohne schriftliche Zustimmung des Kunden ein. Wer jemals von LFW hinzugezogen wird, ist an dieselben Vertraulichkeitsbedingungen gebunden und erhält dieselbe Art von namentlichem, beschränktem, widerrufbarem Zugriff.

8. Was diese Richtlinie nicht behauptet

LFW nimmt nicht an InCommon oder einer anderen Vertrauensföderation teil. Es bietet Kunden noch keinen Bericht über die An- und Abmeldungen jedes Nutzers an; was das Portal protokolliert, steht in der Informationssicherheitsrichtlinie.