Sicherheit von Grund auf: Wie wir Familienerinnerungen schützen

Ein Foto der Urgroßmutter, ein Brief aus dem Krieg, die Diagnose eines Elternteils: Was in RememberQR landet, ist oft nichts, was man der ganzen Welt zeigen möchte. Sicherheit war deshalb nie ein Zusatz, den man am Ende einbaut, sondern die erste Frage bei jeder Funktion.

Was das für euch bedeutet

Eure Inhalte sehen nur die Menschen, die ihr einladet. Es gibt keine Werbung, keine Werbe-Tracker und keinen Datenverkauf – unser Geschäftsmodell sind Familien-Abos, nicht eure Aufmerksamkeit. Rechte lassen sich pro Familienzweig festlegen, und Gäste können etwas beitragen, ohne je Zugang zur ganzen Familie zu bekommen.

Der Weg einer Anfrage

1. Phase 01

   Anmeldung

   Wer etwas sehen will, muss angemeldet sein – oder einen persönlichen, zeitlich begrenzten Link haben.

2. Phase 02

   Prüfung auf dem Server

   Jede Aktion wird auf unseren Servern geprüft, nicht im Browser. Was am Gerät manipuliert wird, kommt nicht durch.

3. Phase 03

   Regel in der Datenbank

   Selbst wenn eine Prüfung übersehen würde, lässt die Datenbank selbst nur Daten der eigenen Familie heraus.

4. Phase 04

   Kurzlebiger Zugriff

   Fotos und Dokumente werden nur über Links ausgeliefert, die nach kurzer Zeit ablaufen.

Ehrlich bleiben

Kein System ist unangreifbar, und wir werden nie „100 % sicher“ versprechen. Was wir versprechen: mehrere unabhängige Schutzschichten, regelmäßige Prüfungen und offene Kommunikation, wenn wir etwas verbessern.

Für alle, die es genau wissen wollen

Ab hier wird es technisch. Wir beschreiben die Prinzipien – nicht die genaue Umsetzung, denn ein Bauplan der Schlösser gehört nicht ins Schaufenster.

Zugriffsregeln direkt in der Datenbank

Jede Tabelle mit Familieninhalten hat Row Level Security aktiviert. Die Regeln prüfen bei jeder einzelnen Zeile, ob der angemeldete Nutzer in dieser Familie das passende Recht hat. Ohne passende Regel ist eine Tabelle standardmäßig geschlossen – „nicht erlaubt“ ist der Ausgangszustand, nicht die Ausnahme.

Rechte als Funktion, nicht als Feld

Rollen und Berechtigungen liegen in einer eigenen, geschützten Tabelle und werden über Datenbankfunktionen ausgewertet. Nichts, was ein Nutzer an seinem eigenen Profil ändern kann, verleiht ihm zusätzliche Rechte. Auch Tarif-Grenzen werden in der Datenbank durchgesetzt, nicht in der Oberfläche.

Schreibwege über geprüfte Serverfunktionen

Heikle Aktionen – Einladungen annehmen, Familien zusammenführen, Dateien hochladen, Zahlungen – laufen ausschließlich über serverseitige Funktionen, die zuerst den Aufrufer verifizieren. Privilegierte Zugänge werden erst innerhalb dieser Funktionen und nach der Prüfung geladen, nie im Browser. Öffentlich erreichbare Schnittstellen prüfen selbst, wer anfragt.

Gäste ohne Datenbankzugang

Gastbeiträge laufen über Einmal-Links, von denen wir nur einen Hash speichern. Gäste haben keinerlei direkten Zugriff auf die Datenbank; ihre Beiträge landen als „ausstehend“ und werden erst nach Freigabe sichtbar.

Dateien und Geheimnisse

Private Fotos und PDFs liegen in nicht öffentlichen Speicherbereichen und werden über signierte, kurzlebige Adressen ausgeliefert. Schlüssel zu Fremddiensten liegen nur auf dem Server und nie im ausgelieferten Code.

KI mit Grenzen

Wo KI hilft, geschieht das auf Knopfdruck, serverseitig und nur mit den Daten, die für die eine Aufgabe nötig sind. Sie macht Vorschläge, schreibt aber nie selbstständig in den Stammbaum.

Prüfen als Gewohnheit

Vor jeder Veröffentlichung laufen automatische Sicherheits- und Abhängigkeitsprüfungen. Ein Befund wird behoben, bevor die Version live geht – so wie zuletzt bei den Reaktionszählern dieses Blogs, die jetzt über eine eng begrenzte Abfrage statt über eine offene Leseregel laufen.

Fragen?

Wenn ihr Sicherheitsfragen habt oder etwas gefunden habt: Schreibt uns über den Rückmelde-Knopf. Wir antworten persönlich.