Technische und organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO für die webbasierte Anwendung "TV-Mail"

Stand: 30. Juli 2026.

1. Anonymitätsprinzip und Zugriff

• Registrierung ohne zwingende Angabe personenbezogener Daten (nur Passwort, automatisch erzeugte TV-Mail-Nummer als Kennung);
• individuelle, per Passwort geschützte Nutzerkonten;
• die Zugehörigkeit eines Kontos zur aktuell aufgerufenen Instanz (server_kennung) wird bei jedem Login UND bei jedem einzelnen Seitenaufruf einer laufenden Sitzung erneut geprüft;
• Fehler werden ausschließlich serverseitig protokolliert (error_log), niemals im Browser angezeigt.

2. Authentifizierung und Anwendungssicherheit

• Passwörter werden ausschließlich gehasht gespeichert (Argon2id, mit SHA-256-Vorhash-Fallback vor bcrypt, falls Argon2id serverseitig fehlen sollte) - nie im Klartext;
• Session-Cookies sind mit dem Attribut SameSite=Strict gesetzt;
• Brute-Force-Schutz: ein Konto wird nach 5 falschen Passwort-Eingaben in Folge für 15 Minuten gesperrt;
• durchgängige Verwendung von PDO mit vorbereiteten, parametrisierten Statements - keine rohe String-Interpolation von Nutzereingaben in SQL-Abfragen;
• durchgängige Ausgabekodierung über eine zentrale Escaping-Funktion (ENT_QUOTES);
• E-Mail-Adressen werden vor sicherheitsrelevanten Versandvorgängen serverseitig validiert.

3. Datensparsamkeit

• eine E-Mail-Adresse ist optional und wird, falls hinterlegt, ausschließlich für Kontowiederherstellung genutzt;
• bewusst kein zentrales, dauerhaftes Änderungsprotokoll (Fulllog) wie bei den übrigen Projekten des Anbieters - Nutzervorgabe, um dem Anonymitätsgedanken Rechnung zu tragen.

4. Datensicherung

Ein Backup-Konzept für dieses Projekt ist zum Stand dieser TOMs noch nicht abschließend festgelegt - wird ergänzt, sobald es feststeht.

5. Sicherheitsvorfälle

Verantwortliche Kontaktperson für Sicherheitsvorfälle ist der Anbieter, Tobias Völzke, selbst. Als Einzelunternehmer kann er keine bestimmte Erreichbarkeit oder Reaktionszeit garantieren, bemüht sich jedoch nach Kenntniserlangung eines Vorfalls um eine so rasche wie im Einzelfall mögliche Erstbewertung.

Weiterentwicklung der Maßnahmen

Die technischen und organisatorischen Maßnahmen werden entsprechend Risiko, Stand der Technik und Art der Verarbeitung fortlaufend überprüft und weiterentwickelt, insbesondere sobald die Nachrichtenfunktion selbst umgesetzt ist.