Schrat

Sicherheit und Datenschutz

Schrat wird von Forstverwaltungen, Behörden und Waldbesitzern genutzt. Auf dieser Seite finden Sie und Ihre IT-Abteilung, wo die Daten liegen, wie sie geschützt sind und welche Unterlagen es gibt.

Stand: Oktober 2026

Datenhaltung
Deutschland
Übertragung
TLS, HSTS
Sicherung
täglich, 7 Tage
Tracking
keines

Unterlagen

Sicherheitsfragebögen Ihrer Organisation füllen wir aus: Schreiben Sie an support@schrat.eco.

Wo Ihre Daten liegen

Konten, erfasste Daten und Fotos liegen auf eigenen Servern der Grünecho e.U. im Rechenzentrum der Hetzner Online GmbH in Deutschland, das nach ISO/IEC 27001 zertifiziert ist. Auch der E-Mail-Versand läuft über Hetzner in Deutschland. Einzig die Programmdateien der Web-Anwendung werden über GitHub ausgeliefert; dabei fließen keine Konto- oder Inhaltsdaten.

Wer was sehen darf

Berechtigungen setzt die Datenbank selbst durch, nicht nur die Oberfläche: Jede Abfrage ist auf das beschränkt, was der angemeldeten Person zusteht. Mandanten, Organisationen, Projekte und Trupps mit eigenen Rollen bestimmen, wer Datensätze sieht, erfasst, auswertet oder exportiert. Auf ein Gerät gelangen nur die Daten, die sein Nutzer sehen darf.

Im Feld ohne Netz

Die Apps arbeiten offline. Erfasste Daten bleiben auf dem Gerät, bis sie vollständig übertragen sind; ein Funkloch oder ein Serverausfall kostet keine Aufnahme. Persönliche Projekte können ganz auf dem Gerät bleiben, ohne jemals an den Server zu gehen.

Absicherung

  • Verschlüsselte Übertragung (TLS) überall, per HSTS auch für alle Subdomains erzwungen; Zertifikate nur von festgelegten Stellen (CAA).
  • Server-Administration nur über ein privates, verschlüsseltes Netz, Anmeldung nur per Schlüssel; nach außen sind nur HTTPS-Dienste erreichbar.
  • Kennwörter nur als Hash gespeichert; Anmeldung auch ohne Kennwort per Einmalcode oder mit Google bzw. Apple.
  • E-Mails mit DKIM signiert und per SPF, DMARC und MTA-STS gegen Fälschung und Mitlesen geschützt.
  • Sicherheitsupdates werden automatisch eingespielt; Windows-, Android- und iOS-Apps werden signiert ausgeliefert.
  • Tägliche Sicherung des Servers, 7 Tage aufbewahrt; Server-Protokolle werden nach 14 Tagen gelöscht.
  • Keine Tracking-, Werbe- oder Analysedienste.

Betriebsstatus

Website, Web-App, Anmeldung, Datenbank und Synchronisation werden alle 5 Minuten von außerhalb unserer Infrastruktur geprüft. Verfügbarkeit, Antwortzeiten und Störungen sind öffentlich einsehbar auf der Seite Betriebsstatus; unabhängig von unseren Servern zusätzlich unter status.schrat.eco.

Ihre Daten gehören Ihnen

Sie können Ihre Daten jederzeit exportieren: als CSV (auch für Excel), GeoJSON, PDF je Datensatz oder über die Programmierschnittstelle. Formulare beruhen auf dem offenen Standard JSON Schema. Konten lassen sich in der App selbst löschen. Für Erfassungen mit gesetzlicher Aufbewahrungspflicht, etwa nach der EU-Entwaldungsverordnung, hält Schrat die Frist ein.

Laufende Sicherheitsprüfungen

  • Bei jeder Auslieferung: automatische Prüfung aller Abhängigkeiten und des Quellcodes auf bekannte Schwachstellen und versehentlich gespeicherte Zugangsdaten; eine Version mit bekannter kritischer, behebbarer Lücke wird nicht veröffentlicht.
  • Wöchentlich: Prüfung der laufenden Dienste von außen auf Fehlkonfigurationen und Schwachstellen (Web-Scan ohne Angriffe), der TLS-Konfiguration und der erreichbaren Ports sowie der eingesetzten Server-Images auf bekannte Schwachstellen.
  • Wöchentlich: automatische Prüfung der Barrierefreiheit, Ergebnis öffentlich unter Barrierefreiheit.

Die vollständigen Prüfberichte geben wir an Kunden und deren IT-Abteilungen auf Anfrage weiter: security@schrat.eco.

Sicherheitslücke gefunden?

Bitte melden Sie sie vertraulich an security@schrat.eco. Wie wir mit Meldungen umgehen, welche Fristen wir zusagen und welche Regeln für Sicherheitsforschung gelten, steht in unserer Richtlinie zur Schwachstellenmeldung. Maschinenlesbar finden Sie den Kontakt in der security.txt.

Cyber Resilience Act

Schrat erfüllt die Pflichten des Cyber Resilience Act (Verordnung (EU) 2024/2847) schrittweise vor ihrer vollen Geltung im Dezember 2027: öffentliche Richtlinie zur Schwachstellenmeldung, kostenlose Sicherheitsupdates mit angegebenem Unterstützungszeitraum, Software-Stückliste (SBOM) je Version und Meldung aktiv ausgenutzter Schwachstellen an die ENISA. Einzelheiten: Schwachstellen melden und Sicherheitsupdates.

Was wir (noch) nicht haben

Schrat selbst ist nicht nach ISO 27001 oder BSI IT-Grundschutz zertifiziert; zertifiziert ist das Rechenzentrum. Die Daten sind bei der Übertragung verschlüsselt, auf dem Server liegen sie im geschützten Rechenzentrum, aber nicht zusätzlich verschlüsselt. Verlangt Ihre Ausschreibung mehr, sprechen Sie uns an.