Werkszeit · Mitarbeiter-Selbstbedienung

Sicherheit

Übersicht

Werkszeit ist eine Anwendung für Zeiterfassung, Lohnzettel und Mitarbeiter-Selbstbedienung. Sicherheit ist für uns kein Feature, sondern eine Grundvoraussetzung: Mitarbeitende und Administrator:innen müssen sich auf verlässliche Identitätsprüfung, nachvollziehbare Login-Ereignisse und einen Stand der Technik gemäß DSGVO Art. 32 verlassen können. Unsere Leitlinien dafür sind eine Zero-Trust-Passwort-Policy auf Basis von NIST SP 800-63B, ein Passkey-First-Login mit WebAuthn als bevorzugtem Verfahren sowie getrennte, protokollierte Login-Wege für Mitarbeitende und Admins.

Jede Anmeldung, jeder Fehlversuch und jede Änderung an Authentifizierungs- Faktoren (Passwort, Passkey, TOTP, Recovery-Codes) wird als Login-Event auditierbar erfasst. Die Ereignisse sind Bestandteil einer hashverketteten Kette, sodass nachträgliche Änderungen an Log-Einträgen erkennbar werden. Diese Seite beschreibt die extern sichtbaren Aspekte dieser Architektur.

Passwort-Policy

Unsere Passwort-Prüfung folgt NIST SP 800-63B §5.1.1.2 ("Memorized Secret Verifiers") und dem aktuellen BSI-Grundschutz ORP.4.A23. Konkret gilt:

Entscheidungsgrundlage ist ADR-0004 ("NIST SP 800-63B-aligned password policy"). Das ADR dokumentiert die regulatorische Belastbarkeit gegenüber DSGVO Art. 32, NIS2-UmsG §30, BSI-Grundschutz ORP.4.A23 und SOC-2-Prüfungen. Es wird im internen Repository unter docs/werkszeit/adr/0004-nist-800-63b-password-policy.md geführt und auf Anfrage im Rahmen von Audits bereitgestellt.

Zwei-Faktor-Authentifizierung

Der zweite Faktor ergänzt das Wissen (Passwort) um einen weiteren Nachweis. Werkszeit unterstützt drei Verfahren nebeneinander, damit alle Nutzer:innen — auch ohne Smartphone oder mit eingeschränktem Netzempfang — sicher anmelden können:

Passkey / WebAuthn
Bevorzugtes Verfahren. Ein kryptografischer Schlüssel auf Ihrem Gerät (Smartphone, Laptop, Sicherheitsschlüssel) ersetzt das Passwort. Details siehe nächster Abschnitt.
TOTP (Time-based One-Time Password)
Sechsstellige Einmal-Codes, die alle 30 Sekunden in einer Authenticator-App wie 1Password, Bitwarden, Google Authenticator oder Aegis erzeugt werden. Funktioniert auch offline.
Recovery-Codes
Einmalig anwendbare Notfall-Codes. Sie werden bei der Einrichtung der Zwei-Faktor-Authentifizierung erzeugt und sollten ausgedruckt oder in einem Passwort-Manager abgelegt werden. Auf unserer Seite werden die Codes mit Argon2id gehasht gespeichert; das Klartext-Code ist uns nach der Einrichtung nicht mehr bekannt.

Passkey / WebAuthn

Ein Passkey ist ein kryptografisches Schlüsselpaar, das direkt auf Ihrem Gerät erzeugt und gespeichert wird. Der geheime Teil verlässt das Gerät nicht; nur der öffentliche Teil wird bei uns hinterlegt. Dadurch ist ein Passkey-Login phishingsicher: Selbst wenn Sie auf eine gefälschte Kopie unserer Seite geraten, kann diese den Schlüssel nicht ausleiten, da der Browser die Ursprungs-Domain mit signiert.

Werkszeit unterstützt Passkeys auf allen WebAuthn-fähigen Plattformen:

Sie können mehrere Passkeys parallel hinterlegen, etwa einen auf dem Smartphone und einen auf einem Sicherheitsschlüssel, um bei Geräteverlust nicht ausgesperrt zu werden. Die Verwaltung der Passkeys erfolgt im ESS-Login-Bereich.

Rate-Limit und Anomaly-Detection

Statt eines klassischen Account-Lockouts, der sich gegen legitime Nutzer:innen ebenso leicht missbrauchen lässt wie gegen Angreifer, setzt Werkszeit auf Sliding-Window-Rate-Limits:

Jede Anmeldung, jeder Fehlversuch, jede Änderung an Authentifizierungs-Faktoren schreibt ein Login-Event in eine hashverkettete Ereignis-Kette. Jeder neue Eintrag referenziert den Hash seines Vorgängers; eine nachträgliche Änderung an einer älteren Zeile bricht die Kette und wird bei der nächsten Revision sichtbar. Damit erfüllen wir BetrVG §87 Abs. 1 Nr. 6 (mitbestimmungsrelevante Positivliste der protokollierten Ereignisse) und GoBD-Anforderungen an Nachvollziehbarkeit.

Sicherheitsmeldungen

Sie haben eine mögliche Sicherheitslücke in Werkszeit entdeckt? Wir freuen uns über Hinweise und behandeln alle Meldungen vertraulich.

Kontakt
E-Mail an [email protected] mit Betreff „Sicherheitsmeldung". Bitte geben Sie eine Beschreibung der Beobachtung, betroffene URL oder Endpunkt und — soweit möglich — einen Reproduktionspfad an.
Koordinierte Offenlegung
Die maschinenlesbaren Kontaktdaten liegen nach RFC 9116 unter security.txt. Dort finden Sie auch bevorzugte Sprachen, die Canonical-URL und unsere Policy-URL.
Anerkennung
Wir halten uns an das Prinzip der koordinierten Offenlegung: Nach Erhalt Ihrer Meldung bestätigen wir den Eingang, stimmen mit Ihnen einen Offenlegungs-Zeitplan ab und nennen Sie auf Wunsch in den Release-Notes des schließenden Patches.

Compliance

Die hier beschriebenen Maßnahmen sind auf die folgenden regulatorischen Rahmen ausgelegt:

Weitere Angaben zur Verarbeitung personenbezogener Daten finden Sie in der Datenschutzerklärung. Die Anbieterkennzeichnung steht im Impressum.