Sicherheit

1. Hosting und Verschlüsselung

QR Wait läuft im Netzwerk von Cloudflare (Workers und Durable Objects) und speichert seine Daten dort. Jede Verbindung ist per HTTPS (TLS) verschlüsselt, und Browser werden angewiesen, auf qrwait.app und allen Subdomains nur HTTPS zu verwenden (HSTS, ein Jahr).

Die Seiten haben eine strenge Content Security Policy: Skripte werden nur von QR Wait und Cloudflare geladen, und keine andere Website darf QR Wait in einem Frame anzeigen.

Cloudflare gibt an, über Validierungen nach ISO/IEC 27001, ISO/IEC 27701 und ISO/IEC 27018 zu verfügen (Cloudflare Trust Hub). Diese gelten für Cloudflare; QR Wait selbst ist nicht zertifiziert.

2. Konten und Anmeldung

• Passwörter werden nur als gesalzener PBKDF2-SHA-256-Hash gespeichert. Ein neues Passwort, das in bekannten Datenlecks vorkommt, wird abgelehnt; für diese Prüfung verlassen nur die ersten 5 Zeichen seines SHA-1-Hashs QR Wait (k-Anonymität).
• Zwei-Schritt-Anmeldung mit einer Authenticator-App (TOTP) und einmal verwendbaren Wiederherstellungscodes. Inhaber sehen, welche Teammitglieder sie aktiviert haben.
• Teammitglieder haben eine Rolle (Inhaber, Leitung oder Personal) und öffnen, falls eingeschränkt, nur die ihnen zugewiesenen Warteschlangen.
• Nach 5 fehlgeschlagenen Anmeldungen bei einem Konto innerhalb von 24 Stunden ist zusätzlich eine Bot-Prüfung (Cloudflare Turnstile) nötig.
• Bei einer Anmeldung von einem neuen Browser geht eine E-Mail raus.
• Eine Sitzung endet nach 14 Tagen ohne Nutzung; eine Passwortänderung oder „Auf anderen Geräten abmelden“ beendet alle anderen.
• Links zur Bestätigung, zum Zurücksetzen des Passworts und für Einladungen funktionieren nur einmal, und nur ihre Hashes werden gespeichert.

3. Ratenbegrenzung

Anfragen werden am Rand des Cloudflare-Netzwerks pro IP-Adresse begrenzt: Anmelden, Registrieren und Zurücksetzen des Passworts 10 pro Minute, Einreihen in eine Warteschlange 60 pro Minute, die REST-API 120 pro Minute je Schlüssel und 120 pro Minute je IP-Adresse.

4. Daten der Besucher

• Besucher werden nie nach Telefonnummer oder E-Mail-Adresse gefragt. Nach einem Namen wird nur gefragt, wenn der Betrieb das für die Warteschlange einschaltet.
• Ein Ticket wird samt Namen und Antworten im Anmeldeformular spätestens 24 Stunden nach dem Einreihen gelöscht, unabhängig von den Einstellungen der Warteschlange.
• Es wird kein Standort gespeichert. Prüft eine Warteschlange den Standort, bleiben beim Ticket nur die Entfernung zur Warteschlange und der Zeitpunkt der Messung.
• Ein QR-Code auf dem Bildschirm des Personals wechselt alle 15 bis 75 Sekunden und jeder Code gilt 1 bis 5 Minuten, sodass ein anderswo geteiltes Foto niemanden hineinbringt.
• Was das Personal im Panel tut, wird 30 Tage protokolliert; Personal-Links lassen sich jederzeit zurückziehen.

5. Backups

Was sich nicht wiederherstellen lässt (Konten, Einstellungen der Warteschlangen, Ticketguthaben), wird täglich nach Cloudflare R2 exportiert und vor dem Schreiben verschlüsselt: jeder Teil mit einem eigenen AES-256-GCM-Schlüssel, der seinerseits mit einem öffentlichen Schlüssel (RSA-OAEP) verschlüsselt wird. Der private Schlüssel zum Öffnen wird offline aufbewahrt. Exporte werden 35 Tage aufbewahrt.

Tickets sind nie in einem Backup: Sie enthalten Namen von Besuchern und leben höchstens einen Tag.

6. Integrationen

• Webhooks werden mit einem nur einmal angezeigten Geheimnis signiert (HMAC-SHA256 mit Zeitstempel) und gehen nur an öffentliche https-Adressen. Sie enthalten nur Nummern und Zeiten, es sei denn, der Betrieb erlaubt Namen für einen Endpunkt.
• API-Schlüssel werden einmal angezeigt und nur als SHA-256-Hash gespeichert. Ein Schlüssel liest entweder nur oder schreibt auch und kann jederzeit widerrufen werden.
• Details für Entwickler: die Referenz zu API und Webhooks (auf Englisch).

7. Unterauftragsverarbeiter

Diese Unternehmen verarbeiten im Auftrag von QR Wait Daten, um den Dienst zu betreiben:

Browser-Benachrichtigungen laufen über den Push-Dienst des Browsers des Besuchers. Wie Daten die Türkei und die EU verlassen, erklärt die Datenschutzerklärung.

8. Eine Schwachstelle melden

Schreiben Sie an hello@qrwait.app mit dem Betreff „Security“. Wir bestätigen innerhalb von 3 Werktagen und senden innerhalb von 10 Werktagen eine erste Einschätzung. Bitte behalten Sie das Problem für sich, bis es behoben ist, und testen Sie nur mit Ihren eigenen Konten und Warteschlangen.

Gegen Forschung, die diese Regeln in gutem Glauben befolgt, gehen wir nicht rechtlich vor. Es gibt kein bezahltes Bug-Bounty-Programm. Dieselbe Kontaktangabe maschinenlesbar: security.txt.