Schwachstellenmanagement

Diese Richtlinie beschreibt, wie die aidX AG Sicherheitsschwachstellen in allen Systemen und Softwarekomponenten von mentalhealthGPT.ch identifiziert, bewertet, priorisiert und behebt.

1. Geltungsbereich

• Gesamte Produktions- und Staging-Infrastruktur (Server, Container, Netzwerk)
• Backend- und Frontend-Anwendungscode (Node.js, Next.js, Python-Worker)
• Drittanbieter-Abhängigkeiten (npm-Pakete, Systembibliotheken, Docker-Basis-Images)
• Drittanbieter-Integrationen (Zoom, Stripe, Infomaniak AI)

2. Erkennung von Schwachstellen

• npm audit wird automatisch bei jedem CI/CD-Pipeline-Build ausgeführt
• Hohe und kritische npm-Schwachstellen blockieren das Deployment bis zur Behebung
• Docker-Basis-Images werden bei jedem Deployment neu aufgebaut
• Betriebssystem-Sicherheitsupdates werden regelmässig auf allen Servern eingespielt
• Code-Review auf Sicherheitsprobleme vor dem Mergen in den main-Branch
• Verantwortungsvoller Meldeprozess (Responsible Disclosure) über security@aidx.ch

3. Schweregradklassifikation

Kritisch — Sofortige Behebung erforderlich; Deployment blockiert bis zur Lösung.

Hoch — Behebung innerhalb von 7 Tagen; Hotfix-Prozess wird eingeleitet.

Mittel — Behebung innerhalb von 30 Tagen; Verfolgung im Entwicklungs-Backlog.

Niedrig — Behebung innerhalb von 90 Tagen oder als akzeptiertes Risiko dokumentiert.

4. Behebungsprozess

• Schwachstelle identifiziert → Schweregrad bewertet → Verantwortlicher zugewiesen
• Patch in isoliertem Feature-Branch entwickelt → Code-Review → Staging → Produktion
• Kritisch/Hoch: Notfall-Patch-Prozess umgeht den normalen Release-Zyklus
• Alle Behebungen werden mit Beschreibung, angewendetem Fix und Deployment-Datum dokumentiert

5. Abhängigkeitsverwaltung

• Minimales Abhängigkeitsprinzip — kein Paket ohne klare Begründung und Review
• Alle neuen Abhängigkeiten werden vor der Übernahme auf bekannte Schwachstellen geprüft
• Ausschliesslich Node.js LTS-Versionen — Aktualisierung bei neuen LTS-Releases
• Docker-Basis-Images auf spezifische Versionen festgelegt und regelmässig überprüft
• package-lock.json im Git gespeichert für reproduzierbare Builds

6. Secrets & Zugangsdaten-Sicherheit

• Alle Secrets ausschliesslich über HashiCorp Vault verwaltet (KV v2, Transit Auto-Unseal)
• Secrets werden beim Container-Start nur in den In-Memory-Tmpfs gerendert — nie auf Disk
• Keine Secrets in Quellcode, Docker-Images oder Environment-Dateien im Git
• Kompromittierte Zugangsdaten werden sofort über Vault rotiert
• Separate Vault KV-Mounts für Staging- und Produktionsumgebungen

7. Drittanbieter-Integrationssicherheit

• Zoom, Stripe und Infomaniak APIs werden auf Sicherheitshinweise überwacht
• OAuth-Tokens verschlüsselt gespeichert (AES-256-GCM) — bei Kompromittierung rotiert
• Webhook-Signaturen werden verifiziert (HMAC-SHA256) um Spoofing zu verhindern
• API-Zugangsdaten ausschliesslich in HashiCorp Vault — nie im Quellcode

8. Kontakt

Zur Meldung einer Schwachstelle:
security@aidx.ch

aidX AG
Bachtelstrasse 57, 8330 Pfäffikon ZH, Schweiz