docs: README, Datenschutztexte, Dockerfile und Sicherungsskripte
Damit ist Etappe 1 abgeschlossen und betriebsfertig dokumentiert. README mit beiden Betriebswegen. Docker Compose auf eigenem Server ist der Hauptweg; Vercel und Neon sind vollstaendig beschrieben, aber mit einer klaren Begruendung, warum ich davon abrate: beide Anbieter sind US-Unternehmen und unterliegen auch bei EU-Region potenziell dem CLOUD-Act. Bei Gesundheitsdaten einer nicht entscheidungsfaehigen Person ist das eine Abwaegung, die man bewusst treffen muss. Reverse-Proxy-Beispiele fuer Caddy, nginx und Traefik - der Proxy selbst ist nicht Teil des Compose-Setups, weil er auf dem Zielserver schon steht. Die Datenbank hat keine Portfreigabe. Sicherung: pg_dump schreibt direkt in die Verschluesselung, der Klartext landet nie auf der Platte. Danach eine Selbstpruefung - laesst sich die Datei nicht wieder entschluesseln, endet der Lauf mit Fehler statt mit einem stillen Scheinerfolg. Der jeweils erste Stand eines Monats bleibt dauerhaft stehen. Die README sagt ausdruecklich, was das Backup NICHT enthaelt: den Schluessel ENC_KEY_V1 und die Dateien im Objektspeicher. Dazu eine Anleitung, die Wiederherstellung einmal im Jahr zu ueben - mit dem letzten Schritt, in der Anwendung nachzusehen, ob die Diagnosen im Klartext erscheinen. Erst dann stimmt nicht nur die Datenbank, sondern auch der Schluessel. Verarbeitungsverzeichnis und Datenschutzhinweise als ausfuellbare Textbausteine. Die Hinweise sind in einfacher Sprache geschrieben - sie sollen der betreuten Person vorgelesen werden koennen. Die Seite /datenschutz liest denselben Text aus docs/, damit es nicht zwei Fassungen gibt, die auseinanderlaufen. Dockerfile in drei Stufen mit Tesseract, deutschen Sprachdaten und poppler-utils. Zeitzone Europe/Berlin ist gesetzt - ohne sie rechnet der Server in UTC und verschiebt Fristen um einen Tag. Etappe: 1 Phase: Fundament
This commit is contained in:
Florian Wilde
@@ -0,0 +1,85 @@
|
||||
#!/bin/sh
|
||||
# =============================================================================
|
||||
# Taegliche Sicherung der Datenbank
|
||||
# =============================================================================
|
||||
#
|
||||
# Laeuft im Behaelter "sicherung" per cron um 03:15 Uhr. Von Hand:
|
||||
#
|
||||
# docker compose exec sicherung /bin/sh /sicherung.sh
|
||||
#
|
||||
# Was passiert:
|
||||
# 1. pg_dump im eigenen Format (-Fc), damit einzelne Tabellen
|
||||
# wiederherstellbar bleiben.
|
||||
# 2. Verschluesselung mit AES-256 und PBKDF2 aus SICHERUNG_PASSWORT.
|
||||
# Das Backup liegt oft auf fremdem Speicher - unverschluesselt waere
|
||||
# es ein Datenleck mit Ansage.
|
||||
# 3. SHA-256-Pruefsumme daneben.
|
||||
# 4. Staende, die aelter sind als SICHERUNG_AUFBEWAHRUNG_TAGE, entfernen.
|
||||
# Der jeweils erste Stand eines Monats bleibt stehen.
|
||||
#
|
||||
# WICHTIG: Dieses Backup enthaelt die verschluesselten Felder, aber NICHT
|
||||
# den Schluessel ENC_KEY_V1. Ohne ihn sind Diagnosen, IBANs und Notizen
|
||||
# auch aus einer wiederhergestellten Datenbank nicht lesbar. Den Schluessel
|
||||
# getrennt sichern - Passwortmanager oder ausgedruckt im Ordner.
|
||||
# =============================================================================
|
||||
|
||||
set -eu
|
||||
|
||||
ZIEL="${SICHERUNG_ZIEL:-/backups}"
|
||||
AUFBEWAHRUNG="${SICHERUNG_AUFBEWAHRUNG_TAGE:-30}"
|
||||
ZEITSTEMPEL="$(date +%Y-%m-%d_%H%M)"
|
||||
TAG_IM_MONAT="$(date +%d)"
|
||||
DATEI="$ZIEL/cockpit_${ZEITSTEMPEL}.dump.enc"
|
||||
|
||||
if [ -z "${SICHERUNG_PASSWORT:-}" ]; then
|
||||
echo "$(date -Iseconds) FEHLER: SICHERUNG_PASSWORT ist nicht gesetzt. Abbruch." >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
mkdir -p "$ZIEL"
|
||||
|
||||
echo "$(date -Iseconds) Sicherung beginnt: $DATEI"
|
||||
|
||||
# pg_dump schreibt direkt in die Verschluesselung - der Klartext landet
|
||||
# nie auf der Platte.
|
||||
pg_dump --format=custom --compress=6 --no-owner --no-privileges \
|
||||
| openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt \
|
||||
-pass env:SICHERUNG_PASSWORT \
|
||||
-out "$DATEI"
|
||||
|
||||
GROESSE="$(du -h "$DATEI" | cut -f1)"
|
||||
sha256sum "$DATEI" > "$DATEI.sha256"
|
||||
|
||||
# Der jeweils erste Stand eines Monats bekommt eine Markierung und bleibt
|
||||
# beim Aufraeumen verschont.
|
||||
if [ "$TAG_IM_MONAT" = "01" ]; then
|
||||
touch "$DATEI.monatsstand"
|
||||
fi
|
||||
|
||||
echo "$(date -Iseconds) Sicherung fertig ($GROESSE)"
|
||||
|
||||
# --- Aufraeumen --------------------------------------------------------------
|
||||
ENTFERNT=0
|
||||
for alt in "$ZIEL"/cockpit_*.dump.enc; do
|
||||
[ -e "$alt" ] || continue
|
||||
[ -e "$alt.monatsstand" ] && continue
|
||||
|
||||
if [ -n "$(find "$alt" -mtime "+$AUFBEWAHRUNG" 2>/dev/null)" ]; then
|
||||
rm -f "$alt" "$alt.sha256"
|
||||
ENTFERNT=$((ENTFERNT + 1))
|
||||
fi
|
||||
done
|
||||
|
||||
[ "$ENTFERNT" -gt 0 ] && echo "$(date -Iseconds) $ENTFERNT alte Staende entfernt"
|
||||
|
||||
# --- Selbstpruefung ----------------------------------------------------------
|
||||
# Ein Backup, das sich nicht entschluesseln laesst, ist kein Backup.
|
||||
# Deshalb wird sofort geprueft, ob die Datei wieder lesbar ist.
|
||||
if openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
|
||||
-pass env:SICHERUNG_PASSWORT -in "$DATEI" 2>/dev/null \
|
||||
| head -c 5 | grep -q "PGDMP"; then
|
||||
echo "$(date -Iseconds) Selbstpruefung bestanden."
|
||||
else
|
||||
echo "$(date -Iseconds) FEHLER: Die Sicherung laesst sich nicht entschluesseln!" >&2
|
||||
exit 1
|
||||
fi
|
||||
@@ -0,0 +1,100 @@
|
||||
#!/bin/sh
|
||||
# =============================================================================
|
||||
# Sicherung zurueckspielen
|
||||
# =============================================================================
|
||||
#
|
||||
# docker compose exec sicherung /bin/sh /wiederherstellung.sh /backups/cockpit_2026-08-22_0315.dump.enc
|
||||
#
|
||||
# Das Skript spielt eine verschluesselte Sicherung zurueck. Es fragt
|
||||
# ausdruecklich nach, weil dabei der aktuelle Datenbestand ueberschrieben
|
||||
# wird.
|
||||
#
|
||||
# ZWEI DINGE, DIE MAN VORHER WISSEN MUSS:
|
||||
#
|
||||
# 1. Die Sicherung enthaelt die anwendungsseitig verschluesselten Felder,
|
||||
# aber NICHT den Schluessel. Ohne den passenden ENC_KEY_Vn aus der .env
|
||||
# bleiben Diagnosen, IBANs, Versicherungsnummern und Notizen unlesbar -
|
||||
# die Datenbank ist dann zwar da, aber halb blind.
|
||||
#
|
||||
# 2. Ein Backup, das nie zurueckgespielt wurde, ist kein Backup. Probiere
|
||||
# das hier einmal im Jahr auf einer Testdatenbank aus, bevor du es im
|
||||
# Ernstfall zum ersten Mal brauchst. Siehe README, Abschnitt
|
||||
# "Wiederherstellung ueben".
|
||||
# =============================================================================
|
||||
|
||||
set -eu
|
||||
|
||||
DATEI="${1:-}"
|
||||
|
||||
if [ -z "$DATEI" ]; then
|
||||
echo "Aufruf: $0 <pfad-zur-sicherung.dump.enc>" >&2
|
||||
echo "" >&2
|
||||
echo "Vorhandene Sicherungen:" >&2
|
||||
ls -lh "${SICHERUNG_ZIEL:-/backups}"/cockpit_*.dump.enc 2>/dev/null >&2 || echo " keine gefunden" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
if [ ! -f "$DATEI" ]; then
|
||||
echo "FEHLER: $DATEI gibt es nicht." >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
if [ -z "${SICHERUNG_PASSWORT:-}" ]; then
|
||||
echo "FEHLER: SICHERUNG_PASSWORT ist nicht gesetzt." >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
# --- Pruefsumme -------------------------------------------------------------
|
||||
if [ -f "$DATEI.sha256" ]; then
|
||||
echo "Pruefsumme wird geprueft ..."
|
||||
if sha256sum -c "$DATEI.sha256" >/dev/null 2>&1; then
|
||||
echo " in Ordnung."
|
||||
else
|
||||
echo "FEHLER: Die Pruefsumme stimmt nicht. Die Datei ist beschaedigt." >&2
|
||||
exit 1
|
||||
fi
|
||||
else
|
||||
echo "WARNUNG: Keine Pruefsummendatei gefunden - es wird ungeprueft fortgefahren."
|
||||
fi
|
||||
|
||||
# --- Sicherheitsabfrage ------------------------------------------------------
|
||||
echo ""
|
||||
echo "Es wird zurueckgespielt nach:"
|
||||
echo " Datenbank: ${PGDATABASE:-?} auf ${PGHOST:-?}"
|
||||
echo " Aus Datei: $DATEI"
|
||||
echo ""
|
||||
echo "DER AKTUELLE DATENBESTAND WIRD DABEI UEBERSCHRIEBEN."
|
||||
echo ""
|
||||
|
||||
if [ "${SICHERUNG_OHNE_RUECKFRAGE:-}" != "ja" ]; then
|
||||
printf "Zum Fortfahren bitte JA eingeben: "
|
||||
read -r antwort
|
||||
if [ "$antwort" != "JA" ]; then
|
||||
echo "Abgebrochen."
|
||||
exit 1
|
||||
fi
|
||||
fi
|
||||
|
||||
# --- Zurueckspielen ----------------------------------------------------------
|
||||
echo ""
|
||||
echo "$(date -Iseconds) Wiederherstellung beginnt ..."
|
||||
|
||||
# --clean --if-exists raeumt vorhandene Objekte ab, bevor sie neu angelegt
|
||||
# werden. --no-owner, weil der Eigentuemer auf einem anderen Server anders
|
||||
# heissen kann.
|
||||
openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
|
||||
-pass env:SICHERUNG_PASSWORT -in "$DATEI" \
|
||||
| pg_restore --clean --if-exists --no-owner --no-privileges \
|
||||
--dbname="${PGDATABASE:-postgres}" --exit-on-error
|
||||
|
||||
echo "$(date -Iseconds) Wiederherstellung abgeschlossen."
|
||||
echo ""
|
||||
echo "Naechste Schritte:"
|
||||
echo " 1. Die SQL-Skripte erneut ausfuehren (Volltextsuche und Audit-Schutz):"
|
||||
echo " docker compose exec app npm run db:sql"
|
||||
echo " 2. Pruefen, ob ENC_KEY_V1 in der .env zu diesem Bestand passt -"
|
||||
echo " ohne den richtigen Schluessel bleiben die verschluesselten"
|
||||
echo " Felder unlesbar."
|
||||
echo " 3. In der Anwendung eine betreute Person oeffnen und nachsehen, ob"
|
||||
echo " die Diagnosen im Klartext erscheinen. Erst dann ist die"
|
||||
echo " Wiederherstellung wirklich gelungen."
|
||||
Reference in New Issue
Block a user