Lösungen · Institutionen & Verwaltung
Ein Rathaus oder eine Institution hat eine feste Liste obligatorischer Abschnitte, eine Pflicht zur Entscheidungstransparenz und einen Mitarbeiter, der eine Ankündigung veröffentlichen muss, ohne einen Programmierer anrufen zu müssen. Wir bauen genau das, mit einem Audit-Log, das sich fristgerecht selbst löscht, und mit einer Begrenzung der Authentifizierungsversuche.
Bereits gebautZwei eigene Plattformen, öffentlich und heute überprüfbar. Die erste ist die offizielle Website einer Gemeindeverwaltung: Laravel 12 auf PHP 8.2 mit MySQL 8, 40 Vorlagen, 32 Routen, 10 Migrationen, wobei der selten wechselnde redaktionelle Inhalt in einer einzigen Konfigurationsdatei mit 1.613 Zeilen gehalten wird und der häufig wechselnde Inhalt in der Datenbank, vom Panel aus bearbeitbar; die Anmeldung im Panel ist auf 5 Anfragen pro Minute begrenzt, und das Audit-Log wird täglich nach 12 Monaten gelöscht, mit ausdrücklichem Verweis auf die gesetzliche Grundlage. Die Security-Header können Sie von außen gerade jetzt lesen. Die zweite ist eine zivile Plattform in Produktion, mit 65 Schnittstellenrouten, über 50 Migrationen, 103 Testdateien auf Serverseite und 59 End-to-End-Szenarien, mit Barrierefreiheitsprüfung in den Tests. Was wir nicht als „geliefert“ angeben: die Interoperabilität mit staatlichen Diensten — der Code für föderierte Authentifizierung und elektronische Signatur ist geschrieben und getestet, aber gestoppt, weil der Vertrag mit der Behörde und das Systemzertifikat fehlen.
Eine Website einer öffentlichen Institution wird nicht danach beurteilt, wie sie aussieht, sondern nach einer Liste. Der Regierungsbeschluss 728/2023 legt fest, welche Abschnitte vorhanden sein müssen: Entscheidungstransparenz, Projekte und Beschlüsse, Ankündigungen, Dokumente, Kontakte, Budget. Sie sind obligatorisch, werden geprüft und sind nicht verhandelbar. Deshalb bauen wir sie von Anfang an als Struktur und fügen sie nicht am Ende hinzu — am Schluss hinzugefügt wirken sie formell und unbrauchbar, und das sieht man sofort.
Die zweite Bedingung ist praktischer: Die Institution muss selbst veröffentlichen können. Eine Ausschreibungsankündigung, ein zur Konsultation gestellter Beschlussentwurf, ein Foto von einer Veranstaltung — wenn alles durch einen Entwickler laufen muss, bleibt die Information von öffentlichem Interesse auf Papier oder in einer sozialen Netzwerkgruppe, und die Website wird zu einer toten Vitrine. Wir haben bewusst zwei Arten von Inhalten getrennt: der redaktionelle Inhalt, der sich selten ändert — Geografie, Geschichte, Institutionen, Kontakte, Budget — steht in einer einzigen Konfigurationsdatei, die direkt von den Vorlagen gelesen wird; der Inhalt, der sich oft ändert, steht in der Datenbank und wird im Panel bearbeitet.
Die dritte Bedingung ist die, nach der im Leistungsverzeichnis niemand fragt: Was geschieht mit den Daten. Ein öffentliches Verwaltungs-Panel braucht eine Begrenzung der Authentifizierungsversuche — bei der sechsten Anfrage innerhalb einer Minute von derselben Adresse lautet die Antwort 429, und das ist durch einen automatischen Test abgedeckt, nicht angenommen. Das Audit-Log enthält IP-Adressen, also personenbezogene Daten: Ein geplanter Task löscht täglich alles, was älter als zwölf Monate ist, mit der rechtlichen Grundlage im Kommentar des Codes geschrieben, nicht in einem separaten Dokument, das niemand öffnet.
Und schließlich der Teil, über den wir lieber vor der Ausschreibung sprechen: die Interoperabilität mit staatlichen Diensten. Die föderierte Authentifizierung und die elektronische Signatur sind bei uns geschrieben und getestet, aber per Schalter abgeschaltet, weil der Vertrag mit der Behörde und das Systemzertifikat fehlen — das Papier fehlt, nicht der Code. Für die staatliche Zahlungsplattform, den Interoperabilitäts-Bus und das Bürgerkonto haben wir in keinem Repository Code, und wir schreiben das auch so.
Was dazugehört
Entscheidungs-Transparenz, Projekte und Entscheidungen, Bekanntmachungen, Dokumente, Kontakte, Budget sowie die Barrierefreiheitserklärung, die Information über die Datenverarbeitung, der Bereich für offene Daten und die Website-Karte. Die Einhaltung des Regierungsbeschlusses ist im Code geschrieben — in Vorlagen und in der Konfiguration — nicht nur im Angebot behauptet.
Was sich selten ändert — Daten zur Ortschaft, Geschichte, Institutionen, Zusammensetzung des Rates, Kontakte, Budget — steht in einer einzigen Konfigurationsdatei mit 1.613 Zeilen, die direkt von Vorlagen gelesen wird; was sich oft ändert — Bekanntmachungen, Galerie, Projekte und Entscheidungen, Dokumente, Transparenzeinstellungen — steht in der Datenbank und wird aus dem Panel bearbeitet. Die Trennung ist nicht ästhetisch: Sie reduziert auf ein Minimum, was jemand durch eine falsche Bearbeitung beschädigen kann.
Das Panel deckt genau die Vorgänge ab, die wöchentlich in einer Stadtverwaltung durchgeführt werden: eine neue Bekanntmachung, ein zur Konsultation gestellter Entscheidungsentwurf, ein hochgeladenes Dokument, einige Fotos. Jede Verwaltungsaktion geht in eine Audit-Tabelle ein — wer, was, wann — denn in einer öffentlichen Einrichtung hat die Frage „wer hat das veröffentlicht“ früher oder später eine Antwort, die zählt.
Fünf Anfragen pro Minute von derselben Adresse für das Anmeldeformular; die sechste erhält 429. Es ist keine Einstellung, die wir nur behaupten: Es gibt einen automatisierten Test, der genau die Rückgabe des Codes 429 überprüft. Der Unterschied zwischen einer konfigurierten und einer getesteten Maßnahme zeigt sich erst, wenn jemand eine Route ändert und sie vergisst.
In Produktion werden sie von außen gelesen: das Verbieten der Einbettung in Frames, `nosniff`, eine strikte Referrer-Policy, erzwungener sicherer Transport für ein Jahr mit Subdomains, eine Berechtigungsrichtlinie, die Geolokalisierung, Mikrofon und Kamera schließt, plus eine explizite Content-Security-Policy. Wir prüfen sie mit einer Anfrage, nicht mit einem Versprechen.
Die Audit-Protokolle enthalten IP-Adressen. Eine Aufgabe läuft täglich und löscht alles, was älter als zwölf Monate ist, wobei der Verweis auf die gesetzliche Grundlage im Code-Kommentar geschrieben ist. Es ist der Unterschied zwischen einer Datenschutzerklärung, die sagt „wir bewahren so lange auf, wie nötig“, und einem System, in dem die Frist tatsächlich von selbst angewendet wird.
Auf der zivilen Plattform läuft die Prüfung in den automatisierten Tests nach den Kriterien WCAG 2.0 A und AA sowie 2.1 A und AA, mit einer Referenzlinie pro Seite: jedes neue Problem stoppt die Auslieferung, auch wenn sich das allgemeine Niveau nicht geändert hat. Für eine öffentliche Einrichtung ist Barrierefreiheit keine Imageoption, und die Barrierefreiheitserklärung wird nicht geschrieben, ohne dass etwas gelaufen ist.
Die öffentliche Startseite veröffentlicht strukturierte Daten vom Typ Regierungsorganisation, mit Postanschrift. Das zählt dafür, wie die Institution in Ergebnissen erscheint, und für Systeme, die automatisch lesen; es ist auch eine der wenigen Kategorien, für die die Dokumentation der Suchmaschine noch das mit häufigen Fragen angereicherte Ergebnis zeigt — aber „bekannt und maßgeblich“ ist kein Kästchen, das wir selbst ankreuzen, daher verkaufen wir es nicht als Liefergegenstand.
Wir erklären nicht als geliefert die Verbindung mit der staatlichen Zahlungsplattform, mit dem Interoperabilitäts-Backbone oder mit dem Bürgerbüro: Dafür haben wir in keinem Repository Code. Die föderierte Authentifizierung und die elektronische Signatur haben wir geschrieben und getestet, aber deaktiviert — es fehlen der Vertrag mit der Behörde und das Systemzertifikat. Und das Hosting auf staatlicher Infrastruktur, wo es obligatorisch ist, ist eine Verfahrensanforderung, keine technische Option.
Traseul
Die erste Lieferung ist die Liste der obligatorischen Abschnitte für Ihren Institutionstyp und ihre Zuordnung zu dem, was Sie heute veröffentlichen. Von hier aus sieht man, was fehlt, was auf dem Papier existiert und was an einem Ort veröffentlicht ist, der nicht zitiert werden kann. Das Design kommt nach der Liste, nicht umgekehrt.
Was sich selten ändert, geht in die Konfiguration, was sich oft ändert, geht in die Basis, mit Panel. Wir liefern die vervollständigte Struktur mit den echten Daten der Institution — nicht mit Fülltext — denn eine Website einer Institution mit provisorischem Inhalt kann von niemandem bewertet werden und bleibt in der Regel so.
Die Grenze beim Anmeldeformular mit Test, der sie überprüft, Audit-Protokoll mit planmäßiger Löschung zum Termin, Sicherheits-Header von außen geprüft, Informationsseite zur Datenverarbeitung mit den genannten Rechtsgrundlagen. Wir liefern das Ergebnis der Prüfungen, nicht nur die Konfiguration.
Wir übergeben das Repository, das Dokument zur Inbetriebnahme und die Zugänge, plus eine Schulung für die Person, die die Mitteilungen veröffentlichen wird. Die Lieferung gilt nicht als abgeschlossen, bis ein Beamter selbst eine Mitteilung veröffentlicht hat, die auf der Website erscheint.
Die Daten
Die Regeln unterscheiden sich von Branche zu Branche. Dies sind die, die in Institutionen & Verwaltung gelten.
Ein Fall
Die Ausgangslage
Das Administrationspanel einer Bürgermeister-Website führt ein Audit-Protokoll: wer veröffentlicht hat, was und wann. Das Protokoll enthält IP-Adressen und damit personenbezogene Daten. Fast alle Websites dieser Art lösen das Problem in einem Satz der Datenschutzerklärung — „wir speichern die Daten, solange es erforderlich ist“ — und damit endet es.
Was wir gebaut haben
Ich habe den Begriff als geplante Aufgabe geschrieben: Eine Routine läuft täglich und löscht aus dem Journal alles, was älter als zwölf Monate ist, wobei der Verweis auf die rechtliche Grundlage als Kommentar über dem Code steht. In derselben Phase habe ich die Grenze für das Anmeldeformular gesetzt — fünf Anfragen pro Minute von derselben Adresse — und einen automatischen Test hinzugefügt, der die Rückgabe des Codes 429 überprüft, damit die Maßnahme bei einer Refaktorisierung nicht stillschweigend verschwindet.
Was dabei herauskam
Die veröffentlichte Politik und das Verhalten des Systems sagen dasselbe, und der Unterschied lässt sich überprüfen: Die Frist ist eine Codezeile, die jede Nacht ausgeführt wird, keine Absicht. Die Sicherheits-Header lassen sich von außen mit einer einzigen Anfrage auslesen.
Was der Fall nicht sagt
Hosting, Veröffentlichungsartefakte und Serverkonfiguration bleiben interne Informationen. Und der Inhalt — die Daten über die Ortschaft, die Zusammensetzung des Rates, das Budget — gehört der Institution und wird von ihr bereitgestellt: Wir haben die Struktur und das Panel gebaut, nicht die Daten.
Fragen
Die Liste stammt aus der Regierungsentscheidung 728/2023: Entscheidungstransparenz, Projekte und Beschlüsse, Ankündigungen, Dokumente, Kontakte, Budget sowie die Seiten zur Zugänglichkeit und zur Information über die Datenverarbeitung. Wir bauen sie von Anfang an als Struktur. In der Arbeit, die wir zitieren, ist die Konformität im Code geschrieben — in Vorlagen und in der Konfiguration — nicht nur im Angebot behauptet.
Ja, und das ist die halbe Arbeit. Die Ankündigungen, Entscheidungsentwürfe, Dokumente und die Galerie werden vom Panel aus bearbeitet. Was in der Konfiguration bleibt, sind Inhalte, die sich selten ändern — Geschichte, Geografie, Zusammensetzung des Rates — gerade damit eine routinemäßige Bearbeitung die Struktur nicht beschädigen kann.
Ja. Jede Verwaltungshandlung wird in eine Audit-Tabelle eingetragen, mit dem Akteur, der Rolle, dem Ereignistyp und dem Zeitpunkt. Das Journal enthält auch die IP-Adresse, also ist es personenbezogene Daten und hat eine Frist: Alles, was älter als zwölf Monate ist, wird täglich gelöscht.
Beim sechsten Versuch innerhalb einer Minute von derselben Adresse erhält man 429. Das ist keine Behauptung: Ein automatischer Test prüft genau diesen Antwortcode. Außerdem lassen sich die Sicherheits-Header der echten Antwort von außen auslesen — Frame-Blocking, `nosniff`, Referrer-Policy, erzwungener sicherer Transport und eine explizite Content-Policy.
Der Code ist geschrieben und getestet, aber über einen Schalter deaktiviert, und der Standardtest prüft gerade, dass der deaktivierte Zustand nichts durchlässt. Was fehlt, ist nicht der Code: Es fehlen der Vertrag mit der Behörde und das Systemzertifikat. Die heute funktionierende Variante ist, dass der Bürger auf dem offiziellen Portal unterschreibt und das unterschriebene Dokument zurück hochlädt. Wir sagen das lieber vor der Ausschreibung, nicht danach.
Wir haben dafür keinen Code, in keinem Repository — ebenso wenig für die Interoperabilitätsplattform und das Bürgerbüro. Das haben wir mit einer Suche nach ganzen Wörtern in all unseren Projekten überprüft. Wenn eine Institution sie benötigt, ist das eine Integrationsarbeit mit ihren eigenen Bedingungen und ihrem eigenen Zeitplan für Vereinbarungen, und so schreiben wir es in das Angebot.
Dort, wo es durch Regierungsbeschluss vorgeschrieben ist, ja, und es ist eine Verfahrensanforderung, keine technische Wahl. Wir behandeln es von Anfang an so, weil es die Veröffentlichungsweise und die Liste der erforderlichen Vereinbarungen verändert, nicht nur die Serveradresse.
Mit einer Prüfung, die in den automatisierten Tests läuft, nach den Kriterien WCAG 2.0 A und AA sowie 2.1 A und AA, mit einer Referenzzeile pro Seite: Jedes neue Problem stoppt die Auslieferung. Die Zugänglichkeitserklärung wird geschrieben, nachdem die Prüfung gelaufen ist, nicht vorher — sonst ist es ein Text, der der Seite widerspricht, auf der er steht.
Auf der zivilen Plattform bleibt das Rohfoto privater Beweis; öffentlich gelangt nur die redigierte Version, mit erhaltener Herkunft und mit der ausdrücklichen Genehmigung eines Moderators, und die Person, die redigiert, ist nicht die, die genehmigt. Wenn der Status eines Bildes unsicher wird, wird die Akte automatisch aus der Öffentlichkeit entfernt. Das sind Einschränkungen in der Datenbank, keine Anweisungen für den Betreiber.
Erzählen Sie uns von Ihrem Prozess. Gemeinsam legen wir fest, was sich zu bauen lohnt, was wir anbinden können und wie wir das Ergebnis prüfen.