Sicherheitsarchitektur und Meta-Berechtigungen

Wenn du einen Kanal verbindest, zeigt Meta dir eine Liste von Berechtigungen. Die meisten Werkzeuge erklären sie nicht, und die Liste ist für sich genommen auch nicht verständlich. Hier steht deshalb zu jedem Scope, wofür genau er gebraucht wird - und was ohne ihn nicht funktionieren würde.

Instagram Business

Facebook-Seiten

Facebook läuft nicht über eine Scope-Liste, sondern über eine Login-for-Business-Konfiguration. Der Unterschied ist nicht kosmetisch: Eine Konfiguration rendert immer denselben Dialog mit Asset-Auswahl, statt Meta die Wahl der Zustimmungsoberfläche zu überlassen. Du siehst dadurch verlässlich, welche Seiten du freigibst.

Was nicht angefragt wird

• Beiträge veröffentlichen, ändern oder löschen
• Direktnachrichten lesen oder senden
• Werbekonten, Budgets oder Kampagnen
• Profil- oder Seiteneinstellungen ändern

Der einzige Schreibzugriff, den Doorman überhaupt ausübt, sind das Verbergen von Kommentaren und - wenn du Antworten aktiviert hast - Antworten auf Kommentare.

Die Verarbeitung ist ereignisbasiert: Meta stellt zu, sobald jemand kommentiert. Ein öffentlich erreichbarer Endpunkt, der auf Zuruf Moderationsentscheidungen auslöst, ist ohne Prüfung eine Einladung. Deshalb steht die Signaturprüfung vor allem anderen.

• Jede eingehende Meldung von Meta trägt eine Signatur über den rohen Anfragekörper. Geprüft wird gegen genau diesen rohen Körper - nicht gegen das wieder serialisierte JSON, weil das nicht bytegleich sein muss.
• Der Vergleich läuft in konstanter Zeit. Ein Vergleich, der beim ersten abweichenden Zeichen abbricht, verrät über seine Laufzeit, wie weit ein Rateversuch gekommen ist.
• Dieselbe Regel gilt für die Meldungen des Zahlungsanbieters. Eine gefälschte Zahlungsmeldung wäre ein Abo, das niemand bezahlt hat.
• Eine Meldung, die die Prüfung nicht besteht, erreicht die Verarbeitung nicht. Sie wird verworfen, nicht in eine Warteschlange gelegt.

Ein Meta-Zugriffstoken ist der Schlüssel zu deinem Kanal. Es wird deshalb nicht im Klartext gespeichert, sondern mit AES-256-GCM verschlüsselt. GCM ist dabei kein Detail für Kryptografen: Der Modus liefert nicht nur Vertraulichkeit, sondern auch Integrität - ein manipulierter Datensatz entschlüsselt nicht zu etwas anderem, sondern gar nicht.

• Der Schlüssel liegt nicht in der Datenbank. Wer eine Kopie der Datenbank hätte, hätte keine nutzbaren Tokens.
• Verschlüsselt und entschlüsselt wird an beiden Stellen, die Tokens brauchen - in der Anwendung und im Hintergrund-Worker - nach demselben Verfahren, damit es kein Format gibt, das nur eine Seite versteht.
• Alle Verbindungen laufen über HTTPS, auch die zwischen unseren eigenen Diensten.
• Sicherungskopien sind verschlüsselt und werden nicht länger aufbewahrt als die Daten, die in ihnen stehen.
• Die Anmeldung kennt einen zweiten Faktor, und das Löschen des Kontos verlangt ihn erneut.

Wenn ein Token abläuft

Tokens laufen ab, und ein Werkzeug, das rund um die Uhr moderiert, darf den Zugang nicht verlieren, weil jemand sein Passwort geändert hat. Der Zustand jedes verbundenen Kanals wird deshalb überwacht: Läuft ein Token aus oder wird es zurückgezogen, wird der Kanal als getrennt markiert und du wirst benachrichtigt. Was nicht passiert, ist stilles Weiterlaufen mit einem toten Zugang - eine Moderation, die nichts mehr tut, ohne es zu sagen, ist schlimmer als eine, die pausiert.

Zu jedem geprüften Kommentar wird festgehalten, wann er bewertet wurde, wie er bewertet wurde und welche deiner Regeln gegriffen hat. Das ist die Grundlage für zwei Dinge gleichzeitig: deine eigene Nachvollziehbarkeit und die Auskunft, die du einer betroffenen Person geben können musst.

Nach Ablauf der Aufbewahrungsfrist bleibt von diesem Protokoll der Verlauf ohne Text und ohne Namen übrig. Deine Auswertungen bauen darauf auf. Weil sich daraus niemand mehr zurückrechnen lässt, ist dieser Rest keine personenbezogene Verarbeitung mehr.

Kann Doorman in meinem Namen Beiträge veröffentlichen?

Nein. Die angefragten Berechtigungen decken Beiträge lesen, Kommentare lesen, verbergen und beantworten sowie das Abonnieren der Kommentar-Benachrichtigungen ab. Veröffentlichen, Ändern und Löschen von Beiträgen ist nicht darunter, ebenso wenig Direktnachrichten oder Werbekonten.

Was passiert, wenn ich einen Kanal trenne?

Das gespeicherte Zugriffstoken wird entfernt und die Verarbeitung für diesen Kanal endet sofort. Du kannst einen einzelnen Kanal trennen und bereinigen, ohne den Account aufzugeben; löschst du den Account, verschwinden alle personenbezogenen Daten samt hochgeladener Dateien und gespeicherter Zugänge.

Wie werden gefälschte Webhook-Anfragen erkannt?

Jede eingehende Meldung von Meta und vom Zahlungsanbieter trägt eine Signatur, die gegen den rohen Anfragekörper und in konstanter Zeit geprüft wird. Fällt die Prüfung negativ aus, wird die Meldung verworfen und erreicht die Verarbeitung nicht.

Sind meine Zugangsdaten zu Instagram bei euch gespeichert?

Nein - dein Passwort sieht Doorman nie. Die Verbindung läuft über den Anmeldedialog von Meta, an dessen Ende ein Zugriffstoken steht. Genau dieses Token wird bei uns mit AES-256-GCM verschlüsselt abgelegt, und der Schlüssel liegt nicht in der Datenbank.

• Sicherheit, DSGVO und EU AI Act im Überblick - der Datenfluss von der Zustellung bis zur Löschung.
• DSGVO in der automatisierten Kommentarmoderation - AVV, Betroffenenrechte und Fristen.
• Instagram-Kommentare moderieren - wie der Ablauf im Produkt aussieht.

Stand: 3. September 2026. Die Berechtigungen ändern sich, wenn Meta seine APIs ändert; dieser Artikel wird dann mit aktualisiert.