Quelltext der Seite DocuSeal: Absichern, Backup und Betrieb

{{Steckbrief
| gilt_fuer   = DocuSeal 3.3.x selbst gehostet mit Docker Compose und PostgreSQL (alternativ SQLite); Dateien lokal oder in S3-kompatiblem Speicher
| bereich     = Server-Software
| dauer       = Härtung ca. 1 Stunde; Backup-Einrichtung ca. 1 Stunde; Restore-Test ca. 30 Minuten
| rechte      = Root auf dem Docker-Host, Administrator in DocuSeal
| stand       = Oktober 2026
}}
'''DocuSeal absichern, sichern und betreiben''' ist Pflicht, sobald Verträge und Personalunterlagen über den Server laufen: Er ist aus dem Internet erreichbar, verwaltet rechtlich relevante Dokumente mit personenbezogenen Daten und erzeugt die Prüfprotokolle, auf die man sich im Streitfall beruft. Diese Anleitung fasst die wichtigsten Einstellungen für Konten und Download-Links zusammen, zeigt ein vollständiges Backup inklusive des oft vergessenen Schlüssels und beschreibt Updates und Überwachung.

[[Datei:DocuSeal-Betrieb.png|thumb|center|750px|DocuSeal absichern und sichern: 2FA mit Authenticator-App für alle Benutzer erzwingen, Sitzungsdauer begrenzen (SESSION_REMEMBER_DAYS, Standard 730 Tage), Download-Links mit Ablauf und Anmeldung, privater Speicher; Reverse Proxy mit HTTPS, nur Ports 80 und 443; Backup aus PostgreSQL-Dump, Datenordner mit attachments und docuseal.env, .env mit SECRET_KEY_BASE und Compose-Dateien, verschlüsselt außer Haus; ohne SECRET_KEY_BASE sind Zertifikate und SMTP-Einstellungen nicht lesbar; wöchentliche Updates mit Sicherheitskorrekturen; Überwachung von /up.]]

== Schritt 1: Konten absichern ==
* '''Zwei-Faktor-Pflicht''': ''Einstellungen › Konto › 2FA mit Authenticator-App erzwingen''. Jeder Benutzer muss danach unter ''Einstellungen › Profil'' eine Authenticator-App einrichten, bevor er weiterarbeiten kann. Siehe [[Zwei-Faktor-Authentifizierung]].
* '''Wenige Benutzer''': In der freien Version ist jeder Benutzer Administrator und sieht alle Vorlagen und Einreichungen – inklusive Personalunterlagen. Benutzerkreis klein halten, ausgeschiedene Mitarbeiter sofort unter ''Einstellungen › Benutzer'' entfernen.
* '''Sitzungsdauer''': Ein angemeldeter Browser bleibt standardmäßig '''730 Tage''' angemeldet (<code>SESSION_REMEMBER_DAYS</code>). Für den Unternehmenseinsatz auf z. B. 7 bis 14 Tage verkürzen.
* '''API- und MCP-Token''' nur bei Bedarf erzeugen und regelmäßig erneuern, siehe [[DocuSeal: API, Webhooks und Automatisierung]].
* '''SSO''' mit SAML (z. B. [[Entra ID]]) gibt es nur in Pro.

== Schritt 2: Dokumente und Links schützen ==
{| class="wikitable"
! Einstellung !! Wo !! Empfehlung
|-
| Authentifizierung für Dateidownload-Links erforderlich || ''Einstellungen › Konto'' || an – Links zu Dokumenten funktionieren nur mit Anmeldung oder API-Schlüssel
|-
| Ablaufbare Datei-Download-Links || ''Einstellungen › Konto'' || an
|-
| <code>FILE_URLS_EXPIRE_MINUTES</code> || Umgebung || Standard 40 Minuten lassen oder verkürzen
|-
| <code>ACTIVE_STORAGE_PUBLIC</code> || Umgebung || nicht setzen bzw. <code>false</code> – Dateien werden über DocuSeal ausgeliefert, nicht direkt aus dem Speicher
|-
| E-Mail-2FA erforderlich, um zu öffnen || Vorlage || für vertrauliche Dokumente aktivieren
|-
| Objektspeicher || S3-Bucket || privat, Verschlüsselung an, Versionierung an
|}

== Schritt 3: Server und Netzwerk ==
* Nur der Reverse Proxy ist von außen erreichbar (Ports 80 und 443); PostgreSQL und Port 3000 der App nicht veröffentlichen.
* Der Server muss für Empfänger aus dem Internet erreichbar sein. Eine Web Application Firewall oder Geo-Filter auf der Firewall sind möglich, dürfen aber ausländische Vertragspartner nicht aussperren.
* Ausgehend braucht DocuSeal SMTP, den Zeitstempel-Server, gegebenenfalls Objektspeicher und die Webhook-Ziele.
* Host härten: aktuelle Updates, SSH nur mit Schlüssel, eigene VM für DocuSeal.
* '''Logs''': DocuSeal schreibt nach stdout; mit <code>docker compose logs</code> einsehen oder an ein zentrales Logsystem weiterleiten.

== Schritt 4: DocuSeal-Backup einrichten ==
Ein vollständiges Backup besteht aus vier Teilen:
{| class="wikitable"
! Teil !! Inhalt !! Hinweis
|-
| '''Datenbank''' (PostgreSQL) || Vorlagen, Einreichungen, Ereignisse, Benutzer, verschlüsselte Einstellungen und Zertifikate || mit <code>pg_dump</code>
|-
| '''Datenordner''' <code>./docuseal</code> || <code>attachments/</code> (Originale, signierte PDFs, Prüfprotokolle), gegebenenfalls <code>docuseal.env</code> und bei SQLite <code>db.sqlite3</code> || bei S3 liegen die Dateien im Bucket
|-
| '''Schlüssel''' || <code>SECRET_KEY_BASE</code> (und <code>ENCRYPTION_SECRET</code>, falls gesetzt) aus <code>.env</code> bzw. <code>docuseal.env</code> || '''ohne ihn sind SMTP-Zugang und Signaturzertifikate in der Datenbank nicht entschlüsselbar'''
|-
| '''Konfiguration''' || <code>compose.yaml</code>, <code>.env</code>, Caddy-Daten || für schnellen Wiederaufbau
|}

<code>/usr/local/sbin/docuseal-backup.sh</code>:
<syntaxhighlight lang="bash">
#!/bin/bash
set -euo pipefail
cd /opt/docuseal
STAGE=/var/backups/docuseal/stage
mkdir -p "$STAGE"

# Datenbank konsistent sichern
docker compose exec -T postgres pg_dump -U docuseal -Fc docuseal > "$STAGE/docuseal.dump"

# Dateien und Konfiguration
rsync -a --delete ./docuseal/ "$STAGE/docuseal/"
cp compose.yaml .env "$STAGE/"

# Verschlüsselt und versioniert außer Haus
export RESTIC_REPOSITORY=sftp:backup@nas.firma.lan:/backup/docuseal
export RESTIC_PASSWORD_FILE=/root/.restic-docuseal
restic backup "$STAGE" --tag docuseal
restic forget --keep-daily 14 --keep-weekly 8 --keep-monthly 24 --prune
</syntaxhighlight>
* Täglich per Cron ausführen und den Erfolg überwachen.
* Bei '''SQLite''' statt PostgreSQL die Datenbank mit <code>sqlite3 docuseal/db.sqlite3 ".backup '/var/backups/docuseal/db.sqlite3'"</code> sichern, nicht einfach kopieren.
* Bei '''S3''' Versionierung oder Objektsperre im Bucket aktivieren und den Bucket zusätzlich in ein zweites Ziel replizieren.
* Das restic-Passwort und den <code>SECRET_KEY_BASE</code> zusätzlich außerhalb des Servers hinterlegen, z. B. im Passwortmanager der IT, siehe [[Vaultwarden]].

== Schritt 5: Wiederherstellen ==
# Neuen Host mit Docker vorbereiten, Snapshot zurückholen: <code>restic restore latest --target /tmp/restore</code>
# <code>compose.yaml</code>, <code>.env</code> und den Ordner <code>docuseal/</code> nach <code>/opt/docuseal</code> kopieren.
# Nur die Datenbank starten: <code>docker compose up -d postgres</code>
# Dump einspielen: <code>docker compose exec -T postgres pg_restore -U docuseal -d docuseal --clean --if-exists < docuseal.dump</code>
# Alles starten: <code>docker compose up -d</code>, anmelden, eine abgeschlossene Einreichung öffnen und ihr PDF herunterladen, ''E-Signatur'' auf das Zertifikat prüfen.
* Den Ablauf '''mindestens vierteljährlich''' auf einem isolierten Testsystem ohne SMTP durchspielen, damit keine Mails an echte Empfänger gehen.

== Schritt 6: Updates und Überwachung ==
* DocuSeal erscheint etwa '''wöchentlich'''; viele Versionen enthalten Sicherheitskorrekturen, der Hersteller empfiehlt Selbsthostern ausdrücklich zeitnahe Updates. Feste Version in der <code>compose.yaml</code>, Releases auf GitHub abonnieren, nach dem Backup aktualisieren.
* '''Überwachen''': <code>https://sign.firma.de/up</code> (Status 200), Zertifikatslaufzeit des Proxys, Laufzeit des Signaturzertifikats, Speicherplatz, Backup-Erfolg, Zustellung der E-Mails (Bounces).
* '''E-Mail-Zustellbarkeit''': SPF, DKIM und DMARC der Absenderdomain prüfen; Signaturanfragen, die im Spam landen, sind der häufigste Supportfall.

== Hinweise ==
* '''Kompromittierung''': Server isolieren, neu aufsetzen, <code>SECRET_KEY_BASE</code>, Datenbank-, SMTP- und API-Zugänge sowie das Signaturzertifikat erneuern. Ein neuer <code>SECRET_KEY_BASE</code> macht verschlüsselte Einstellungen unlesbar – SMTP und Zertifikate danach neu eintragen. Prüfen, ob Dokumente abgeflossen sind, und Meldepflichten nach DSGVO beachten.
* Bei Betrieb, Überwachung und Datensicherung von Serveranwendungen unterstützen Sie die [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it].

== Siehe auch ==
* [[DocuSeal]] – Überblick und alle Artikel der Reihe
* [[DocuSeal: Installation mit Docker Compose]]
* [[Datensicherung]]
* [[DocuSeal: Datenschutz und Aufbewahrung im Unternehmen]]

== Links und Quellen ==
* [https://github.com/docusealco/docuseal/releases DocuSeal Releases auf GitHub]
* [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it]

{{Uebermax}}
[[Kategorie:Server-Software]]