Diese Seite ist für die Menschen geschrieben, die den Lieferantenfragebogen ausfüllen. Sie nennt den Stand — auch dort, wo er noch offen ist.
Jeder Bereich lässt sich einzeln prüfen und ist Bestandteil der Unterlagen, die Sie vor Vertragsschluss erhalten.
Jeder Zugriff ist an eine benannte Person und eine Rolle gebunden.
Verschlüsselt auf dem Transportweg und im Ruhezustand.
Betrieb in deutschen Rechenzentren mit dokumentierten Abläufen.
Sicherheit ist Teil der Entwicklung, nicht ein Schritt danach.
Wer wann was geändert hat, bleibt nachlesbar.
Ein klarer Weg, wenn etwas passiert — und eine Frist.
Die Aufstellung folgt der Gliederung, die in Lieferantenfragebögen üblich ist. Was noch nicht umgesetzt ist, steht ebenfalls hier.
| Maßnahme | Umsetzung | Stand |
|---|---|---|
| Zutrittskontrolle | Rechenzentrum mit Vereinzelungsanlage, Videoüberwachung und protokolliertem Zutritt. Kein physischer Zugang für unsere Mitarbeitenden. | Umgesetzt |
| Zugangskontrolle | Benannte Konten, Zwei-Faktor-Authentifizierung, automatische Sperrung nach Inaktivität, Anbindung an Ihren Identitätsanbieter. | Umgesetzt |
| Zugriffskontrolle | Rollen- und Rechtekonzept, Vergabe nach geringsten Rechten, jährliche Überprüfung der Berechtigungen. | Umgesetzt |
| Trennungskontrolle | Daten unterschiedlicher Kunden sind vollständig voneinander getrennt. Getrennte Umgebungen für Test und Betrieb. | Umgesetzt |
| Weitergabekontrolle | Verschlüsselter Transport, keine Übermittlung in Drittländer, dokumentierte Liste der Unterauftragsverarbeiter. | Umgesetzt |
| Eingabekontrolle | Protokollierung von Änderungen mit Zeitstempel und handelnder Person, revisionssicher aufbewahrt. | Umgesetzt |
| Verfügbarkeitskontrolle | Tägliche Sicherung, quartalsweise geprüfte Wiederherstellung, redundante Auslegung innerhalb Deutschlands. | Umgesetzt |
| Belastbarkeitsprüfung | Jährlicher Penetrationstest durch einen externen Dienstleister, Bericht auf Anfrage unter Verschwiegenheitsvereinbarung. | In Vorbereitung |
| Zertifizierung ISO 27001 | Das Informationssicherheits-Managementsystem wird an der Norm ausgerichtet. Ein Zertifikat liegt derzeit nicht vor. | In Vorbereitung |
| Prüfbericht SOC 2 Type II | Ein Bericht einer Wirtschaftsprüfungsgesellschaft ist geplant, aber noch nicht erstellt. | In Vorbereitung |
Ausschließlich in Rechenzentren in Deutschland, Hauptstandort Frankfurt am Main. Eine Übermittlung in Länder außerhalb der Europäischen Union findet nicht statt, auch nicht zu Zwecken des Supports.
Nein. Wir richten unser Informationssicherheits-Managementsystem an der Norm aus, halten aber kein Zertifikat. Wir weisen das offen aus, statt mit einem Siegel zu werben, das uns niemand ausgestellt hat. Denselben Stand hat der Prüfbericht SOC 2 Type II.
Ja, er ist Bestandteil jedes Vertrags und muss nicht gesondert verhandelt werden. Die Vereinbarung liegt unter Auftragsverarbeitung öffentlich einsehbar vor.
Ja. Ab einer Größe von etwa zweitausend Mitarbeitenden erstellen wir eine individuelle Lösung, in der Rollenkonzept, Protokollierung und vertragliche Anforderungen an Ihre Vorgaben angepasst werden.
Über das Kontaktformular mit dem Anliegen „Sonstiges Anliegen“ und dem Stichwort Sicherheit. Wir bestätigen den Eingang und nennen einen Ansprechpartner. Meldungen behandeln wir vertraulich.
Sie erhalten dreißig Tage lang einen Export in einem gängigen Format. Danach werden die Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung bestätigen wir auf Anforderung schriftlich.