So schützen wir die Daten, die du mit uns migrierst

Verschlüsselung bei der Übertragung

HTTPS auf jeder Verbindung.

Verschlüsselung im Ruhezustand

Dateispeicher, Datenbanken, Backups und die Festplatten der Rechenjobs sind mit AES-256 verschlüsselt.

Plattform-Backups

Point-in-Time-Backups, sodass sich die Plattform auf einen exakten Zeitpunkt zurücksetzen lässt.

Kunden-Backups

Die Daten jedes Kunden werden alle sechs Stunden gesichert, mit einer Kopie in einem separaten AWS-Konto.

Nur die nötigen Daten

Eine Migration übernimmt nur die Daten, die sie braucht, auf deine dokumentierte Weisung.

Zugriff nach Rolle

Die Rolle entscheidet, was jemand sehen kann. Nur Administratoren und Data Engineers sehen Quelldaten im Klartext; alle anderen Rollen sehen nur anonymisierte Werte.

Least Privilege

Jede Rolle bekommt nur die Zugriffe, die ihre Aufgaben erfordern. Rollen, die nicht an Migrationen arbeiten, haben keinen Zugriff auf Migrationsdaten.

Phishing-resistente Anmeldung

Mitarbeitende melden sich per Single Sign-On mit einem Hardware-Sicherheitsschlüssel an.

Ablaufende Download-Links

Ein Link zu einer Datei läuft standardmäßig nach 15 Minuten ab, spätestens nach 60.

Audit-Logs

Jeder Klartext-Lesezugriff auf Quelldaten und jede Änderung an Migrationsdaten wird protokolliert. Im Produktivsystem sind Audit-Logs unveränderbar und werden 10 Jahre aufbewahrt.

Hosting in der EU und den USA

Die Plattform läuft bei AWS in Frankfurt (eu-central-1), verteilt auf mehrere Verfügbarkeitszonen. Für US-Kunden werden alle Daten in N. Virginia (us-east-1) verarbeitet und gespeichert.

Erkennung von Bedrohungen

AWS GuardDuty überwacht unsere Cloud-Konten auf verdächtige Aktivitäten.

Verwaltung von Zugangsdaten

Zugangsdaten und Schlüssel liegen in AWS Secrets Manager und sind mit AWS KMS verschlüsselt.

Getrennter Test- und Live-Zugang

Testimporte und Live-Importe in dein Zielsystem nutzen getrennte Zugangsdaten.

Verwaltete Firmengeräte

Alle Firmenlaptops werden zentral verwaltet: Sicherheitseinstellungen sind durchgesetzt, und ein verlorenes Gerät lässt sich aus der Ferne sperren oder löschen.

Endpoint Detection and Response

EDR-Software auf den Firmenlaptops erkennt Angriffe und reagiert darauf.

Passwort-Manager

Firmenpasswörter liegen in einem Passwort-Manager.

Meldung von Datenpannen

Betrifft ein Sicherheitsvorfall deine Daten, informieren wir dich unverzüglich, damit du deine 72-Stunden-Frist nach Art. 33 DSGVO einhalten kannst.

Bereitschaft

Zu Geschäftszeiten ist eine benannte Person in Bereitschaft, mit festgelegtem Eskalationsweg.

Nachbetrachtung

Auf jeden größeren Vorfall folgt eine schriftliche Nachbetrachtung (Post-Mortem) ohne Schuldzuweisung. Jede Folgemaßnahme wird verfolgt, bis sie erledigt ist.

Übung für den Ernstfall

Ein Planspiel prüft einmal im Jahr den Ablauf bei Vorfällen.

Verantwortung für Informationssicherheit

Eine benannte Person verantwortet das ISMS.

Risikoregister

Sicherheitsrisiken werden erfasst, haben einen Verantwortlichen und werden in festem Rhythmus neu bewertet.

Bewertung von Dienstleistern

Jeder Dienstleister, der in unserem Auftrag personenbezogene Daten verarbeitet, durchläuft eine Risikobewertung.

Security-Awareness-Schulung

Alle Mitarbeitenden, jedes Jahr: Phishing, Umgang mit Daten und Meldung von Vorfällen.