Sicherheit

Hosting & Rechenzentren

EquipPanel basiert auf unternehmensweiter Infrastruktur mit Redundanz und hoher Verfügbarkeit:

• Cloud-Hosting: Globales Edge-Netzwerk mit automatischer SSL/TLS-Verschlüsselung und DDoS-Schutz
• Datenbank-Infrastruktur: Unternehmensweite Datenbank-Infrastruktur mit EU-basierten Rechenzentren
• Datenresidenz: Primäre Datenspeicherung im Europäischen Wirtschaftsraum (EWR) für DSGVO-Compliance
• Redundanz: Automatisierte Backups, Failover-Systeme und Disaster-Recovery-Verfahren
• Betriebszeit: Hohe Betriebszeit-SLA mit Überwachung und automatischer Incident-Response

Netzwerksicherheit

• DDoS-Schutz: Verteilter Denial-of-Service-Angriff-Abwehr und Rate-Limiting
• Firewall-Schutz: Netzwerkebene Firewalls und Intrusion-Detection-Systeme
• Sichere Protokolle: Alle Verbindungen verwenden moderne Transport Layer Security (TLS) Verschlüsselung (nur HTTPS)
• IP-Filterung: Erweiterte Bedrohungserkennung und Blockierung verdächtiger IP-Adressen

Verschlüsselung während der Übertragung

Alle Daten, die zwischen Ihrem Gerät und unseren Servern übertragen werden, sind verschlüsselt:

• TLS/SSL: Alle Verbindungen verwenden moderne Transport Layer Security (TLS) Verschlüsselung
• Nur HTTPS: Der gesamte Web-Traffic ist verschlüsselt und authentifiziert mit HTTPS
• Zertifikatsverwaltung: Automatische SSL-Zertifikatserneuerung und -verwaltung
• Perfect Forward Secrecy: Ephemeraler Schlüsselaustausch für erhöhte Sicherheit

Verschlüsselung im Ruhezustand

Alle Daten, die in unseren Datenbanken und Dateispeichern gespeichert sind, sind verschlüsselt:

• Datenbankverschlüsselung: Alle Datenbanken sind im Ruhezustand mit branchenüblicher Verschlüsselung verschlüsselt
• Dateispeicher: Alle hochgeladenen Dateien (Dokumente, Bilder, Anhänge) sind im Ruhezustand verschlüsselt
• Backup-Verschlüsselung: Automatisierte Backups werden vor der Speicherung verschlüsselt
• Schlüsselverwaltung: Verschlüsselungsschlüssel werden sicher mit Rotationsrichtlinien verwaltet

Passwortsicherheit

• Hashing: Passwörter werden mit branchenüblichen Algorithmen und Salt vor der Speicherung gehasht
• Passwortanforderungen: Mindestlänge und Komplexitätsanforderungen werden durchgesetzt
• Kein Klartext: Passwörter werden niemals im Klartext gespeichert oder unverschlüsselt übertragen
• Sitzungsverwaltung: Sichere Sitzungstoken mit Ablauf- und Aktualisierungsmechanismen

Authentifizierung

• Sichere Authentifizierung: Branchenübliche Authentifizierung mit sicherer tokenbasierter Sitzungsverwaltung
• E-Mail-Verifizierung: E-Mail-Verifizierung erforderlich für neue Kontenerstellung
• Passwort-Reset: Sicherer Passwort-Reset-Ablauf mit zeitlich begrenzten Token
• Sitzungs-Timeout: Automatischer Sitzungsablauf nach Inaktivität

Rollenbasierte Zugriffskontrolle (RBAC)

Mehrstufige Zugriffskontrolle stellt sicher, dass Benutzer nur auf Daten zugreifen, die sie anzeigen dürfen:

• Administrator: Vollzugriff auf alle Firmendaten, Einstellungen, Abrechnung und Teamverwaltung
• Operator: Kann Protokolle erstellen/bearbeiten, Wartung verwalten, Dokumente hochladen (eingeschränkter Zugriff)
• Betrachter: Nur-Lese-Zugriff auf Anlagendaten und Protokolle (keine Änderungen)
• Rollen-Durchsetzung: Server- und Datenbankebene Rollenprüfungen verhindern unbefugten Zugriff

Datenisolation

Strenge Multi-Tenant-Architektur stellt vollständige Datenisolation zwischen Unternehmen sicher:

• Datenbankebene Sicherheit: Datenbankebene Sicherheitsrichtlinien erzwingen Firmendatenisolation
• Abfragefilterung: Alle Datenbankabfragen filtern automatisch nach Unternehmen, um Datenlecks zu verhindern
• Speicherisolation: Dateispeicher nach Unternehmen organisiert mit Zugriffskontrollen
• API-Schutz: Alle API-Endpunkte verifizieren Firmeneigentum vor Datenzugriff

Eingabevalidierung & -bereinigung

• Eingabebereinigung: Alle Benutzereingaben werden validiert und bereinigt, um Injection-Angriffe zu verhindern
• Dateivalidierung: Datei-Uploads werden auf Typ, Größe und Inhalt validiert, um bösartige Dateien zu verhindern
• SQL-Injection-Prävention: Parametrisierte Abfragen verhindern SQL-Injection
• XSS-Schutz: Content Security Policy (CSP) und Eingabebereinigung verhindern Cross-Site-Scripting
• Pfad-Traversal-Prävention: Dateipfade werden validiert, um Verzeichnis-Traversal-Angriffe zu verhindern

Rate-Limiting

• API-Rate-Limiting: Pro-Benutzer und Pro-Firma Rate-Limits verhindern Missbrauch und DDoS-Angriffe
• Upload-Limits: Datei-Upload-Rate-Limiting zur Verhinderung von Speichermissbrauch
• Authentifizierungs-Limits: Login-Versuch-Rate-Limiting zur Verhinderung von Brute-Force-Angriffe
• Persistente Verfolgung: Rate-Limiting wird persistent verfolgt für genaue Durchsetzung

Sicherheitsüberwachung

• Sicherheitsereignis-Protokollierung: Alle Sicherheitsereignisse werden mit IP-Adressen und User-Agents protokolliert
• Anomalieerkennung: Automatisierte Erkennung verdächtiger Aktivitäten und unbefugter Zugriffsversuche
• Audit-Protokollierung: Umfassende Audit-Protokolle für alle Datenzugriffe und -änderungen
• Echtzeit-Überwachung: 24/7 Überwachung von Sicherheitsereignissen und Systemgesundheit

Regelmäßige Sicherheitsaudits

• Code-Reviews: Alle Code-Änderungen werden auf Sicherheitsschwachstellen überprüft
• Abhängigkeits-Scanning: Regelmäßiges Scannen von Abhängigkeiten auf bekannte Schwachstellen
• Penetrationstests: Regelmäßige Sicherheitsbewertungen und Penetrationstests
• Schwachstellenverwaltung: Schnelles Patchen identifizierter Sicherheitsschwachstellen

Automatisierte Backups

• Regelmäßige Backups: Automatisierte Backups aller Datenbanken und Dateispeicher
• Verschlüsselte Backups: Alle Backups werden vor der Speicherung verschlüsselt
• Aufbewahrungsrichtlinie: Backups werden gemäß unserer Aufbewahrungsrichtlinie aufbewahrt

Disaster Recovery

• Wiederherstellungsverfahren: Disaster-Recovery-Verfahren vorhanden, um den Service bei Vorfällen wiederherzustellen

DSGVO-Compliance

EquipPanel ist vollständig konform mit der Datenschutz-Grundverordnung (DSGVO):

• Datenverarbeitungsvereinbarungen: DSGVO-orientierte Datenverarbeitungsvereinbarungen mit allen Dienstanbietern
• Betroffenenrechte: Vollständige Unterstützung für Datenzugriff, -löschung, -übertragbarkeit und andere DSGVO-Rechte
• Privacy by Design: Sicherheits- und Datenschutzüberlegungen in alle Funktionen integriert
• Datenminimierung: Nur Daten sammeln und verarbeiten, die für die Servicebereitstellung erforderlich sind
• Cookie-Zustimmung: Granulares Cookie-Zustimmungssystem mit Benutzerpräferenzverwaltung

Weitere Informationen finden Sie auf unserer DSGVO-Compliance-Seite.

Dienstanbieter-Compliance

• Datenbank- und Speicheranbieter: Alle Anbieter sind DSGVO-orientiert und halten branchenübliche Sicherheitszertifizierungen ein
• Hosting-Anbieter: DSGVO-orientiert mit branchenüblichen Sicherheitszertifizierungen
• Zahlungsabwickler: PCI DSS zertifiziert und DSGVO-orientiert

Sicherheitsvorfall-Verfahren

Wir haben Verfahren zur Erkennung, Reaktion auf und Benachrichtigung von Benutzern über Sicherheitsvorfälle etabliert:

• Erkennung: Automatisierte Überwachung und Alarmierung für Sicherheitsereignisse
• Reaktion: Incident-Response-Team mit definierten Rollen und Verantwortlichkeiten
• Eindämmung: Schnelle Eindämmungsverfahren zur Begrenzung der Auswirkungen von Sicherheitsvorfällen
• Benachrichtigung: Prompt Benachrichtigung betroffener Benutzer bei Datenverletzungen (innerhalb von 72 Stunden wie von der DSGVO gefordert)
• Sanierung: Nach-Vorfall-Überprüfung und Sanierung zur Verhinderung zukünftiger Vorfälle

Meldung von Sicherheitsschwachstellen

Wenn Sie eine Sicherheitsschwachstelle entdecken, melden Sie diese bitte verantwortungsvoll an [email protected]. Wir schätzen verantwortungsvolle Offenlegung und werden mit Ihnen zusammenarbeiten, um Probleme schnell zu beheben.

Zugriffskontrollen

• Prinzip der geringsten Berechtigung: Mitarbeiter haben nur Zugriff auf Daten, die für ihre Rolle erforderlich sind
• Zugriffslogierung: Alle Mitarbeiterzugriffe auf Kundendaten werden protokolliert und überprüft
• Regelmäßige Zugriffsüberprüfungen: Periodische Überprüfung der Mitarbeiterzugriffsrechte

Mitarbeiterschulung

• Sicherheitsschulung: Alle Mitarbeiter erhalten Sicherheitsbewusstseinsschulungen
• Datenschutzschulung: Regelmäßige Schulungen zu DSGVO und Datenschutzanforderungen
• Incident-Response-Schulung: Schulungen zu Sicherheitsvorfall-Reaktionsverfahren
• Verhaltenskodex: Klare Sicherheitsrichtlinien und Verhaltenskodex für alle Mitarbeiter

Dienstanbieter

• Datenbank- und Speicheranbieter: Alle Anbieter sind DSGVO-orientiert und halten branchenübliche Sicherheitszertifizierungen ein
• Hosting-Anbieter: DSGVO-orientiert mit branchenüblichen Sicherheitszertifizierungen
• Zahlungsabwickler: PCI DSS zertifiziert und DSGVO-orientiert

Datenverarbeitungsvereinbarungen

Alle Dienstanbieter haben Datenverarbeitungsvereinbarungen (DPAs) unterzeichnet, die den DSGVO-Anforderungen entsprechen und angemessene Sicherheits- und Datenschutzmaßnahmen enthalten.