Sicherheitsrichtlinie

Unsere Rechenzentren erfüllen hohe Compliance-Standards, und organisatorische Protokolle sorgen für die Entsorgung von Vermögenswerten sowie die Einhaltung durch die Mitarbeiter. Regelmäßige Bewertungen und Notfallwiederherstellungspläne schützen die Daten zusätzlich.

Datensicherheit hat für uns oberste Priorität. Wir kombinieren mehrere Sicherheitsmaßnahmen, um sicherzustellen, dass Kunden-, Mitarbeiter- und Unternehmensdaten stets geschützt sind. So können unsere Kunden sicher sein, dass ihre Daten sicher, ihre Kommunikation geschützt und ihre Unternehmen abgesichert sind.

Infrastruktursicherheit

Infrastruktursicherheit beinhaltet den Schutz der zugrunde liegenden Hardware-, Software- und Netzwerkomponenten, die die IT-Betriebe eines Unternehmens unterstützen. Dies umfasst alles von Rechenzentren und Servern bis hin zu Netzwerkverbindungen und Endgeräten. Effektive Infrastruktursicherheit zielt darauf ab, unbefugten Zugriff, Missbrauch und Störungen zu verhindern und so die Integrität, Vertraulichkeit und Verfügbarkeit von IT-Systemen zu gewährleisten.

Zentrale Komponenten der Infrastruktursicherheit

• Zugriff auf Verschlüsselungsschlüssel eingeschränkt
  Richtlinie: Zugriff auf Verschlüsselungsschlüssel ist auf autorisierte Nutzer mit geschäftlichem Bedarf beschränkt.
  Umsetzung: Dadurch können nur Personen mit entsprechender Berechtigung sensible Informationen entschlüsseln, was das Risiko von Datenpannen minimiert.

• Einzigartige Kontenauthentifizierung erzwungen
  Richtlinie: Systeme und Anwendungen erfordern eindeutige Benutzernamen und Passwörter oder autorisierte Secure Socket Shell (SSH)-Schlüssel.
  Umsetzung: Dies verringert das Risiko unbefugten Zugriffs, indem jeder Nutzer eine eigene Identität zur Authentifizierung erhält.

• Zugriff auf Produktionsanwendungen eingeschränkt
  Richtlinie: Zugriff auf Produktionsanwendungen ist ausschließlich autorisiertem Personal erlaubt.
  Umsetzung: Diese Maßnahme verhindert, dass Unbefugte geschäftskritische Anwendungen manipulieren.

• Zugriffskontrollverfahren etabliert
  Richtlinie: Dokumentierte Anforderungen für das Hinzufügen, Ändern und Entfernen von Benutzerzugängen.
  Umsetzung: Klare Prozesse stellen sicher, dass Zugriffsrechte systematisch und sicher verwaltet werden.

• Zugriff auf Produktionsdatenbanken eingeschränkt
  Richtlinie: Privilegierter Zugriff auf Datenbanken ist auf autorisierte Nutzer mit geschäftlichem Bedarf beschränkt.
  Umsetzung: Dies schützt sensible in Datenbanken gespeicherte Daten vor unbefugtem Zugriff oder Änderungen.

• Firewall-Zugriff eingeschränkt
  Richtlinie: Privilegierter Zugriff auf die Firewall ist auf autorisierte Nutzer mit geschäftlichem Bedarf beschränkt.
  Umsetzung: Firewalls sind entscheidend für die Netzwerksicherheit, und eingeschränkter Zugriff schützt deren Konfiguration vor Kompromittierung.

• Zugriff auf Produktionsbetriebssystem eingeschränkt
  Richtlinie: Privilegierter Zugriff auf das Betriebssystem ist auf autorisierte Nutzer mit geschäftlichem Bedarf beschränkt.
  Umsetzung: Dies schützt die Betriebssystemebene vor unbefugten Änderungen, die die Systemstabilität und -sicherheit beeinträchtigen könnten.

• Zugriff auf Produktionsnetzwerk eingeschränkt
  Richtlinie: Privilegierter Zugriff auf das Produktionsnetzwerk ist auf autorisierte Nutzer mit geschäftlichem Bedarf beschränkt.
  Umsetzung: So wird sichergestellt, dass nur autorisiertes Personal Zugriff auf das Netzwerk hat, was das Risiko interner Bedrohungen reduziert.

• Zugriffsrechte bei Beendigung widerrufen
  Richtlinie: Zugriffsrechte werden für ausgeschiedene Mitarbeiter innerhalb der Service Level Agreements (SLAs) widerrufen.
  Umsetzung: Dadurch wird verhindert, dass ehemalige Mitarbeiter nach ihrem Ausscheiden auf Unternehmenssysteme zugreifen.

• Einzigartige Netzwerksystem-Authentifizierung erzwungen
  Richtlinie: Erfordert eindeutige Benutzernamen und Passwörter oder autorisierte SSH-Schlüssel für den Netzwerkzugang.
  Umsetzung: Stärkt die Sicherheit, indem der Netzwerkzugriff einzelnen Nutzern zugeordnet werden kann.

• Verschlüsselte Fernzugriffe erzwungen
  Richtlinie: Fernzugriff auf Produktionssysteme ist nur über genehmigte, verschlüsselte Verbindungen erlaubt.
  Umsetzung: Schützt über Fernverbindungen übertragene Daten vor Abfangen.

• Eindringungserkennungssystem eingesetzt
  Richtlinie: Kontinuierliche Überwachung des Netzwerks zur frühzeitigen Erkennung von Sicherheitsverletzungen.
  Umsetzung: Ein IDS liefert Echtzeitwarnungen und ermöglicht eine schnelle Reaktion auf potenzielle Bedrohungen.

• Überwachung der Infrastrukturleistung
  Richtlinie: Nutzung von Überwachungstools zur Leistungsüberwachung und zur Generierung von Warnungen bei Erreichen von Schwellenwerten.
  Umsetzung: Stellt sicher, dass die Infrastruktur robust bleibt und Probleme umgehend behoben werden.

• Netzwerksegmentierung implementiert
  Richtlinie: Segmentierung des Netzwerks, um unbefugten Zugriff auf Kundendaten zu verhindern.
  Umsetzung: Begrenzung der Ausbreitung von Sicherheitsvorfällen durch Isolierung verschiedener Netzwerkteile.

• Firewall-Regeln überprüft
  Richtlinie: Jährliche Überprüfung der Firewall-Regelwerke mit protokollierten Änderungen.
  Umsetzung: Stellt sicher, dass Firewall-Konfigurationen aktuell und konform mit gängigen Sicherheitsstandards sind.

• Netzwerk-Firewalls eingesetzt
  Richtlinie: Firewalls werden so konfiguriert, dass unbefugter Zugriff verhindert wird.
  Umsetzung: Sie dienen als erste Verteidigungslinie gegen externe Bedrohungen.

• Standards für Netzwerk- und Systemhärtung eingehalten
  Richtlinie: Dokumentierte Standards basieren auf bewährten Branchenpraktiken und werden jährlich überprüft.
  Umsetzung: Stellt sicher, dass Systeme sicher konfiguriert sind, um Angriffen zu widerstehen.

Rechenzentrumsicherheit

Wir gewährleisten die Vertraulichkeit und Integrität Ihrer Daten mit branchenführenden Best Practices. FlowHunt-Server sind in Tier IV oder III+, PCI DSS, SSAE-16 oder ISO 27001-konformen Einrichtungen gehostet. Unser Sicherheitsteam stellt kontinuierlich Sicherheitsupdates bereit und reagiert aktiv auf Sicherheitswarnungen und -ereignisse.

Physische Sicherheit

Netzwerksicherheit

Unser Netzwerk wird durch redundante Firewalls, erstklassige Router-Technologie, sichere HTTPS-Übertragungen über öffentliche Netzwerke und Netzwerkeindringungserkennungs- und/oder -verhinderungssysteme (IDS/IPS) geschützt, die bösartigen Datenverkehr und Angriffe überwachen und blockieren.

Zusätzliche Maßnahmen

• DDoS-Abwehr: Branchenführende Infrastruktur schützt vor und mildert die Auswirkungen von Denial-of-Service-Angriffen.
• Kommunikationsverschlüsselung: Die Kommunikation zwischen Ihnen und den FlowHunt-Servern wird mittels branchenüblicher HTTPS- und TLS-Protokolle über öffentliche Netzwerke verschlüsselt.

Organisationale Sicherheit

Verfahren zur Entsorgung von Vermögenswerten

• Inventarisierung: Identifizierung und Katalogisierung aller Geräte, die zur Entsorgung vorgesehen sind.
• Datensicherung: Notwendige Daten werden vor der Entsorgung gesichert.
• Datenlöschung: Zertifizierte Werkzeuge werden verwendet, um sämtliche Daten gemäß Branchenstandards von den Geräten zu löschen.
• Physische Zerstörung: Für Geräte, die nicht gelöscht werden können, werden physische Zerstörungsmethoden wie Schreddern oder Entmagnetisierung eingesetzt.
• Umweltkonformität: Alle Entsorgungsmethoden entsprechen den Umweltvorschriften.

Zertifizierung und Compliance

• Dokumentation: Detaillierte Aufzeichnungen aller entsorgten Vermögenswerte, einschließlich Seriennummern, Entsorgungsmethoden und -daten, werden geführt.
• Drittanbieter-Verifizierung: Zertifizierte Drittanbieter werden beauftragt, den Entsorgungsprozess zu überprüfen und zu dokumentieren.

Einhaltung durch Mitarbeiter und Auftragnehmer

• Hintergrundüberprüfungen: Neue Mitarbeiter werden vor ihrem Eintritt ins Unternehmen einer umfassenden Hintergrundprüfung unterzogen.
• Verhaltenskodex: Sowohl Mitarbeiter als auch Auftragnehmer müssen den Verhaltenskodex des Unternehmens anerkennen und einhalten; bei Verstößen greifen Disziplinarmaßnahmen.
• Vertraulichkeitsvereinbarungen: Vertraulichkeitsvereinbarungen sind für alle Mitarbeiter beim Onboarding und für Auftragnehmer bei der Beauftragung verpflichtend.

Besucher- und Sicherheitsprotokolle

• Besucherregelungen: Besucher müssen sich anmelden, ein Besucherausweis tragen und beim Betreten sicherer Bereiche von einem autorisierten Mitarbeiter begleitet werden.
• Sicherheitsschulungen: Mitarbeiter absolvieren Sicherheitsschulungen innerhalb von 30 Tagen nach Einstellung und danach jährlich, um über bewährte Verfahren und neue Bedrohungen informiert zu bleiben.

Produktsicherheit

Datenverschlüsselung

Alle FlowHunt-Datenbanken und Datenbanksicherungen mit sensiblen Kundendaten werden verschlüsselt. Die Verschlüsselung von Rechnungs- und Zahlungsdaten erfolgt durch unsere Zahlungsdienstleister (Stripe).

• Spaltenverschlüsselung: Verschlüsselt bestimmte Spalten innerhalb einer Datenbank und bietet einen gezielten Ansatz zum Datenschutz. Diese Methode ist besonders geeignet zum Schutz sensibler Felder wie API-Schlüssel.
• Verschlüsselungsprotokolle: Secure Sockets Layer (SSL) und Transport Layer Security (TLS) werden verwendet, um Datenübertragungen im Netzwerk zu verschlüsseln.

Penetrationstests

FlowHunt führt regelmäßig Penetrationstests durch und ermutigt externe Sicherheitsforscher im Rahmen eines Bug-Bounty-Programms, Schwachstellen zu identifizieren.

Aktualisiert: 30.05.2025