Sicherheitsrichtlinie

Rechenzentren erfüllen hohe Compliance-Standards, und organisatorische Protokolle gewährleisten die Entsorgung von Vermögenswerten und die Einhaltung durch Mitarbeitende. Regelmäßige Bewertungen und Notfallwiederherstellungspläne bieten zusätzlichen Schutz für Daten.

Datensicherheit hat für uns oberste Priorität. Wir kombinieren mehrere Sicherheitsmerkmale, um sicherzustellen, dass Kunden-, Mitarbeiter- und Unternehmensdaten immer geschützt sind, damit unsere Kunden ruhig schlafen können, weil ihre Daten sicher, ihre Kommunikation geschützt und ihre Unternehmen abgesichert sind.

Infrastruktur-Sicherheit

Infrastruktursicherheit umfasst den Schutz der zugrunde liegenden Hardware-, Software- und Netzwerkteile, die die IT-Betriebe eines Unternehmens unterstützen. Dies beinhaltet alles von Rechenzentren und Servern bis hin zu Netzwerkverbindungen und Endgeräten. Effektive Infrastruktursicherheit zielt darauf ab, unbefugten Zugriff, Missbrauch und Störungen zu verhindern und die Integrität, Vertraulichkeit und Verfügbarkeit von IT-Systemen sicherzustellen.

Wichtige Komponenten der Infrastruktursicherheit

• Zugriff auf Verschlüsselungsschlüssel eingeschränkt
  Richtlinie: Zugriff auf Verschlüsselungsschlüssel ist auf autorisierte Nutzer mit Geschäftsbedarf beschränkt.
  Umsetzung: So wird sichergestellt, dass nur Personen mit entsprechender Berechtigung sensible Informationen entschlüsseln können, was das Risiko von Datenpannen minimiert.

• Eindeutige Kontenauthentifizierung durchgesetzt
  Richtlinie: Systeme und Anwendungen erfordern eindeutige Benutzernamen und Passwörter oder autorisierte Secure Socket Shell (SSH)-Schlüssel.
  Umsetzung: Dies verringert das Risiko unbefugten Zugriffs, da jeder Benutzer eine eigene Identität zur Authentifizierung besitzt.

• Zugriff auf Produktivanwendungen eingeschränkt
  Richtlinie: Zugriff auf Produktivanwendungen ist ausschließlich autorisiertem Personal gestattet.
  Umsetzung: Diese Maßnahme verhindert, dass Unbefugte kritische Anwendungen manipulieren, die das Geschäft betreiben.

• Zugriffssteuerungsverfahren etabliert
  Richtlinie: Dokumentierte Anforderungen für das Hinzufügen, Ändern und Entfernen von Benutzerzugängen.
  Umsetzung: Klare Verfahren stellen sicher, dass Zugriffsrechte systematisch und sicher verwaltet werden.

• Zugriff auf Produktionsdatenbanken eingeschränkt
  Richtlinie: Privilegierter Zugriff auf Datenbanken ist auf autorisierte Nutzer mit Geschäftsbedarf beschränkt.
  Umsetzung: So werden sensible Daten in Datenbanken vor unbefugtem Zugriff oder Änderungen geschützt.

• Firewall-Zugriff eingeschränkt
  Richtlinie: Privilegierter Zugriff auf die Firewall ist auf autorisierte Nutzer mit Geschäftsbedarf beschränkt.
  Umsetzung: Firewalls sind entscheidend für die Netzwerksicherheit, und eingeschränkter Zugriff stellt sicher, dass ihre Konfiguration nicht kompromittiert werden kann.

• Zugriff auf Produktivbetriebssystem eingeschränkt
  Richtlinie: Privilegierter Zugriff auf das Betriebssystem ist auf autorisierte Nutzer mit Geschäftsbedarf beschränkt.
  Umsetzung: Dies schützt die Betriebssystemebene vor unbefugten Änderungen, die die Systemstabilität und -sicherheit beeinträchtigen könnten.

• Zugriff auf Produktionsnetzwerk eingeschränkt
  Richtlinie: Privilegierter Zugriff auf das Produktionsnetzwerk ist auf autorisierte Nutzer mit Geschäftsbedarf beschränkt.
  Umsetzung: So wird gewährleistet, dass nur berechtigtes Personal Zugang zum Netzwerk erhält, was das Risiko interner Bedrohungen reduziert.

• Zugang nach Beendigung widerrufen
  Richtlinie: Zugänge werden für ausgeschiedene Mitarbeitende innerhalb von Service Level Agreements (SLAs) entzogen.
  Umsetzung: Dies verhindert, dass ehemalige Mitarbeitende nach ihrem Ausscheiden weiterhin Zugriff auf Unternehmenssysteme haben.

• Eindeutige Netzwerksystem-Authentifizierung durchgesetzt
  Richtlinie: Erfordert eindeutige Benutzernamen und Passwörter oder autorisierte SSH-Schlüssel für den Netzwerkzugriff.
  Umsetzung: Erhöht die Sicherheit, indem der Netzwerkzugriff einzelnen Benutzern zugeordnet werden kann.

• Verschlüsselte Fernzugriffe durchgesetzt
  Richtlinie: Fernzugriff auf Produktionssysteme ist nur über zugelassene verschlüsselte Verbindungen gestattet.
  Umsetzung: Schützt Daten, die über Fernverbindungen übertragen werden, vor dem Abfangen.

• Intrusion Detection System eingesetzt
  Richtlinie: Ständige Überwachung des Netzwerks zur frühzeitigen Erkennung von Sicherheitsverletzungen.
  Umsetzung: Ein IDS liefert Echtzeit-Alarme und ermöglicht eine schnelle Reaktion auf potenzielle Bedrohungen.

• Infrastrukturleistung wird überwacht
  Richtlinie: Nutzung von Überwachungstools zur Überprüfung der Systemleistung und zur Generierung von Alarmen bei Schwellenwertüberschreitung.
  Umsetzung: Stellt sicher, dass die Infrastruktur robust bleibt und Probleme umgehend behoben werden.

• Netzwerksegmentierung umgesetzt
  Richtlinie: Segmentierung des Netzwerks, um unbefugten Zugriff auf Kundendaten zu verhindern.
  Umsetzung: Begrenzung der Ausbreitung von Sicherheitsvorfällen durch Isolierung verschiedener Netzwerkteile.

• Netzwerk-Firewalls überprüft
  Richtlinie: Jährliche Überprüfung der Firewall-Regelsätze mit Nachverfolgung der Änderungen.
  Umsetzung: Hält die Firewall-Konfiguration aktuell und im Einklang mit geltenden Sicherheitsstandards.

• Netzwerk-Firewalls eingesetzt
  Richtlinie: Firewalls sind so konfiguriert, dass sie unbefugten Zugriff verhindern.
  Umsetzung: Dienen als erste Verteidigungslinie gegen externe Bedrohungen.

• Standards zur Härtung von Netzwerken und Systemen eingehalten
  Richtlinie: Dokumentierte Standards basierend auf Branchen-Best-Practices, jährlich überprüft.
  Umsetzung: Stellt sicher, dass Systeme sicher konfiguriert sind, um Angriffen zu widerstehen.

Rechenzentrumssicherheit

Wir gewährleisten die Vertraulichkeit und Integrität Ihrer Daten mit branchenweit bewährten Verfahren. FlowHunt-Server werden in Tier IV oder III+, PCI DSS, SSAE-16 oder ISO 27001 zertifizierten Einrichtungen gehostet. Unser Sicherheitsteam spielt kontinuierlich Sicherheitsupdates ein und reagiert aktiv auf Sicherheitswarnungen und -ereignisse.

Physische Sicherheit

Netzwerksicherheit

Unser Netzwerk wird durch redundante Firewalls, modernste Routertechnologie, sichere HTTPS-Übertragung über öffentliche Netzwerke sowie Intrusion Detection und/oder Prevention Systeme (IDS/IPS) geschützt, die bösartigen Datenverkehr und Angriffe überwachen und/oder blockieren.

Zusätzliche Maßnahmen

• DDoS-Abwehr: Führende Infrastruktur schützt vor und mildert die Auswirkungen von Denial-of-Service-Angriffen.
• Verschlüsselung der Kommunikation: Die Kommunikation zwischen Ihnen und den FlowHunt-Servern ist über HTTPS und Transport Layer Security (TLS) gemäß branchenüblichen Verfahren verschlüsselt.

Organisationale Sicherheit

Verfahren zur Entsorgung von Vermögenswerten

• Inventarisierung: Identifizierung und Katalogisierung aller Geräte, die zur Entsorgung vorgesehen sind.
• Datensicherung: Sicheres Backup notwendiger Daten vor der Entsorgung.
• Datenlöschung: Verwendung zertifizierter Tools zum vollständigen Löschen aller Daten gemäß Branchenstandards.
• Physische Zerstörung: Für Geräte, die nicht gelöscht werden können, werden Methoden wie Schreddern oder Entmagnetisieren eingesetzt.
• Umweltkonformität: Alle Entsorgungsmethoden entsprechen den Umweltvorschriften.

Zertifizierung und Compliance

• Dokumentation: Ausführliche Aufzeichnungen über alle entsorgten Vermögenswerte, einschließlich Seriennummern, Entsorgungsmethoden und -daten.
• Verifizierung durch Dritte: Beauftragung zertifizierter Drittanbieter zur Überprüfung und Dokumentation des Entsorgungsprozesses.

Einhaltung durch Mitarbeitende und Auftragnehmer

• Hintergrundüberprüfung: Neue Mitarbeitende durchlaufen vor Arbeitsantritt eine umfassende Hintergrundüberprüfung.
• Verhaltenskodex: Mitarbeitende und Auftragnehmer müssen den Verhaltenskodex des Unternehmens anerkennen und einhalten; bei Verstößen gelten Disziplinarmaßnahmen.
• Vertraulichkeitsvereinbarungen: Vertraulichkeitsvereinbarungen sind für alle Mitarbeitenden beim Onboarding und für Auftragnehmer bei Aufnahme der Zusammenarbeit verpflichtend.

Besucher- und Sicherheitsprotokolle

• Besucherregelungen: Besucher müssen sich anmelden, einen Besucherausweis tragen und beim Betreten sicherer Bereiche von einem autorisierten Mitarbeitenden begleitet werden.
• Sicherheitsschulungen: Mitarbeitende absolvieren innerhalb von dreißig Tagen nach der Einstellung und danach jährlich eine Sicherheitsschulung, um über Best Practices und neue Bedrohungen informiert zu bleiben.

Produktsicherheit

Datenverschlüsselung

Alle FlowHunt-Datenbanken und Datenbanksicherungen mit sensiblen Kundendaten sind verschlüsselt. Die Verschlüsselung von Abrechnungs- und Zahlungsdaten wird von unseren Zahlungsdienstleistern (Stripe) übernommen.

• Spaltenbasierte Verschlüsselung: Verschlüsselt bestimmte Spalten in einer Datenbank und bietet so einen gezielten Ansatz zum Schutz sensibler Felder wie API-Schlüssel.
• Verschlüsselungsprotokolle: Secure Sockets Layer (SSL) und Transport Layer Security (TLS) werden verwendet, um Datenübertragungen über Netzwerke zu verschlüsseln.

Penetrationstests

FlowHunt führt regelmäßige Penetrationstests durch und fördert externe Sicherheitsforscher durch ein Bug-Bounty-Programm, um Schwachstellen zu identifizieren.

Aktualisiert: 30.05.2025