Sicherheit & Datenverarbeitung

Die Antworten, nach denen Ihr Sicherheitsteam fragen wird

Wie wir mit Zugriffen, Daten, Infrastruktur und Vorfällen umgehen. Die konkreten Bedingungen halten wir im Auftragsverarbeitungsvertrag fest, den wir für jedes Engagement schließen.

Zugriffe & Konten

Least Privilege

Jeder Ingenieur erhält nur den Zugriff, den der jeweilige Meilenstein erfordert. Wir vergeben ihn personenbezogen und entziehen ihn zum Ende des Engagements; das Zugriffsprotokoll können Sie auditieren.

Ihre Umgebung, Ihre Regeln

Wo es möglich ist, arbeiten wir in Ihren Cloud-Konten und mit Ihrem Identity-Provider. Zugriff ausschließlich über VPN, verwaltete Geräte und Background-Checks unterstützen wir dort, wo Sie das verlangen.

MFA überall

Auf allen Konten, die wir betreiben, ist Multi-Faktor-Authentifizierung Pflicht: auf unseren eigenen ebenso wie auf denen, die Sie uns freigeben.

Secrets-Management

Zugangsdaten liegen in einem Secrets-Manager, niemals in Code, Chat oder Dokumenten. Bei der Übergabe werden sie standardmäßig rotiert.

Umgang mit Daten

Datenminimierung als Standard

Entwicklung und Tests laufen auf synthetischen oder anonymisierten Daten, wo immer das machbar ist. Zugriff auf Produktivdaten bleibt die Ausnahme, wird protokolliert und wird begründet.

DSGVO-orientiertes Engineering

Aufbewahrungsfristen, Löschprozesse und Einwilligungsverwaltung planen wir ab dem ersten Meilenstein in das System ein, statt sie kurz vor dem Start nachzurüsten.

KI-spezifische Schutzmaßnahmen

Ohne Ihre schriftliche Einwilligung wird auf Ihren Daten nicht trainiert. Für den Betrieb der Modelle reicht die Auswahl von EU-gehosteten APIs bis zu vollständig selbst gehosteten Open-Weights-Modellen; entscheidend ist der Schutzbedarf der Daten.

Optionen zur Datenresidenz

Wenn Ihre Compliance-Anforderungen es verlangen, sind Hosting und Verarbeitung über den gesamten Stack ausschließlich in der EU möglich.

Sichere Engineering-Praxis

Reviews & CI-Gates

Jede Änderung geht durch ein Peer-Review; Dependency- und Schwachstellen-Scans laufen bei jedem Build in der CI.

Durchgängig verschlüsselt

TLS bei der Übertragung, Verschlüsselung im Ruhezustand, Infrastruktur als Code. So bleibt die Sicherheitslage prüfbar, statt in einzelnen Köpfen zu stecken.

Audit-Trails

Systeme aus unserer Hand protokollieren, wer wann was getan hat, einschließlich automatisierter Aktionen und KI-Entscheidungen. Ihr Team kann diese Protokolle selbst abfragen.

Vorfälle & Kontinuität

Systeme fallen aus; entscheidend ist, wie sie ausfallen und wie schnell Sie davon erfahren. Jedes System, das wir betreiben, geht mit dieser Grundhaltung in Betrieb:

Monitoring & Alerting von Anfang anAlerts laufen gleichzeitig in Ihre Kanäle und in unsere

Definierte Incident-ResponseBenannte Ansprechpartner, Schweregrade und Benachrichtigungsfristen vereinbaren wir je Engagement

Getestete BackupsBackup und Restore werden verifiziert statt vorausgesetzt, mit Restore-Übungen im Betriebs-Retainer

Ehrliche Post-mortemsSchriftlich, ohne Schuldzuweisung, mit Ihnen geteilt, einschließlich unserer eigenen Fehler

Ein Sicherheitsfragebogen auf dem Tisch?

Schicken Sie ihn uns: Vendor-Assessments beantworten wir als Teil der Aufwandsschätzung.

Kontakt aufnehmen