1. Zutrittskontrolle
Maßnahmen zur Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen
- Serverstandort in zertifizierten deutschen Rechenzentren (ISO 27001)
- Zutrittskontrollsysteme mit elektronischen Schlüsselkarten
- 24/7 Videoüberwachung der Serverräume
- Besucherprotokollierung und Begleitpflicht
- Mehrstufige Sicherheitszonen
2. Zugangskontrolle
Maßnahmen zur Verhinderung der unbefugten Nutzung von Datenverarbeitungssystemen
- Passwortrichtlinien (min. 12 Zeichen, Komplexitätsanforderungen)
- Zwei-Faktor-Authentifizierung (2FA) für alle administrativen Zugänge
- Automatische Sperrung nach fehlgeschlagenen Anmeldeversuchen
- Verschlüsselte VPN-Verbindungen für Remote-Zugriffe
- Regelmäßige Überprüfung und Deaktivierung nicht mehr benötigter Accounts
3. Zugriffskontrolle
Maßnahmen zur Gewährleistung, dass nur autorisierte Personen auf Daten zugreifen
- Rollenbasiertes Berechtigungskonzept (RBAC)
- Need-to-know-Prinzip für Datenzugriffe
- Protokollierung aller Datenzugriffe (Audit-Logs)
- Regelmäßige Überprüfung der Zugriffsberechtigungen
- Sichere Löschung von Daten nach Aufbewahrungsfristen
4. Weitergabekontrolle
Maßnahmen zum Schutz bei der elektronischen Übertragung von Daten
- HTTPS/TLS für alle Datenübertragungen
- Dateiverarbeitung auf deutschen Servern (keine Cloud-KI für Upload-Inhalte)
- Sichere API-Authentifizierung (z.B. JWT) und Rate-Limits
- Drittländer nur für notwendige Nebenleistungen (z.B. E-Mail-Versand) – siehe Subunternehmer-Verzeichnis
- Protokollierung sicherheitsrelevanter Vorgänge (Audit-Logs, Fehlerlogs)
5. Eingabekontrolle
Maßnahmen zur Nachvollziehbarkeit von Dateneingaben und -änderungen
- Vollständige Protokollierung aller Eingaben mit Zeitstempel
- Benutzeridentifikation bei allen Vorgängen
- Unveränderbare Audit-Trails
- Versionierung von Dokumenten und Konfigurationen
- Regelmäßige Auswertung der Protokolle
6. Auftragskontrolle
Maßnahmen zur weisungsgemäßen Verarbeitung durch Auftragnehmer
- Sorgfältige Auswahl von Unterauftragnehmern
- Abschluss von AVVs mit allen Unterauftragnehmern
- Regelmäßige Überprüfung der Unterauftragnehmer
- Dokumentation aller Weisungen
- Transparente Subunternehmer-Liste
7. Verfügbarkeitskontrolle
Maßnahmen zum Schutz gegen Datenverlust und zur Wiederherstellung
- Tägliche automatisierte Backups
- Geografisch getrennte Backup-Speicherung
- Regelmäßige Wiederherstellungstests
- Redundante Serverinfrastruktur
- USV und Notstromversorgung im Rechenzentrum
- Disaster Recovery Plan mit definierten RTO/RPO
8. Trennungskontrolle
Maßnahmen zur getrennten Verarbeitung von Daten verschiedener Auftraggeber
- Logische Mandantentrennung in der Datenbank
- Separate Verschlüsselungsschlüssel pro Mandant
- Isolierte Verarbeitungsumgebungen
- Strikte Trennung von Entwicklungs- und Produktionsumgebungen
- Keine mandantenübergreifenden Datenzugriffe
Regelmäßige Überprüfung
Die technischen und organisatorischen Maßnahmen werden regelmäßig auf ihre Wirksamkeit geprüft und bei Bedarf angepasst. Änderungen werden dokumentiert und den Auftraggebern bei wesentlichen Änderungen mitgeteilt.