Sicherheitsrichtlinie

1. Unser Engagement für Sicherheit

Wir verpflichten uns, die Sicherheit und Integrität unserer Plattform, der Daten unserer Nutzer und der Systeme, die unsere Dienste unterstützen, zu schützen. Diese Sicherheitsrichtlinie beschreibt unseren Ansatz zur Informationssicherheit und die Maßnahmen, die wir zum Schutz Ihrer Daten umsetzen.

2. Infrastruktursicherheit

2.1 Hosting und Rechenzentren

• Unsere Dienste werden auf Cloud-Infrastruktur in Unternehmensqualität gehostet
• Die Rechenzentren verfügen über SOC-2-Type-II- und ISO-27001-Zertifizierungen
• Physische Zugangskontrollen umfassen biometrische Authentifizierung und Überwachung rund um die Uhr
• Redundante Strom-, Kühlungs- und Netzwerkanbindung gewährleisten hohe Verfügbarkeit

2.2 Netzwerksicherheit

• Alle Daten während der Übertragung werden mit TLS 1.3 verschlüsselt
• Eine Web Application Firewall (WAF) schützt vor gängigen Angriffsvektoren
• Dienste zur DDoS-Abwehr sind am Netzwerkrand eingerichtet
• Der Netzwerkverkehr wird kontinuierlich auf Anomalien überwacht

3. Anwendungssicherheit

• Es werden Praktiken eines sicheren Entwicklungszyklus (SDLC) befolgt
• Regelmäßige Code-Reviews und statische Analysen werden durchgeführt
• Das Scannen von Abhängigkeiten identifiziert Schwachstellen in Drittanbieterbibliotheken
• Penetrationstests werden mindestens jährlich von unabhängigen Unternehmen durchgeführt

4. Datenschutz

4.1 Verschlüsselung

• Ruhende Daten werden mit AES-256-Verschlüsselung verschlüsselt
• Daten während der Übertragung werden mit TLS 1.3 verschlüsselt
• Verschlüsselungsschlüssel werden über einen dedizierten Schlüsselverwaltungsdienst verwaltet
• Eine regelmäßige Schlüsselrotation wird gemäß unserer Schlüsselverwaltungsrichtlinie durchgeführt

4.2 Zugangskontrollen

• Rollenbasierte Zugriffskontrolle (RBAC) beschränkt den Datenzugriff auf autorisiertes Personal
• Für alle internen Systeme ist eine Multi-Faktor-Authentifizierung (MFA) erforderlich
• Zugriffsüberprüfungen werden vierteljährlich durchgeführt
• Das Prinzip der geringsten Rechte wird über alle Systeme hinweg durchgesetzt

5. Reaktion auf Vorfälle

Unser Prozess zur Reaktion auf Vorfälle umfasst:

1. Erkennung: Automatisierte Überwachungs- und Alarmierungssysteme identifizieren potenzielle Vorfälle
2. Triage: Das Sicherheitsteam bewertet Schweregrad und Auswirkung
3. Eindämmung: Sofortmaßnahmen zur Begrenzung des Umfangs des Vorfalls
4. Beseitigung: Identifizierung und Beseitigung der Grundursache
5. Wiederherstellung: Wiederherstellung betroffener Systeme und Dienste
6. Nachbereitung des Vorfalls: Umfassende Analyse und Prozessverbesserung

6. Schwachstellenmanagement

• Automatisierte Schwachstellen-Scans werden kontinuierlich durchgeführt
• Kritische Schwachstellen werden innerhalb von 24 Stunden nach Entdeckung behoben
• Es wird ein Programm zur verantwortungsvollen Offenlegung für externe Forscher unterhalten
• Für Probleme, die Kunden betreffen, werden Sicherheitshinweise veröffentlicht

7. Geschäftskontinuität

• Regelmäßige Backups werden mit geografischer Redundanz durchgeführt
• Disaster-Recovery-Pläne werden mindestens zweimal jährlich getestet
• Recovery Time Objective (RTO): 4 Stunden für kritische Dienste
• Recovery Point Objective (RPO): 1 Stunde für kritische Daten

8. Compliance

Wir halten die Konformität mit folgenden Standards aufrecht:

• SOC 2 Type II
• GDPR (Datenschutz-Grundverordnung)
• CCPA (California Consumer Privacy Act)
• PCI DSS für die Zahlungsabwicklung

9. Verantwortungsvolle Offenlegung

Wenn Sie eine Sicherheitsschwachstelle entdecken, melden Sie diese bitte verantwortungsvoll:

• E-Mail: security@unifapi.com
• Geben Sie die Schwachstelle nicht öffentlich bekannt, bevor wir sie behoben haben
• Stellen Sie ausreichende Details bereit, damit wir das Problem reproduzieren können
• Wir verpflichten uns, Meldungen innerhalb von 24 Stunden zu bestätigen

10. Kontakt

Bei sicherheitsbezogenen Anfragen kontaktieren Sie unser Sicherheitsteam unter security@unifapi.com.