Sicherheit

Sichere Infrastruktur

Unsere Dienste werden auf der Infrastruktur von Amazon Web Services (AWS) gehostet. Wir betreiben weder eigene Router, Load Balancer, DNS-Server noch physische Server. Die Rechenzentren von Amazon verfügen über einen rund um die Uhr besetzten Sicherheitsdienst, biometrische Zugangskontrollen, Videoüberwachung und physische Schließsysteme. Alle Systeme, vernetzten Geräte und Leitungen werden ständig überwacht. Die AWS-Einrichtungen sind nach ISO 27001, SOC 1 und SOC 2/SSAE 16/ISAE 3402 (früher SAS 70 Typ II), PCI Level 1, FISMA Moderate und Sarbanes-Oxley (SOX) zertifiziert. Erfahren Sie mehr über die Sicherheit bei AWS.

Hosting in den USA oder in der EU – Sie haben die Wahl

Vereinigte Staaten – betreut durch Rechenzentren und Unterauftragsverarbeiter mit Sitz in den USA, wobei unsere Hauptdienste in Nord-Virginia gehostet werden; sowie die Europäische Union – betreut durch Rechenzentren in der EU, wobei unsere Hauptdienste in Frankfurt, Deutschland, gehostet werden. Einige Unterauftragsverarbeiter, wie beispielsweise diejenigen für den E-Mail-Versand, Zahlungen, die Fehlerprotokollierung, die Anwendungsüberwachung sowie die optionale Generierung von KI-Inhalten und Bildern, verarbeiten Daten außerhalb der EU. Auf unserer Seite zu den Unterauftragsverarbeitern sind alle diese Unternehmen sowie die Orte, an denen sie Daten verarbeiten, aufgeführt.

Stets verschlüsselt

Verschlüsselung während der Übertragung – Alle Daten, die an unsere Infrastruktur gesendet oder von dieser empfangen werden, werden während der Übertragung gemäß den branchenüblichen Best Practices mithilfe von Transport Layer Security (TLS 1.2 oder 1.3) verschlüsselt. Unsere SSL-Konfiguration erhält von Qualys SSL Labs die Sicherheitsbewertung „A+“.

Verschlüsselung im Ruhezustand – Alle unsere Nutzerdaten werden in unseren Datenbanken mit dem bewährten AES-256-Verschlüsselungsalgorithmus verschlüsselt.

Sichere Zahlungen

Wir befassen uns nicht mit der Verarbeitung oder Speicherung von Kreditkartennummern – Ihre Kartendaten werden direkt von Braintree (einem PayPal-Unternehmen), unserem Zahlungsdienstleister, erfasst und sicher gespeichert. Braintree ist als PCI-Level-1-konform zertifiziert und als „Visa® Global Compliant Provider“ sowie als „MasterCard® Compliant Provider (SDP)“ gelistet. Wir führen jährlich eine PCI-DSS-Selbstbewertung mit Braintree durch. Erfahren Sie mehr über die Sicherheit und Compliance von Braintree.

Überwachung der Anwendungssicherheit

• Wir setzen eine Lösung zur Sicherheitsüberwachung ein, um Einblick in die Sicherheit unserer Anwendungen zu gewinnen, Angriffe zu erkennen und im Falle einer Datenpanne schnell reagieren zu können.
• Wir setzen Technologien ein, um Ausnahmen und Protokolle zu überwachen und Anomalien in unseren Anwendungen zu erkennen.
• Wir erfassen und speichern umfassende Protokolle, um einen Prüfpfad der Aktivitäten unserer Anwendungen zu erstellen. Unsere Protokolle dienen als Grundlage für automatisierte Warnmeldungen, die von unserem Team untersucht werden.
• Sicherheitsereignisse werden protokolliert, und bei kritischen Angriffen werden Benachrichtigungen versendet, um eine schnelle Behebung zu ermöglichen.

Sicherheitsmaßnahmen für Anwendungen

• Wir nutzen die Amazon Web Application Firewall, um unsere Nutzer vor einer Vielzahl von Sicherheitslücken zu schützen. AWS WAF bietet Schutzmaßnahmen gegen die kritischsten Angriffskategorien wie SQL-Injektionen und Cross-Site-Scripting. Die Lösung blockiert Angriffe in Echtzeit und warnt uns, sobald Angreifer beginnen, unsere Anwendungen zu überlasten.
• Unsere Website-Formulare nutzen Cloudflare Turnstile, um Bots zu blockieren.
• Wir nutzen Sicherheits-Header, um unsere Nutzer vor Angriffen zu schützen. Unsere Dienste wurden von SecurityHeaders.io mit der Note „A+“ bewertet.

Vorfallmanagement

Verdächtige Sicherheitsvorfälle, einschließlich logischer und physischer Sicherheitsverletzungen, werden gemäß unserer Richtlinie und unseren Verfahren zum Vorfallmanagement erfasst, nachverfolgt und behoben. Soweit dies nach geltendem Recht, einschließlich des EU-Gesetzes zur Cyber-Resilienz, erforderlich ist, melden wir den zuständigen Behörden (wie beispielsweise der ENISA) schwerwiegende Sicherheitsvorfälle innerhalb der vorgeschriebenen Fristen. Sollte eine Verletzung des Schutzes personenbezogener Daten Ihre Daten betreffen, werden wir betroffene Kunden unverzüglich und innerhalb von 48 Stunden nach Bestätigung des Vorfalls informieren. Wir benachrichtigen die Aufsichtsbehörden und die betroffenen Personen gemäß den gesetzlichen Bestimmungen. Sollten Sie Fragen haben oder den Verdacht hegen, dass ein Vorfall eingetreten sein könnte, wenden Sie sich bitte an security@groupmap.com.

Meldung von Betriebsunterbrechungen

Wir veröffentlichen Vorfälle, die die Verfügbarkeit beeinträchtigen, auf unserer Statusseite, sobald wir diese bestätigt haben. Bei einem Vorfall der Stufe „Hoch“ oder „Kritisch“ (gemäß unserer Richtlinie zum Vorfallmanagement) benachrichtigen wir zudem die von unseren Unternehmenskunden benannten Ansprechpartner per E-Mail. Unsere Hosting-Plattform verhindert in der Regel Ausfallzeiten, wenn wir Änderungen an unseren Diensten vornehmen. Wir planen Wartungsarbeiten so, dass Störungen auf ein Minimum beschränkt bleiben, und veröffentlichen diese auf unserer Statusseite.

Ihre Privatsphäre ist geschützt

Ihre Daten bleiben Ihr Eigentum und sind nur denjenigen zugänglich, denen Sie den Zugriff gewähren. TeamRetro (und das GroupMap Technology-Team) darf nur unter bestimmten Umständen auf Ihre Daten zugreifen, beispielsweise wenn dies gesetzlich vorgeschrieben ist oder zur Bereitstellung von technischem Support erforderlich ist. Ausführliche Informationen finden Sie in der Datenschutzerklärung von TeamRetro.

Aufbewahrung und Löschung von Daten

Wir speichern die Daten unserer Nutzer für einen Zeitraum von 365 Tagen nach Ablauf ihrer Testphase oder ihres Abonnements. Anschließend werden alle Daten vollständig aus der Anwendung gelöscht. Nutzer können die Löschung ihrer Daten jederzeit beantragen, indem sie ihr Konto löschen oder sich an den TeamRetro-Support wenden. Weitere Informationen zu unseren Datenschutzeinstellungen finden Sie in unserer Datenschutzerklärung.

Geschäftskontinuität und Notfallwiederherstellung

Wir erstellen Sicherungskopien aller unserer kritischen Ressourcen und führen regelmäßig Tests zur Wiederherstellung der Sicherungskopien durch, um im Katastrophenfall eine schnelle Wiederherstellung zu gewährleisten. Alle 24 Stunden erstellen wir eine vollständige Sicherungskopie der Kundendaten. Die Sicherungskopien werden sicher verschlüsselt und 30 Tage lang aufbewahrt; danach werden sie sicher vernichtet. Wir haben Pläne zur Geschäftskontinuität und zur Notfallwiederherstellung erstellt und überprüfen diese jährlich.

Sichere Programmierung

Unsere Entwickler sind verpflichtet, unsere offiziell dokumentierte Richtlinie zur Anwendungssicherheit einzuhalten und sich an bewährte Sicherheitsverfahren sowie Rahmenwerke (OWASP Top 10, SANS Top 25) zu halten. Wir wenden die folgenden bewährten Verfahren an, um ein Höchstmaß an Sicherheit in unserer Software zu gewährleisten:

• Entwickler nehmen an regelmäßigen Sicherheitsschulungen teil, um sich über häufige Schwachstellen und Bedrohungen zu informieren
• Jede Änderung wird einer Peer-Review unterzogen, auch im Hinblick auf Sicherheitslücken: soweit möglich vor der Zusammenführung, andernfalls im Anschluss daran im Rahmen einer monatlichen Überprüfung aller ohne Genehmigung zusammengeführten Änderungen. Auch Produktionsreleases bedürfen vor ihrer Bereitstellung einer Genehmigung.
• Wir aktualisieren unsere Abhängigkeiten regelmäßig und stellen sicher, dass keine davon bekannte Sicherheitslücken aufweist.
• Wir setzen statische Anwendungssicherheitstests (SAST) ein, um grundlegende Sicherheitslücken in unserem Code zu erkennen.
• Wir nutzen Dynamic Application Security Testing (DAST), um unsere Anwendungen zu überprüfen
• Durch den Einsatz von Datadog können wir Sicherheitslücken, die durch Sicherheitstests, Audits oder das Programm zur Offenlegung von Sicherheitslücken aufgedeckt wurden, effizienter beheben. Jede Produktionsversion wird auf Komponenten mit bekannten Sicherheitslücken überprüft, und Dependabot schlägt wöchentlich Aktualisierungen der Abhängigkeiten vor.

Schwachstellenprüfung

TeamRetro wird monatlich sowie nach bedeutenden Veröffentlichungen von intruder.io überprüft, um potenzielle Schwachstellen in der Infrastruktur, der Plattform und den Anwendungen zu identifizieren. Alle identifizierten Schwachstellen werden gemäß unseren Richtlinien zur Anwendungssicherheit bewertet und behoben.

Penetrationstests

Wir lassen regelmäßig unabhängige Penetrationstests durchführen, um die Sicherheit der TeamRetro-Plattform zu überprüfen. Wir beheben alle kritischen Probleme innerhalb von 48 Stunden und Probleme mit hohem Schweregrad innerhalb von 7 Tagen.

Risikobewertungen

Es wird eine jährliche Risikobewertung durchgeführt, um Bedrohungen und Schwachstellen in den TeamRetro-Systemen zu ermitteln. Auf der Grundlage der Ergebnisse der Risikobewertung werden Strategien zur Risikominderung entwickelt.

Systemabsicherung

SERVER-KONTAINERISIERUNG – TeamRetro nutzt die Betriebssystem-Konteinerisierung über AWS Fargate, um sicherzustellen, dass der Zugriff auf TeamRetro-Daten und -Code ordnungsgemäß eingeschränkt ist. Alle TeamRetro-Dienste laufen auf dedizierten Rechenressourcen, die in einem eigenen virtuellen Netzwerk isoliert sind.

TEMPORÄRE DATEISYSTEME AUF DEN SERVERN – Die Server von TeamRetro arbeiten mit einem temporären Dateisystem, das mindestens einmal täglich oder bei jeder Bereitstellung einer neuen Version auf eine aktuelle Kopie des zuletzt bereitgestellten Codes zurückgesetzt wird.

SYSTEM-PATCHES – Die Installation von Patches auf Plattformebene (Betriebssystem, Systembibliotheken und Dienste) für die TeamRetro-Anwendungs- und Datenbankserver erfolgt fortlaufend.

ANWENDUNGSPATCHES – Das TeamRetro führt laufend Anwendungs-Patches (Anwendungsbibliotheken usw.) durch.

COMPUTER – Alle Geräte des Teams (wie beispielsweise Laptops und Desktop-Computer für die Entwicklung) verfügen über verschlüsselte Speicher und sind durch aktuelle Antivirensoftware geschützt.

Umfassende Protokollierung

Wir führen umfassende Protokolle über jede Transaktion im System, einschließlich spezifischer Protokollierungen zu Anmeldeversuchen. Unser Team nutzt diese Protokolle sowie die daraus resultierenden automatisierten Warnmeldungen, um versuchte unbefugte Zugriffe zu untersuchen.

Zugangsrechte unseres Teams

• Unser Team hat nur mit Genehmigung unseres Sicherheitsteams Zugriff auf Nutzerdaten, und zwar ausschließlich, wenn dies gesetzlich vorgeschrieben ist oder zur Bereitstellung von technischem Support erforderlich ist. Ausführliche Informationen finden Sie in unserer Datenschutzerklärung.
• Unsere Mitarbeiter und Auftragnehmer unterzeichnen eine Geheimhaltungs- und Vertraulichkeitsvereinbarung, um die sensiblen Daten unserer Kunden zu schützen.
• Unsere Mitarbeiter und Auftragnehmer werden von einem führenden Dienstleister für Hintergrundüberprüfungen überprüft.
• Die Zugriffsberechtigung jedes einzelnen unserer Mitarbeiter richtet sich nach dem jeweiligen Bedarf, wird regelmäßig überprüft und widerrufen, sobald sie nicht mehr erforderlich ist. Wir setzen für alle kritischen TeamRetro-Systeme eine Multi-Faktor-Authentifizierung durch.
• Für den Administratorzugang ist eine Zwei-Faktor-Authentifizierung erforderlich.

Verantwortungsvolle Offenlegung

Wir laden alle, die sich an die Grundsätze der verantwortungsvollen Offenlegung halten und unsere Richtlinien sowie Nutzungsbedingungen einhalten, dazu ein, an unserem Programm zur Offenlegung von Sicherheitslücken teilzunehmen. Bitte vermeiden Sie automatisierte Tests und führen Sie Sicherheitstests ausschließlich mit Ihren eigenen Daten durch. Bitte geben Sie keine Informationen zu den Sicherheitslücken weiter, bis wir diese behoben haben. Wir behalten uns vor, nach eigenem Ermessen hochwertige und aussagekräftige Meldungen anzuerkennen. Erfahren Sie mehr über das Programm zur verantwortungsvollen Offenlegung von Sicherheitslücken von TeamRetro.