Sicherheitskonzept

Hosting & Infrastruktur

Anwendungs- und Datenbank-Hosting in Deutschland (EU/EWR). Physische Sicherheit durch zertifizierte Rechenzentren (ISO 27001).

Verschlüsselung in Transit

Alle Verbindungen ausschließlich über TLS 1.2+ mit aktuellen Cipher-Suites. HSTS aktiv. HTTP wird auf HTTPS umgeleitet.

Verschlüsselung at Rest

Datenbank-Volumes verschlüsselt (AES-256). Backups verschlüsselt. Geheime Schlüssel ausschließlich in Secret-Stores (kein Plain-Text-Storage).

Zugriffskontrolle

Rollen- und rechtebasiertes Berechtigungssystem im Backend. Mandantentrennung auf Datenebene. Multi-Faktor-Authentifizierung für Admin-Zugänge.

Authentifizierung

Passwort-Hashing nach aktuellem Stand der Technik. Session-Cookies SameSite=Lax, HttpOnly, Secure. Optional Single Sign-On via Google / Microsoft.

Logging & Monitoring

Server- und Anwendungs-Logs liegen getrennt von Survey-Antworten und werden nicht mit diesen zusammengeführt. Aufbewahrungsfristen entsprechend Datenschutz-Konzept.

Backup & Wiederherstellung

Tägliche Backups mit Punkt-in-Time-Recovery. Wiederherstellungstests regelmäßig dokumentiert. Aufbewahrung gestaffelt nach Schutzbedarf.

Incident Response

Schriftlicher Reaktionsplan bei Sicherheitsvorfällen. Meldepflichten nach Art. 33/34 DSGVO innerhalb von 72 Stunden. Verantwortliche Personen benannt.

Software-Lieferkette

Abhängigkeiten werden automatisiert auf Sicherheitslücken geprüft. Updates werden zeitnah eingespielt. Änderungen am Code-Stand sind nachvollziehbar (Code-Review + Versionierung).

Mitarbeiter & Berechtigungen

Zugriff auf Produktivsysteme nach Need-to-know-Prinzip. Vertraulichkeits- und DSGVO-Verpflichtungen aller Beschäftigten dokumentiert.