Technische und organisatorische Maßnahmen (TOMs)

Maßnahmen nach Art. 32 DSGVO zur Sicherheit der Verarbeitung. Anlage zur Auftragsverarbeitung.

1. Vertraulichkeit

Verschlüsselung

• Backups können clientseitig Ende-zu-Ende verschlüsselt werden; die clientseitigen Schlüssel verbleiben ausschließlich beim Kunden.
• Objekte werden zusätzlich serverseitig verschlüsselt gespeichert.
• Der gesamte Datenverkehr zwischen den Zonen (Backup-Zone ↔ Storage-Zones) läuft über stark verschlüsselte, gegenseitig authentisierte Verbindungen.
• Kundenseitige Übertragungen an die Citadels erfolgen über TLS (HTTPS).
• Pseudonymisierung: Interne Verarbeitung und Protokollierung referenzieren Kunden, Projekte und Objekte soweit möglich über technische Kennungen statt über Klarnamen.

Zutritts-, Zugangs- und Zugriffskontrolle

• Physische Zutrittskontrolle: Betrieb ausschließlich in professionellen Rechenzentren; der physische Zutritt wird durch den jeweiligen Rechenzentrums-Provider kontrolliert und ist auf autorisiertes Personal beschränkt.
• Anmeldung ausschließlich über Single Sign-on einer zentralen Identitätsplattform mit verpflichtender Mehr-Faktor-Authentisierung (TOTP).
• Rollenbasierte Zugriffssteuerung in Organisationen und Projekten (Least Privilege).
• Interne Dienste binden nur auf private Netzadressen; Verwaltungsdienste sind nicht öffentlich erreichbar. Administrativer Zugang erfolgt über abgesicherte Jump-Hosts/VPN.
• Datenbankzugriffe über dienstspezifische Konten mit minimal nötigen Rechten; Geheimnisse werden zentral verwaltet und rotiert.
• Schutz vor automatisierten Angriffen (z. B. automatische Sperrung von Quelladressen nach wiederholten fehlgeschlagenen Anmeldeversuchen).

Trennungskontrolle

• Mandantentrennung auf Anwendungsebene (Organisationen/Projekte).
• Strikte Netz- und Zonensegmentierung: getrennte private Subnetze je Zone; Zonen sind gegeneinander isoliert, Querverkehr nur über definierte, verschlüsselte Pfade.
• Getrennte Umgebungen für Entwicklung, Test und Produktion.
• Kontrolle des ausgehenden Datenverkehrs (Egress-Filterung über Proxy/NAT-Gateway).

2. Integrität

Weitergabe- und Eingabekontrolle

• Unveränderbare, schreibgeschützte Ablage (WORN – „Write Once, Read Never“) für konfigurierte Projekte: die Plattform stellt sicher, dass Objekte während der Vorhaltezeit weder geändert noch gelöscht werden können; das Lesen erfordert ein separates Token mit Lese-Berechtigung.
• Revisionssichere Protokollierung sicherheitsrelevanter Ereignisse; zentrale Sammlung und Auswertung in einem zugriffsgeschützten Auswertesystem.
• Authentifizierung jeder Anfrage über projektbezogene Token; Prüfung von Berechtigung und Kontingenten an den Citadels.
• Automatisierte Anomalieerkennung (u. a. Token-Missbrauch, Hinweise auf unverschlüsselte Uploads/geringe Entropie, Volumen-/Durchsatz-Ausreißer) mit Hinweisen an den Kunden.

3. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit

• Storage-Zones in professionellen Rechenzentren; derzeit verfügbare Zone: de01-1 (Nürnberg, Rechenzentrums-Provider Hetzner). Weitere Zonen an zusätzlichen Standorten und bei weiteren Providern sind in Vorbereitung.
• Mehrere Speicher-Endpunkte (Citadels) je Zone mit automatischem Endpunktwechsel der Client-Software bei Störungen.
• Replikation von Verwaltungs-/Metadaten zwischen den Zonen; zonenlokaler Weiterbetrieb bei Ausfall der Backup-Zone.
• 24/7-Überwachung der Endpunkte (Erreichbarkeit, Latenz, TLS) mit Alarmierung; geplantes Wartungsfenster (siehe Service Level).
• Gehärtete Host-Konfiguration und regelmäßige Aktualisierungen/Patches.
• Zentrale Verwaltungs- und Metadaten werden täglich automatisiert gesichert; die Wiederherstellung erfolgt anhand dokumentierter Wiederanlaufpläne und wird regelmäßig erprobt. Kundendaten liegen unveränderbar (WORN) mit kundendefinierter Vorhaltezeit vor.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Zentrale, automatisierte Beobachtbarkeit (Monitoring, Logging, Alarmierung).
• Infrastruktur als Code: nachvollziehbare, versionierte Konfiguration als alleinige Quelle der Wahrheit; keine host-lokalen Sonderkonfigurationen.
• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern nur unter vertraglicher Bindung an gleichwertige Pflichten (siehe AVV).
• Die Wirksamkeit der Maßnahmen wird fortlaufend automatisiert überwacht und mindestens jährlich intern überprüft und bewertet; Ergebnisse fließen in die Weiterentwicklung ein.

Diese Darstellung beschreibt den angestrebten Maßnahmenrahmen. Einzelne Maßnahmen können je Umgebung, Zone und Provider abweichen und werden fortlaufend weiterentwickelt.