Technische und organisatorische Maßnahmen

Dokumentierte Zuständigkeiten für Betrieb, Zugriffsfreigaben, Datenschutzanfragen, Sicherheitsvorfälle, Änderungen und Anbieterprüfung. Regelmäßige Überprüfung der Maßnahmen und nachvollziehbare Freigabe produktiver Änderungen.

Produktive Systeme sind nur für autorisierte Personen zugänglich. Zugriffe werden nach Erforderlichkeit vergeben, regelmäßig überprüft und bei Wegfall unverzüglich entzogen. Administrativer Zugriff erfolgt mit individuellen Konten und angemessener Mehrfaktor-Authentifizierung, soweit technisch verfügbar.

Passwörter werden nicht im Klartext gespeichert, sondern mit einem geeigneten Passwort-Hashing-Verfahren verarbeitet. Sitzungen, Verifizierungs- und Zurücksetzungsmechanismen haben begrenzte Gültigkeit und werden gegen Missbrauch geschützt.

Anwendungsseitige Berechtigungsprüfungen beschränken Datenzugriff auf das jeweilige Geschäftskonto und die zugewiesene Rolle. Objektzugriffe werden serverseitig geprüft; die Kenntnis einer URL oder Kennung allein darf keinen Zugriff ermöglichen.

Produktive Webzugriffe und Administrationsverbindungen werden über aktuelle verschlüsselte Transportprotokolle geschützt. Unsichere Verbindungen werden umgeleitet oder abgewiesen. Zertifikate und Sicherheitsheader werden überwacht.

Passwörter, Token, Datenbankzugänge und andere Geheimnisse werden außerhalb des Quellcodes in geschützten Umgebungs- oder Secret-Systemen verwaltet. Zugriff und Rotation werden auf das erforderliche Maß beschränkt.

Sicherheitsrelevante Anmelde-, Berechtigungs-, Fehler- und Administrationsereignisse werden soweit erforderlich protokolliert. Protokolle werden vor unbefugter Änderung geschützt, auf das notwendige Maß begrenzt und nach der veröffentlichten Frist gelöscht.

Änderungen werden versioniert, geprüft und vor produktiver Bereitstellung getestet. Abhängigkeiten und Sicherheitsupdates werden regelmäßig überprüft. Produktionsdaten dürfen nicht unkontrolliert in Entwicklungsumgebungen kopiert werden.

Sicherungen werden nach einem dokumentierten Zeitplan erstellt, zugriffsgeschützt aufbewahrt und regelmäßig auf Wiederherstellbarkeit geprüft. Wiederanlauf- und Wiederherstellungsverfahren sind dokumentiert. Die tatsächliche Frequenz und Aufbewahrung müssen mit der Datenschutzerklärung übereinstimmen.

Es bestehen Verfahren zur Löschung von Konten, Buchungen, Sitzungen, Token, Protokollen und Sicherungskopien. Freitextfelder und Pflichtfelder werden auf das notwendige Maß begrenzt. Löschvorgänge und Ausnahmen werden nachvollziehbar dokumentiert.

Ein dokumentierter Prozess regelt Erkennung, Eindämmung, Bewertung, Beweissicherung, Benachrichtigung, Wiederherstellung und Nachbereitung. Datenschutzverletzungen werden so rechtzeitig bewertet, dass gesetzliche Melde- und Informationspflichten erfüllt werden können.

Anbieter werden vor Einsatz hinsichtlich Datenschutz, Sicherheit, Standort und Vertragsbedingungen geprüft. Erforderliche Auftragsverarbeitungsverträge und Transfermechanismen werden dokumentiert. Änderungen werden nach dem AVV-Verfahren behandelt.