IT-Sicherheitsaudit für Anwendungen und Daten.

Ausschließlich persönliche Konten mit SSH-Schlüsseln und MFA. Auf die Produktion greifen zwei namentlich benannte Personen zu, alle anderen arbeiten in der Testumgebung. Die Konten laufen am letzten Tag der Zusammenarbeit ab. Secrets und .env-Dateien liegen ausschließlich im Passwortmanager, mit Zugriff pro Projekt, außerhalb von Repository und Messengern. Die Schlüssel rotieren wir nach jedem Wechsel im Team.

In Rechenzentren im EWR – in Warschau oder Frankfurt. Die Festplatte des Servers ist verschlüsselt, der Datenverkehr läuft über TLS 1.2/1.3 mit erzwungenem HSTS. Backups verschlüsseln wir vor der Übertragung in einen externen Speicher, und die Schlüssel dafür liegen außerhalb des Servers, zu dem sie gehören. Die Liste der Unterauftragsverarbeiter mit Namen senden wir Ihnen auf Anfrage.

Vollsicherung einmal täglich, inkrementelle Sicherung stündlich, Aufbewahrung 30 Tage. Einmal pro Quartal spielen wir ein Backup auf einem frisch aufgesetzten Server ein und messen die Wiederherstellungszeit, weil erst ein erfolgreich zurückgespieltes Backup die Gewissheit gibt, dass es im Ernstfall funktioniert. Logs bewahren wir 90 Tage auf, ohne Passwörter, Tokens und Ausweisnummern: Wir filtern nach Feldnamen, bevor etwas auf die Festplatte geschrieben wird.

Nur in anonymisierter Form. Vor jedem Dump läuft ein Skript, das E-Mail-Adressen, Rufnummern, Dokumentnummern und Zahlungsdaten anonymisiert; es bleibt in Ihrem Repository. Produktion, Staging und lokale Umgebungen haben eigene Datenbanken, Schlüssel und E-Mail-Konten. Im Staging ist der E-Mail-Versand nach außen gesperrt.

Jeder Pull Request wird von einer zweiten Person geprüft – nach dem Vier-Augen-Prinzip bringt niemand eigenen Code allein in die Produktion. Die CI-Pipeline führt Tests, statische Analyse und einen Scan der Abhängigkeiten aus (composer audit, npm audit). Abhängigkeiten aktualisieren wir monatlich, Schwachstellen ab CVSS 9,0 patchen wir innerhalb von 72 Stunden, auch am Wochenende.

Vor jedem Deployment erstellen wir einen Datenbank-Dump und taggen die Version. Ein Rollback ist ein einziger Befehl und kostet weniger als eine Minute Ausfallzeit. Freitags ab 15:00 Uhr gilt für die Produktion ein Deployment-Stopp. Das Monitoring binden wir in Ihren Slack-Kanal ein – einen Alarm zu einem 500-Fehler sehen Sie in derselben Minute wie wir. Auf kritische Störungen reagieren wir innerhalb von 4 Arbeitsstunden.

Bei Verdacht auf eine Datenschutzverletzung informieren wir Sie innerhalb von 24 Stunden nach der Entdeckung, damit Sie die Meldung an die zuständige Aufsichtsbehörde innerhalb der gesetzlichen 72 Stunden (Art. 33 DSGVO) schaffen. Sie erhalten Umfang und Kategorien der Daten, den Zeitraum, die Liste der Systeme und eine Beschreibung dessen, was bereits geschlossen ist. Bei einem Einbruch sichern wir zuerst die Logs: Sie zeigen, über welchen Weg jemand eingedrungen ist, und so schließen wir genau diesen Weg dauerhaft.

Wir nutzen Business-Versionen von KI-Tools, bei denen der Anbieter vertraglich ausschließt, dass Modelle mit den übermittelten Daten trainiert werden. Secrets, .env-Dateien und Produktivdaten geben wir dort grundsätzlich nicht ein. Wenn Ihre Richtlinie KI-Tools vollständig untersagt, arbeiten wir ohne sie und bestätigen Ihnen das vor Projektstart.

Ja. Den Scanner nutzen wir als Ausgangspunkt für die eigentliche Analyse. Die gravierendsten Fehler stecken in der Logik der Anwendung: eine Anfrage an den Server ohne Berechtigungsprüfung, eine ID, die sich austauschen lässt, Daten aus dem Browser, die ungeprüft übernommen werden. Ein Scanner erkennt sie nicht, weil formal alles funktioniert – deshalb prüfen wir den Code manuell und zeigen Ihnen, was tatsächlich korrigiert werden muss.

Weil ein Audit-Befund in der Praxis eine Anleitung zur Ausnutzung der Lücke ist – veröffentlicht schadet er dem Inhaber des Systems auch nach der Korrektur, da derselbe Fehler meist an mehreren Stellen desselben Codes steckt. Deshalb sprechen wir über Fehlerklassen, unsere Audit-Checkliste und unsere eigenen Zugriffsregeln – dieselben, die wir auch bei Ihnen anwenden.

Ja, der Bericht gehört Ihnen und enthält keine Klauseln, die das einschränken. Jeder Eintrag nennt die Fundstelle im Code und beschreibt die Korrektur, sodass Ihr eigenes Team oder ein beliebiger Dienstleister die Korrekturen umsetzen kann.

Schreiben Sie uns an [email protected], bevor Sie etwas bereinigen. Anhand unveränderter Dateien und Logs stellen wir fest, über welchen Weg jemand eingedrungen ist, und schließen ihn. Wir sichern den aktuellen Zustand, suchen den Einstiegspunkt, entfernen versteckte Backdoors und schließen die Lücke, damit das System wieder stabil läuft.