Technische und organisatorische Maßnahmen

1. Geltung und Betriebsnachweis

Diese Anlage beschreibt die im Produkt implementierten Schutzmechanismen und die für eine produktive Bereitstellung verpflichtend einzurichtenden Betriebsmaßnahmen. Eine betriebsabhängige Maßnahme ist erst wirksam, wenn der konkrete Betreiber sie eingerichtet, getestet und dokumentiert hat. Der Readiness-Endpunkt prüft Konfigurationsvoraussetzungen, ersetzt jedoch keinen Betriebs-, Restore- oder Penetrationstest.

2. Sicherheitsorganisation

• Dokumentierte Verantwortlichkeiten, Berechtigungsrollen und Sicherheits-/Incident-Prozesse sind vor Produktivstart festzulegen.
• Eingesetzte Personen sind auf Vertraulichkeit zu verpflichten und bedarfsgerecht zu unterweisen.
• Quellcodeänderungen werden durch automatisierte Tests und einen kontrollierten Releaseprozess geprüft; organisatorisches Vier-Augen-Prinzip ist vom Betreiber festzulegen.

3. Zutritts-, Zugangs-, Zugriffs- und Mandantenkontrolle

• Physischer Schutz richtet sich nach dem tatsächlich konfigurierten Hosting-Unterauftragnehmer.
• Die Anwendung nutzt individuelle Konten, Passwort-Hashing, serverseitig geprüfte Sitzungen sowie Rollen-, Modul- und Objektberechtigungen.
• Fachliche Datenzugriffe werden auf den Mandantenkontext beschränkt; Schreibzugriffe werden zusätzlich an die aktuelle Organisations-Vertragsannahme gebunden.
• Öffentliche Bearer-Token werden für geschützte Flüsse zufällig erzeugt, gehasht gespeichert und statusbezogen geprüft.
• Produktions-, Entwicklungs- und privilegierte Betreiberzugriffe müssen organisatorisch getrennt und nachvollziehbar verwaltet werden.

4. Übertragungs-, Geheimnis- und Speicherschutz

• Die Produktionsbereitstellung setzt TLS und sichere Cookie-Attribute voraus.
• Provider- und Mailzugangsdaten werden mit rotierbaren, zweckgebundenen Schlüsseln verschlüsselt; Vertragsnachweise verwenden einen separaten HMAC-Schlüssel mit Schlüsselkennung.
• Private Dokumente werden außerhalb öffentlich ausgelieferter Verzeichnisse gespeichert.
• Finale Rechnungs- und Mahndokumente werden über Größe und kryptografischen Hash auf Integrität geprüft.
• Ausgehende, vom Benutzer beeinflussbare Netzwerkziele werden gegen interne/private Adressen und unerlaubte Ziele geprüft.

5. Verfügbarkeit, Wiederherstellung und Überwachung

Die Anwendung stellt Readiness-Prüfungen sowie Werkzeuge für verschlüsselte Datenbank- und Dateisicherungen, Integritätsprüfung und Wiederherstellung bereit. Zeitplan, getrenntes Sicherungsziel, Aufbewahrung, RPO/RTO, Alarmierung und regelmäßige Restore-Nachweise sind abhängig von der Produktivumgebung und müssen der Betreiber vor Freischaltung verbindlich einrichten. Zentrio behauptet durch die bloße Bereitstellung der Werkzeuge keinen bereits laufenden externen Monitoring- oder Backupdienst.

6. Schadsoftware-, Upload- und Netzwerkschutz

• Uploads landen zunächst in Quarantäne und werden erst nach erfolgreicher, produktiv konfigurierter Schadsoftwareprüfung freigegeben.
• Dateigröße, erkannter Inhaltstyp, Hash und Mandantenzugehörigkeit werden kontrolliert.
• Rate-Limits und Größenbegrenzungen schützen öffentliche sowie authentifizierte Endpunkte.
• Fehlerhafte oder nicht geprüfte Dateien werden nicht als E-Mail-Anhang oder Dokument ausgeliefert.

7. Datenschutzfreundliche Voreinstellungen, Export und Löschung

• Öffentliche Sichten sind auf ausdrücklich kundensichtbare Inhalte begrenzt.
• Vertragsnachweise speichern zweckgebundene Pseudonyme statt Roh-IP-Adresse und vollständigem User-Agent und bleiben bei Konto-/Mandantenlöschung ohne Kaskadenlöschung beweisbar.
• Mandantenexporte schließen Passwort-Hashes, Token, Zugangsdaten und interne Sicherheitsgeheimnisse aus.
• Der Betreiber muss Aufbewahrungs- und Löschläufe für die Produktivumgebung terminieren, überwachen und operative Daten von rechtlich aufzubewahrenden Belegen trennen.

8. Kontrolle der Wirksamkeit

Die Quellcodebasis enthält automatisierte Sicherheits-, Mandanten-, Rollen-, Integritäts-, Build- und Releaseprüfungen. Produktionsspezifische Restore-, Incident-, Monitoring-, Schwachstellen- und Penetrationstests sind gesonderte Betreiberpflichten und müssen vor dem Marktstart sowie regelmäßig danach nachgewiesen werden. Wesentliche Abweichungen sind priorisiert zu dokumentieren und nachzuverfolgen.