Sicherheitsrichtlinie

Zuletzt aktualisiert: 17. Januar 2025

Diese Sicherheitsrichtlinie beschreibt die Maßnahmen und Verfahren, die Veradim anwendet, um die Vertraulichkeit, Integrität und Verfügbarkeit der von uns verarbeiteten Daten zu schützen. Wir verpflichten uns, angemessene technische und organisatorische Sicherheitsvorkehrungen zu treffen, um Ihre Daten vor unbefugtem Zugriff, Verlust, Zerstörung oder Missbrauch zu schützen.

1. Geltungsbereich

Diese Richtlinie gilt für alle Systeme, Anwendungen, Netzwerke und Daten, die von Veradim betrieben oder verwaltet werden, einschließlich der über veradim.com bereitgestellten Dienste. Sie richtet sich an alle Nutzer, Kunden und sonstigen Personen, die mit unseren Diensten in Berührung kommen.

2. Informationssicherheitsprinzipien

Unsere Sicherheitsstrategie basiert auf drei grundlegenden Prinzipien:

Vertraulichkeit: Daten werden nur autorisierten Personen zugänglich gemacht. Wir stellen sicher, dass sensible Informationen nicht unbefugt eingesehen, weitergegeben oder veröffentlicht werden.

Integrität: Daten werden vor unbefugter Veränderung geschützt. Wir setzen Maßnahmen ein, die sicherstellen, dass Informationen vollständig und unverändert vorliegen.

Verfügbarkeit: Autorisierte Nutzer erhalten bei Bedarf Zugang zu den benötigten Informationen und Systemen. Wir treffen Vorkehrungen, um die Betriebskontinuität zu gewährleisten.

3. Technische Sicherheitsmaßnahmen

3.1 Verschlüsselung

Alle Datenübertragungen zwischen Nutzern und unseren Diensten werden durch branchenübliche Verschlüsselungsprotokolle (TLS/SSL) gesichert. Gespeicherte sensible Daten werden zusätzlich durch geeignete Verschlüsselungsverfahren geschützt. Kryptografische Schlüssel werden sicher verwaltet und regelmäßig erneuert.

3.2 Zugangskontrolle

Der Zugang zu Systemen und Daten wird nach dem Prinzip der minimalen Rechtevergabe (Least Privilege) geregelt. Authentifizierungsverfahren, einschließlich starker Passwortanforderungen und, wo technisch umsetzbar, Mehrfaktor-Authentifizierung, sind implementiert. Zugriffsrechte werden regelmäßig überprüft und bei Bedarf angepasst oder widerrufen.

3.3 Netzwerksicherheit

Unsere Infrastruktur ist durch Firewalls, Intrusion-Detection-Systeme und andere geeignete Netzwerksicherheitskomponenten geschützt. Netzwerksegmentierung wird eingesetzt, um den Zugriff auf kritische Systeme zu begrenzen. Regelmäßige Sicherheitsscans und Penetrationstests werden durchgeführt, um Schwachstellen frühzeitig zu erkennen.

3.4 Systemhärtung

Alle eingesetzten Server, Betriebssysteme und Anwendungen werden nach anerkannten Sicherheitsstandards konfiguriert und gehärtet. Unnötige Dienste, Ports und Protokolle werden deaktiviert. Software-Updates und Sicherheits-Patches werden zeitnah eingespielt.

3.5 Datensicherung

Regelmäßige Backups aller kritischen Daten und Systeme werden durchgeführt. Backup-Daten werden sicher gespeichert und verschlüsselt. Die Wiederherstellbarkeit der Backups wird in regelmäßigen Abständen getestet, um die Betriebskontinuität im Fehlerfall zu gewährleisten.

4. Organisatorische Sicherheitsmaßnahmen

4.1 Mitarbeitersensibilisierung und Schulung

Alle Mitarbeitenden, die Zugang zu Systemen oder Kundendaten haben, werden regelmäßig in Informationssicherheit und Datenschutz geschult. Sicherheitsrichtlinien und -verfahren werden kommuniziert und verbindlich eingeführt. Schulungen umfassen den sicheren Umgang mit Daten, die Erkennung von Phishing-Versuchen und den Umgang mit Sicherheitsvorfällen.

4.2 Zutritts- und Zugriffsverwaltung

Physischer Zugang zu Serverräumen und anderen sicherheitsrelevanten Bereichen ist auf autorisiertes Personal beschränkt. Zugangsberechtigungen werden bei Austritt oder Rollenwechsel von Mitarbeitenden unverzüglich angepasst oder entzogen. Die Vergabe privilegierter Zugänge unterliegt einem gesonderten Genehmigungsprozess.

4.3 Sicherheitsüberprüfung und Risikoanalyse

Wir führen regelmäßige interne und externe Sicherheitsüberprüfungen durch, um Risiken zu identifizieren und zu bewerten. Erkannte Schwachstellen werden nach ihrer Kritikalität priorisiert und zeitnah behoben. Ergebnisse von Überprüfungen fließen in die kontinuierliche Verbesserung unserer Sicherheitsmaßnahmen ein.

5. Umgang mit Sicherheitsvorfällen

5.1 Erkennung und Meldung

Wir betreiben Monitoring-Systeme zur frühzeitigen Erkennung von Sicherheitsvorfällen und ungewöhnlichen Aktivitäten. Mitarbeitende sind verpflichtet, erkannte oder vermutete Sicherheitsvorfälle unverzüglich zu melden. Kunden und Nutzer werden gebeten, Sicherheitsbedenken oder verdächtige Aktivitäten umgehend unter help@veradim.com zu melden.

5.2 Reaktion auf Vorfälle

Im Falle eines Sicherheitsvorfalls wird ein strukturierter Incident-Response-Prozess eingeleitet. Dieser umfasst die Eingrenzung des Vorfalls, die Analyse der Ursachen, die Beseitigung des Problems sowie Maßnahmen zur Vermeidung künftiger Vorfälle. Betroffene Nutzer und, soweit gesetzlich erforderlich, zuständige Behörden werden entsprechend den geltenden Anforderungen informiert.

5.3 Dokumentation und Nachbereitung

Sicherheitsvorfälle werden vollständig dokumentiert. Nach Abschluss eines Vorfalls erfolgt eine Nachbereitung, um gewonnene Erkenntnisse in bestehende Prozesse und Sicherheitsmaßnahmen einzubinden und Wiederholungen zu verhindern.

6. Drittanbieter und Auftragsverarbeiter

Bei der Einbindung externer Dienstleister, die im Auftrag von Veradim Daten verarbeiten oder auf unsere Systeme zugreifen, werden diese auf die Einhaltung angemessener Sicherheitsstandards verpflichtet. Verträge mit Dienstleistern enthalten entsprechende Sicherheits- und Datenschutzklauseln. Die Sicherheitspraktiken wesentlicher Dienstleister werden regelmäßig überprüft.

7. Physische Sicherheit

Physische Sicherheitsmaßnahmen schützen unsere Infrastruktur vor unbefugtem Zutritt, Sachschäden und Umwelteinflüssen. Rechenzentren und Serverräume sind mit Zutrittskontrollsystemen, Überwachungseinrichtungen und geeigneten Schutzvorrichtungen gegen Brand, Wasser und Stromausfall ausgestattet. Geräte und Datenträger werden bei Außerbetriebnahme sicher gelöscht oder vernichtet.

8. Schwachstellenmanagement

Wir betreiben ein aktives Schwachstellenmanagement, das die kontinuierliche Überwachung bekannter Sicherheitslücken in eingesetzten Softwarekomponenten und Systemen umfasst. Identifizierte Schwachstellen werden nach Kritikalität bewertet und gemäß einem definierten Zeitplan behoben. Sicherheitsupdates für kritische Systeme werden vorrangig behandelt.

9. Verantwortliche Offenlegung

Veradim begrüßt verantwortungsvolle Meldungen von Sicherheitslücken durch externe Sicherheitsforscherinnen und -forscher. Wenn Sie eine potenzielle Sicherheitslücke in unseren Systemen entdecken, bitten wir Sie, uns diese vertraulich unter help@veradim.com mitzuteilen, bevor Sie darüber öffentlich berichten. Wir verpflichten uns, eingehende Meldungen ernstzunehmen, zeitnah zu prüfen und Sie über den Bearbeitungsstand zu informieren.

10. Betriebskontinuität

Wir verfügen über Pläne zur Aufrechterhaltung des Betriebs und zur Wiederherstellung nach schwerwiegenden Störungen oder Ausfällen. Diese Pläne werden regelmäßig getestet und aktualisiert. Redundanzen in kritischen Infrastrukturkomponenten tragen dazu bei, die Verfügbarkeit unserer Dienste auch in Ausnahmesituationen zu gewährleisten.

11. Überprüfung und Aktualisierung dieser Richtlinie

Diese Sicherheitsrichtlinie wird regelmäßig, mindestens einmal jährlich sowie anlassbedingt bei wesentlichen Änderungen unserer Systeme oder der gesetzlichen Rahmenbedingungen, überprüft und bei Bedarf aktualisiert. Das Datum der letzten Aktualisierung ist am Anfang dieses Dokuments angegeben. Nutzer werden über wesentliche Änderungen dieser Richtlinie in geeigneter Form informiert.

12. Kontakt

Bei Fragen zu dieser Sicherheitsrichtlinie, zur Meldung von Sicherheitsvorfällen oder für sonstige sicherheitsbezogene Anliegen stehen wir Ihnen zur Verfügung:

Veradim
Goldbacher Str. 13, 63739 Aschaffenburg, Germany
E-Mail: help@veradim.com
Telefon: +4956120230247

Wir nehmen Sicherheitsbelange ernst und werden Ihre Anfragen sorgfältig und zeitnah bearbeiten.