Datensicherheit mit den höchsten Standards
Unsere technischen und organisatorischen Maßnahmen für Ihre Daten
Wir sind uns bewusst, dass die in TaraCare gespeicherten Daten extrem sensibel und vertraulich sind. Deswegen setzen wir auf modernste Sicherheitsmaßnahmen, um die Daten zu schützen und Datenlecks systematisch auszuschließen.
"Wir setzen uns umfassend für eine sichere und souveräne Entwicklung unserer IT ein. Alle Produkte und Services, die wir nutzen, werden sorgfältig ausgewählt. Dabei achten wir stets darauf, zuverlässige, datenschutzkonforme und qualitativ hochwertige Lösungen einzusetzen."
In TaraCare werden die Daten von Auszubildenden aus ganz Deutschland gespeichert. Wir sind uns bewusst, dass der Schutz der Daten damit einen besonderen Stellenwert hat und fühlen uns verpflichtet, eine besonders sichere und zuverlässige Umgebung bereitzustellen. Unser Sicherheitsmodell sowie unsere Kontrolle basieren auf internationalen Standards und folgen stets den Best-Practice-Modellen der Branche, welche unter anderem in ISO 27001 und ISO 27108 international standardisiert sind. Die Datenverarbeitung geschieht konform zur DSGVO.
Um die Qualität unseres Produktes sicherzustellen, setzen wir auf eine Moderne On-Prem lösung inform eines modernen Error-Reporting-Framework, das es uns erlaubt, Programmfehler schnell zu erkennen und zu beheben.
Anwendungssicherheit.
Bei TaraCare handelt es sich um eine moderne Webanwendung, die als sicherheitsorientierte Software konzipiert wurde und ein mehrschichtiges Sicherheitskonzept implementiert. Die Anwendung wurde unter Berücksichtigung des aktuellen OWASP Top 10 Frameworks entwickelt und jegliche Implementierungen werden vor Veröffentlichung geprüft und getestet. Unsere automatisierten kontrollierenden CI/CD-Prozesse beinhalten umfangreiche Tests, welche auf Basis von SAST, Unit-Tests, Secret Detection, automatischer Schwachstellenbewertung der Sicherheitseinstellungen sowie automatischer Updates unserer Supply-Chain die Sicherheit und Qualität von TaraCare sicherstellen. Wir entwickeln diese Pipeline stetig weiter und implementieren neue Sicherheitstests, um die Qualität der Software zu gewährleisten.
Entwicklungssicherheit.
Um nicht nur die aktuelle Sicherheit, sondern auch die von zukünftigen Entwicklungen sicherzustellen, wird neu entwickelter Programmcode für größere Features mehrfach überprüft. Dies geschieht mithilfe von Review-Anfragen, welche vom jeweiligen Entwickler gestellt und vom am besten geeigneten weiteren Entwickler überprüft werden. Der Programmcode wird erst veröffentlicht, nachdem die automatische CI/CD und der Reviewer den Programmcode als geeignet ansehen.
Die Rolle von KI in unserer Entwicklung.
Künstliche Intelligenz ist eine neue Technologie in der Entwicklung, die viele spannende Möglichkeiten bietet. Sie kann Prozesse beschleunigen, Ideen liefern und Entwicklerinnen und Entwickler bei ihrer Arbeit unterstützen. Allerdings ist KI bei weitem nicht unfehlbar: Ergebnisse können fehlerhaft, unvollständig oder missverständlich sein. Deshalb setzen wir darauf, dass alles, was von KI erstellt wurde, immer von Menschen geprüft, bewertet und gegebenenfalls korrigiert werden muss.
Trotzdem sehen wir KI als Möglichkeit, die Qualität unseres Produktes noch weiter zu steigern. Wir setzen diese ein, um unsere Entwickler zu unterstützen und um Fehler frühzeitig zu erkennen. Sie liefert Vorschläge, wie wir Implementierungen verbessern können. KI wird von uns nicht eingesetzt, um Implementierungen proaktiv zu entwickeln, sondern rein als Unterstützung unserer professionellen Entwickler.
Infrastruktursicherheit.
Wie bereits erwähnt wird die physische Seite unserer Infrastruktur von unserem Serverpartner sichergestellt. Darüber hinaus verwenden wir auch innerhalb der Software auf mehreren Ebenen Abwehrmechanismen, um die Daten zu schützen.
- DDoS-Mitigation.
- DDoS-Mitigation, Ratenbegrenzung und fortgeschrittene Sensorik für die frühzeitige Erkennung von Angriffen. Dies wird unterstützt durch eine fortschrittliche Routing-Konfiguration und eine umfangreiche Protokollierung des Netzwerk-Traffics, sowohl intern als auch extern. Hierdurch können wir Angriffe frühzeitig erkennen und Abwehrmaßnahmen einleiten.
- Verfügbarkeit.
- Aufgrund der Sensibilität und Priorität der Daten haben wir uns bewusst dazu entschieden, die Daten auf hochprofessionellen Servern unseres Serverpartners Hetzner in Nürnberg und Falkenstein zu speichern. Hetzner ist ein renommiertes deutsches Unternehmen, welches moderne physische und umweltbezogene Sicherheitsvorkehrungen nutzt, um die Infrastruktur extrem ausfallsicher zu gestalten. Die Server sind verschlüsselt, wodurch die Daten auf den Servern unter vollkommener Kontrolle von HCTec stehen.
- Backups.
- Um einen Verlust von Daten auszuschließen, fertigen wir täglich mehrere individuell verschlüsselte Backups an und verteilen diese verschlüsselt auf mehrere Standorte innerhalb der Europäischen Union, wo diese 90 Tage aufbewahrt werden. Diese und andere Großmedien werden auf Object-Storage-Servern von Hetzner und Backblaze aufbewahrt.
- SSL-geschützt.
- Die gesamte Kommunikation mit TaraCare wird mit TLS 1.3 und AES verschlüsselt. Dies ist eine moderne Chiffrierungs-Suite-Verschlüsselung.
- Advanced Security.
- Für einen erweiterten Schutz setzen wir auf Firewalls für die Durchsetzung von IP-Whitelists und Zugriff auf Netzwerkressourcen nur über zugelassene Ports. Dies geschieht unter anderem auch über eine Web Application Firewall (WAF) für eine inhaltsbasierte, dynamische Angriffsabwehr.
- Zugangsdaten.
- Zugangsdaten werden mit einer modernen Hash-Funktion gehasht, mit einem „Salt” versehen und timingsicher verglichen.
Unsere Servicepartner
Wir setzen bei der Bereitstellung von TaraCare auf ein breites Netz spezialisierter Partner. Diese ermöglichen es uns, den Dienst so verfügbar wie möglich zu halten. Auch sind wir Bestrebt die menge an Europäischen Lösungen in unserer Infrastruktur stetig zu erhöhen.
-
- Wir nutzen Hetzner als Hosting-Anbieter, welcher die technische Server-Infrastruktur bereitstellt, auf der die Web-App betrieben wird. Die Aufgabe von Hetzner besteht dabei vor allem darin, Rechenleistung, Netzwerkverfügbarkeit, Speicherplatz und grundlegende Infrastruktur für einen stabilen Betrieb bereitzustellen.
-
- In TaraCare wird Cloudflare eingesetzt, um die Web-App schneller, stabiler und sicherer bereitzustellen. Wir beziehen hier unter anderem DNS, CDN, DDoS-Schutz und Web-Sicherheitsfunktionen. Dabei verarbeitet Cloudflare nach unserer Konfiguration technische Verbindungsdaten wie IP-Adressen, Anfragen, Logs und gegebenenfalls durchgeleitete Inhalte. Der Zugriff auf TaraCare-Kundendaten beschränkt sich auf die Absicherung und Weiterleitung des Datenverkehrs.
-
- Für das Speichern von größeren Medien sowie zusätzlicher Backups nutzen wir Backblaze. Die Aufgabe von Backblaze besteht dabei darin, diese Daten zuverlässig zu speichern, verfügbar zu halten und technisch abzusichern. Zugriff auf TaraCare-Kundendaten besteht nur im Rahmen der Speicherbereitstellung, technischer Verwaltung und vereinbarter Datenschutzvorgaben.
Sicherheitsprüfungen und Penetrationstests.
Regelmäßige Bewertungen der Sicherheitsvorkehrungen sind wichtig, um ein akkurates und unvoreingenommenes Verständnis der Sicherheitslage zu erhalten. HCTec führt regelmäßig interne Angriffe auf seine eigenen Programme sowie die eigene Infrastruktur durch und benutzt die daraus gewonnenen Erkenntnisse, um die Sicherheitslage zu verbessern.
Sicherheitsbewusstsein und Schulung.
HCTec ist sich bewusst, dass die Sicherheit der Plattform von den Mitarbeitern abhängig ist. Aus diesem Grund achten wir darauf, dass all unsere Mitarbeiter zum Thema Informationssicherheit geschult sind und führen regelmäßig Fortbildungen durch. Zusätzlich haben sich alle Mitarbeiter dazu verpflichtet, sicherheitsrelevante Daten nicht an Dritte weiterzugeben.
Zugangs- / Zugriffskontrolle.
Wir sind uns bewusst, dass die Daten, die auf TaraCare hochgeladen werden, extrem privat und vertraulich sind. Wir führen regelmäßig Überprüfungen unserer Authentifizierung durch und stellen sicher, dass die vergebenen Berechtigungen möglichst minimal sind. Beim Ausscheiden aus dem Unternehmen werden die Zugriffsrechte unserer Mitarbeiter umgehend gelöscht.