Sicherheit und Compliance, die Sie überprüfen können

Unser Produkt protokolliert alle Nutzeraktivitäten, um Nutzungsmuster einfach prüfen zu können.

Wir haben mehrere Maßnahmen umgesetzt, damit Ihre Daten sicher und geschützt bleiben. Hier einige der Sicherheitsfunktionen und Richtlinien, die wir eingeführt haben: - Multi-Faktor-Authentifizierung (MFA) - Passwortrichtlinien - Kundenspezifische Richtlinien zur Datenaufbewahrung

Wir nutzen Webhooks, um nahtlose Integrationen mit verschiedenen Drittdiensten zu ermöglichen und unsere Plattform noch vielseitiger zu machen. Webhooks sind ein wesentlicher Bestandteil unserer Integrationsstrategie. Sie ermöglichen die Echtzeitkommunikation zwischen unserer SaaS-Anwendung und externen Diensten, sodass Daten in beide Richtungen fließen können. Das bedeutet: Wenn in unserer Plattform bestimmte Ereignisse eintreten, etwa Nutzeraktionen oder Aktualisierungen, können wir automatisch Aktionen in externen Diensten auslösen oder umgekehrt.

Als Teil unseres Engagements, wertvolle Assets zu schützen und innerhalb unserer Organisation ein Höchstmaß an Sicherheit zu gewährleisten, haben wir die Zwei-Faktor-Authentifizierung (2FA) für alle Mitarbeiterkonten verbindlich eingeführt. Alle Mitarbeitenden müssen 2FA (sofern möglich) aktivieren und nutzen, wenn sie auf unsere internen Systeme, Anwendungen und Dienste zugreifen. Diese zusätzliche Sicherheitsebene ist entscheidend, um das Risiko unbefugten Zugriffs zu verringern, sensible Informationen zu schützen und die Integrität unserer digitalen Infrastruktur zu wahren.

Hardware und Dienste: Kubernetes-Cluster: Wir betreiben containerisierte Anwendungen mit DigitalOcean Kubernetes (DOKS), einem verwalteten Dienst, mit dem wir Kubernetes-Cluster bequem betreiben und verwalten können. Verwaltete Datenbanken: Wir nutzen DigitalOcean Managed Databases mit Unterstützung für PostgreSQL und Redis. So können wir uns auf unsere Anwendungen konzentrieren, während DigitalOcean die Aufgaben der Datenbankverwaltung übernimmt. Objektspeicher: Für das Hosting von Assets und Dateien nutzen wir Amazon S3 von AWS, einen skalierbaren Objektspeicherdienst, der unter anderem für Datenarchivierung sowie Backup und Wiederherstellung bekannt ist. Privates Netzwerk: Bei DigitalOcean verwenden wir den VPC-Dienst für sichere, private Netzwerke, der hilft, unsere Ressourcen und unseren Datenverkehr zu isolieren und damit unsere Daten weiter zu schützen. Weitere Merkmale: Terraform-Provider: DigitalOcean bietet einen ausgereiften Terraform-Provider, mit dem wir unsere Infrastruktur effizient verwalten können. Rechenzentren in Mitteleuropa: Mit DigitalOcean haben wir Zugang zu Rechenzentren in Frankfurt und Amsterdam, die in Mitteleuropa liegen. Hochverfügbarkeit/verteilte Datenbank: Unser Setup unterstützt Hochverfügbarkeit mit den Managed Databases von DigitalOcean. Sie können mit Standby-Knoten in verschiedenen Rechenzentren für den Failover-Betrieb bereitgestellt werden.

Wir setzen eine rollenbasierte Zugriffskontrolle (RBAC) ein, um die Sicherheit unserer Systeme zu erhöhen und Ihre Daten zu schützen. Wir haben RBAC zwar bereits in vielen Bereichen integriert, die vollständige Umsetzung ist jedoch ein laufender Prozess. Sie können sich darauf verlassen, dass wir weitere robuste Sicherheitsmaßnahmen zum Schutz Ihrer Informationen haben. Unser Team arbeitet aktiv daran, RBAC auf alle Systeme auszuweiten, um umfassenden Schutz zu bieten.

Wir bieten für unser Produkt ein Service-Level-Agreement an. Weitere Informationen erhalten Sie auf Anfrage.

Unser Produkt unterstützt Funktionen zur Teamverwaltung, mit denen Administratoren die Bedürfnisse und Berechtigungen der Nutzer verwalten können.

Die folgenden Systeme enthalten Nutzerrechte und müssen auf diese hin überprüft werden: - Das Netzwerk von Pescheck (Unifi, die jeweiligen Mitglieder werden vom CTO in Unifi registriert und abgemeldet.) - Das Dashboard (die jeweiligen Mitglieder werden vom CTO in Microsoft Entra ID (früher Azure AD) registriert und abgemeldet) - Sharepoint (die jeweiligen Mitglieder werden vom CTO in Microsoft Entra ID (früher Azure AD) registriert und abgemeldet.) - 1 Password (Passwortsystem, die jeweiligen Mitglieder werden vom CTO in 1Password registriert und abgemeldet.)* - Hardware (automatisch mit Microsoft Entra ID synchronisiert, die jeweiligen Mitglieder werden vom CTO in Microsoft Entra ID registriert und abgemeldet.).

Wir stellen sicher, dass Daten an mehreren Standorten gesichert werden und im Fall eines Ausfalls innerhalb unseres Wiederherstellungszeitziels wiederhergestellt werden können. Die primären Rechenzentren befinden sich in Amsterdam, Niederlande / Frankfurt, Deutschland (Backup) / Paris, Frankreich (Backup).

Wir bieten die Möglichkeit, Kundendaten auf Anfrage zu löschen, und stellen sicher, dass die Daten innerhalb einer festgelegten Frist von zwei Jahren gelöscht werden. Hardware: Die Löschung von Daten erfolgt, wenn die Hardware nicht mehr funktioniert. Oder wenn die Hardware für alle unsere internen Nutzer bei Pescheck nicht mehr funktioniert. Dann entfernt der CTO des Unternehmens die Festplatten aus den Laptops. Nach dem Ausbau löscht er sie mit den folgenden Werkzeugen vollständig: Scrub Wipe Shred DD Wir folgen diesem Artikel zum Überschreiben von Festplatten nach den neuen Standards: https://www.blancco.com/resources/blog-many-overwriting-rounds-required-erase-hard-disk/ Wie oft sollte man also eine Festplatte für eine vollständige Datenlöschung überschreiben? Die Antwort: Ein Durchgang genügt. Damit sichergestellt ist, dass keine wiederherstellbaren Daten übrig bleiben, wird die Festplatte anschließend darauf geprüft, ob sie noch Daten enthält.

Wir haben uns entschieden, unsere sensiblen Daten in sicheren S3-Buckets von Amazon Web Services (AWS) zu speichern. Wir setzen auf AES-256-Bit-Verschlüsselung, die als eine der sichersten verfügbaren Verschlüsselungsmethoden gilt. Unsere Daten sind auf zwei AWS-Regionen verteilt, um Redundanz und Verfügbarkeit zu gewährleisten. Einen Teil unserer Daten speichern wir in Frankfurt, Deutschland, einen weiteren Teil in Paris, Frankreich. Diese Standorte wurden strategisch gewählt, um regionale und Compliance-Anforderungen zu erfüllen und zugleich innerhalb der Europäischen Union zu bleiben. Als zusätzlichen Schutz vor Datenpannen haben wir die serverseitige AES-256-Bit-Verschlüsselung aktiviert. Das bedeutet, dass die Daten bei der Übertragung und im Ruhezustand stets verschlüsselt sind und nur befugte Personen sie lesen können.

Unsere gesamte Kommunikation bei der Übertragung, extern wie intern, erfolgt über sichere und verschlüsselte Kanäle.

Wir setzen physische und betriebliche Sicherheitsmaßnahmen um, darunter Videoüberwachung an wichtigen Zugangspunkten, kontrollierten Zutritt für Besucher und Dritte sowie eingeschränkte Zutrittsverfahren für Mitarbeitende und externes Personal. Der Zutritt zum Büro wird über gesicherte Systeme gesteuert, wobei die Mitarbeitenden innerhalb und außerhalb der Arbeitszeiten für die Verschlussverfahren verantwortlich sind. Der Schutz der Ausrüstung wird durch eine minimale Lagerung wertvoller Güter vor Ort sichergestellt, da die meisten Systeme cloudbasiert sind und die Server extern in Europa gehostet werden. Verbleibende Hardware wie Laptops wird sicher aufbewahrt, verschlüsselt und entweder vor Ort verschlossen oder von den Mitarbeitenden mit nach Hause genommen, um das Risiko von Verlust oder Diebstahl zu verringern.

Zur Unterstützung dieses Sicherheitsversprechens haben wir eine Richtlinie zur verantwortungsvollen Offenlegung (Responsible Disclosure) eingeführt. Sie lädt Sicherheitsforscher, ethische Hacker und besorgte Nutzer ein, entdeckte Sicherheitslücken oder Schwachstellen direkt an uns zu melden. Wir bitten alle, die auf solche Probleme stoßen, die in unserer Responsible-Disclosure-Richtlinie beschriebenen Leitlinien zu befolgen. Die folgenden Informationen zur verantwortungsvollen Offenlegung und einen Ansprechpartner finden Sie hier:

Wir setzen eine Bot-Erkennung ein, um unsere Webanwendung vor automatisierten Login-Angriffen zu schützen.

Auf Anfrage erhältlich.

Wir verwalten alle Geheimnisse (Secrets) mit HashiCorp Vault.

Wir führen für alle unsere Mitarbeitenden jährlich eine Schulung zum Sicherheitsbewusstsein durch.

Wir legen im gesamten Software-Entwicklungslebenszyklus (SDLC) Wert auf Sicherheit und Codequalität. Wir setzen verschiedene Maßnahmen um, damit die Software robust, zuverlässig und frei von Schwachstellen ist. Dazu gehören: - Branch-Schutz für die Hauptzweige. - Schwachstellen-Scans in der CI/CD-Pipeline. - Peer-Review bei größeren Änderungen. - Automatisierte Tests. - Werkzeuge zur Code-Analyse. - Richtlinien für sicheres Programmieren. - Regelmäßige Sicherheitsschulungen. - Penetrationstests. - Sichere Bibliotheken von Drittanbietern.

Diese Seite bietet Echtzeit-Updates zum Status unserer Dienste und zu allen Störungen oder Wartungsarbeiten, die Ihre Nutzung beeinträchtigen können. Wenn Sie unsere Statusseite abonnieren, erhalten Sie sofortige Benachrichtigungen und Warnungen direkt über Ihre bevorzugten Kommunikationskanäle und bleiben so über mögliche Störungen oder Änderungen informiert. (Referenz: IT Security Policy).

Unsere Anti-DDoS-Richtlinie umfasst fortschrittliche Maßnahmen, die unser Netzwerk und unsere Dienste vor verteilten Denial-of-Service-Angriffen schützen. Diese Maßnahmen gewährleisten dauerhafte Verfügbarkeit und Leistung, selbst bei einem Angriff. (Referenz: IT Security Policy).

Unsere Richtlinie für Business Continuity und Disaster Recovery (BC/DR) stellt sicher, dass der Geschäftsbetrieb im Katastrophenfall reibungslos weiterläuft und Daten schnell wiederhergestellt werden. Dieser integrierte Ansatz minimiert Unterbrechungen und erhält die Servicequalität. (Referenz: Backup and Restore Policy, IT Security Policy).

Unsere Richtlinie zum Schutz von Cloud-Workloads stellt sicher, dass Workloads und Anwendungen in Cloud-Umgebungen sicher sind. Dazu gehören kontinuierliche Überwachung, Bedrohungserkennung und automatisierte Reaktionsfähigkeiten. (Referenz: IT Security Policy).

Unsere Rechenzentren bieten eine sichere, zuverlässige und skalierbare Infrastruktur für unseren IT-Betrieb. Sie sind mit fortschrittlichen Sicherheitsmaßnahmen, kontinuierlicher Überwachung und redundanten Systemen ausgestattet, um optimale Leistung und Verfügbarkeit zu gewährleisten. (Referenz: Configuration Management Policy, IT Security Policy).

Unsere Richtlinie zur Infrastruktursicherheit umfasst Maßnahmen, die unsere IT-Infrastruktur vor verschiedenen Bedrohungen schützen und die dauerhafte Verfügbarkeit und Integrität unserer Systeme und Daten sicherstellen. Dazu gehören Firewalls, Angriffserkennung und regelmäßige Sicherheitsaudits. (Referenz: IT Security Policy).

Wir nutzen das Network Time Protocol (NTP), um eine genaue Zeitsynchronisierung aller Systeme und Geräte sicherzustellen. Dies ist entscheidend für Protokollierung, Audits und die Koordination von Prozessen in unserer IT-Umgebung. (Referenz: IT Security Policy).

Wir haben eine getrennte Produktionsumgebung eingerichtet, die aus drei zentralen Stufen besteht: Test, Staging und Produktion. Dieser Aufbau soll die reibungslose und effiziente Bereitstellung unserer Dienste sicherstellen und zugleich höchste Qualitätsstandards wahren. Testumgebung: Die Testumgebung ist die erste Stufe unseres Produktionsprozesses. Hier führt unser Entwicklungsteam gründliche Tests, Fehlerbehebungen und Qualitätssicherungsverfahren für neue Funktionen, Updates und Verbesserungen durch. Diese Umgebung ermöglicht es uns, Probleme oder Unstimmigkeiten zu erkennen und zu beheben, bevor es weitergeht. Staging-Umgebung: Die Staging-Umgebung dient als Zwischenphase zwischen Test und der endgültigen Bereitstellung in der Produktionsumgebung. Hier führen wir umfassende End-to-End-Tests durch und prüfen die Kompatibilität und Stabilität der Software über verschiedene Systeme, Konfigurationen und Datensätze hinweg. Staging ist ein entscheidender Schritt, der sicherstellt, dass alles wie erwartet funktioniert, bevor es live geht. Produktionsumgebung: Die Produktionsumgebung ist das endgültige Ziel, in dem unsere Dienste unseren Kunden und Endnutzern zur Verfügung gestellt werden. Diese Umgebung ist auf Leistung, Zuverlässigkeit und Skalierbarkeit optimiert, um Echtzeit-Nutzerinteraktionen und betriebliche Anforderungen zu bewältigen. Sie wird kontinuierlich überwacht und gesteuert, um höchste Verfügbarkeit, Sicherheit und Servicequalität zu gewährleisten.

Unsere DLP-Richtlinie konzentriert sich darauf, Datenverlust durch umfassende Überwachungs- und Verschlüsselungsstrategien zu verhindern, wie in unserer Kryptografie-Richtlinie beschrieben. Sie umfasst die kontinuierliche Überwachung auf Anomalien und regelmäßige Tests, um die Datensicherheit zu gewährleisten. (Referenz: IT Security Policy, Cryptography Policy).

DNSSEC ist aktiviert, um die Authentizität und Integrität unserer DNS-Antworten sicherzustellen. Das erhöht die Sicherheit unserer aus dem Internet erreichbaren Dienste, indem DNS-Spoofing und verwandte Angriffe verhindert werden. (Referenz: IT Security Policy, Cryptography Policy).

Unser Netzwerk ist durch eine Firewall mit integriertem Intrusion Prevention System (IPS) geschützt. Diese Kombination gewährleistet kontinuierliche Überwachung und Abwehr unbefugter Zugriffe und möglicher Sicherheitsbedrohungen und wahrt die Integrität und Verfügbarkeit unserer Netzwerkdienste. (Referenz: IT Security Policy, Network Security).

Unsere IDS/IPS-Richtlinie stellt mit fortschrittlichen Technologien zur Angriffserkennung und -abwehr die kontinuierliche Netzwerküberwachung und Bedrohungsabwehr sicher. Sie steht im Einklang mit unserer IT-Sicherheitsrichtlinie, um vor unbefugtem Zugriff und Datenpannen zu schützen. (Referenz: IT Security Policy).

Unsere SIEM-Richtlinie umfasst die Echtzeitüberwachung und -analyse von Sicherheitsereignissen, um Bedrohungen schnell zu erkennen und darauf zu reagieren. Sie wird durch unsere IT-Sicherheitsrichtlinie und unsere Richtlinien zur Vorfallbewertung unterstützt. (Referenz: IT Security Policy, Incident Evaluation Procedures).

Unsere Richtlinie zum Spoofing-Schutz umfasst Maßnahmen wie SPF, DKIM und DMARC, um die E-Mail-Kommunikation abzusichern und Phishing- und Spoofing-Versuche zu verhindern. (Referenz: IT Security Policy, Cryptography Policy).

Unsere Richtlinie zur Verkehrsfilterung stellt sicher, dass nur autorisierter Datenverkehr auf unsere Netzwerke zugreifen kann. Dabei kommen Firewalls und fortschrittliche Filtertechniken zum Einsatz, um unbefugten Zugriff zu verhindern. (Referenz: IT Security Policy, Network Security).

Unsere VPC-Richtlinie stellt eine sichere und isolierte Cloud-Umgebung für unsere Anwendungen sicher, mit robuster Verschlüsselung und Überwachung, um Datenschutz und Datensicherheit zu wahren. (Referenz: IT Security Policy, Cryptography Policy).

Unsere Richtlinie zur WLAN-Sicherheit umfasst WPA2/PSK-Verschlüsselung und Netzwerksegmentierung, um die drahtlose Kommunikation zu schützen und unbefugten Zugriff zu verhindern. (Referenz: IT Security Policy, Network Security).

Unsere Zero-Trust-Richtlinie schreibt strikte Verifizierung und Zugriffskontrollen vor und stellt sicher, dass alle Nutzer und Geräte fortlaufend authentifiziert und autorisiert werden. (Referenz: IT Security Policy, Access Control).

Bei Pescheck setzen wir Snipe IT ein, eine robuste Asset-Management-Lösung, um unsere Assets über ihren gesamten Lebenszyklus hinweg zu erfassen, zu überwachen und zu verwalten. Diese zentrale Plattform bietet einen umfassenden Überblick über Assets, darunter Mobilgeräte, Laptops, Server und Netzwerkausrüstung, und ermöglicht fundierte Entscheidungen zu Zuteilung, Wartung und Austausch, um eine optimale Ressourcennutzung sicherzustellen. (Referenz: Configuration Management Policy).

Unsere Richtlinie zum E-Mail-Schutz umfasst Maßnahmen wie SPF, DKIM und DMARC, um die E-Mail-Kommunikation abzusichern, Phishing- und Spoofing-Versuche zu verhindern und sicherzustellen, dass ausgehender E-Mail-Verkehr per opportunistischem TLS verschlüsselt wird. (Referenz: IT Security Policy, Cryptography Policy).

Unser jährliches Schulungsprogramm zum Sicherheitsbewusstsein deckt IT-Sicherheit, Compliance/Recht und physische Sicherheit ab. Die Mitarbeitenden lernen die neuesten Bedrohungen, Schwachstellen und Best Practices kennen, darunter Passwortverwaltung, sicheres Surfen im Internet, das Erkennen von Phishing-Versuchen, E-Mail-Sicherheit, sicherer Umgang mit Daten, Einhaltung von Vorschriften, Datenschutzgesetze und physische Sicherheitsmaßnahmen. Die Schulung stellt sicher, dass die Mitarbeitenden gut gerüstet sind, Cyberbedrohungen zu minimieren und sensible Informationen zu schützen. (Referenz: IT Security Policy, Employee Training Guidelines).

Das interne Screening umfasst Prüfungen wie Integritätserklärungen, ID-Verifizierung, internationale PEP-, Sanktions- und Watchlist-Prüfungen, Führungszeugnis-Prüfungen, Analyse der Online-Präsenz, Datenprüfungen, Verifizierung von Qualifikationen und Abschlüssen, Bonitätsprüfungen, Prüfung von Arbeitsreferenzen im Lebenslauf und Einwilligungserklärungen. Diese Maßnahmen stellen sicher, dass neue Mitarbeitende vertrauenswürdig sind und unsere Sicherheitsstandards einhalten. (Referenz: HR Policy).

Unser Prozess zum Management von Sicherheitsvorfällen leitet die Identifizierung, Bewertung, Eindämmung und Behebung von Sicherheitsvorfällen an. Er beschreibt die beteiligten Schritte, Rollen, Verantwortlichkeiten und Kommunikationskanäle, fördert die Rechenschaftspflicht und minimiert die Auswirkungen von Sicherheitsereignissen auf den Geschäftsbetrieb. (Referenz: IT Security Policy, Business Continuity Policy).

Pescheck führt gemäß ISO 27001:2022 alle drei Monate eine Risikobewertung durch. Dieser Prozess identifiziert, analysiert und bewertet potenzielle Risiken für unser Informationssicherheits-Managementsystem (ISMS). Auf Grundlage der Bewertung setzen wir geeignete Maßnahmen um, um diese Risiken zu mindern und die Sicherheit Ihrer Daten zu gewährleisten.

Die Sicherheitsmaßnahmen für die Beziehungen von Pescheck zu Dritten sind in der Lieferantenmanagement-Richtlinie von Pescheck festgelegt und werden durch Genehmigungsverfahren und Aufsicht durchgesetzt. Externe Parteien, die eine Geschäftsbeziehung mit Pescheck anstreben, darunter unter anderem Auftragnehmer, Anbieter, ausgelagerte Dienstleister oder Partner, werden vor der Genehmigung und Einbindung anhand branchenüblicher Rahmenwerke auf ihre eigene Sicherheitslage und die Reife wirksamer Sicherheitsmaßnahmen geprüft. Kompensierende Maßnahmen werden dokumentiert, durchgesetzt und überwacht, wenn es um den Zugriff auf sensible oder strategische Daten geht, und Anbieter werden bei jeder Vertragsverlängerung auf Änderungen ihrer Sicherheitslage neu bewertet.

Pescheck unterhält einen umfassenden Business-Continuity-Plan (BCP), um die Fortführung kritischer Geschäftsfunktionen sicherzustellen und die Auswirkungen möglicher Störungen auf unseren Betrieb und unsere Kunden zu minimieren. Der BCP wird regelmäßig überprüft, getestet und aktualisiert, damit er angesichts sich entwickelnder Risiken und veränderter Geschäftsanforderungen wirksam bleibt.

Pescheck führt für alle Mitarbeitenden verpflichtende Schulungen zum Sicherheitsbewusstsein durch. Die Schulung behandelt Themen wie Informationssicherheitsrichtlinien, Datenschutz, den sicheren Umgang mit sensiblen Informationen sowie das Erkennen und Melden verdächtiger Aktivitäten. Die Mitarbeitenden müssen die Schulung absolvieren und eine Prüfung bestehen, damit sichergestellt ist, dass sie die behandelten Themen verstanden haben.

Das CAB prüft und genehmigt vor der Entwicklung nicht standardmäßige Änderungen (Funktionen) und Notfalländerungen (kritische Fehlerbehebungen). Genehmigte Änderungen werden im Dashboard-Repository beschrieben und per Agile Kanban (To Do, Doing, Testing, Done) nachverfolgt. Stakeholder testen Änderungen in einer Staging-Umgebung, bevor sie in Produktion gehen. Notfall-CAB-Meetings können kritische Fixes bei Bedarf beschleunigen und gewährleisten ein minimales Risiko sowie die Übereinstimmung mit Sicherheitsstandards wie ISO 27001 und DSGVO.

Zweck der Sicherheitsrichtlinie ist es, die Ziele von Pescheck im Bereich Sicherheit und Compliance für seine Stakeholder festzulegen und alle Informationswerte der Organisation vor Bedrohungen zu schützen, seien sie intern oder extern, vorsätzlich oder zufällig. Diese Sicherheitsrichtlinie gilt für alle Mitarbeitenden, Lieferanten und Auftragnehmer, die zu Pescheck gehören.

Die Zugriffskontrollrichtlinie gilt für Mitarbeitende, die zum Zugriff auf die Infrastruktur oder die Einrichtungen von Pescheck berechtigt sind. Es gilt Folgendes: - Zugriffsrechte werden nach dem Need-to-know-Prinzip vergeben. - Die Einrichtung und Deaktivierung von Benutzerkonten folgt einem festgelegten Verfahren. - Das Zuweisen, Anpassen und Entziehen von Zugriffsrechten folgt einem festgelegten Verfahren. Die folgenden Systeme enthalten Nutzerrechte und müssen auf diese hin überprüft werden: - Das Netzwerk von Pescheck (Unifi, die jeweiligen Mitglieder werden vom CTO in Unifi registriert und abgemeldet.) - Das Dashboard (die jeweiligen Mitglieder werden vom CTO in Microsoft Entra ID registriert und abgemeldet) - Sharepoint (die jeweiligen Mitglieder werden vom CTO in Microsoft Entra ID registriert und abgemeldet.) - 1 Password (Passwortsystem, die jeweiligen Mitglieder werden vom CTO in 1Password registriert und abgemeldet.)* - Hardware (automatisch mit Azure AD synchronisiert, die jeweiligen Mitglieder werden vom CTO in Microsoft Entra ID registriert und abgemeldet.).

Unsere Protokollierungsrichtlinie umfasst die detaillierte und sichere Protokollierung kritischer Ereignisse über alle Systeme und Geräte hinweg. Die zentrale und sichere Log-Umgebung umfasst Protokollierung für Kapazitätsmanagement, Fehlerverfolgung, Fehlerbehebung und Nutzungsstatistiken für die Organisations- und Produktentwicklung. Diese Umgebung ist gemäß der Zugriffsrichtlinie gesichert, und Nutzer mit Zugriff haben ausschließlich Leserechte. (Referenz: IT Security Policy)

Dies sind die schriftlichen Richtlinienanweisungen für unsere Mitarbeitenden zur Passwortsicherheit: - Jeder Mitarbeitende verwendet einen persönlichen Anmeldenamen und ein Passwort, um den Computer zu schützen. - Achten Sie auf ein gutes und starkes Passwort: mindestens 8 Zeichen, davon mindestens 2 Ziffern, auch wenn das System dies technisch nicht erzwingt. - Verwenden Sie ein Passwortverwaltungssystem (1Password), um Ihre Passwörter zu speichern. - 2FA sollte aktiviert werden, wenn das System oder die Anwendung es anbietet. - Geben Sie Ihren Benutzernamen und Ihr Passwort NIEMALS an andere weiter, auch nicht an direkte Kollegen.

Wir verwenden LUKS und BitLocker, um die Daten auf unseren Firmenlaptops zu verschlüsseln und so die Vertraulichkeit und Sicherheit der auf diesen Geräten gespeicherten sensiblen Informationen zu gewährleisten. (Referenz: IT Security Policy, Cryptography Policy).

Unsere Richtlinie zur DNS-Filterung umfasst das Blockieren des Zugriffs auf bekannte schädliche Websites und gefährliche Online-Ressourcen und schützt so unser Netzwerk und unsere Nutzer vor möglichen Bedrohungen. (Referenz: IT Security Policy, Network Security).

Unsere EDR-Lösungen überwachen Endpoint-Aktivitäten kontinuierlich, um Cyberbedrohungen in Echtzeit zu erkennen, zu analysieren und darauf zu reagieren. So werden mögliche Sicherheitsvorfälle schnell erkannt und eingedämmt. (Referenz: IT Security Policy, Anti-Malware Policy).

Geräte werden, wo praktikabel, mit einer MDM-Lösung verwaltet. Geräte, die nicht über MDM verwaltet werden, werden manuell auf die Einhaltung der Sicherheitsrichtlinien geprüft. Notebooks und Workstations müssen ein aktuelles Betriebssystem und eine Antivirenlösung haben. Einschränkungen bei der Softwareinstallation werden über Intune durchgesetzt, Ausnahmen werden vom CTO genehmigt. IT-Laptops sind aufgrund des täglichen Betriebsbedarfs ausgenommen. Auf allen mobilen Geräten ist die vollständige Festplattenverschlüsselung als physische Sicherheitsmaßnahme umgesetzt. (Referenz: IT Security Policy, Configuration Management Policy).

Unsere Richtlinie zur Bedrohungserkennung setzt fortschrittliche Werkzeuge und Techniken ein, um unser Netzwerk und unsere Systeme kontinuierlich auf mögliche Sicherheitsbedrohungen zu überwachen. Dieser proaktive Ansatz hilft, Bedrohungen frühzeitig zu erkennen und einzudämmen. (Referenz: IT Security Policy, Incident Evaluation Procedures).

Wir verwenden auf unserer Website verschiedene Arten von Cookies, um die Nutzererfahrung zu verbessern: • Notwendige Cookies: Diese Cookies ermöglichen es uns, Sie bei einem späteren Besuch wiederzuerkennen, sodass Ihre Einstellungen erhalten bleiben. Sie können diese Cookies über Ihre Browsereinstellungen löschen. • Sitzungscookies: Diese ermöglichen es uns, Ihr Surfverhalten während Ihres Besuchs zu beobachten, und werden gelöscht, sobald Sie Ihren Browser schließen. • Tracking-Cookies: Mit Ihrer Erlaubnis setzen wir Cookies, die Ihre Vorlieben und Aktivitäten beobachten, um Werbung auf Ihre Interessen zuzuschneiden. • Google Analytics: Wir nutzen diesen Dienst, um Erkenntnisse über die Nutzung der Website zu gewinnen. Die erhobenen Informationen sind so weit wie möglich anonymisiert, und Ihre IP-Adresse wird nicht weitergegeben. Die Informationen werden auf Servern in den Vereinigten Staaten gespeichert und unterliegen den Standardvertragsklauseln von Google. Ihre Rechte: Sie haben das Recht, Auskunft über die über Cookies erhobenen Daten sowie deren Berichtigung oder Löschung zu verlangen. Bitte kontaktieren Sie uns unter [email protected] bei Anfragen oder Fragen zu unserer Cookie-Richtlinie. Die Cookie-Liste finden Sie unter: https://pescheck.io/privacy-policy/

- Lebenslaufdaten: Name, Adresse, Geschlecht, E-Mail-Adresse, Telefonnummer, Berufslaufbahn, Ausbildungsverlauf, Qualifikationen, Zertifizierungen und Fähigkeiten - Identitätsdaten: Angaben zu Personalausweis, Reisepass oder Führerschein, MRZ-Daten, BSN-Nummer (falls zutreffend), Pass-/Ausweisnummer, Staatsangehörigkeit, Staatsangehörigkeit laut Pass, Geburtsdatum und -ort sowie Angaben zur Gültigkeit des Dokuments - Daten zur Adressverifizierung: aktuelle und frühere Adressangaben sowie Nachweise zur Bestätigung von Identität und Wohnsitz - Daten zum Arbeitsrecht: Informationen aus Visa, Arbeitsgenehmigungen oder Aufenthaltstiteln zur Bestätigung der Arbeitsberechtigung - VAR-Daten: Verifizierung von Erklärungen zum Arbeitsverhältnis (VAR) oder gleichwertigen Nachweisen zur Selbstständigkeit bzw. Steuerregistrierung - Daten zum Strafregister: Führungszeugnisse, Strafregisterauszüge und zugehörige Verifizierungsdokumente - Berufs- und Ausbildungsverlauf: Beschäftigungsverlauf, Positionsbezeichnungen, Aufgaben, Beschäftigungszeiträume, Ausbildungsverlauf, Qualifikationen, Abschlüsse, Zertifizierungen, Referenzen und Feedback von Arbeitgebern oder Institutionen - Finanzdaten: Informationen zur Kreditwürdigkeit, Insolvenz- und Konkursregister, schuldenbezogene Informationen und über Dritte bezogene Bonitätswerte - Integritätsdaten: Informationen zu finanzieller Integrität, Insolvenzhistorie, Kündigungs- oder Suspendierungshistorie, Interessenkonflikten, Nebentätigkeiten, Richtigkeit der Lebenslaufangaben, beruflichem Verhalten sowie, wo zulässig, Verurteilungen oder Vorwürfen strafrechtlicher Art - Online-Informationen: öffentlich verfügbare Informationen wie Social-Media-Profile, Nachrichtenartikel, Websites, Blogs, Foren, berufliche Netzwerke, Watchlists und Sanktionslisten - Daten zu beruflichen Registrierungen: Informationen zu Lizenzen, Zertifizierungen, Mitgliedschaften und Registrierungen bei Berufs- oder Aufsichtsstellen - Zusätzliche Dokumente: vom Kunden angeforderte Dokumente wie Gehaltsabrechnungen, Vertraulichkeitsvereinbarungen, Arbeitsverträge, Zertifikate oder sonstige Nachweise

Wir führen für Projekte oder Verarbeitungstätigkeiten mit personenbezogenen Daten Datenschutz-Folgenabschätzungen (DSFA) durch, um Datenschutzrisiken zu identifizieren und zu mindern und die Einhaltung der DSGVO sicherzustellen.

Die Datenschutzschulung für Mitarbeitende soll sicherstellen, dass alle Teammitglieder verstehen, wie wichtig es ist, sensible Informationen zu schützen und Ihre Privatsphäre zu respektieren. Diese Schulung vermittelt unseren Mitarbeitenden das Wissen und die Fähigkeiten, verantwortungsvoll und ethisch mit Ihren Daten umzugehen. Zu den zentralen Aspekten unserer Datenschutzschulung für Mitarbeitende gehören: - Datenschutz: Unsere Mitarbeitenden werden über die Bedeutung des Datenschutzes und ihre entscheidende Rolle für die Vertraulichkeit und Integrität Ihrer Informationen aufgeklärt. - Datenschutzvorschriften: Wir vermitteln Einblicke in die einschlägigen Datenschutzvorschriften und Gesetze, die sich darauf auswirken, wie wir Ihre Daten behandeln und verarbeiten. So bleiben unsere Praktiken rechtskonform. - Ethischer Umgang mit Daten: Unsere Schulung legt Wert auf den ethischen Umgang mit Daten und fördert eine Kultur des Respekts vor Ihren Datenschutzrechten und Ihrem Dateneigentum. - Meldung von Vorfällen: Wir schulen unsere Mitarbeitenden in den richtigen Verfahren zur Meldung möglicher Datenschutz- oder Sicherheitsvorfälle, damit bei Problemen schnell gehandelt und eine Lösung gefunden wird. Indem wir die Datenschutzschulung für Mitarbeitende in unser Programm zum Sicherheitsbewusstsein integrieren, fördern wir eine Belegschaft, die sich dafür einsetzt, höchste Standards für Datenschutz und Sicherheit zu wahren.

Zum Schutz unseres Betriebs und Ihrer Daten haben wir eine Cyberversicherung mit weltweitem Deckungsschutz abgeschlossen, ausgenommen USA und Kanada. So sind wir auf eine Vielzahl von Cyberrisiken vorbereitet und können unsere Dienste im Falle von Vorfällen wirksam aufrechterhalten.