Technische und organisatorische Maßnahmen (TOM) für Centrivo
Freigabehinweis
Diese Anlage beschreibt das verbindlich angestrebte Schutzniveau von Tim Nottelmann, handelnd unter IT Solution Nottelmann, Bonnstraße 34, 45470 Mülheim an der Ruhr, Deutschland. Sie darf erst als Vertragsanlage freigegeben werden, nachdem jede Maßnahme für die konkrete Produktivumgebung nachgewiesen, ein Verantwortlicher benannt und die Wirksamkeit geprüft wurde. Nicht eingesetzte oder abweichend umgesetzte Maßnahmen sind vor Freigabe zu berichtigen; ein bloßer Softwarestand ersetzt keine betriebliche Prüfung.
1. Geltungsbereich und Schutzziele
Die Maßnahmen gelten für die Bereitstellung und den Betrieb der SaaS-Plattform Centrivo einschließlich Website-Anfrage, Vertragsverwaltung, Datenbanken, privater Dateispeicher, E-Mail-Versand, Hintergrundverarbeitung, Sicherungen, Administrationszugänge und eingesetzter Auftragsverarbeiter. Schutzziele sind Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit und datenschutzgerechte Löschung.
2. Organisation und Verantwortlichkeit
Datenschutz- und Informationssicherheitsverantwortung, Vertretung, Eskalationswege und Notfallkontakte werden schriftlich festgelegt. Beschäftigte und sonstige Berechtigte werden vor Zugriff auf personenbezogene Daten zur Vertraulichkeit verpflichtet und regelmäßig unterwiesen. Berechtigungen und Ausnahmen werden nachvollziehbar genehmigt. Das Verzeichnis der Verarbeitungstätigkeiten, die Dienstleisterliste, diese TOM und das Löschkonzept werden bei wesentlichen Änderungen sowie mindestens jährlich überprüft.
3. Zutritts- und physische Sicherung
Produktive Systeme werden ausschließlich in freigegebenen Rechenzentren beziehungsweise Betriebsstätten verarbeitet. Die tatsächlichen physischen Maßnahmen des Hosting- und Backup-Anbieters, darunter Zutrittskontrolle, Umgebungsüberwachung, Brandschutz, Stromversorgung und Datenträgervernichtung, werden anhand belastbarer Nachweise bewertet und in der Dienstleisterakte dokumentiert.
4. Zugangs- und Authentifizierungsschutz
Personenbezogene Konten, starke individuelle Kennwörter, sichere Passwort-Hashes, Sitzungsbegrenzung, Schutz vor Session-Fixation und Brute-Force-Drosselung werden eingesetzt. Mehrfaktor-Authentifizierung ist für privilegierte Konten verbindlich zu aktivieren; Wiederherstellungswege werden gleichwertig geschützt. Gemeinsame Administrationskonten sind unzulässig. Vertrauenswürdige Geräte und Tokens werden widerrufbar, zeitlich begrenzt und nur gehasht gespeichert. Ausgeschiedene oder nicht mehr berechtigte Nutzer werden unverzüglich gesperrt.
5. Zugriffs-, Rollen- und Mandantentrennung
Zugriff erfolgt nach dem Need-to-know- und Least-Privilege-Prinzip über Rollen und konkrete Aktionen. Serverseitige Berechtigungs- und Mandantenprüfungen müssen jedem geschützten Lese-, Änderungs-, Export- und Dateizugriff vorgeschaltet sein. Superadmin-Zugriffe, Support-Zugriffe und Identitätsübernahmen werden auf das Erforderliche beschränkt und protokolliert. Rechte werden regelmäßig sowie anlassbezogen rezertifiziert. Automatisierte Tests und Stichproben prüfen horizontale und vertikale Zugriffstrennung.
6. Übertragungs- und Speicherschutz
Externe Kommunikation in der Produktivumgebung erfolgt ausschließlich über aktuelle TLS-Konfigurationen. HTTP wird auf HTTPS umgeleitet; sichere Cookies, HSTS und geeignete Browser-Sicherheitsheader werden erzwungen. Geheimnisse werden außerhalb des Webroots und nicht im Quellcode verwaltet. Datenbank-, Datei- und Backup-Verschlüsselung sowie Schlüsselverwaltung sind entsprechend der tatsächlichen Infrastruktur zu dokumentieren. Externe Abrufe werden gegen SSRF, private Zielnetze, Weiterleitungen und manipulierte DNS-Auflösung abgesichert.
7. Integrität, Eingabe- und Nachweiskontrolle
Änderungen an Vertrags-, Abrechnungs- und Berechtigungsdaten werden einem Nutzer, Mandanten und Zeitpunkt zugeordnet. Vertragsannahmen und Self-Service-Aktionen speichern den bestätigten Preis-, Leistungs- und Rechtstextstand einschließlich kryptografischer Prüfsummen und unveränderlicher Bestätigungsdatei. Kritische Vorgänge verwenden CSRF-Schutz, kurzlebige Einmal-Tokens, Idempotenz beziehungsweise atomare Zustandswechsel und serverseitige Neuberechnung. Protokolle selbst werden vor unberechtigtem Zugriff und nachträglicher Änderung geschützt.
8. Sichere Softwareentwicklung und Änderungen
Änderungen werden versioniert, fachlich und sicherheitstechnisch geprüft und über getrennte Entwicklungs-, Test- und Produktivumgebungen ausgerollt. Vor Releases erfolgen mindestens Syntax-/Build-Prüfungen, automatisierte Tests, Datenbankmigrations- und Rollbackprüfung, Abhängigkeits- und Geheimnisscan sowie risikobasierte Sicherheitsprüfung. Direkte Laufzeit-Migrationen sind in Produktion deaktiviert. Freigabe und Rollback sind dokumentiert.
9. Schwachstellen- und Patchmanagement
Softwarebestand und Abhängigkeiten werden inventarisiert. Sicherheitsmeldungen werden fortlaufend bewertet; kritische Schwachstellen werden priorisiert behoben oder bis zur Behebung wirksam kompensiert. Regelmäßige externe Schwachstellenprüfungen und anlassbezogene Penetrationstests umfassen Authentifizierung, Autorisierung, Mandantentrennung, Uploads, Exporte, Webhooks, Vertragslinks und öffentliche Endpunkte. Ergebnisse, Fristen und Nachtests werden dokumentiert.
10. Protokollierung und Überwachung
Sicherheits-, Administrations-, Authentifizierungs-, Export-, Versand-, Integrations- und Vertragsereignisse werden zweckgebunden protokolliert. Roh-IP-Adressen und sonstige Identifikatoren werden nur soweit erforderlich und nach Möglichkeit pseudonymisiert verarbeitet. Die reguläre Aufbewahrung von Sicherheitsprotokollen beträgt 7 Tage, sofern kein Vorfall, keine gesetzliche Pflicht oder kein dokumentierter Rechtsstreit eine längere Sperrung rechtfertigt. Alarme und Protokolle werden regelmäßig ausgewertet; produktive Fehlermeldungen enthalten keine Geheimnisse oder internen Details.
11. Verfügbarkeit, Backup und Wiederherstellung
Backups werden automatisiert in einem vom Webroot getrennten und zugriffsbeschränkten Backup-Bereich abgelegt. Eingesetzte Infrastruktur: Hetzner-Backupfunktionen sowie lokale Sicherungen auf selbst administrierten Servern innerhalb der Hetzner-Infrastruktur in Deutschland. Dateirechte und Erstellungsprozesse sind so zu konfigurieren, dass Backup-Inhalte nur für die hierfür berechtigten Systemkonten zugänglich sind.
Eine zusätzliche Verschlüsselung auf Datenträger-, Speicher- oder Archivebene wird entsprechend der tatsächlich eingesetzten Infrastruktur dokumentiert und darf nur dann als umgesetzt ausgewiesen werden, wenn sie technisch nachgewiesen ist.
Der reguläre Überschreibungszyklus beträgt höchstens 30 Tage. Verbindliches Wiederanlaufziel (RTO): 24 Stunden. Maximal tolerierbarer Datenverlust (RPO): 4 Stunden.
Wiederherstellungen und Integrität werden vor Freigabe und danach regelmäßig praktisch getestet. Ergebnisse und Abweichungen werden dokumentiert und nachverfolgt.
Einzelne Daten werden in unveränderlichen oder zyklisch überschriebenen Sicherungen erst mit Ablauf des jeweiligen Backupzyklus entfernt. Sicherungen werden nicht in den Produktivbestand zurückgespielt, außer dies ist für eine kontrollierte Wiederherstellung erforderlich.
12. Datenschutzvorfälle und Notfallmanagement
Ein freigegebener Incident-Response-Prozess regelt Erkennung, Eindämmung, Beweissicherung, Risikobewertung, interne Eskalation, Kommunikation sowie Unterstützung bei Meldungen nach Art. 33 und 34 DSGVO. Auftragsdaten betreffende Vorfälle werden dem Verantwortlichen unverzüglich nach Bekanntwerden mit den verfügbaren Mindestangaben gemeldet. Notfallübungen, Erreichbarkeiten und Erkenntnisse werden dokumentiert.
13. Löschung, Rückgabe und Datenträger
Löschung und Sperrung richten sich nach dem versionierten Lösch- und Aufbewahrungskonzept. Nach Vertragsende steht die vereinbarte Exportfrist von 30 Tagen zur Verfügung. Produktivdaten werden anschließend fristgerecht gelöscht oder anonymisiert; gesetzlich aufzubewahrende Daten werden gesperrt. Datenträger und Altgeräte werden nach anerkannten Verfahren gelöscht oder vernichtet. Löschläufe, Ausnahmen und Stichproben werden protokolliert.
14. Auftragskontrolle und Dienstleister
Auftragsverarbeiter werden vor Einsatz nach Schutzbedarf geprüft, nach Art. 28 DSGVO verpflichtet und fortlaufend überwacht. Weisungen, Unterauftragsverarbeiter, Verarbeitungsorte und Drittlandgrundlagen werden dokumentiert. Änderungen werden nach der AVV angekündigt. Zugriff durch Dienstleister ist auf die vereinbarte Leistung begrenzt, geschützt und nachvollziehbar.
15. Wirksamkeitsprüfung und Nachweise
Die Wirksamkeit der Maßnahmen wird regelmäßig und nach erheblichen Änderungen oder Vorfällen geprüft. Nachweise umfassen mindestens Konfigurationsprüfungen, Restore-Protokolle, Rechte-Reviews, Schulungsnachweise, Scan- und Testberichte, Patchstatus, Dienstleisternachweise, Löschprotokolle und Incident-Übungen. Festgestellte Mängel erhalten Verantwortliche, Frist und Nachprüfung. Maßgeblich ist nur die freigegebene, tatsächlich nachgewiesene Fassung.