Security by Design

Security by Design bedeutet, dass wir Sicherheit nicht nachträglich hinzufügen, sondern von Anfang an in Architektur, Entwicklung und Betrieb einbeziehen. Unsere Grundsätze sind in allen Sprachen und Regionen gleich: Vertrauen durch Transparenz, Prävention vor Reaktion und kontinuierliche Verbesserung.

Wir bauen und betreiben die Plattform so, dass Verfügbarkeit, Integrität und Vertraulichkeit Ihrer Daten gewährleistet sind. Dabei nutzen wir bewährte Techniken und Standards und orientieren uns wo möglich an anerkannten Rahmenwerken wie ISO/IEC 27001, ohne zu behaupten, dass wir selbst vollständig zertifiziert sind.

Das Netzwerk besteht aus zwei Ebenen: dem Edge-Netzwerk und dem Compute-Netzwerk. Zusammen sorgen sie für Geschwindigkeit, Sicherheit und Skalierbarkeit.

Datenfluss: Eingehender Verkehr trifft zuerst auf das weltweit verteilte Edge-Netzwerk. Die Anfrage wird zur nächstgelegenen Edge-Location geleitet. Dort durchläuft sie DDoS-Mitigation und die Web Application Firewall (WAF). Die Antwort wird entweder aus dem Edge-Cache ausgeliefert (bei statischen Inhalten) oder an das Compute-Netzwerk weitergeleitet, in dem Ihre Anwendung läuft.

Edge-Caching: Statische Dateien (z. B. CSS, JavaScript, Bilder) werden am Edge gecacht. Das reduziert die Last auf der Anwendung und die Latenz für Nutzer. Der Cache wird bei jedem Deployment automatisch geleert, damit keine veralteten Dateien ausgeliefert werden. Sie können eigene Cache-Control- und Expires-Header setzen; diese werden beachtet.

Compute-Netzwerk: Die Anwendung läuft in einem privaten Netzwerk und ist nicht direkt aus dem öffentlichen Internet erreichbar. Zugriff erfolgt nur über das Edge-Netzwerk. Rechenkapazität ist über mehrere Verfügbarkeitszonen (Multi-AZ) verteilt für Stabilität und schnelle Erholung bei Ausfällen. Der Verkehr wird lastverteilt über die verfügbaren Instanzen (Load Balancing).

Ausgehender Verkehr: Ausgehende Anfragen der Plattform nutzen feste IP-Adressen pro Region. Diese stehen für Allowlisting bei Firewalls, Security Groups oder externen Diensten zur Verfügung, die Ihre Anwendung ansprechen muss.

Der Datenverkehr zur und von der Plattform läuft über ein globales Edge-Netzwerk. Damit realisieren wir:

• DDoS-Schutz auf Netzwerk- (L3/L4) und Anwendungsebene (L7) mit automatischer Erkennung und Abwehr von verteilten Denial-of-Service-Angriffen.
• Web Application Firewall (WAF) mit Regelsätzen, die an die OWASP Top 10 angelehnt sind. Verkehr wird gefiltert, bevor er Ihre Anwendung erreicht.
• SSL/TLS-Verschlüsselung für alle Verbindungen. Optional Strict-Transport-Security (HSTS) zur Durchsetzung von HTTPS.
• Sicherheitsheader bei jeder Antwort: X-Frame-Options (gegen Iframe-Missbrauch), X-Content-Type-Options: nosniff (gegen MIME-Type-Verwechslung).
• Bot-Verwaltung: für bestimmte Arten automatisierten Verkehrs (z. B. Crawler oder Monitoring) kann eine JavaScript-Challenge angezeigt werden; legitime Nutzer kommen durch.
• Rate Limiting: Begrenzung der Anfragen pro IP und Zeiteinheit, mit Aktionen wie Challenge, Drosselung oder temporärer Blockade gegen Missbrauch. Bei wiederholten Fehlerantworten (4xx) oder Überschreitung von Rate Limits kann eine zusätzliche Einschränkung greifen.
• Modus bei Großangriffen: bei schweren L7-DDoS oder verdächtigen Traffic-Spitzen kann eine zusätzliche Sicherheitsebene aktiviert werden. Besucher sehen kurz eine Prüfseite und müssen eine JavaScript-Challenge bestehen; danach wird gültiger Verkehr durchgelassen und verdächtiger bzw. automatisierter Verkehr blockiert. Dieser Modus läuft nach einer festgelegten Zeit automatisch ab.

Auf Anwendungsebene setzen wir u. a. ein:

• Verwaltete Sicherheitsregeln, die bei neuen Bedrohungen aktualisiert werden, inkl. Zero-Day-Schutz, soweit von den genutzten Diensten angeboten.
• Missbrauchserkennung z. B. für geleakte Zugangsdaten, schädliche Uploads und die Offenlegung sensibler Daten.
• Security Analytics, um geblockten und abgewehrten Verkehr zu prüfen und die Konfiguration zu verfeinern.

Wo möglich orientieren wir uns an aktueller Threat Intelligence und Best Practices, um Bedrohungen proaktiv zu begrenzen.

Die Anwendung läuft in einer professionell betriebenen, isolierten Umgebung. Dazu gehören u. a.:

• Dedizierte Infrastruktur: eigene Rechen- und Netzwerkressourcen sowie Skalierung bei Bedarf für vorhersehbare Leistung ohne „noisy neighbors“.
• Privates Netzwerk: die Anwendung ist nur über das Edge-Netzwerk erreichbar, nicht direkt aus dem öffentlichen Internet. Anbindung an unterstützende Dienste wo möglich über private Netze für geringere Latenz und weniger Exposition.
• Feste ausgehende IP-Adressen pro Region für einfaches Whitelisting, Nachverfolgbarkeit und Compliance.
• Hohe Verfügbarkeit mit automatischem Failover: mehrere Knoten über Verfügbarkeitszonen; bei Ausfällen erfolgt automatische Umschaltung. Load Balancing über alle Instanzen beim horizontalen Skalieren.

Die Umgebung ist mit Blick auf Compliance gestaltet: isolierte Rechenressourcen, reduziertes Angriffsfläche und Betrieb nach Best Practices.

Personenbezogene und andere sensible Daten werden geschützt durch:

• Verschlüsselung während der Übertragung (wie oben beschrieben) und wo anwendbar Verschlüsselung ruhender Daten.
• Strenge Zugangskontrolle und das Prinzip der minimalen Rechte: nur das, was für die Aufgabe nötig ist.
• Protokollierung und Überwachung zur Erkennung und Aufklärung von Vorfällen.

Wir sind mit ISO/IEC 27001 (Managementsysteme für Informationssicherheit) vertraut und wenden die dort beschriebenen Grundsätze und Maßnahmen an, wo dies innerhalb unserer Architektur und Dienstleistung möglich und sinnvoll ist—u. a. Risikomanagement, Zugangskontrolle, Kryptografie und kontinuierliche Verbesserung der Sicherheit.

Wir behaupten damit nicht, als Organisation vollständig nach ISO 27001 zertifiziert zu sein; wir nehmen den Standard ernst und handeln wo möglich danach. Für konkrete Compliance-Fragen (z. B. Auftragsverarbeitungsverträge oder Audits) können Sie uns kontaktieren.

Sicherheit ist kein einmaliger Schritt, sondern ein laufender Prozess. Wir überwachen Bedrohungen, passen Konfigurationen und Regeln an und arbeiten mit sicheren Entwicklungs- und Release-Prozessen. Bei Vorfällen folgen wir klaren Abläufen für Kommunikation und Wiederherstellung.

Bei Fragen zu unserem Ansatz oder für weitere technische oder rechtliche Details kontaktieren Sie uns.

Wir setzen uns für eine sichere und konforme Plattform ein. Dabei orientieren wir uns an anerkannten Rahmenwerken, ohne zu behaupten, dass wir selbst alle zugehörigen Zertifizierungen besitzen.

SOC 2 Type 2 ist ein Rahmenwerk (vom AICPA entwickelt), das sich darauf konzentriert, wie Dienste sicher bleiben und Kundendaten schützen. Es umfasst fünf Trust Services Categories mit Kriterien für Sicherheit, Vertraulichkeit, Verfügbarkeit und mehr. Die Infrastruktur und Prozesse, auf denen die Plattform läuft, sind wo anwendbar nach denselben Prinzipien ausgerichtet: Security, Confidentiality und Availability.

ISO/IEC 27001 ist der international anerkannte Standard für Managementsysteme der Informationssicherheit (ISMS). Wie im Abschnitt Standards und Compliance beschrieben, wenden wir die dort beschriebenen Grundsätze und Maßnahmen an, wo dies innerhalb unserer Architektur möglich und sinnvoll ist.

Was das für Sie bedeutet:

• Datensicherheit: Schutz Ihrer Daten vor unbefugtem Zugriff, Nutzung, Offenlegung, Störung, Änderung oder Zerstörung.
• OWASP Top 10: Verkehr über unser Edge-Netzwerk wird mit an die OWASP Top 10 angelehnten Regelsätzen gefiltert (Injection, Authentifizierung, Datenexposition usw.), bevor er Ihre Anwendung erreicht.
• Verfügbarkeit: Einsatz für den durchgängigen Betrieb der Plattform und Minimierung von Ausfallzeiten.
• Vertraulichkeit: Wahrung der Privatsphäre Ihrer Daten und Verhinderung unbefugten Zugriffs.
• Compliance: Einhaltung von Best Practices und relevanter Vorschriften, wo anwendbar.

Wir halten diese Seite bei neuen Entwicklungen aktuell. Bei Fragen zu unserer Compliance oder Sicherheit kontaktieren Sie uns.