Sicherheit ist kein Add-On.

Hosting & Infrastruktur.

Die TOTUS-Plattform wird vollständig in der EU betrieben. Wir nutzen Hetzner Online GmbH als Hosting-Provider — Rechenzentren in Frankfurt am Main und Falkenstein, beide ISO 27001-zertifiziert. Es findet keine Datenverarbeitung außerhalb der EU/EWR statt, außer dies wäre vertraglich mit dem Kunden vereinbart und durch geeignete Garantien gemäß Kapitel V DSGVO abgesichert.

Der Zugang zum Rechenzentrum ist auf autorisiertes Personal beschränkt, gesichert durch Multi-Faktor-Authentisierung (z. B. Smartcard plus biometrisches Merkmal). Eingänge und sicherheitsrelevante Bereiche werden videoüberwacht. Eine dokumentierte Besucher-Policy mit Begleitung innerhalb des Rechenzentrums ist Standard.

Verschlüsselung.

Daten sind sowohl in der Übertragung als auch in der Ablage durchgängig verschlüsselt. Es gibt keine Endpoints, die unverschlüsselte Daten akzeptieren oder ausliefern.

In Entwicklungs- und Testumgebungen werden personenbezogene Daten pseudonymisiert, soweit technisch sinnvoll. Produktiv- und Entwicklungs-Datenbanken sind strikt voneinander getrennt.

Zugriffskontrollen.

Zugriff auf die Plattform und auf personenbezogene Daten ist konsequent nach dem Need-to-Know-Prinzip organisiert. Berechtigungen werden rollenbasiert vergeben und mindestens jährlich überprüft.

• Individuelle Benutzerkennungen, keine geteilten Accounts
• Starke Passwort-Policy mit Komplexitäts-Anforderungen
• Zwei-Faktor-Authentisierung (2FA) für alle Nutzer verfügbar — Enterprise-Kunden können MFA erzwingen
• Automatische Sperrung des Accounts nach mehrfach fehlgeschlagenen Login-Versuchen
• Automatischer Bildschirm-Lock nach Inaktivität
• Strikte Trennung zwischen administrativem und produktivem Zugriff
• Jährliche Berechtigungs-Reviews durch die Geschäftsführung

Mandantentrennung.

Die Plattform verwendet eine Multi-Tenant-Architektur mit strikter logischer Trennung der Daten pro Kunde. Jede Anfrage wird auf Tenant-Ebene autorisiert, bevor sie überhaupt Daten erreicht.

• Tenant-ID als unveränderliche Pflicht-Spalte in jeder Tabelle
• Row-Level-Security in der Datenbank, durch Code und Datenbank-Policies erzwungen
• Separate Umgebungen für Test, Entwicklung und Produktion
• Verarbeitung von Kundendaten ausschließlich gemäß des jeweiligen Verarbeitungszwecks

Audit Logs & Integrität.

Alle Schreiboperationen auf personenbezogenen Daten werden vollständig protokolliert. Logs sind so gestaltet, dass nachträgliche Manipulation auffällt.

• Protokollierung jeder Erstellung, Änderung und Löschung von Datensätzen — mit Zeitstempel und Nutzer-ID
• Vorhaltedauer der Logs: mindestens 90 Tage
• Schutz der Log-Daten vor unberechtigtem Zugriff und nachträglicher Manipulation
• Auf Anfrage erhalten Kunden Zugriff auf ihre tenant-spezifischen Audit Logs
• Authentifizierte und dokumentierte Schnittstellen mit Logging aller Datentransfers

Backup & Disaster Recovery.

Backups sind verschlüsselt, geografisch getrennt innerhalb der EU gespeichert und werden regelmäßig auf Restore-Fähigkeit geprüft.

Sub-Prozessoren.

Wir setzen ausgewählte technische Dienstleister als Auftragsverarbeiter gemäß Art. 28 DSGVO ein. Mit jedem wurde ein AVV abgeschlossen und ihre Datenschutz-Compliance wird regelmäßig überprüft.

Vor Änderungen am Sub-Prozessor-Stack informieren wir Kunden mindestens 30 Tage im Voraus. Bei wichtigem Grund können Kunden innerhalb von 14 Tagen widersprechen — kein Lock-in.

Incident Response & Breach Notification.

Wir haben einen dokumentierten Incident-Response-Prozess. Im Fall einer Datenschutzverletzung gilt:

• 48 Stunden maximale Zeit zwischen Kenntnis und Meldung an betroffene Kunden
• Beschreibung von Art, Umfang, betroffenen Datenkategorien und Anzahl der Betroffenen
• Beschreibung der bereits getroffenen oder geplanten Gegenmaßnahmen
• Folge-Informationen werden unverzüglich nachgereicht, sobald verfügbar
• Unterstützung des Kunden bei eventuellen Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO

Responsible Disclosure.

Wir freuen uns über Hinweise zu Sicherheitslücken durch Security-Researcher und Penetrationstester. Bitte folgen Sie dem Responsible-Disclosure-Prinzip:

• Melden Sie Findings an security@totus.info
• Geben Sie uns angemessene Zeit zur Reaktion (üblicherweise 90 Tage), bevor Sie öffentlich publizieren
• Vermeiden Sie Aktionen, die andere Nutzer beeinträchtigen könnten (kein DoS, keine Daten-Exfiltration über das Nötige hinaus)
• Wir antworten innerhalb von 48 Stunden mit einer initialen Einschätzung

Zusätzlich überwachen wir kontinuierlich Schwachstellen — über die Sicherheitsmaßnahmen unseres Hosting-Providers (Hetzner) sowie über automatische Dependency-Checks im Code-Repository.

Compliance & Audits.

Wir bauen TOTUS so, dass es enterprise-tauglich wird — auch in puncto Zertifizierungen. Aktueller Stand: