Sicherheit, die Sie
nachprüfen können
Alltagora setzt unter anderem auf Protokollierung (allgemeine Einträge 3 Jahre, Einträge zu Abrechnungs- und Gesundheitsdaten werden nicht automatisch gelöscht), Rate Limiting, je Mandant getrennte Daten und Circuit Breaker. Unsere Maßnahmen sind an ISO 27001 und BSI C5 angelehnt (keine Zertifizierung). Personenbezogene Felder und Sicherungen werden verschlüsselt gespeichert, der Datenträger des Servers ist nicht zusätzlich verschlüsselt. Anwendung und Datenbank laufen in deutschen Rechenzentren. Einzelne Dienstleister mit Drittlandbezug nennt die Liste der Unterauftragsverarbeiter im AVV; die Verarbeitung regelt ein Vertrag nach Art. 28 DSGVO.
28
Controls erfüllt
88
Controls geprüft
32%
Compliance-Score (Selbstbewertung)
Sechs Säulen unserer Sicherheitsarchitektur
Jede Maßnahme direkt im System verankert, keine Marketing-Versprechen.
Verschlüsselung
- TLS 1.2 und 1.3 für alle Verbindungen (Browser, API, Mobile)
- Datenbankpasswörter in Docker Secrets, nie im Code
- Personenbezogene Datenbankfelder einzeln mit AES-256-GCM verschlüsselt
- JWT-Tokens mit kurzer Laufzeit + Redis Blacklist
- Der Datenträger des Servers ist nicht zusätzlich verschlüsselt. Geschützt sind die genannten Felder, die Übertragung und die Sicherungen
Hosting in Deutschland
- Hosting bei 24fire, Rechenzentrum in Deutschland
- Drittdienste laut Datenschutzerklärung
- Dienstleister mit Drittlandbezug (unter anderem für KI-Funktionen, Bot-Schutz, Zahlungen und Push) sitzen zum Teil in den USA und stehen in der Liste der Unterauftragsverarbeiter im AVV. Die Übermittlung dorthin stützt sich je Dienstleister auf einen Angemessenheitsbeschluss oder auf EU-Standardvertragsklauseln
- Auftragsverarbeitungsvertrag (AVV) öffentlich unter /avv abrufbar, Annahme im Dashboard
Zugriffskontrolle & Identität
- Rollenbasiertes Berechtigungssystem (RBAC)
- 2-Faktor-Authentifizierung verfügbar
- Daten, Dateien, Echtzeit-Kanäle und Zwischenspeicher sind je Mandant getrennt
- Ein externer Penetrationstest steht noch aus
- Automatischer Session-Timeout bei Inaktivität
Protokollierung
- Kritische Aktionen werden systemseitig mit Zeitstempel protokolliert. Eine Einsicht für Kunden in der Oberfläche gibt es derzeit nicht
- Automatische Löschung nach Frist: allgemeine Einträge 3 Jahre, reine Lesezugriffe auf Gesundheitsdaten 12 Monate. Einträge zu Abrechnungs- und Gesundheitsdaten ausgenommen
Backup & Notfallwiederherstellung
- Automatische tägliche Vollbackups, verschlüsselt (age)
- Lokal 14 Tage, verschlüsselt außer Haus bis zu 30 Tage (restic, Hetzner Storage Box Deutschland)
- Verschlüsselung vor der Übertragung außer Haus
- Wöchentlicher automatisierter Wiederherstellungstest
Bedrohungsabwehr
- IP-Ban-System für wiederholte Fehlversuche
- Rate-Limiting auf Anmeldung und den meisten öffentlichen Endpunkten
- Nginx blockt Anfragen bekannter Sicherheits-Scanner
- Responsible Disclosure via security.txt
Compliance-Status im Detail
Transparenz über unseren aktuellen Umsetzungsstand: interne Selbstbewertung, live aus unserem Compliance-System (keine externe Prüfung).
Organisatorisch
| Control | Maßnahme | Status |
|---|---|---|
| A.5.1 | Informationssicherheitspolitik und -richtlinien Eine übergreifende Informationssicherheitsrichtlinie legt Ziele, Geltungsbereich und Zuständigkeiten fest. | In Umsetzung |
| A.5.2 | Informationssicherheitsrollen und -verantwortlichkeiten Rollen und Verantwortlichkeiten für die Informationssicherheit sind benannt. | In Umsetzung |
| A.5.3 | Aufgabentrennung Unvereinbare Aufgaben werden getrennt oder durch nachgelagerte Kontrollen ausgeglichen. | In Umsetzung |
| A.5.4 | Verantwortlichkeiten der Leitung Die Geschäftsführung trägt die Gesamtverantwortung für die Informationssicherheit. | In Umsetzung |
| A.5.5 | Kontakt mit Behörden Meldewege an Aufsichtsbehörden für Datenschutzverletzungen sind festgelegt. | In Umsetzung |
| A.5.6 | Kontakt mit speziellen Interessengruppen Der Austausch mit Fachkreisen der Informationssicherheit ist vorgesehen. | Geplant |
| A.5.7 | Informationen über die Bedrohungslage Sicherheitsrelevante Informationen zu Bedrohungen und Schwachstellen werden regelmäßig ausgewertet. | In Umsetzung |
| A.5.8 | Informationssicherheit im Projektmanagement Sicherheitsanforderungen werden in Entwicklungsvorhaben berücksichtigt. | In Umsetzung |
| A.5.9 | Inventar der Informationen und anderen damit verbundenen Werten Informationswerte, Systeme und Verarbeitungstätigkeiten sind in einem Inventar erfasst. | In Umsetzung |
| A.5.10 | Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten Der zulässige Gebrauch von Informationen ergibt sich aus dem Rollen- und Berechtigungskonzept. | In Umsetzung |
| A.5.11 | Rückgabe von Werten Beim Vertragsende werden Zugänge entzogen und Mandantendaten nach Frist gelöscht. | Erfüllt |
| A.5.12 | Klassifizierung von Informationen Gesundheitsdaten werden als besonders schutzbedürftig behandelt und gesondert geschützt. | In Umsetzung |
| A.5.13 | Kennzeichnung von Informationen Eine ausdrückliche Kennzeichnung schutzbedürftiger Informationen ist vorgesehen. | Geplant |
| A.5.14 | Informationsübermittlung Daten werden ausschließlich verschlüsselt übertragen, Dienstleister sind vertraglich gebunden. | Erfüllt |
| A.5.15 | Zugangssteuerung Zugriffe werden rollenbasiert gesteuert und je Mandant strikt getrennt. | Erfüllt |
| A.5.16 | Identitätsmanagement Jede Person arbeitet mit einem eigenen, persönlich zugeordneten Konto. | Erfüllt |
| A.5.17 | Informationen zur Authentifizierung Passwörter werden nur als Hash gespeichert, eine Zwei-Faktor-Anmeldung ist verfügbar. | Erfüllt |
| A.5.18 | Zugangsrechte Zugangsrechte werden rollenbasiert vergeben und bei Bedarf entzogen. | In Umsetzung |
| A.5.19 | Informationssicherheit in Lieferantenbeziehungen Dienstleister mit Zugriff auf Daten werden vertraglich zur Informationssicherheit verpflichtet. | In Umsetzung |
| A.5.20 | Behandlung der Informationssicherheit in Lieferantenvereinbarungen Sicherheitsanforderungen sind Bestandteil der Verträge mit Dienstleistern. | In Umsetzung |
| A.5.21 | Umgang mit der Informationssicherheit in der IKT-Lieferkette Eingesetzte Softwarebibliotheken werden regelmäßig auf bekannte Schwachstellen geprüft. | In Umsetzung |
| A.5.22 | Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen Die Leistung angebundener Dienste und Schnittstellen wird laufend überwacht. | In Umsetzung |
| A.5.23 | Informationssicherheit für die Nutzung von Cloud-Diensten Rechenzentrum und Cloud-Dienste werden nach Sicherheits- und Datenschutzkriterien ausgewählt. | In Umsetzung |
| A.5.24 | Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen Ein Plan für den Umgang mit Sicherheitsvorfällen ist dokumentiert. | In Umsetzung |
| A.5.25 | Beurteilung und Entscheidung über Informationssicherheitsereignisse Auffällige Ereignisse werden automatisch erkannt, gemeldet und bewertet. | Erfüllt |
| A.5.26 | Reaktion auf Informationssicherheitsvorfälle Sicherheitsvorfälle werden nach festgelegtem Vorgehen bearbeitet und dokumentiert. | Erfüllt |
| A.5.27 | Erkenntnisse aus Informationssicherheitsvorfällen Erkenntnisse aus Vorfällen fließen in Verbesserungen ein. | In Umsetzung |
| A.5.28 | Sammeln von Beweismaterial Sicherheitsrelevante Ereignisse werden nachvollziehbar protokolliert und aufbewahrt. | Erfüllt |
| A.5.29 | Informationssicherheit bei Störungen Auch bei Störungen bleibt die Informationssicherheit durch einen Notfallplan gewahrt. | In Umsetzung |
| A.5.30 | IKT-Bereitschaft für Business-Continuity Die Wiederherstellung der IT-Systeme ist geplant und wird regelmäßig geübt. | In Umsetzung |
| A.5.31 | Juristische, gesetzliche, regulatorische und vertragliche Anforderungen Gesetzliche und vertragliche Anforderungen, insbesondere der DSGVO, werden erfasst und umgesetzt. | In Umsetzung |
| A.5.32 | Geistige Eigentumsrechte Lizenzen eingesetzter Software werden eingehalten. | Erfüllt |
| A.5.33 | Schutz von Aufzeichnungen Aufzeichnungen werden vor Verlust und Veränderung geschützt und nach gesetzlichen Fristen aufbewahrt. | Erfüllt |
| A.5.34 | Datenschutz und Schutz personenbezogener Daten (PII) Personenbezogene Daten werden nach DSGVO verarbeitet, Betroffenenrechte sind umgesetzt. | Erfüllt |
| A.5.35 | Unabhängige Überprüfung der Informationssicherheit Eine unabhängige externe Prüfung der Informationssicherheit ist geplant. | Geplant |
| A.5.36 | Einhaltung von Richtlinien, Vorschriften und Normen für die Informationssicherheit Die Einhaltung der Sicherheitsvorgaben wird regelmäßig technisch geprüft. | In Umsetzung |
| A.5.37 | Dokumentierte Betriebsabläufe Betriebsabläufe wie Wiederherstellung und Störungsbehebung sind dokumentiert. | In Umsetzung |
Personell
| Control | Maßnahme | Status |
|---|---|---|
| A.6.1 | Sicherheitsüberprüfung Personen mit Zugriff auf Kundendaten werden vor Aufnahme der Tätigkeit überprüft. | In Umsetzung |
| A.6.2 | Beschäftigungs- und Vertragsbedingungen Vertragsbedingungen verpflichten Beschäftigte zur Informationssicherheit. | In Umsetzung |
| A.6.3 | Informationssicherheitsbewusstsein, -ausbildung und -schulung Ein dokumentiertes Schulungsprogramm zur Informationssicherheit ist vorgesehen. | Geplant |
| A.6.5 | Verantwortlichkeiten nach Beendigung oder Änderung der Beschäftigung Zugänge werden beim Ausscheiden entzogen. | In Umsetzung |
| A.6.6 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen Externe mit Zugang zu vertraulichen Informationen werden zur Vertraulichkeit verpflichtet. | In Umsetzung |
| A.6.7 | Remote-Arbeit Für die Arbeit außerhalb von Geschäftsräumen gelten Sicherheitsvorgaben. | In Umsetzung |
| A.6.8 | Meldung von Informationssicherheitsereignissen Sicherheitsereignisse werden über festgelegte Kanäle zeitnah gemeldet. | Erfüllt |
Physisch
| Control | Maßnahme | Status |
|---|---|---|
| A.7.1 | Physische Sicherheitsperimeter Die Server stehen in einem Rechenzentrum in Deutschland mit physischer Zutrittssicherung. | In Umsetzung |
| A.7.2 | Physischer Zutritt Der Zutritt zum Rechenzentrum ist auf berechtigte Personen beschränkt. | In Umsetzung |
| A.7.3 | Sichern von Büros, Räumen und Einrichtungen Arbeitsräume sind gegen unbefugten Zutritt gesichert. | In Umsetzung |
| A.7.4 | Physische Sicherheitsüberwachung Das Rechenzentrum wird physisch überwacht. | In Umsetzung |
| A.7.5 | Schutz vor physischen und umweltbedingten Bedrohungen Das Rechenzentrum ist gegen Feuer, Stromausfall und Umwelteinflüsse geschützt. | In Umsetzung |
| A.7.7 | Aufgeräumte Arbeitsumgebung und Bildschirmsperren Bildschirme werden bei Abwesenheit gesperrt, Unterlagen nicht offen liegen gelassen. | In Umsetzung |
| A.7.8 | Platzierung und Schutz von Geräten und Betriebsmitteln Server und Arbeitsgeräte sind vor Zugriff und Beschädigung geschützt. | In Umsetzung |
| A.7.9 | Sicherheit von Werten außerhalb der Räumlichkeiten Sicherungskopien außer Haus sind vor der Übertragung verschlüsselt. | Erfüllt |
| A.7.10 | Speichermedien Datenträger werden über ihren Lebenszyklus geschützt und sicher entsorgt. | In Umsetzung |
| A.7.11 | Versorgungseinrichtungen Strom- und Klimaversorgung des Rechenzentrums sind abgesichert. | In Umsetzung |
| A.7.13 | Instandhaltung von Geräten und Betriebsmitteln Geräte werden regelmäßig gewartet. | In Umsetzung |
| A.7.14 | Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln Eine Regelung zur sicheren Entsorgung von Datenträgern ist vorgesehen. | Geplant |
Technologisch
| Control | Maßnahme | Status |
|---|---|---|
| A.8.1 | Endpunktgeräte des Benutzers Arbeitsgeräte mit Zugriff auf Systeme sind geschützt. | In Umsetzung |
| A.8.2 | Privilegierte Zugangsrechte Administrative Zugänge sind getrennt vergeben und mit zweitem Faktor abgesichert. | Erfüllt |
| A.8.3 | Informationszugangsbeschränkung Jeder Mandant sieht ausschließlich seine eigenen Daten. | Erfüllt |
| A.8.4 | Zugriff auf den Quellcode Der Zugriff auf Quellcode und Produktionssysteme ist auf berechtigte Personen beschränkt. | Erfüllt |
| A.8.5 | Sichere Authentifizierung Anmeldungen sind durch Passwortregeln, Zwei-Faktor-Anmeldung und Begrenzung von Fehlversuchen geschützt. | Erfüllt |
| A.8.6 | Kapazitätssteuerung Auslastung von Speicher, Arbeitsspeicher und Datenbank wird überwacht und bei Engpässen gemeldet. | Erfüllt |
| A.8.7 | Schutz gegen Schadsoftware Ein dokumentierter Schutz gegen Schadsoftware ist vorgesehen. | Geplant |
| A.8.8 | Handhabung von technischen Schwachstellen Bekannte Schwachstellen in eingesetzter Software werden regelmäßig ermittelt. | In Umsetzung |
| A.8.9 | Konfigurationsmanagement Die Systemkonfiguration ist versioniert und reproduzierbar. | Erfüllt |
| A.8.10 | Löschung von Informationen Daten werden nach Ablauf der Fristen oder auf Verlangen gelöscht oder pseudonymisiert. | Erfüllt |
| A.8.11 | Datenmaskierung Personenbezogene Daten werden vor der Weitergabe an Dritte pseudonymisiert oder entfernt. | Erfüllt |
| A.8.12 | Verhinderung von Datenlecks Maßnahmen verhindern den unbefugten Abfluss von Daten. | In Umsetzung |
| A.8.13 | Sicherung von Informationen Daten werden täglich verschlüsselt gesichert und zusätzlich außer Haus aufbewahrt. | In Umsetzung |
| A.8.14 | Redundanz von informationsverarbeitenden Einrichtungen Die Verfügbarkeit wird durch Sicherung und Wiederherstellung abgesichert. | In Umsetzung |
| A.8.15 | Protokollierung Sicherheitsrelevante Aktionen werden mit Zeitstempel protokolliert, Einträge werden nur angefügt. | Erfüllt |
| A.8.16 | Überwachung von Aktivitäten Systeme und Dienste werden laufend überwacht, Auffälligkeiten lösen Alarme aus. | Erfüllt |
| A.8.17 | Uhrensynchronisation Alle Systeme verwenden eine synchronisierte Zeitquelle. | Erfüllt |
| A.8.18 | Gebrauch von Hilfsprogrammen mit privilegierten Rechten Administrative Werkzeuge sind auf berechtigte Personen beschränkt. | In Umsetzung |
| A.8.19 | Installation von Software auf Systemen im Betrieb Software gelangt nur über einen festgelegten Auslieferungsweg in den Betrieb. | In Umsetzung |
| A.8.20 | Netzwerksicherheit Nur die notwendigen Dienste sind von außen erreichbar, eine Firewall schützt den Server. | Erfüllt |
| A.8.21 | Sicherheit von Netzwerkdiensten Öffentliche Dienste sind verschlüsselt, ratenbegrenzt und gegen wiederholte Angriffe geschützt. | Erfüllt |
| A.8.22 | Trennung von Netzwerken Interne Dienste sollen in getrennte Netzsegmente aufgeteilt werden. | In Umsetzung |
| A.8.24 | Verwendung von Kryptographie Übertragungen sind TLS-verschlüsselt, personenbezogene Felder mit AES-256-GCM. | In Umsetzung |
| A.8.25 | Lebenszyklus einer sicheren Entwicklung Sicherheitsregeln sind fester Bestandteil der Entwicklung. | In Umsetzung |
| A.8.26 | Anforderungen an die Anwendungssicherheit Eingaben werden an Systemgrenzen validiert, Zugriffe durchlaufen feste Prüfschritte. | Erfüllt |
| A.8.27 | Sichere Systemarchitektur und Technikgrundsätze Mandantentrennung ist Architekturprinzip des Systems. | Erfüllt |
| A.8.28 | Sichere Codierung Programmierregeln zur Vermeidung typischer Sicherheitsfehler werden angewendet. | In Umsetzung |
| A.8.29 | Sicherheitsprüfung bei Entwicklung und Abnahme Änderungen werden vor der Auslieferung automatisiert getestet. | In Umsetzung |
| A.8.31 | Trennung von Entwicklungs-, Test- und Produktionsumgebungen Entwicklung und Tests sollen getrennt vom Produktivbetrieb erfolgen. | In Umsetzung |
| A.8.32 | Änderungssteuerung Änderungen sind über die Versionsverwaltung nachvollziehbar. | In Umsetzung |
| A.8.33 | Testdaten Tests verwenden synthetische Daten statt echter Klientendaten. | In Umsetzung |
| A.8.34 | Schutz der Informationssysteme während Tests im Rahmen von Audits Regeln zum Schutz der Systeme bei externen Prüfungen sind vorgesehen. | Geplant |
Stand: Oktober 2026 · Automatisch aus unserem internen Compliance-System.
Unser Zertifizierungsweg
Wir arbeiten kontinuierlich auf formale Zertifizierungen hin.
ISO 27001-ISMS im Aufbau
Statement of Applicability, Risikomanagement und Kernrichtlinien dokumentiert, gelebter Nachweis in Aufbau
ISO 27001 Zertifizierung
Externes Audit durch akkreditierte Stelle nach Abschluss der internen Vorbereitung
BSI C5 Typ 1
Aufbauend auf dem ISO-Zertifikat über die C5-Gleichwertigkeitsverordnung
Sicherheitslücke gefunden?
Wir nehmen Sicherheitsmeldungen ernst und bearbeiten sie schnell. Bitte melden Sie Schwachstellen verantwortungsvoll.