Sicherheit, die
nachprüfbar ist
Eine Seite, alle Trust-Signale: an ISO 27001 und BSI C5 angelehnte Maßnahmen, Datenschutz nach DSGVO-Anforderungen, Live-Status, Protokollierung, AVV. Direkt verlinkbar für IT-Audits.
Alle Systeme laufen normal
28
Controls erfüllt
88
Controls geprüft
32%
Compliance-Score (Selbstbewertung)
Die vier Säulen unserer Sicherheit
Verschlüsselung
- TLS 1.2 und 1.3 für alle Verbindungen
- Personenbezogene Datenbankfelder einzeln mit AES-256-GCM verschlüsselt
- JWT-Tokens mit kurzer Laufzeit
- Datenbankpasswörter in Docker Secrets
- Der Datenträger des Servers ist nicht zusätzlich verschlüsselt
Hosting Deutschland
- Hosting bei 24fire, Rechenzentrum in Deutschland
- Drittdienste laut Datenschutzerklärung
- Dienstleister in den USA (Zahlung, KI-Funktionen, Push) stehen im AVV
- AVV öffentlich abrufbar, Annahme im Dashboard
Zugriffskontrolle
- RBAC mit vier festen Rollen
- 2-Faktor-Authentifizierung verfügbar
- Daten, Dateien, Echtzeit-Kanäle und Zwischenspeicher je Mandant getrennt
- Externer Penetrationstest steht noch aus
- Auto-Logout bei Inaktivität
Audit & Doku
- Systemseitiges Audit-Log, keine Einsicht für Kunden in der Oberfläche
- Automatische Löschung nach Frist: allgemeine Einträge 3 Jahre, Lesezugriffe auf Gesundheitsdaten 12 Monate, Einträge zu Abrechnungs- und Gesundheitsdaten ausgenommen
- Datenexport je Klient (Art. 20 DSGVO), Löschung nur außerhalb der Aufbewahrungspflichten
Standards & Compliance
ISO 27001
angelehntTOMs an den internationalen Standard angelehnt, nicht zertifiziert.
BSI C5
angelehntMaßnahmen am BSI-Cloud-Kriterienkatalog angelehnt, nicht zertifiziert.
DSGVO
berücksichtigtEntwickelt nach DSGVO-Anforderungen: Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsvertrag und Meldeweg für Datenpannen sind im System. Keine Zertifizierung.
TI-Anbindung
in PlanungKIM-Anbindung an die Telematik-Infrastruktur ist in Planung und noch nicht verfügbar.
Live-Compliance-Status
Direkter Auszug aus unserem internen Compliance-Tracker: Selbstbewertung, keine externe Prüfung.
| Control | Status |
|---|---|
A.5.1 Informationssicherheitspolitik und -richtlinien | in bearbeitung |
A.5.2 Informationssicherheitsrollen und -verantwortlichkeiten | in bearbeitung |
A.5.3 Aufgabentrennung | in bearbeitung |
A.5.4 Verantwortlichkeiten der Leitung | in bearbeitung |
A.5.5 Kontakt mit Behörden | in bearbeitung |
A.5.6 Kontakt mit speziellen Interessengruppen | offen |
A.5.7 Informationen über die Bedrohungslage | in bearbeitung |
A.5.8 Informationssicherheit im Projektmanagement | in bearbeitung |
A.5.9 Inventar der Informationen und anderen damit verbundenen Werten | in bearbeitung |
A.5.10 Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten | in bearbeitung |
A.5.11 Rückgabe von Werten | erfuellt |
A.5.12 Klassifizierung von Informationen | in bearbeitung |
A.5.13 Kennzeichnung von Informationen | offen |
A.5.14 Informationsübermittlung | erfuellt |
A.5.15 Zugangssteuerung | erfuellt |
A.5.16 Identitätsmanagement | erfuellt |
A.5.17 Informationen zur Authentifizierung | erfuellt |
A.5.18 Zugangsrechte | in bearbeitung |
A.5.19 Informationssicherheit in Lieferantenbeziehungen | in bearbeitung |
A.5.20 Behandlung der Informationssicherheit in Lieferantenvereinbarungen | in bearbeitung |
A.5.21 Umgang mit der Informationssicherheit in der IKT-Lieferkette | in bearbeitung |
A.5.22 Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen | in bearbeitung |
A.5.23 Informationssicherheit für die Nutzung von Cloud-Diensten | in bearbeitung |
A.5.24 Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen | in bearbeitung |
A.5.25 Beurteilung und Entscheidung über Informationssicherheitsereignisse | erfuellt |
A.5.26 Reaktion auf Informationssicherheitsvorfälle | erfuellt |
A.5.27 Erkenntnisse aus Informationssicherheitsvorfällen | in bearbeitung |
A.5.28 Sammeln von Beweismaterial | erfuellt |
A.5.29 Informationssicherheit bei Störungen | in bearbeitung |
A.5.30 IKT-Bereitschaft für Business-Continuity | in bearbeitung |
Vertragsdokumente
Datenschutzerklärung
Datenschutzerklärung mit Verarbeitungszwecken, Empfängern und Betroffenenrechten.
AVV nach Art. 28 DSGVO
Auftragsverarbeitungsvertrag: öffentlich abrufbar, die Annahme erfolgt im Dashboard.
Sicherheits-Übersicht
Detaillierte technische und organisatorische Maßnahmen (TOMs).
AGB
Allgemeine Geschäftsbedingungen mit Verfügbarkeitsziel und Kündigungsregeln.
Sicherheitslücke melden
Sicherheitsforschung ist willkommen. Bitte melden Sie Schwachstellen vertraulich an security@alltagora.de. Unser Ziel: Antwort binnen 3 Werktagen, kritische Lücken binnen 30 Tagen.