BSI C5 testiert • DSGVO & GoBD konform
30 Tage unverbindlich testen
Bei CenterDevice sind Ihre Daten sicher
Hochsicherheits-Verschlüsselung
So stellen wir die Vertraulichkeit und Integrität Ihrer Daten sicher
Um die Vertraulichkeit und Integrität der Informationen bei Übertragung, Ablage, Verarbeitung und Löschung im CenterDevice DMS sicherzustellen, werden sowohl die Dokumente als auch anfallende Metadaten stets auf allen Kommunikationskanälen transportverschlüsselt und bei der Ablage in Zwischenspeichern oder Langzeitspeichern verschlüsselt. Dies betrifft sowohl die externe Verbindung von Ihrem Client zum CenterDevice DMS als auch sämtliche internen Verbindungen innerhalb des CenterDevice DMS.
Für die Transportverschlüsselung wird TLS 1.2 mit Perfect Forward Secrecy eingesetzt. Perfect Forward Secrecy stellt hierbei sicher, dass das verbindungsspezifische Schlüsselmaterial nicht wiederhergestellt werden kann, um zum Beispiel eine Aufzeichnung der Datenübertragung zu einem späteren Zeitpunkt zu entschlüsseln. Zusätzlich nutzen die CenterDevice Mobile und Desktop-Anwendungen Certificate Pinning.
Ultraschnell und beweisbar sicher verschlüsselt
Jedes Dokument wird mit einem individuellen Dokumentenschlüssel unter Verwendung des Verschlüsselungsalgorithmus ChaCha20 mit 256-bit langen Schlüsseln verschlüsselt. Im Gegensatz zum bekannteren Algorithmus AES wurde ChaCha20 wesentlich stärker kryptoanalysiert und ist darüberhinaus deutlich performanter.
Hochverfügbarkeit
Backups, auf die Sie sich verlassen können
Wir sichern all Ihre Dokumente nach jeder Änderung vollautomatisch in unser Backup-System. Metadaten wie z.B. Zugriffe auf ein Dokument oder Kommentare sichern wir einmal am Tag vollständig. Doch darauf verlassen wir uns nicht, denn Backups bieten nur dann wirklichen Schutz, wenn die Daten im Katastrophenfall tatsächlich wiederhergestellt werden können. Deshalb testen wir die Datensicherungen wöchentlich vollautomatisch, indem wir das komplette Backup in einer separaten Umgebung wiederherstellen und die Integrität der wiederhergestellten Daten durch Funktionstest penibel prüfen.
Wenn wir „sicher“ sagen, meinen wir „sicher“
- Wir verzahnen Entwicklung und Betrieb, damit alle Komponenten des CenterDevice zuverlässig und nachvollziehbar sicher entwickelt und betrieben werden. Mehr erfahren
- Wir setzen rigorose Methoden der Softwareentwicklung ein, um alle denkbaren Fehlerquellen zu vermeiden. Dieselben rigorosen Methoden verwenden wir auch, um den sicheren Betrieb von CenterDevice zu garantieren. Denn sicher ist nur, was auch sicher bleibt. Mehr erfahren
- Wir beauftragen externe Prüfer, die alle CenterDevice-Systeme regelmäßig den härtesten Tests unterziehen, damit Sie sich nicht auf unser Wort verlassen müssen. Mehr erfahren
Deshalb stehen wir für die Verfügbarkeit, Vertraulichkeit und Integrität Ihrer Daten ein.
Enge Verzahnung von Entwicklung und Betrieb
Herkömmliche Systeme müssen manuell konfiguriert werden. Das ist fehleranfällig und im Nachhinein schwer nachvollziehbar. Deswegen nutzen wir einen vollautomatischen Konfigurationsprozess für unsere Infrastruktur: Infrastructure as Code. Dahinter verbirgt sich die Idee, dass eine Infrastruktur genauso programmatisch erstellt, konfiguriert und verwaltet werden kann wie jede andere Software auch. Infrastructure as Code ermöglicht auf diese Weise, dass Änderungen an der Infrastruktur der gleichen Qualitätssicherung wie Änderungen an Softwarecode unterzogen werden können: Versionskontrolle, Peer Reviews, automatische Tests, Ausrollen in Test- und Staging-Umgebungen und reproduzierbare Deployments.
Herkömmliche Systeme wachsen über die Jahre und werden dabei ständig verändert, z.B. werden Teile ergänzt oder Einstellungen verändert. Dabei können sich Fehler einschleichen oder Komponenten veralten. Das würde zu Systemausfällen oder Sicherheitslücken führen.
Bei CenterDevice setzen wir daher auf einen radikal anderen Ansatz: Das Immutable-Infrastructure-Prinzip. Anstatt bestehende Komponenten wie zum Beispiel virtuelle Maschinen durch Konfigurationsänderungen zu verändern, werden alte Komponenten grundsätzlich durch neue Komponenten ersetzt. Indem zunächst die neue Komponente aufgesetzt und konfiguriert wird, bevor die alte entsorgt wird, können Änderungen ohne Gefahr für die Verfügbarkeit geprüft werden. Erst wenn diese Überprüfung erfolgreich ist, wird die zu ersetzende Komponente abgeschaltet und die neue übernimmt deren Rolle und Aufgaben.
Auf diese Weise wird die Gefahr reduziert, dass die Software dieser Komponenten veraltet, Konfigurationsänderungen nicht mehr nachvollziehbar sind oder gar fehlschlagen und aufwändig zurückgerollt werden müssen.
Der Einsatz von Automatisierung sowohl bei Änderungen als auch in der Überwachung stellt die Verfügbarkeit von CenterDevice sicher, minimiert die Gefahr von manuellen Fehlern und ermöglicht eine schnellstmögliche Reaktion auf Störungen.
Das CenterDevice-DMS wird täglich einem vollautomatischen Security Scan mit Schwachstellenprüfung unterzogen, um Fehlkonfigurationen und Schwachstellen schnell erkennen und beheben zu können. Darüberhinaus lassen wir externe Experten regelmäßig White Box und Black Box Penetration Tests gegen das CenterDevice-DMS durchführen.
White Box Penetration Test
Bei einem White Box Penetration Test wird das betrachtete System von innen untersucht, wobei auf alle internen Informationen und Dokumentationen zugegriffen wird. Auf diese Weise wird ein Maximum an sicherheitsrelevanten Aspekten mit der größtmöglichen Angriffsfläche überprüft.
Black Box Penetration Test
Bei einem Black Box Penetration Test wird das betrachtete System aus Sicht eines tatsächlichen, externen Angreifers überprüft. Dabei beschränkt sich die Angriffsfläche auf die offen nach außen sichtbaren Elemente der CenterDevice Anwendung.
Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamt für Sicherheit in der Informationstechnik (BSI)
Wir gehen für Sie noch einen Schritt weiter.
Ob wir wirklich tun, was wir versprechen, ist für Sie als Kunde nur schwer einzuschätzen. IT ist und bleibt eine Vertrauenssache.
Aus diesem Grund lassen wir von externen, unabhängigen Experten die Umsetzung und Angemessenheit der hier beschriebenen Prozesse und Techniken regelmäßig nach dem C5 des BSI testieren. Es setzt eine ISO 27001 Zertifizierung voraus und prüft die Sicherheit eines Cloudproduktes.
Der C5 ist für Cloudprodukte das derzeit wichtigste und umfangreichste Testat und wird vom BSI für alle Cloudprodukte, die von Bundesbehörden und -ministerien eingesetzt werden, vorgeschrieben.
