Datensicherheit & Schutzmaßnahmen
Sicherheitsmaßnahmen von ProcessMind
Gültig ab: 15. April 2026
Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen („TOMs“), die ProcessMind B.V. zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Kundendaten unterhält. Diese Maßnahmen ergänzen den Auftragsverarbeitungsvertrag , die Datenschutzerklärung und die SaaS-Hosting-Richtlinie . ProcessMind überprüft und aktualisiert diese Maßnahmen mindestens jährlich.
Kundendaten werden niemals an Dritte verkauft, mit ihnen geteilt oder von ihnen für eigene Zwecke verwendet.
1. Infrastruktursicherheit
1.1 Cloud-Plattform. ProcessMind wird ausschließlich auf Amazon Web Services (AWS) in der EU (Frankfurt, Deutschland, eu-central-1) gehostet. AWS verfügt über Zertifizierungen nach ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3 und PCI DSS. Eine vollständige Liste finden Sie unter AWS Compliance Programs.
1.2 Serverlose Architektur. Die gesamte Applikationslogik läuft auf AWS Lambda (serverlos). Da keine dauerhaften Server gepatcht oder gehärtet werden müssen, entfällt eine ganze Kategorie von Infrastrukturrisiken, wie etwa ungepatchte Betriebssysteme, persistente Kompromittierungen oder Serverfehlkonfigurationen.
1.3 Netzwerkisolierung. Alle Rechen- und Datenbankressourcen werden innerhalb einer Virtual Private Cloud (VPC) in privaten Subnetzen ohne direkten Internetzugang betrieben. Datenbankinstanzen sind nicht öffentlich erreichbar; der Zugriff erfolgt ausschließlich über die AWS RDS Data API durch autorisierte Lambda-Funktionen.
1.4 Content Delivery. Statische Inhalte werden über Amazon CloudFront mit strengen Content Security Policy (CSP) Response-Headern bereitgestellt, einschließlich frame-ancestors-Beschränkungen zur Vermeidung von Clickjacking.
1.5 Trennung der Umgebungen. Produktions- und Entwicklungsumgebungen nutzen separate AWS-Konten, Datenbanken und Infrastruktur-Stacks. Die Verwaltung erfolgt über den AWS Control Tower nach Best Practices für die Kontentrennung. Präventive und detektive Schutzmechanismen (Guardrails) gewährleisten Sicherheitsstandards über alle Konten hinweg. Mit Entwickler-Zugangsdaten kann nicht auf Produktions-Kundendaten zugegriffen werden.
2. Datenverschlüsselung
2.1 Verschlüsselung bei der Übertragung. Alle Daten, die zwischen Clients und den ProcessMind-Diensten übertragen werden, sind mit TLS 1.2 oder höher verschlüsselt. HTTPS ist für alle API-Endpunkte, S3-Uploads und die Web-Applikation obligatorisch. Auch die interne Kommunikation zwischen Diensten innerhalb der VPC erfolgt über verschlüsselte Kanäle.
2.2 Verschlüsselung ruhender Daten. Alle Datenbanken (Amazon Aurora PostgreSQL) sind im Ruhezustand mittels AES-256 über den AWS Key Management Service (KMS) verschlüsselt, wobei kundeneigene Schlüssel mit aktivierter automatischer jährlicher Rotation zum Einsatz kommen. Sämtlicher Speicherplatz (Amazon S3) ist im Ruhezustand per AES-256 über serverseitige Verschlüsselung mit AWS S3-verwalteten Schlüsseln (SSE-S3) verschlüsselt.
2.3 Schlüsselverwaltung. Schlüssel für die Datenbankverschlüsselung werden zentral über AWS KMS verwaltet. Der Zugriff wird durch IAM-Richtlinien nach dem Prinzip der minimalen Rechtevergabe (Least Privilege) geregelt. S3-Verschlüsselungsschlüssel werden automatisch durch AWS verwaltet. Schlüssel werden niemals im Applikationscode oder in Konfigurationsdateien gespeichert.
3. Datentrennung und Datenstandort
3.1 Mandantentrennung. Jedes Kundenunternehmen erhält eine dedizierte, isolierte Datenbankinstanz. Kundendaten werden auf Datenbankebene niemals mit Daten anderer Kunden vermischt. Gemeinsam genutzte Metadaten (z. B. Kontodaten, Abrechnung) werden in einer separaten mandantenfähigen Datenbank mit strengen Zugriffskontrollen gespeichert.
3.2 Datenstandort. Alle Kundendaten, einschließlich Datenbanken, Datei-Uploads, Backups und Abfrageergebnisse, werden ausschließlich in der EU (Frankfurt, Deutschland) gespeichert. ProcessMind überträgt oder repliziert Kundendaten nicht außerhalb des Europäischen Wirtschaftsraums.
3.3 Datenspeicherung und Löschung. Bei kostenpflichtigen Abonnements werden Kundendaten automatisch neunzig (90) Tage nach Ende der Vertragslaufzeit gelöscht. Bei Testkonten erfolgt die automatische Löschung dreizehn (13) Monate nach der Kontoerstellung. Kunden können ihre Daten jederzeit über die Anwendung oder durch Kontaktaufnahme mit ProcessMind löschen. Daten in automatischen Backups verfallen innerhalb von weiteren neunzig (90) Tagen. Einzelheiten finden Sie in Abschnitt 6 des Auftragsverarbeitungsvertrags (AVV) .
4. Identitäts- und Zugriffsmanagement
4.1 Authentifizierung. ProcessMind unterstützt Single Sign-On (SSO) über Microsoft Entra ID (Azure AD), Google OAuth 2.0/OIDC und LinkedIn OAuth 2.0/OIDC. ProcessMind fungiert als Relying Party und speichert keine Benutzerpasswörter. Multi-Faktor-Authentifizierung (MFA) wird über den Identity-Provider des Kunden unterstützt.
4.2 Sitzungsverwaltung. Alle Sitzungen verwenden signierte JSON Web Tokens (JWT), die über sichere HttpOnly-Cookies mit SameSite- und Secure-Flags übertragen werden. Token-Signaturen werden bei jeder API-Anfrage validiert.
4.3 Autorisierung. Alle API-Endpunkte erzwingen eine JWT-basierte Autorisierung auf Applikationsebene. Der Zugriff auf Kundendaten ist auf den authentifizierten Mandanten beschränkt, wodurch mandantenübergreifende Datenzugriffe verhindert werden.
4.4 Minimale Rechtevergabe. Interne Systeme folgen dem Prinzip der minimalen Rechtevergabe (Least Privilege). IAM-Rollen für Infrastrukturkomponenten sind auf die erforderlichen Mindestberechtigungen beschränkt. Der Zugriff von Mitarbeitern auf Produktionssysteme ist auf namentlich benannte Personen mit dokumentiertem geschäftlichem Bedarf beschränkt.
4.5 Zugriffskontrollen für Mitarbeiter. Der Zugriff von Mitarbeitern auf interne Systeme wird über Active Directory mit SSO und obligatorischer MFA verwaltet. Eine rollenbasierte Zugriffskontrolle (RBAC) stellt sicher, dass der Zugriff auf Kundendaten auf autorisiertes Personal nach dem Need-to-know-Prinzip beschränkt ist. Zugriffsrechte werden regelmäßig überprüft.
5. Protokollierung, Monitoring und Audit
5.1 Zentralisierte Protokollierung. Alle Applikationsereignisse, Authentifizierungsvorgänge und Systemaktivitäten werden zentral über Amazon CloudWatch mittels strukturierter JSON-Logs protokolliert. Es werden separate Protokollgruppen für Applikations-Logs, Audit-Ereignisse und Telemetriedaten geführt. Audit- und Telemetrie-Logs werden unbefristet aufbewahrt und vor Löschung geschützt.
5.2 Zugriffsprotokollierung. Die Protokollierung für den WebSocket-API-Zugriff ist aktiviert. Die Protokollierung auf Applikationsebene erfasst Authentifizierungsereignisse und API-Anfragedetails für forensische Analysen.
5.3 Monitoring und Alarmierung. CloudWatch-Alarme und Dashboards ermöglichen die Echtzeitüberwachung von Systemzustand, Fehlerraten und sicherheitsrelevanten Ereignissen. Anomalien lösen automatische Benachrichtigungen an das Engineering-Team aus.
5.4 Schutz der Protokolle. Protokolle werden in dedizierten, zugriffsgeschützten CloudWatch-Loggruppen gespeichert. Protokolldaten sind im Ruhezustand verschlüsselt. Produktions-Logs sind von Entwicklungsumgebungen aus nicht zugänglich.
6. Schwachstellenmanagement
6.1 Automatisiertes Compliance-Scanning. Infrastructure-as-Code wird bei jedem Deployment mit cdk-nag gescannt, um Konfigurationen gegen mehrere Compliance-Frameworks zu prüfen, darunter AWS Solutions Best Practices, HIPAA Security, NIST 800-53 Rev 4 und Rev 5 sowie PCI DSS 3.2.1. Für jeden Stack werden Compliance-Berichte erstellt und im Rahmen des Deployment-Prozesses überprüft. Ergebnisse werden nachverfolgt, bewertet und entweder behoben oder begründet dokumentiert.
6.2 Abhängigkeitsmanagement. Software-Abhängigkeiten werden kontinuierlich auf bekannte Schwachstellen überwacht. Kritische und hochriskante Schwachstellen werden zeitnah gepatcht. Abhängigkeiten werden in regelmäßigen Zyklen aktualisiert.
6.3 Sicherer Software-Entwicklungszyklus (SDLC). Alle Codeänderungen werden vor dem Mergen in die Produktion einem Peer-Review unterzogen. Automatisierte Testsuiten (Unit-, Integrations- und End-to-End-Tests) laufen bei jeder Änderung. Sicherheitsaspekte sind Teil der Review-Checkliste.
7. Backup und Disaster Recovery
7.1 Automatische Backups. Amazon Aurora führt kontinuierliche, automatische Backups mit einer Aufbewahrungsfrist von sieben (7) Tagen durch. Backups werden mit denselben kundeneigenen KMS-Schlüsseln verschlüsselt wie die Quelldatenbanken.
7.2 Point-in-Time-Wiederherstellung. Aurora unterstützt die Point-in-Time-Wiederherstellung zu jeder Sekunde innerhalb des Backup-Fensters, was eine schnelle Restauration bei Datenkorruption oder versehentlicher Löschung ermöglicht.
7.3 S3-Datendauerhaftigkeit. Datei-Uploads und Data-Warehouse-Artefakte werden in Amazon S3 gespeichert, das eine Dauerhaftigkeit von 99,999999999 % (11 Neunen) bietet. Die S3-Versionierung ist aktiviert, um frühere Objektversionen zur Wiederherstellung vorzuhalten.
7.4 Business Continuity. Disaster-Recovery-Verfahren sind dokumentiert und werden regelmäßig getestet. Die serverlose Architektur bietet von Natur aus eine hohe Verfügbarkeit über mehrere Availability Zones innerhalb der Region eu-central-1.
8. Reaktion auf Vorfälle
8.1 Benachrichtigung bei Vorfällen. Im Falle eines Sicherheitsvorfalls (gemäß Definition im AVV) wird ProcessMind die betroffenen Kunden ohne unnötige Verzögerung benachrichtigen, sofern möglich innerhalb von zweiundsiebzig (72) Stunden nach Bekanntwerden des Vorfalls.
8.2 Umgang mit Vorfällen. ProcessMind verfügt über dokumentierte Incident-Response-Verfahren für Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und Post-Mortem-Analysen. Erkenntnisse aus Vorfällen fließen in Sicherheitskontrollen und -prozesse ein.
8.3 Kommunikation. Vorfallsmeldungen enthalten Art und Umfang des Vorfalls, die betroffenen Datenkategorien, Maßnahmen zur Eindämmung sowie Handlungsempfehlungen für den Kunden.
9. Organisatorische Maßnahmen
9.1 Informationssicherheitsmanagement. ProcessMind unterhält ein Informationssicherheits-Managementsystem, das sich an ISO 27001 orientiert. ProcessMind strebt Zertifizierungen gemäß Kunden- und regulatorischen Anforderungen an und pflegt diese.
9.2 Sicherheitsbewusstsein. Alle Mitarbeiter mit Zugriff auf Kundendaten erhalten Schulungen zum Sicherheitsbewusstsein. Best Practices für die Sicherheit sind fest in Onboarding, Entwicklungs-Workflows und Betriebsabläufe integriert.
9.3 Management von Dienstleistern und Unterauftragsverarbeitern. Unterauftragsverarbeiter sind vertraglich an Datenschutzstandards gebunden, die den in diesem Dokument beschriebenen entsprechen. ProcessMind führt eine öffentliche Liste der Unterauftragsverarbeiter und informiert mindestens dreißig (30) Tage im Voraus über die Einbindung eines neuen Unterauftragsverarbeiters. Dienstleister werden jährlich auf Compliance geprüft.
9.4 Vertraulichkeit. Alle zur Verarbeitung von Kundendaten befugten Personen sind schriftlich zur Vertraulichkeit verpflichtet.
10. Compliance und Zertifizierungen
| Framework / Standard | Status |
|---|---|
| DSGVO (EU-Datenschutz-Grundverordnung) | Konform |
| EU-Datenstandort (Frankfurt, Deutschland) | Gewährleistet |
| AWS-Infrastruktur-Zertifizierungen (ISO 27001, SOC 2, PCI DSS) | Über AWS übernommen |
| Standardvertragsklauseln (SCCs) für internationale Übermittlungen | Implementiert (siehe AVV ) |
| Auftragsverarbeitungsvertrag (AVV) | Auf Anfrage verfügbar |
Bei Fragen zu Sicherheit und Compliance oder zur Anforderung von Dokumenten wie Audit-Berichten oder ausgefüllten Sicherheitsfragebögen wenden Sie sich bitte an security@processmind.com.