Als Software-Dienstleister entwickeln und betreiben wir Systeme, denen unsere Kund:innen ihre Daten anvertrauen. Informationssicherheit ist deshalb fester Bestandteil unserer Prozesse – von der Entwicklung über das Hosting bis zum Support. Diese Seite gibt einen Überblick über unsere wichtigsten Sicherheitsmaßnahmen. Detailliertere Unterlagen (z. B. unsere technischen und organisatorischen Maßnahmen) stellen wir Kund:innen und Auftraggebern auf Anfrage zur Verfügung.

‍

1. Zertifizierungen und Compliance

aaa – all about apps ist nach ISO 9001 zertifiziert; unser Qualitätsmanagementsystem deckt den gesamten Entwicklungs- und Betriebsprozess ab. Darauf aufbauend betreiben wir ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001; die Zertifizierung nach ISO/IEC 27001:2022 ist in Vorbereitung.

2. Datenstandort und Hosting

Kundensysteme und interne Systeme betreiben wir ausschließlich in ISO-zertifizierten Rechenzentren innerhalb der EU – auf dedizierten Servern und Cloud-Instanzen bei Hetzner (Falkenstein, Deutschland) sowie in Frankfurt auf der Google Cloud Platform. Wir betreiben keinen eigenen Serverraum; im Büro werden keine Server oder Speichersysteme mit personenbezogenen Daten betrieben. Die physische Sicherheit der Rechenzentren liegt im Shared-Responsibility-Modell bei den zertifizierten Betreibern. Kundensysteme sind logisch voneinander isoliert.

3. Verschlüsselung

Datenübertragungen erfolgen ausschließlich über verschlüsselte Verbindungen (TLS ab Version 1.2, TLS 1.3 als Standard für neue Systeme; SSH mit personenbezogenen Schlüsseln). Daten werden bei unseren Cloud-Anbietern verschlüsselt gespeichert; alle Arbeitsgeräte sind vollständig verschlüsselt (FileVault bzw. BitLocker). Passwörter und PINs in unseren Anwendungen speichern wir ausschließlich als Hash nach aktuellem Stand der Technik (Argon2id); Prüfmaßstab für unsere kryptographischen Verfahren ist die BSI TR-02102. Kryptographische Schlüssel werden zentral verwaltet und bei Personalwechsel oder Kompromittierungsverdacht unverzüglich rotiert.

4. Sichere Entwicklung

Unsere Entwicklung folgt einem dokumentierten Secure Development Lifecycle, eingebettet in die ISO-9001-Prozesse: Jede Änderung durchläuft ein unabhängiges Code-Review und eine QA-Freigabe vor dem Release. Entwicklungs-, Test- und Produktivumgebungen sind strikt getrennt; in Entwicklung und Test kommen ausschließlich synthetische oder anonymisierte Daten zum Einsatz. Abhängigkeiten, Container-Images und Cloud-Konfigurationen werden automatisiert und laufend auf Schwachstellen gescannt; ergänzend führen wir risikobasiert interne Security-Reviews nach OWASP Top 10 durch – durch Personen, die nicht am jeweiligen Code beteiligt waren. Unsere Secure-Engineering-Grundsätze orientieren sich an NIST SP 800-160 und OWASP.

5. Infrastruktur- und Netzwerksicherheit

Unsere Infrastruktur wird vollständig als Infrastructure as Code provisioniert und ist damit reproduzierbar und konsistent gehärtet. Systeme sind durch Firewalls nach dem Deny-by-default-Prinzip geschützt und auf Netzwerkebene segmentiert (VPC-Trennung, Network Policies). Für alle eingesetzten Technologien bestehen dokumentierte Härtungs-Baselines. Sicherheitsrelevante Ereignisse werden zentral protokolliert und regelmäßig überprüft; alle Kundensysteme werden laufend auf Verfügbarkeit und Anomalien überwacht. Erkannte Schwachstellen beheben wir fristgebunden nach Schweregrad: kritische und hohe innerhalb von 30 Tagen, mittlere innerhalb von 60, niedrige innerhalb von 90 Tagen.

6. Identitäts- und Zugriffsmanagement

Alle Zugriffe erfolgen über personenbezogene Konten nach den Prinzipien Least Privilege und Need-to-know, gesteuert über rollenbasierte Berechtigungen. Zwei-Faktor-Authentifizierung ist für alle Dienste verpflichtend, die sie unterstützen; privilegierte Zugriffe auf Produktivsysteme erfordern MFA. Berechtigungen werden vierteljährlich überprüft. Beim Austritt von Mitarbeiter:innen werden sämtliche Zugänge innerhalb von drei Arbeitstagen entzogen. Direkter Datenbankzugriff ist auf die Fehlerbehebung beschränkt, erfolgt ausschließlich personenbezogen aus dem internen Netz und wird protokolliert.

7. Personalsicherheit

Neue Mitarbeiter:innen durchlaufen ein rechtskonformes, verhältnismäßiges Screening und sind über den Dienstvertrag zur Vertraulichkeit verpflichtet. Alle Mitarbeiter:innen absolvieren im ersten Monat eine Grundschulung zur Informationssicherheit und danach jährliche Auffrischungen inklusive Phishing-Simulationen; die Kenntnisnahme unserer Sicherheitsrichtlinien wird jährlich nachweislich bestätigt.

8. Lieferanten und Unterauftragsverarbeiter

Dienstleister und Unterauftragsverarbeiter werden vor Beauftragung risikobasiert geprüft (u. a. anhand von ISO-27001-Zertifikaten bzw. SOC-2-Berichten), in einem Lieferantenverzeichnis geführt und mindestens jährlich überprüft. Mit allen Unterauftragsverarbeitern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; für Lieferanten mit mittlerem oder hohem Risiko sind vertragliche Meldepflichten bei Sicherheitsvorfällen vereinbart.

9. Umgang mit Sicherheitsvorfällen

Wir betreiben einen dokumentierten Incident-Response-Prozess mit definierten Schweregraden, Verantwortlichkeiten und einem operativen Runbook. Vorfälle können jederzeit an security@allaboutapps.at gemeldet werden. Betroffene Kund:innen informieren wir binnen 24 Stunden über sicherheitsrelevante Vorfälle mit Bezug zu ihren Systemen; meldepflichtige Datenschutzverletzungen melden wir gemäß Art. 33 DSGVO binnen 72 Stunden an die Aufsichtsbehörde. Jeder Vorfall wird mit einer Ursachenanalyse aufgearbeitet, deren Ergebnisse in die kontinuierliche Verbesserung einfließen.

10. Business Continuity und Disaster Recovery

Alle Kundendaten werden täglich gesichert (verschlüsselte Backups nach dem Generationenprinzip); das Wiederherstellungsziel für Daten (RPO) beträgt maximal 24 Stunden, Wiederherstellungszeiten richten sich nach den vertraglichen SLAs. Da unsere gesamte Infrastruktur als Code provisioniert wird, sind Systeme auch nach einem Totalausfall reproduzierbar wiederherstellbar. Wiederherstellungsverfahren und Notfallpläne werden mindestens jährlich getestet (Restore-Tests und Notfallübungen). Unsere Organisation ist vollständig remote-arbeitsfähig – der Ausfall des Bürostandorts beeinträchtigt den Betrieb der Kundensysteme nicht.

11. Datenaufbewahrung und Löschung

Wir verarbeiten Kundendaten ausschließlich im vertraglich vereinbarten Umfang. Bei Vertragsende bieten wir einen Export der Daten an; anschließend werden sie gelöscht. Backups laufen nach dem Rotationsprinzip automatisch aus (spätestens nach 12 Monaten); auf Verlangen erfolgt eine gezielte Löschung. Betroffenenrechte nach der DSGVO (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) werden in den von uns entwickelten und betriebenen Systemen unterstützt.

12. Mitwirkung unserer Kund:innen

Sicherheit ist geteilte Verantwortung. Wir bitten unsere Kund:innen, in den von uns bereitgestellten Systemen starke Authentifizierung zu verwenden, Benutzer:innen und Rollen im eigenen Verantwortungsbereich aktuell zu halten, Zugangsdaten vertraulich zu behandeln und uns aktuelle Kontaktdaten für Sicherheitsmeldungen zu nennen.

13. Schwachstellen melden

Wir freuen uns über Hinweise von Sicherheitsforscher:innen und Nutzer:innen. Vermutete Schwachstellen in unseren Systemen können an security@allaboutapps.at gemeldet werden. Wir behandeln Meldungen vertraulich, bestätigen den Eingang zeitnah und halten die meldende Person über die Behebung auf dem Laufenden.

14. Informationssicherheitsrichtlinie

Informationssicherheit ist für aaa – all about apps GmbH („das Unternehmen") ein zentraler Bestandteil der Zusammenarbeit mit Kunden, Partnern und Mitarbeitenden. Das Unternehmen betreibt ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 und verpflichtet sich zu den folgenden Grundsätzen:

‍

Schutz von Informationen und IT-Assets. Das Unternehmen schützt seine Informations- und IT-Assets – einschließlich Computer, mobiler Geräte, Netzwerkausrüstung, Software und sensibler Daten – vor internen, externen, vorsätzlichen und versehentlichen Bedrohungen und minimiert Risiken durch Diebstahl, Verlust, Missbrauch oder Beschädigung.

‍

Vertraulichkeit. Informationen werden vor der Offenlegung gegenüber Unbefugten geschützt. Der Zugriff auf Informationen wird nach den Prinzipien „Need-to-know" und „Least Privilege" vergeben, streng kontrolliert und regelmäßig überprüft.

Integrität. Informationen werden vor unbefugter Veränderung geschützt.

‍

Verfügbarkeit. Autorisierte Parteien können bei Bedarf auf die für Geschäftsprozesse erforderlichen Informationen zugreifen. Pläne zur Aufrechterhaltung des Geschäftsbetriebs werden entwickelt, gepflegt und getestet.

‍

Rechtskonformität. Das Unternehmen erfüllt die anwendbaren gesetzlichen, behördlichen und vertraglichen Anforderungen – insbesondere die DSGVO und das österreichische Datenschutzgesetz – und strebt an, diese wo möglich zu übertreffen.

‍

Kontinuierliche Verbesserung. Das ISMS wird durch Korrekturmaßnahmen, interne Audits und Managementbewertungen laufend verbessert.

‍

Sicherheitsbewusstsein. Alle Mitarbeitenden absolvieren regelmäßige Schulungen zur Informationssicherheit. Sicherheitsverantwortung ist Teil der Unternehmenskultur.

‍

Verantwortung und Meldung. Ein benannter Leiter des Informationssicherheitsmanagements steuert und beaufsichtigt das Sicherheitsprogramm. Tatsächliche oder vermutete Sicherheitsvorfälle können jederzeit an security@allaboutapps.at gemeldet werden. Personen, die in gutem Glauben ein Sicherheitsproblem melden, haben dadurch keine Nachteile zu befürchten.

Kontakt

Fragen zur Informationssicherheit, Anfragen zu Sicherheitsunterlagen (z. B. TOMs) sowie Vorfalls- und Schwachstellenmeldungen: security@allaboutapps.at

‍

‍

‍