TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN (TOM) UND KONTINUITÄT

Sicherheits-Governance umfasst Verantwortlichen, Asset-/Datenflussinventar, Klassifizierung, Risikoregister, Richtlinien, Prüfungen und befristete Ausnahmen. Pflichten werden DSGVO, Verträgen und ggf. Gesetz Nr. 264/2025 zugeordnet; Cloudflare-Nutzung allein beweist keinen Compliance-Status.

Identity-first: eindeutige Konten, MFA für privilegierte Rollen, Minimalrechte, Trennung von Owner/CTO/CFO/COO und Delegierten, Mandanten-/Projektumfang, Owner-Freigabe, Rechteprüfung und sofortiger Entzug. Privilegierte Aktionen werden protokolliert; kritische Änderungen nutzen ggf. Vier-Augen-Prinzip.

Übertragung nutzt modernes TLS; verwaltetes D1/R2 soll anbieterseitig ruhend verschlüsselt sein. Geheimnisse liegen nicht in Quellcode oder Browser, sondern in verwalteten Secrets mit Rotation. Schlüssel, Algorithmen, Jurisdiktion und Reichweite werden vor Kundenaussagen durch aktuelle Konfiguration/Dokumentation belegt.

Anwendungen erzwingen serverseitige Autorisierung, Mandantentrennung, Eingabeprüfung, Datei-Größen/-Typgrenzen, sichere Pfade, Download-/Löschrechte, Schutz gegen CSRF/XSS/Injection/SSRF und Fail-Closed bei kritischen Diensten. Uploads haben Prüfsumme, Typprüfung, risikobasierten Malware-Scan/Quarantäne und Auditereignis.

Die Entwicklung nutzt Änderungssteuerung, Reviews, automatisierte Tests, Abhängigkeits- und Geheimnisscans, Umgebungstrennung, minimalen Produktivzugriff und Rückfallversionen. Schwachstellen werden risikobasiert nach intern genehmigten Behebungszielen behandelt. Externe Penetrationstests oder Zertifizierungen werden nur genannt, wenn sie tatsächlich erfolgt und belegbar sind.

Logs erfassen Authentifizierung, Rollen, sensible Lese-/Downloadvorgänge, Upload, Löschung, Export, Einladungen, Implementierungsübergabe, Einstellungen und Adminaktionen. Inhalte/Personendaten werden minimiert; Logs sind manipulationsgeschützt, zeitsynchron, rollenbeschränkt, befristet und alarmiert. Monitoring/Sentinels speichern keine Kundendokumentinhalte.

Sicherungen sind getrennt, zugriffsbeschränkt, verschlüsselt, überwacht und werden je Leistungsumfang regelmäßig durch Wiederherstellung getestet. Verbindliche RPO/RTO stehen in Bestellung oder SLA; ohne Vereinbarung wird keine bestimmte Wiederherstellungszeit öffentlich garantiert. Eine Sicherung allein beweist ohne Test und Verantwortlichen keine Wiederherstellbarkeit.

Incident Response umfasst Klassifizierung, 24/7-Eingang kritischer Alarme, Rollen, Eskalation, Beweissicherung, Eindämmung, Wiederherstellung, Rechtsprüfung, Kommunikation und Nachbereitung. Jeder Produktionsvorfall hat Zeitlinie und Eigentümer. Sicherheitskontakt ist info@houseid.cz bis zur Veröffentlichung eines Spezialkanals.

Kontinuität definiert kritische Dienste, Abhängigkeiten, manuelle Ersatzwege, Kommunikation, Wiederherstellungsfolge und Szenariotests. Schlüsselwege: Lead/E-Mail, Einladung, Login, Sales-Fall, Implementierungsübergabe, Upload/Download/Löschung/Export, Benachrichtigung, Berater und Audit-PDF. Sentinels nutzen synthetische Daten und eskalieren Ausfälle.

Anbieter werden vor Einsatz auf Sicherheit, Datenschutz, Ort, Übermittlungen, Kontinuität, Unterauftrag, Audit und Exit geprüft. Verträge regeln Vertraulichkeit, Vorfälle, Rückgabe/Löschung, Audit und Übermittlungen. Zugriff endet beim Exit. Rechtsperson, AVV, Zertifikate und Unterauftrag werden jährlich geprüft.