Security by Design

Trust Center: Wie wir Website und Kundenportal schützen

Als Cyber-Security-Unternehmen messen wir uns an denselben Standards, die wir bei unseren Kunden umsetzen. Hier zeigen wir offen, wie wir Ihre Daten schützen.

Security by Design

Sicherheit ist Teil der Architektur, nicht nachträglich angebaut: minimale Angriffsfläche, sichere Voreinstellungen, Defense in Depth.

OWASP als Massstab

Website und Kundenportal entwickeln und prüfen wir nach OWASP Top 10 und dem Application Security Verification Standard (ASVS).

Starke Anmeldung

Kundenportal nur mit Multi-Faktor-Authentifizierung oder Microsoft-Konto (OIDC), mit Sitzungs-Timeout und Audit-Log.

Hosting in der Schweiz

GRC-Plattform und Kundendaten liegen in einem ISO-27001-zertifizierten Rechenzentrum in der Schweiz.

Datenschutz

Bearbeitung nach revDSG und DSGVO. Keine Kundendaten für das Training öffentlicher AI-Modelle.

Verschlüsselung

TLS für jede Verbindung, HSTS, verschlüsselte Speicherung und Backups.

OWASP Top 10

Unsere Massnahmen pro Risiko

A01 Broken Access ControlRollenbasierte Rechte im Portal, serverseitige Prüfung jeder Anfrage, keine Benutzerauflistung über die Website.

A02 Cryptographic FailuresTLS 1.2+ mit HSTS, sichere Cookies (Secure, HttpOnly, SameSite), Verschlüsselung ruhender Daten.

A03 InjectionAusgaben werden kodiert, keine ungeprüften Eingaben im DOM, Content-Security-Policy ohne Inline-Skripte.

A04 Insecure DesignThreat Modeling für Portal und Formulare, Rate Limiting, einmalige und ablaufende Einladungscodes.

A05 Security MisconfigurationGehärtete Security-Header, keine Fehlermeldungen mit Systempfaden, keine Versionsangaben, minimale Plugins.

A06 Vulnerable ComponentsInventar aller Komponenten, automatische Updates, Prüfung neuer Schwachstellen.

A07 Identification & AuthenticationMFA-Pflicht, Passkeys und SSO, Schutz gegen Credential Stuffing, keine Hinweise, ob ein Konto existiert.

A08 Software & Data IntegrityFeste Versionen externer Bibliotheken, kontrollierte Deployments, signierte Updates.

A09 Logging & MonitoringAudit-Log im Portal, zentrale Protokollierung und Alarmierung über unser Security Monitoring.

A10 SSRFKeine serverseitigen Abrufe von Benutzer-URLs, Egress-Filter auf den Servern.

Responsible Disclosure

Schwachstelle gefunden?

Melden Sie uns Sicherheitslücken vertraulich an [email protected]. Wir bestätigen den Eingang innert zwei Arbeitstagen und halten Sie über die Behebung auf dem Laufenden. Bitte testen Sie nur so weit, wie es für den Nachweis nötig ist, und greifen Sie nicht auf fremde Daten zu.

Maschinenlesbare Angaben finden Sie in unserer security.txt nach RFC 9116.

Für Kunden

Ihre Daten im Kundenportal

Das Kundenportal läuft als eigene Anwendung, getrennt von der Website. Zugang nur mit Einladung, Multi-Faktor-Authentifizierung oder Microsoft-Konto. Jede Aktion wird protokolliert, Sie sehen die Anmeldungen Ihrer Organisation im Portal.