Vertrauen entsteht durch Kontrolle — nicht durch Versprechen.

Ein benannter Informationssicherheitsbeauftragter verantwortet Aufbau, Betrieb und Weiterentwicklung unseres ISMS. Ein Sicherheitsgremium aus Geschäftsführung, IT-Betrieb und Datenschutzbeauftragtem stimmt sich regelmäßig zu Maßnahmen, Risiken und Vorfällen ab.

Risiken für die Informationssicherheit werden in einem strukturierten, wiederholbaren Verfahren erfasst, bewertet und behandelt. Das Risikoregister wird mindestens jährlich sowie anlassbezogen überprüft; die Geschäftsführung entscheidet über die Behandlung verbleibender Risiken.

Berechtigungen folgen dem Minimalprinzip und dem Need-to-know-Grundsatz. Für Fernzugriffe, privilegierte Konten und den Zugriff auf Fall- und Aktendaten gilt eine verpflichtende Zwei-Faktor-Authentifizierung; vergebene Berechtigungen werden regelmäßig überprüft und bei Bedarf entzogen.

Eingesetzte Systeme und Komponenten werden regelmäßig auf Schwachstellen geprüft; sicherheitsrelevante Aktualisierungen werden risikobasiert und fristgebunden eingespielt. Herstellerwarnungen und einschlägige Sicherheitsmeldungen werden fortlaufend beobachtet.

Für Sicherheitsvorfälle besteht ein dokumentierter Meldeweg unter Einbindung des externen Datenschutzbeauftragten – mit der nötigen Beratung, um datenschutzrechtliche Meldepflichten fristgerecht zu erfüllen.

Produktive Daten werden täglich gesichert und geografisch getrennt aufbewahrt. Die Wiederherstellbarkeit wird regelmäßig tatsächlich getestet, nicht nur angenommen – Teil eines dokumentierten Notfall- und Wiederanlaufkonzepts.

Alle Mitarbeitenden sind zur Vertraulichkeit verpflichtet und durchlaufen wiederkehrende Schulungen zu Informationssicherheit und Datenschutz mit Erfolgskontrolle. Dienstleister werden vor Beauftragung sicherheits- und datenschutzrechtlich geprüft und vertraglich gebunden.

Geschenke, Einladungen und Interessenkonflikte oberhalb klar definierter Bagatellgrenzen werden offengelegt statt verschwiegen; gegenüber Amtsträgern gelten verschärfte Maßstäbe. Geschäftsentscheidungen werden ausschließlich nach sachlichen Kriterien getroffen.

Für Verstöße gegen unsere Anti-Korruptions- und Verhaltensrichtlinie sowie für Diskriminierung, Belästigung oder Mobbing besteht ein dediziertes Meldepostfach mit anonymer Online-Meldemöglichkeit. Meldungen werden vertraulich untersucht; Vergeltungsmaßnahmen gegen meldende Personen sind untersagt.

Wir richten unsere Sorgfaltspflichten freiwillig an den Wertungen des Lieferkettensorgfaltspflichtengesetzes (LkSG) aus, auch unterhalb der gesetzlichen Anwendungsschwelle. Grundlage sind die international anerkannten Menschenrechte, die ILO-Kernarbeitsnormen und die UN-Leitprinzipien für Wirtschaft und Menschenrechte. In den letzten fünf Jahren wurden keine Verstöße festgestellt.

Neue Lieferanten, Geschäftspartner und Auftraggeber werden vor Vertragsschluss gegen die konsolidierten EU- und UN-Sanktionslisten geprüft – auch bei Infrastruktur- und Cloud-Dienstleistern. Kritische Geschäftsbeziehungen werden regelmäßig erneut geprüft, weil sich Sanktionslisten ändern.

Als reines Software- und Dienstleistungsunternehmen ohne eigene Fertigung halten wir unseren ökologischen Fußabdruck gering. Von unseren Lieferanten und Geschäftspartnern erwarten wir vergleichbare Standards zu Menschenrechten, Arbeitsbedingungen und Umweltschutz.