Sicherheit

01Sicherheitsverständnis

CENVIO verarbeitet Daten, die den physischen Betrieb eines Unternehmens abbilden: Flächen, Zutritte, Anlagen, Verträge. Ein unbefugter Zugriff wäre kein Datenschutzvorfall auf dem Papier, sondern ein Sicherheitsrisiko im Gebäude. Entsprechend behandeln wir Zugriffskontrolle und Protokollierung als Kernfunktion, nicht als Zusatz.

02Betrieb und Hosting

STANDORT

Rechenzentren in Deutschland

VERSCHLÜSSELUNG

TLS 1.2 und 1.3 im Transport (ältere Protokolle abgeschaltet, HSTS), AES-256 im Speicher

MANDANTENTRENNUNG

Logische Trennung je Kunde, getrennte Schlüssel

SICHERUNG

Tägliche Sicherung, geprüfte Wiederherstellung

VERFÜGBARKEIT

SLA 99,5 % im Enterprise-Plan

03Zugriff und Identität

• Rollenbasierte Rechte bis auf Objektebene — Fläche, Anlage, Vorgang
• Single Sign-on über SAML oder OIDC, Nutzerbereitstellung per SCIM
• Zwei-Faktor-Authentisierung erzwingbar je Mandant
• Zeitlich begrenzte Zugriffe für externe Dienstleister

04Protokollierung und Nachvollziehbarkeit

Jede Änderung, Freigabe und Agenten-Empfehlung wird unveränderbar protokolliert: Datenlage, angewandte Regel, Ergebnis, freigebende Person, Zeitstempel. Das Protokoll ist exportierbar und im Audit verwendbar. Kein Modell entscheidet ohne menschliche Freigabe.

05Sicherheit der KI-Verarbeitung

• Analysen laufen ausschließlich auf den Daten des jeweiligen Mandanten
• Keine Nutzung Ihrer Daten zum Training allgemein verfügbarer Modelle
• Jede Ausgabe mit Quellenangabe und Konfidenzwert
• Empfehlungen ohne Ausführungsrecht — Umsetzung erst nach Freigabe

06Sichere Entwicklung

• Vier-Augen-Prinzip bei Änderungen am Produktivsystem
• Automatisierte Abhängigkeits- und Schwachstellenprüfung im Build
• Getrennte Umgebungen für Entwicklung, Test und Produktion
• Keine Produktivdaten in Test- und Entwicklungsumgebungen

07Organisatorische Maßnahmen

RAHMENWERK

Informationssicherheit nach ISO 27001 ausgerichtet

SCHULUNG

Verpflichtende Sicherheitsschulung aller Mitarbeitenden

DIENSTLEISTER

Prüfung und vertragliche Bindung vor Einsatz

NOTFALL

Dokumentierter Prozess für Vorfälle und Wiederanlauf

08Umgang mit Sicherheitsvorfällen

Bei einem Vorfall informieren wir betroffene Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit Beschreibung, Auswirkung und Gegenmaßnahmen. Meldepflichten nach Art. 33 DSGVO erfüllen wir fristgerecht.

09Schwachstellen melden

Wenn Sie eine Schwachstelle entdecken, melden Sie diese bitte an security@cenvio.de. Wir bestätigen den Eingang innerhalb von zwei Werktagen und halten Sie über die Behebung auf dem Laufenden. Bitte veröffentlichen Sie Details erst nach Abstimmung mit uns.