MARMIND-Cloud-Sicherheit
Cloud-Sicherheit & Datenschutz
Der Schutz personen- und unternehmensbezogener Daten von Nutzern in MARMIND ist für die MARMIND GmbH als Anbieter und Betreiber der MARMIND-Cloud-Software ein zentrales Anliegen. Die MARMIND GmbH bietet MARMIND daher über die Cloud-Infrastruktur von Microsoft Azure mit höchsten Sicherheitsstandards an. MARMIND GmbH unternimmt alle technisch möglichen Schutzmaßnahmen gegen einen unbefugten Zugriff sowohl auf personenbezogene Daten der Nutzer in MARMIND als auch auf die im Rahmen der Nutzung von MARMIND eingegeben und verwalteten Daten je Account. Der Schutz umfasst Maßnahmen zu Verhinderung des Zugriffs, Kopierens, Änderns, Löschens, der Wiederverwendung, Verbreitung, Übertragung, Manipulation oder Offenlegung von Daten durch unbefugte Dritte.Datensicherheit
Wie wird der Zugriff auf Daten generell geschützt?
- Die MARMIND-Software nutzt HTTPS-verschlüsselte Datenübertragung zu jedem Zeitpunkt.
- Microsoft Azure als Cloud-Plattform für MARMIND garantiert aktuellste Sicherheitsstandards (Firewalls, Verschlüsselungsmethoden, etc.) um unautorisierten Zugriff, Verwendung, Verbreitung, Manipulation, Vervielfältigung, Veränderung oder Entfernung von Daten zu verhindern. Mehr erfahren.
- Zum Schutz vor Onlinebedrohungen nutzt die MARMIND GmbH die von Microsoft Azure bereitgestellte Antischadsoftware für Cloud-Dienste. Außerdem wendet Azure Angriffserkennung, Verhinderung von DDoS-Angriffen (Denial-of-Service), regelmäßige Penetrationstests und Datenanalyse sowie Machine-Learning-Tools an, um die Abwehr von Gefahren für die Azure-Plattform zu unterstützen.
- Microsoft Azure erfüllt im Rahmen seiner Verpflichtung zum Schutz der Kundendaten die weltweit ersten Standards für Datenschutz in der Cloud, ISO/IEC 27001 und ISO/IEC 27018.
- Die Datensicherheit wird durch Microsoft sichergestellt; die IT-Mitarbeiter der MARMIND GmbH sind Microsoft-zertifiziert.
Wie wird der Zugriff auf die Backend-Systeme geschützt?
Zugriff auf die Microsoft-Azure-Cloud-Infrastruktur haben ausschließlich Mitarbeiter von UPPER Network (keine Drittanbieter oder externe Nutzer, auch nicht Microsoft).- Die MARMIND-Software selbst bietet keine Administratorrollen, die einen Zugriff auf die MARMIND-Backend-Systeme (Cloud-Infrastruktur, Services, Datenbanken) ermöglicht.
- Zugriffe (Login-Events) auf die Azure-Infrastruktur werden per Monitoring überwacht und Reports der Zugriffe können jederzeit erstellt werden.
- Weitere Informationen über den sicheren Zugriff auf die Microsoft Azure Datacenter finden Sie hier.
Welche Methoden oder Tools werden für das System-Monitoring eingesetzt?
- Für das Monitoring der Cloud-Infrastruktur, Server und Datenbanken wird das Azure Monitoring über das Management User Interface genutzt.
- Zusätzlich wird Nagios Monitoring für ein detailliertes Monitoring der Serveraktivitäten genutzt.
- Darüber hinaus wurde ein applikationsspezifisches Monitoring und Logging für die MARMIND Cloud Services, Zugriffe über die API-Schnittstellen, Error-Handling, User-Aktivitäten, Performance und weiter wichtige System-KPIs entwickelt.
- Für die MARMIND-Applikation werden automatisch Logfiles mit wichtigen und für eine eventuelle Fehlersuche relevanten Informationen generiert (Vorgänge, Ereignisse, Ausnahmen, Errors, …).
- Bei zu untersuchenden Vorfällen können die Genauigkeit und der Umfang der protokollierten Daten variiert werden, um eine Fehlersuche zu erleichtern (nur durch IT-Personal der MARMIND GmbH ).
Ist es als Kunde möglich auf die Logfiles zuzugreifen?
- Diese Logfiles werden im geschützten Bereich der Azure-Infrastruktur erstellt und abgelegt.
- Ein Zugriff auf Logfiles durch unautorisierte, externe Personen ist ausgeschlossen.
- Die MARMIND-Applikation bietet auch keine optionale Administratorenrolle, die für den temporären Zugriff auf Backend- oder Monitoring-Daten von MARMIND freigeschaltet werden könnte.
- Bei Bedarf und in Absprache mit der MARMIND GmbH können Logfiles generiert und Kunden zur Verfügung gestellt werden.
Nutzen die Server öffentliche Schlüssel?
Alle von der MARMIND GmbH genutzten Webserver nutzen ausschließlich SSL-Zertifikate, die von Trusted Certification Authorities ausgestellt wurden.Welche Methoden kommen zur Verbesserung der Datensicherheit zum Einsatz?
- Microsoft führt regelmäßige „Penetration Testings“ durch, um die Azure Security Controls und Prozesse zu verbessern.
- Der Zugriff durch Nutzer sowie IT-Personal der MARMIND GmbH erfolgt stets verschlüsselt (HTTPS oder VPN).
- Auf allen Azure-Systemen, die für den Betrieb und die Bereitstellung von MARMIND genutzt werden, sind lokale Firewalls aktiviert.
- Inaktive Nutzer-Sessions werden automatisch nach gewisser Zeit unterbrochen.
- Die Dokumentation zur Azure-Sicherheit finden Sie hier.
Wie wird die Sicherheit der Cloud-Infrastruktur zukünftig gewährleistet?
- Microsoft als Betreiber der Azure Cloud verbessert kontinuierlich die Sicherheitsstandards. Mehr erfahren.
- Microsoft erweitert stetig die Anzahl der Compliance-Zertifizierungen.
Speicherung der Daten
Wo werden die Daten gespeichert?
- Die Speicherung der MARMIND-Daten und -Backups erfolgt auf mehreren, physisch voneinander getrennten, sicheren Microsoft-Azure-Räumlichkeiten nur innerhalb Deutschlands (Backup-Daten werden verschlüsselt gespeichert).
- Live-Daten sowie Backup-Daten (Nutzer- und Account-bezogenen Daten) der MARMIND-Nutzer werden in Microsoft Azure Datacenter innerhalb Deutschlands gespeichert.
Wie werden die Daten gespeichert und gesichert?
- Die Speicherung der Backup-Daten erfolgt mithilfe exklusiver Server Encryption Keys auf einer sicheren Azure-Datacenter-Infrastruktur.
- Alle Daten-Backups werden verschlüsselt und in separaten Standorten abgelegt.
- Weiterführende Informationen zur Azure-Sicherheit
Wem gehören die Daten in der Cloud?
- Durch Microsoft Azure wird garantiert, dass alle in der Cloud gespeicherten Daten von MARMIND ausschließlich unter Kontrolle der MARMIND GmbH bleiben. Dies gilt für alle Daten; auch für Text-, Ton-, Video- oder Bilddateien sowie Software, die Microsoft von MARMIND-Kunden im Rahmen der Nutzung von Azure erhält.
- Weder Microsoft noch die MARMIND GmbH verwendet Nutzer- bzw. Kundendaten, die in MARMIND eingegeben und verwaltet werden zu Werbezwecken oder zum Data Mining, noch werden zu diesem Zweck Informationen ohne die Zustimmung des Kunden daraus abgeleitet.
Zugriff auf Daten
Wer hat Zugriff auf die Daten in der Cloud?
- Auf die personen- und Account-bezogenen Daten: Die jeweils autorisierten Nutzer des Kunden.
- Auf die Backend-Systeme: Nur autorisierte IT-Mitarbeiter der MARMIND GmbH.
- Der Zugriff auf Kundendaten durch Drittanbieter oder Partnerunternehmen ohne Zustimmung des Kunden ist ausgeschlossen.
- Microsoft-Techniker haben ohne ausdrückliche Genehmigung der MARMIND GmbH keinen Zugriff auf MARMIND-Nutzerdaten. Mehr erfahren.
- Persönlichen Daten von Nutzern sind nur jenen Mitarbeitern der MARMIND GmbH zugänglich, die notwendigerweise Einsicht in diese Daten haben müssen, um ihre Tätigkeit ordnungsgemäß ausüben und die MARMIND-Softwaredienste und -produkte bestmöglich anbieten zu können.
- Für Nichtmitglieder der MARMIND-Software sind die Nutzerprofildaten nicht erreichbar.
- Auch wird die MARMIND-Software nicht von externen Suchmaschinen durchsucht, wodurch Nutzerprofile auffindbar wären.
Wie kann von Nutzern auf die Daten in MARMIND zugegriffen werden?
- MARMIND unterstützt die gängigen Webbrowser in der aktuellen Version (IE11+, Chrome, Firefox, Safari) für einen Zugriff per Desktop oder mobilen Endgeräten.
- Die MARMIND-Software nutzt dabei stets eine verschlüsselte Datenübertragung per HTTPS.
- MARMIND bietet zusätzlich eine Mobile App der wichtigsten Funktionen für Google Android und Apple-iOS-Endgeräte.
- Die Sicherheit und Kompatibilität mit Webbrowsern in der aktuellsten Version wird durch laufende Updates von MARMIND sichergestellt.
Wie erfolgt die Authentifizierung von Nutzern?
- Der Zugriff auf MARMIND ist passwortgeschützt.
- Für die Registrierung und Authentifizierung zu MARMIND ist die Vergabe einer E-Mail-Adresse und eines Passworts von min. 8 Zeichen erforderlich (keine automatische Passwortgenerierung).
- Die Authentifizierung von Benutzern erfolgt dabei per OAuth-2.0-Authentifizierung, die eine sichere API-Autorisierung für Desktop-, Web- und Mobile-Anwendungen erlaubt.
- Je nach Benutzerrolle und den damit verbundenen Rechten kann der Zugriff auf die accountbezogenen Daten je MARMIND-Account und pro Benutzer eingeschränkt werden.
- Ein Cross-Domain Identity Management ist aktuell nicht verfügbar.
Können andere Cloud-Nutzer auf meine Daten zugreifen?
- MARMIND bietet keine Administratorrollen für Kunden, um auf übergeordnete (accountfremde) Daten von MARMIND zugreifen zu können.
- MARMIND bietet autorisierten Nutzern jedoch die Möglichkeit, weitere Nutzer in den eigenen Account einzuladen und diesen Zugriff auf kundenbezogene Daten freizugeben.
- Diese Zugriffsrechte können jedoch jederzeit wieder entzogen werden (Nutzer aus der eigenen Benutzerverwaltung entfernen).
Wie werden meine Daten von anderen Kundendaten getrennt?
- MARMIND verwaltet Nutzer- bzw. Kundendaten in Datenbanken und Services innerhalb der geschützten Cloud-Infrastruktur von Microsoft Azure.
- Der unautorisierte Zugriff fremder MARMIND-Nutzer auf die eigenen Nutzer- bzw. Kundendaten ist durch ein mehrstufiges Security-Konzept innerhalb der Applikation ausgeschlossen.
- Der Zugriff auf Kundendaten muss Nutzern innerhalb von MARMIND dezidiert freigegeben werden. Beispiel: Für den Zugriff auf ein Dokument innerhalb eines Marketingprojekts in einem Firmenaccount muss ein neuer Benutzer:
-
- Registrierter Benutzer in MARMIND sein
- In den Firmen-Account („Netzwerk“) eingeladen werden
- Für einen Projekt-Kontext („Team“) freigegeben werden und
- Für den Zugriff („Sichtbarkeit für“) auf das Dokument freigeschaltet werden
- Eine sichere Kommunikation wird durch die Verwendung von Industriestandards (SSL) gewährleistet.
Wie erfolgt die Zugriffsüberwachung auf die Daten?
- Ein Datenzugriffsmanagement der Server, Datenbanken und Services von MARMIND erfolgt per System-Monitoring und Logging der Zugriffe.
- Weitere Informationen zur Security finden Sie hier.
Welche Mitarbeiter der MARMIND GmbH haben Zugriff auf die MARMIND-Systeme?
- Physischen Zugang zu Azure: Keiner
- Zugang zur Azure Backend: IT-Systemadministratoren der MARMIND GmbH
- Zugang zu Azure Services: IT-Systemadministratoren der MARMIND GmbH, MARMIND-Support-Team
- Zugang zu MARMIND: MARMIND-Support-Team
Was passiert nach Beendigung der Vertragslaufzeit mit den Daten?
- Die MARMIND GmbH löscht die nutzer- bzw. kundenspezifischen Daten nach Beendigung der Vertragslaufzeit. Die Daten stehen einer weiteren Verwendung dann nicht mehr zur Verfügung.
- Die Daten können vom Kunden zuvor selbständig gesichert oder bei Bedarf als Kopie angefordert werden.
- Daten, die von Nutzern an Dritte weiterübermittelt wurden, bleiben bestehen, da diese zum Account eines Dritten gehören.
- Microsoft hält sich strikt an internationale Standards und Prozeduren im Falle der Löschung von Daten unter Aufsicht, überschreibt Cloud Storage datensicher vor der Wiederverwendung und führt defekte Hardware mit Kundendaten einer Entsorgung (Zerstörung) unter Aufsicht und Einhaltung höchster Sicherheitsstandards zu. Mehr erfahren.
Was passiert bei behördlichen oder gerichtlichen Anforderungen auf Datenzugriff?
- Wenn eine Regierung Kundendaten anfordert, muss sie den geltenden Rechtsweg einhalten und Microsoft für Inhalte einen Gerichtsbeschluss oder für Kontoinformationen eine Vorladung vorlegen.
- Falls Microsoft zur Offenlegung von Kundendaten verpflichtet ist, werden die MARMIND GmbH und der Kunde sofort darüber informiert und eine Kopie der Anforderung bereitgestellt, wenn dies nicht aufgrund von gesetzlichen Bestimmungen untersagt ist.
- Microsoft legt Kundendaten niemals einer Regierung gegenüber offen, sofern dies nicht vom Kunden angewiesen wird oder vom Gesetz (es gilt deutsches Recht) erforderlich ist.
- Die MARMIND GmbH hält sich in diesem Fall ebenfalls an die gesetzlichen bzw. gerichtlichen Vorgaben.
- Weitere Informationen hierzu finden Sie hier.
Datenverfügbarkeit
Wie wird die Verfügbarkeit von Daten sichergestellt?
- Die Zugriffe sowie die Auslastung der Infrastruktur-Services werden per System-Monitoring stetig auf mehreren Ebenen überwacht und protokolliert (Web Access, System Access, Azure Manage, Database Access).
- Durch die Bereitstellung der Daten über Microsoft Azure wird eine größtmögliche Verfügbarkeit der Daten und Ausfallsicherheit der Systeme gewährleistet.
Wodurch wird ein genereller Datenverlust verhindert?
- Azure verwendet hochverfügbares Storage
- Laufendes Backup der Daten
- Tägliches Backup der Datenbanken
- Laufende System-Backups
Datenaustausch
Wie erfolgt ein Datenaustausch mit externen Systemen?
- Ein Datenaustausch mit angebundenen externen Systemen (z.B. MailChimp©-E-Mail-Marketing-Tool) erfolgt über eine RESTful-API-Schnittelle, über die auch Daten zum Web-Browser-Client bzw. Mobile-Client ausgetauscht werden.
Wie wird ein sicherer Datenaustausch sichergestellt?
- Jede Kommunikation, die von MARMIND genutzt wird, erfolgt mit HTTPS-Verschlüsselung.
Data-Security-Plan
Gibt es einen Data-Security-Plan?
- Die MARMIND GmbH verfolgt einen kontinuierlichen Information-Security-Plan mit definierten Security–Regeln und -Prozeduren, um die Sicherheit der Daten und Systeme zu gewährleisten.
- Die grundsätzliche Datensicherheit der Azure Cloud Infrastruktur wird durch Microsoft gewährleistet. Mehr erfahren.
- Die IT-Mitarbeiter der MARMIND GmbH sind Microsoft-zertifiziert.
- MARMIND wird durch die MARMIND GmbH laufend auf mögliche unautorisierte Angriffsszenarien getestet (z.B. Cross Site Scripting, etc.), die Security der Azure Plattform wird laufend von Microsoft geprüft und sichergestellt.
Wie sieht der Softwareentwicklungsprozess generell aus?
- MARMIND wird von der MARMIND GmbH stetig weiterentwickelt und laufend aktualisiert.
- Die Entwicklung erfolgt nach agilen Softwareentwicklungsmethoden nach SCRUM und Kanban inkl. kontinuierlicher Unit- und Integrationstests.
- Das Software Development Lifecycle Management der MARMIND GmbH sieht hierfür einen agilen Change-Management-Prozess inkl. Qualitätssicherung und mehrstufigen QA-Phasen vor.
- Erweiterungen werden auf Testsystemen vor dem Live-Release nach hohen QA-Standards getestet und müssen den Anforderungen des MARMIND-Security-Architektur-Konzepts entsprechen.
- Releases neuer Funktionen erfolgen nach SPRINT-Iterationen inkl. Security- und Qualitätsmanagement.
- Eventuelle Major Bugs oder Blocker werden unabhängig von der Entwicklungsplanung sofort behandelt und gelöst (Separate Emergency Lane).
- Unit Tests und Integration Tests werden kontinuierlich durchgeführt und um periodische Tests ergänzt.
- Die MARMIND GmbH stellt damit sicher, dass Fehler minimiert und mögliche Security-Lücken durch Erweiterungen ausgeschlossen werden.
- Notwendige Sicherheitsupdates der Systeme (Server, Datenbanken) und der Applikation (Services) werden von der MARMIND GmbH unmittelbar und unabhängig von der eigentlichen Weiterentwicklung der Software durchgeführt.
Wie werden eventuelle Security-Vorfälle entdeckt und dokumentiert?
- Zugriffe auf die Applikation sowie die Azure-Infrastruktur und -Services werden per Monitoring überwacht.
- Unautorisierte Zugriffe werden auf verschiedenen Ebenen überwacht und dokumentiert (Web Access, System Access, Azure Manage, Database Access).
- Alle Kunden werden über Vorfälle sowie Störungen des Systems unmittelbar informiert.
Was würde bei einem Security-Vorfall geschehen?
- Der Zugriff auf die MARMIND- bzw. Azure-Cloud-Infrastruktur wird im Falle des unbefugten Zugriffs unterbrochen.
- Daten werden gesichert bzw. im Falle eines Datenverlustes aus Backup-Daten der letztgültige Stand der Daten wiederhergestellt.
- Alle Kunden werden über Vorfälle sowie Störungen des Systems unmittelbar informiert.
Erfolgen standardisierte Security Audits und Assessments?
- Da die komplette MARMIND-Lösung auf der Microsoft-Azure-Cloud-Infrastruktur betrieben wird, erfolgen laufende Security Audits durch Microsoft und externe von Microsoft beauftragte Auditoren.
- Eine Übersicht der von Azure erfüllten Compliance-Zertifizierungen sehen Sie auch hier.
Ist es auch als Kunde möglich ein Security Audit zu initiieren?
- Ja, aber bitte beachten Sie, dass Tests dieser Art (z.B. Penetration Testing oder Scanning) auf die von uns genutzten Azure-Systeme anzuwenden wären und dies vorab die Absprache und Autorisierung durch Microsoft voraussetzt.
Was kann ich als Nutzer tun, wenn ich ein Sicherheitsproblem oder einen unbefugten Zugriff auf meine Daten vermute?
- Wenn Sie den Verdacht auf unbefugten Zugang zu Ihrem Account vermuten, wenden Sie sich bitte umgehend an info@marmindstg.wpenginepowered.com und schildern Sie uns den Fall.
- Je besser dokumentiert Vorfälle an unsere Supportmitarbeiter gesendet werden, umso schneller und präziser können wir handeln und den Fall bearbeiten und lösen.
- Wenn Sie Informationen über die von Ihnen in MARMIND gespeicherten Daten haben möchten, wenden Sie sich bitte ebenfalls an unsere Supportmitarbeiter.
- Sollten Sie Fragen bezüglich der Erhebung, Verarbeitung und Nutzung Ihrer personenbezogenen Daten durch die MARMIND GmbH oder sonstige Anfragen oder Hinweise in Bezug auf die allgemeine Datenschutzerklärung haben, wenden Sie sich bitte ebenfalls an uns.
- Hier finden Sie unsere allgemeinen Datenschutzbestimmungen in aktueller Version.
- Die MARMIND GmbH behält sich das Recht vor, diese Datenschutzbestimmungen jederzeit mit Wirkung für die Zukunft zu ändern.
Rechtliche Verantwortung
Wer ist die verantwortliche Stelle im Sinne des Datenschutzgesetzes?
- Für die Sicherheit der auf MARMIND verwalteten Daten zeichnet die MARMIND GmbH, Seering 5, 8141 Premstätten, Österreich verantwortlich.
- Die MARMIND GmbH als Anbieter und Betreiber der MARMIND-Software unternimmt daher größtmögliche Anstrengungen, um Kundendaten vor unbefugtem Zugriff, Verlust, Missbrauch, oder Zerstörung zu schützen.
- Die MARMIND GmbH übernimmt jedoch keine Verantwortung für die von Nutzern selbst Dritten zugänglich gemachten Informationen, sei es durch Einladung externer Personen als neue Nutzer in den eigenen Account oder das Teilen von Informationen mit externen Personen (z.B. Senden von Daten via E-Mail an Dritte, Veröffentlichen von Dokumenten oder anderer Media Assets durch die „Teilen-Funktion“, etc.).
