Sicherheit bei Replug

Replug setzt umfassende organisatorische und technische Maßnahmen um, im Folgenden „Sicherheitspraktiken“ genannt, um die von Ihnen bereitgestellten Informationen, die sogenannten „Kundeninformationen“ (einschließlich, aber nicht beschränkt auf Original-URLs, gekürzte Links, Tracking-Daten, Analysen, Zugangsdaten zum Konto sowie alle zugehörigen Metadaten oder Inhalte wie CTAs), zu schützen. Diese Maßnahmen sollen Verlust, Missbrauch, unbefugten Zugriff oder die Offenlegung Ihrer Daten verhindern. Die Wirksamkeit dieser Sicherheitsmaßnahmen wird fortlaufend bewertet. Dabei werden die Sensibilität der von uns erhobenen, verarbeiteten und gespeicherten Daten, der sich wandelnde Stand der Technik, die Implementierungskosten sowie Art, Umfang, Kontext und konkrete Zwecke der von Replug durchgeführten Datenverarbeitung berücksichtigt.

In diesem Zusammenhang umfasst der Begriff „Replug-Dienste“ alle von Replug angebotenen Dienste, wie in den Bedingungen der Vereinbarung beschrieben, die Ihre Nutzung der Replug-Dienste regelt. Alle in diesem Dokument zu den Sicherheitspraktiken nicht definierten Begriffe haben die in der Vereinbarung festgelegte Bedeutung.

Die Sicherheitspraktiken von Replug sind darauf ausgelegt, die geltenden Datenschutzgesetze einzuhalten, darunter die EU-Datenschutz-Grundverordnung (DSGVO), den California Consumer Privacy Act (CCPA/CPRA) und weitere internationale Regelwerke.

Replug hat eine verantwortliche Person für Sicherheit und/oder ein eigenes Sicherheitsteam benannt. Diese Funktion ist mit der Entwicklung, Umsetzung und laufenden Pflege der Sicherheitspraktiken von Replug betraut.

Alle Mitarbeitenden und vertraglich gebundenen Personen von Replug sind verpflichtet, die internen Richtlinien zum vertraulichen Umgang mit Kundeninformationen strikt einzuhalten.

• Sie erhalten beim Onboarding eine auf ihre Rolle zugeschnittene Sicherheits- und Datenschutzschulung und nehmen regelmäßig (z. B. jährlich) an Auffrischungsschulungen teil.
• Alle Mitarbeitenden müssen die Richtlinien zur Informationssicherheit anerkennen und ihnen zustimmen. Diese betonen die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste, die zur Erbringung der Replug-Dienste eingesetzt werden.
• Replug setzt strenge Kontrollen ein, um den Zugriff des Personals auf Kundeninformationen zu beschränken, und stellt sicher, dass dieser Zugriff nur nach dem Need-to-know-Prinzip an befugte Personen für legitime betriebliche Zwecke gewährt wird.
• Soweit gesetzlich zulässig und der Sensibilität der Rolle angemessen, führt Replug Überprüfungen vor der Einstellung durch.

Replug unterhält belastbare Richtlinien zur Zugriffskontrolle, die Onboarding, Offboarding und Rollenwechsel abdecken.

• Diese Richtlinien umfassen regelmäßige Überprüfungen der Zugriffsrechte, die Begrenzung und Kontrolle administrativer Berechtigungen sowie Mechanismen zur Minderung von Risiken durch inaktive Sitzungen.
• Wo angemessen, wird eine Funktionstrennung umgesetzt, um Interessenkonflikte und Sicherheitsrisiken zu minimieren.
• Es wird ein Verzeichnis kritischer Systeme und Benutzerkonten mit privilegiertem Zugriff geführt.
• Die Prinzipien „Least Privilege“ (minimale Rechte) und „Need to know“ werden durchgesetzt.
• Es können Kontrollen eingerichtet werden, um gleichzeitige Anmeldesitzungen oder übermäßig viele Anmeldeversuche zu begrenzen.
• Es gelten umfassende Passwortrichtlinien, die eine Mindestkomplexität, eine verpflichtende Änderung bei der ersten Anmeldung oder nach dem Zurücksetzen sowie einen regelmäßigen Wechsel mit Einschränkungen bei der Wiederverwendung vorschreiben.

Der Zugriff auf kritische interne Systeme, die vom Replug-Personal genutzt werden, ist durch Multi-Faktor-Authentifizierung gesichert. Replug stellt MFA auch seinen Kunden zur Verfügung, um die Sicherheit ihrer Konten zu erhöhen.

Replug setzt intern, wo angemessen, Single-Sign-on-Technologie ein, um den Zugriff zu vereinfachen und abzusichern.

• Bei der Übertragung: Replug unterstützt aktuelle sichere Cipher Suites und Protokolle (z. B. TLS 1.2 und TLS 1.3), um alle Kundeninformationen zu verschlüsseln, die an die Replug-Dienste und von ihnen übertragen werden.
• Im Ruhezustand: Sensible Kundeninformationen (wie Zugangsdaten zum Konto, API-Schlüssel und gegebenenfalls bestimmte Konfigurationsdaten) werden, wo angemessen, im Ruhezustand verschlüsselt, unter Berücksichtigung der Art der Daten und der damit verbundenen Risiken. Replug beobachtet die kryptografische Landschaft fortlaufend, um auf neue Schwachstellen zu reagieren und dabei die notwendige Kompatibilität zu wahren.

Replug bewertet kryptografische Standards fortlaufend und stellt veraltete Verschlüsselungsverfahren im Einklang mit bewährten Branchenpraktiken (z. B. NIST-Empfehlungen) ein.

Die Systeme von Replug (einschließlich Server, Firewalls und kritischer Anwendungen) sind so konfiguriert, dass sie relevante Ereignisse in sichere, zentrale Systeme protokollieren, um Sicherheitsüberwachung, Analysen und Überprüfungen zu ermöglichen.

• Diese Protokollierungsumgebung erfasst Daten zu Sicherheit, Zugriff, Verfügbarkeit und Leistung. Die Protokolle werden mithilfe von Überwachungstools auf sicherheitsrelevante Ereignisse analysiert und vom Sicherheitsteam überprüft.
• Replug setzt Systeme zur Angriffserkennung (netzwerk- und/oder hostbasiert) sowie Web Application Firewalls (WAF) ein, um unbefugte Eindringversuche proaktiv zu überwachen und abzuwehren.

Replug nutzt Maßnahmen zur Netzwerksicherheit, darunter Firewalls und Sicherheitsgruppen. Netzwerkports, die für die Erbringung der Replug-Dienste nicht erforderlich sind, werden auf Infrastrukturebene blockiert.

Replug führt regelmäßige Schwachstellenscans seiner Produktionsinfrastruktur durch und unternimmt wirtschaftlich angemessene Anstrengungen, um erkannte Schwachstellen mit erheblichem Risiko zu beheben. Vom Unternehmen ausgegebene Endgeräte (wie Laptops) werden mit Sicherheitsmaßnahmen wie Bildschirmsperren und vollständiger Festplattenverschlüsselung verwaltet.

Die Infrastruktur der Replug-Dienste ist auf Fehlertoleranz und Hochverfügbarkeit ausgelegt, im Einklang mit unseren Zusagen aus dem Service Level Agreement (SLA), und gewährleistet eine zuverlässige Linkverwaltung und Weiterleitung.

Replug unterhält einen dokumentierten Business-Continuity-Plan (BCP), der regelmäßig getestet wird, um die Verfügbarkeit des Dienstes auch bei erheblichen Störungen sicherzustellen.

Kundeninformationen werden redundant an mehreren physischen Standorten in den Rechenzentren des Hosting-Anbieters von Replug gespeichert, um die Ausfallsicherheit zu gewährleisten.

• Replug setzt belastbare Sicherungs- und Wiederherstellungsverfahren ein, die auf die Wiederherstellung nach erheblichen Störungen ausgelegt sind.
• Die Betriebsteams werden bei Systemausfällen alarmiert. Sicherungen werden regelmäßig durchgeführt, und die Wiederherstellungsverfahren werden regelmäßig (z. B. vierteljährlich) getestet, um ihre Wirksamkeit zu überprüfen.
• Im Katastrophenfall sind die Wiederherstellungsziele von Replug so ausgelegt, dass sie die branchenüblichen Werte für Recovery Time Objective (RTO) und Recovery Point Objective (RPO) erreichen oder übertreffen.

Replug nutzt führende Cloud-Infrastrukturanbieter für das Hosting der Replug-Dienste. Diese Anbieter unterhalten modernste physische und umgebungsbezogene Sicherheitsmaßnahmen für ihre Rechenzentren und verfügen in der Regel über Zertifizierungen wie ISO 27001, SOC 1/2/3 und PCI DSS.

Replug unterhält interne Sicherheitsrichtlinien und -verfahren, die gegebenenfalls an anerkannten Rahmenwerken ausgerichtet sind. Sie regeln den Betrieb und stellen den sicheren Umgang mit Zugangsdaten (z. B. gesalzenes Hashing für Passwörter), die Führung von Zugriffsprotokollen und den Verzicht auf die Protokollierung sensibler Daten wie Klartext-Passwörter sicher.

Replug folgt einem Rahmenwerk für einen sicheren Softwareentwicklungszyklus (SDLC), das sicherstellt, dass Sicherheitsaspekte vom Entwurf bis zur Bereitstellung berücksichtigt werden. Alle größeren Releases durchlaufen Peer-Reviews, automatisierte Tests und eine Sicherheitsvalidierung.

Neue Funktionen und wesentliche Änderungen an der Replug-Plattform durchlaufen einen Sicherheitsprüfungsprozess. Code wird vor der Bereitstellung getestet und einem Peer-Review unterzogen. Sicherheitsaspekte sind in den Produktentwicklungszyklus integriert.

Replug unterhält ein Programm zur Offenlegung von Schwachstellen, um Kunden, Partner und Sicherheitsforscher zur verantwortungsvollen Meldung von Sicherheitsproblemen zu ermutigen.

Im Falle einer Verletzung des Schutzes personenbezogener Daten oder einer unbefugten Offenlegung von Kundeninformationen unter der Kontrolle von Replug benachrichtigt Replug die betroffenen Kunden unverzüglich und innerhalb der nach geltendem Recht vorgeschriebenen Fristen, einschließlich DSGVO (Artikel 33 und 34) und CCPA/CPRA.

Replug bewahrt Kundeninformationen nur so lange auf, wie es für die Erbringung der Replug-Dienste erforderlich oder nach geltendem Recht vorgeschrieben ist. Werden Daten nicht mehr benötigt, werden sie sicher gelöscht oder anonymisiert. Kunden können die Löschung ihrer Daten gemäß unserer Datenschutzerklärung beantragen.