Sicherheitserklärung

Zusammenfassung

Diese Erklärung fasst unsere Sicherheitskontrollen zusammen. Die Seite „Sicherheit und Vertrauen“ erläutert sie ausführlicher, und unsere vertraglichen Zusagen stehen in der Auftragsverarbeitungsvereinbarung. Details zu unseren Infrastrukturanbietern oder unserer Architektur veröffentlichen wir nicht, weil das Angreifern helfen würde.

Infrastruktur

• Der Service wird über ein verteiltes, verschlüsseltes Netzwerk in mehr als 125 Ländern bereitgestellt. So bleiben öffentliche Seiten nah an den Besuchern und verfügbar, wenn ein Standort ausfällt.
• Der gesamte Datenverkehr wird bei der Übertragung mit aktuellem TLS und HTTP Strict Transport Security verschlüsselt; Daten sind im Ruhezustand verschlüsselt, einschließlich der Backups.
• Die Anwendung sendet strenge Sicherheits-Header, darunter eine Content Security Policy.

Zugriff und Isolation

• Multi-Faktor-Authentifizierung mit Codes aus einer Authenticator-App ist für jedes Kunden- und Mitarbeiterkonto Pflicht; Einmal-Wiederherstellungscodes werden nur als Hashes gespeichert.
• Jeder Kunden-Arbeitsbereich ist in der Anwendung und auf Datenbankebene isoliert, sodass ein Kunde die Daten eines anderen nicht lesen kann.
• Berechtigungen der Mitarbeitenden sind rollenbasiert und folgen dem Prinzip der minimalen Rechte; sensible Aktionen werden in Audit-Logs erfasst, die nur ergänzt, aber nicht geändert werden können.
• Wir fragen nie nach Passwörtern für Werbekonten. Wir arbeiten über Nutzer- oder Partnerberechtigungen der Plattform, die der Kunde kontrolliert und jederzeit entziehen kann.

Zahlungen

• Kartenzahlungen werden von unserem Zahlungsdienstleister abgewickelt, der nach dem Payment Card Industry Data Security Standard zertifiziert ist. Kartennummern sehen oder speichern wir nie.
• Mediaausgaben zahlen Kunden über ihre eigenen Zahlungsmittel direkt an die Werbeplattformen.

Sicherheitsvorfälle

Wir haben ein Verfahren zur Reaktion auf Sicherheitsvorfälle mit festgelegter Eskalation. Betrifft eine Verletzung des Schutzes personenbezogener Daten die Daten eines Kunden, informieren wir den Kunden unverzüglich und innerhalb von 48 Stunden und melden die Verletzung den Aufsichtsbehörden, soweit dies gesetzlich vorgeschrieben ist.