Stand: 07.09.2026
1. Einleitung
Die SPiNE GmbH betreibt ihre IT-Infrastruktur cloudbasiert und setzt zum Schutz personenbezogener Daten technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Diese Maßnahmen sind Teil eines internen Informationssicherheits-Managementsystems (ISMS), das regelmäßig überprüft und weiterentwickelt wird. Die folgende Übersicht beschreibt die wesentlichen Maßnahmen in zusammengefasster Form.
2. Zugriff und Authentisierung
Der Zugang zu IT-Systemen und Anwendungen setzt eine eindeutige Identifikation und Authentisierung voraus; eine zentrale Identitätsverwaltung kommt zum Einsatz.
Für administrative und anderweitig privilegierte Zugänge ist eine Mehr-Faktor-Authentisierung vorgeschrieben.
Benutzerkonten werden nach mehreren fehlgeschlagenen Anmeldeversuchen automatisch gesperrt.
Netzwerkzugänge werden durch Firewalls und vergleichbare Netzwerksicherheitsmechanismen geschützt; es sind ausschließlich die für den Betrieb erforderlichen Kommunikationswege zugelassen.
3. Berechtigungs- und Mandantenschutz
Berechtigungen werden rollenbasiert und nach dem Prinzip minimaler Rechte (Need-to-Know) vergeben.
Zugriffsrechte werden regelmäßig überprüft; nicht mehr benötigte Berechtigungen werden entzogen.
Der Zugriff auf Kunden- und Systemdaten wird durch rollenbasierte Zugriffskontrollen beschränkt.
4. Verschlüsselung und Kommunikationssicherheit
Die Übertragung von Daten erfolgt über aktuelle Transportverschlüsselung nach dem Stand der Technik.
Gespeicherte Daten werden entsprechend ihres Schutzbedarfs verschlüsselt.
Kryptografische Schlüssel werden über ein zentrales, gesichertes Schlüssel- und Secret-Management verwaltet, mit rollenbasiertem Zugriff und regelmäßiger Erneuerung.
5. Protokollierung und Monitoring
Sicherheitsrelevante Ereignisse, etwa Anmeldungen und administrative Änderungen, werden protokolliert.
Protokolldaten sind vor unbefugtem Zugriff und nachträglicher Veränderung geschützt und werden im erforderlichen Umfang ausgewertet.
6. Sichere Softwareentwicklung und Schwachstellenmanagement
Entwicklungs-, Test- und Produktionsumgebungen sind voneinander getrennt; ein direkter Zugriff von Entwicklung auf Produktivsysteme besteht nicht, sofern dies nicht ausdrücklich erforderlich und freigegeben ist.
Änderungen an produktiven Systemen durchlaufen einen geregelten Freigabeprozess.
Zugangsdaten und sonstige Geheimnisse werden nicht im Quellcode abgelegt, sondern über gesicherte zentrale Mechanismen verwaltet.
Eingesetzte externe Softwarekomponenten werden auf Vertrauenswürdigkeit und bekannte Schwachstellen geprüft.
Sicherheitsrelevante Schwachstellen und Updates werden bewertet und risikobasiert priorisiert behoben.
7. Backup, Wiederherstellung und Verfügbarkeit
Daten werden regelmäßig und automatisiert gesichert; Sicherungen sind verschlüsselt sowie vor unbefugtem Zugriff und Überschreiben geschützt.
Die Wiederherstellbarkeit von Datensicherungen wird regelmäßig getestet.
Für geschäftskritische Systeme sind Wiederanlaufziele definiert; entsprechende Notfallvorsorgemaßnahmen sind etabliert.
8. Organisation, Schulung und Vertraulichkeit
Mitarbeitende werden rollenabhängig regelmäßig für Informationssicherheit und Datenschutz sensibilisiert, unter anderem im Rahmen des Onboardings und anlassbezogener Schulungen.
Mitarbeitende und sonstige mit der Verarbeitung betraute Personen sind zur Vertraulichkeit verpflichtet.
Der Umgang mit vertraulichen und personenbezogenen Daten ist verbindlich geregelt.
9. Incident Management
Sicherheitsvorfälle werden strukturiert erkannt, bewertet, bearbeitet und dokumentiert.
Erforderliche Meldungen an Kunden, Behörden oder weitere Stellen erfolgen im Rahmen der jeweils geltenden gesetzlichen und vertraglichen Vorgaben.
Erkenntnisse aus Sicherheitsvorfällen fließen in die Weiterentwicklung der Sicherheitsmaßnahmen ein.
10. Dienstleister und Cloud-Services
SPiNE nutzt für den Betrieb ihrer IT-Infrastruktur sorgfältig ausgewählte, professionell betriebene Cloud- und Softwaredienste.
Dienstleister werden anhand dokumentierter Sicherheits- und Datenschutzkriterien ausgewählt und in angemessenen Abständen überprüft.
Mit Auftragsverarbeitern werden die erforderlichen Verträge (AVV) gemäß Art. 28 DSGVO geschlossen.
Soweit Datenübermittlungen in Drittländer erfolgen, geschieht dies ausschließlich unter Einhaltung der jeweils anwendbaren datenschutzrechtlichen Voraussetzungen (z. B. Standardvertragsklauseln).
11. Überprüfung und kontinuierliche Verbesserung
Die Wirksamkeit der beschriebenen Maßnahmen wird regelmäßig intern überprüft und bei Bedarf angepasst.
SPiNE betreibt ein Informationssicherheits-Managementsystem, das sich an anerkannten Standards (ISO/IEC 27001) orientiert und kontinuierlich weiterentwickelt wird.