Sicherheit & Compliance

Stand: 15. Februar 2026

1. Unser Sicherheitsversprechen

Sicherheit und Datenschutz stehen bei ManageSphere an erster Stelle. Wir verstehen, dass Sie uns sensible Geschäftsdaten anvertrauen, und nehmen diese Verantwortung sehr ernst.

Wir setzen branchenübliche Best Practices und angemessene technische sowie organisatorische Maßnahmen ein, um Ihre Daten zu schützen. Unsere Sicherheitsmaßnahmen werden kontinuierlich überprüft und verbessert, um aktuellen Bedrohungen zu begegnen.

2. Infrastruktur-Sicherheit

2.1 Hosting-Standort

ManageSphere wird in Rechenzentren in Deutschland bzw. der Europäischen Union gehostet. Damit unterliegen Ihre Daten dem europäischen Datenschutzrecht (DSGVO).

2.2 Zertifizierte Rechenzentren

Unsere Hosting-Partner betreiben Rechenzentren, die nach anerkannten Standards zertifiziert sind:

• ISO 27001 – Informationssicherheits-Management
• ISO 27017 – Cloud-Sicherheit
• ISO 27018 – Schutz personenbezogener Daten in der Cloud

2.3 Physische Sicherheit

• 24/7 Überwachung und Zutrittskontrolle
• Biometrische Zugangssysteme
• Videoüberwachung
• Redundante Stromversorgung und Klimatisierung
• Brandschutz und Früherkennung

3. Verschlüsselung

3.1 Verschlüsselung bei der Übertragung (Transit)

Alle Datenübertragungen zwischen Ihrem Browser/Client und ManageSphere sind verschlüsselt:

• TLS 1.3 – Modernster Transportverschlüsselungsstandard
• HTTPS everywhere – Unverschlüsselte Verbindungen werden abgelehnt
• HSTS – HTTP Strict Transport Security aktiviert
• Perfect Forward Secrecy – Schutz vor nachträglicher Entschlüsselung

3.2 Verschlüsselung bei der Speicherung (At-Rest)

Ihre Daten werden auch im Ruhezustand verschlüsselt:

• AES-256 – Industriestandard für Datenverschlüsselung
• Verschlüsselte Datenbanken und Speichersysteme
• Sichere Schlüsselverwaltung
• Verschlüsselte Backups

4. Zugriffskontrolle

4.1 Rollenbasierte Zugriffskontrolle (RBAC)

ManageSphere implementiert ein feingranulares Berechtigungssystem:

• Definierte Rollen mit spezifischen Berechtigungen
• Prinzip der minimalen Berechtigung (Least Privilege)
• Audit-Trail für Berechtigungsänderungen
• Möglichkeit zur Erstellung benutzerdefinierter Rollen

4.2 Multi-Faktor-Authentifizierung (MFA)

Für zusätzliche Sicherheit bieten wir Multi-Faktor-Authentifizierung:

• Optional aktivierbar für alle Benutzer
• Unterstützung für TOTP-Apps (z.B. Google Authenticator, Authy)
• Backup-Codes für Notfallzugriff
• Erzwingung von MFA auf Tenant-Ebene möglich

4.3 Tenant-Isolation

Die Daten verschiedener Kunden sind strikt voneinander getrennt:

• Logische Datentrennung auf Datenbankebene
• Tenant-spezifische Zugriffskontrollen
• Keine Cross-Tenant-Datenzugriffe möglich
• Regelmäßige Überprüfung der Isolationsmechanismen

5. Monitoring und Logging

Wir überwachen unsere Systeme kontinuierlich, um Sicherheitsvorfälle frühzeitig zu erkennen:

• 24/7 automatisiertes Monitoring der Infrastruktur
• Anomalie-Erkennung für ungewöhnliche Aktivitäten
• Protokollierung sicherheitsrelevanter Ereignisse
• Regelmäßige Auswertung von Sicherheitslogs
• Alerting bei verdächtigen Aktivitäten

Audit-Logs werden für einen angemessenen Zeitraum aufbewahrt und sind vor Manipulation geschützt.

6. Backup und Disaster Recovery

6.1 Backup-Strategie

• Regelmäßige automatische Backups
• Geo-redundante Speicherung an verschiedenen Standorten
• Verschlüsselte Backup-Daten
• Regelmäßige Tests der Backup-Wiederherstellung

6.2 Disaster Recovery

• Dokumentierter Disaster-Recovery-Plan
• Definierte Recovery Time Objectives (RTO)
• Definierte Recovery Point Objectives (RPO)
• Regelmäßige Disaster-Recovery-Übungen

7. Incident Response Prozess

Für den Fall eines Sicherheitsvorfalls haben wir einen strukturierten Prozess etabliert:

7.1 Erkennung und Analyse

• Automatisierte Erkennung von Sicherheitsvorfällen
• Klassifizierung nach Schweregrad
• Forensische Analyse zur Ursachenermittlung

7.2 Eindämmung und Behebung

• Sofortige Maßnahmen zur Eindämmung
• Behebung der Sicherheitslücke
• Wiederherstellung betroffener Systeme

7.3 Kommunikation

• Benachrichtigung betroffener Kunden gemäß DSGVO (Art. 33, 34)
• Meldung an zuständige Aufsichtsbehörden bei meldepflichtigen Vorfällen
• Transparente Kommunikation über Art und Umfang des Vorfalls

7.4 Nachbereitung

• Post-Mortem-Analyse
• Ableitung von Verbesserungsmaßnahmen
• Dokumentation und Lessons Learned

8. Patch- und Vulnerability-Management

8.1 Regelmäßige Updates

• Zeitnahe Installation von Sicherheitspatches
• Automatisierte Dependency-Checks
• Regelmäßige Updates der Infrastrukturkomponenten

8.2 Vulnerability Scanning

• Regelmäßige automatisierte Schwachstellen-Scans
• Bewertung und Priorisierung identifizierter Schwachstellen
• Zeitnahe Behebung kritischer Schwachstellen

8.3 Responsible Disclosure

Wenn Sie eine Sicherheitslücke in ManageSphere entdecken, bitten wir Sie, uns diese verantwortungsvoll zu melden. Kontaktieren Sie uns unter security@managesphere.de.

9. Mitarbeiterschulung

Unsere Mitarbeiter sind ein wichtiger Faktor für die Sicherheit:

• Regelmäßige Schulungen zu Informationssicherheit und Datenschutz
• Security-Awareness-Training
• Schulungen zu aktuellen Bedrohungen (z.B. Phishing)
• Verpflichtung auf Vertraulichkeit
• Klare Richtlinien und Verhaltensregeln

10. Compliance

ManageSphere unterstützt Sie bei der Einhaltung relevanter Vorschriften:

10.1 DSGVO (Datenschutz-Grundverordnung)

Als deutsches Unternehmen mit Hosting in der EU erfüllen wir die Anforderungen der DSGVO:

• Privacy by Design und Privacy by Default
• Technische und organisatorische Maßnahmen (TOMs)
• Verarbeitungsverzeichnis
• Auftragsverarbeitungsvertrag (AVV) für Kunden

10.2 TTDSG

Wir berücksichtigen die Anforderungen des Telekommunikation-Telemedien-Datenschutz-Gesetzes, insbesondere hinsichtlich des Einsatzes von Cookies und Tracking-Technologien.

10.3 GoBD-Unterstützung

ManageSphere bietet Funktionen, die Sie bei der Einhaltung der GoBD unterstützen:

• Unveränderliche Rechnungsnummern
• Audit-Trail für geschäftsrelevante Änderungen
• Export-Funktionen für die Archivierung
• Dokumentation von Änderungen

Hinweis: Die GoBD-Konformität hängt auch von der korrekten Nutzung und Konfiguration durch den Kunden ab. ManageSphere ersetzt keine steuerliche Beratung.

10.4 Weiterführende Dokumente

Weitere Informationen zu Datenschutz und Sicherheit finden Sie in:

• Auftragsverarbeitungsvertrag (AVV)
• Liste der Unterauftragsverarbeiter
• Datenschutzerklärung

11. Kontakt

Bei Fragen zur Sicherheit oder Compliance von ManageSphere stehen wir Ihnen gerne zur Verfügung: