Technische und organisatorische Maßnahmen

Technische und organisatorische Maßnahmen (TOM)

Version 1.3 · Stand 20.09.2026

Die folgenden Maßnahmen beschreiben den für die von OZID.it betriebenen Dienste vorgesehenen Schutzrahmen. Produktspezifische Ergänzungen ergeben sich aus der jeweiligen AVV-Produktanlage. Maßnahmen werden dem technischen Fortschritt entsprechend weiterentwickelt, ohne das vereinbarte Schutzniveau insgesamt zu unterschreiten.

1. Zutrittskontrolle

• Hosting der eigenen SaaS- und Webangebote über ALL-INKL.COM – Neue Medien Münnich in Deutschland.
• Physische Rechenzentrumsmaßnahmen liegen im Verantwortungsbereich des Hostinganbieters.
• Arbeitsgeräte und betriebliche Zugänge werden gegen unbefugten Zugriff geschützt.

2. Zugangskontrolle

• Individuelle Benutzerkonten und rollenbezogene Zugänge, soweit das jeweilige Produkt dies vorsieht.
• Passwortbasierte Authentifizierung; zusätzliche Mehrfaktor-Authentifizierung in dafür vorgesehenen Produkten und Rollen.
• Schutz von Sitzungen und Anmeldeprozessen sowie angemessene Maßnahmen gegen automatisierte Anmeldeversuche.

3. Zugriffskontrolle und Mandantentrennung

• Rollen- und Berechtigungskonzepte nach dem Need-to-know- und Least-Privilege-Prinzip.
• Supportzugriffe nur zweckgebunden und mit angemessener Berechtigung.
• Mandantenfähige Systeme werden serverseitig so ausgelegt, dass Datenzugriffe dem berechtigten Mandanten zugeordnet werden.

4. Übertragung und Anwendungssicherheit

• Produktive Web- und API-Kommunikation wird über TLS/HTTPS betrieben.
• Kontextbezogenes Escaping, CSRF-Schutz und parametrisierte Datenbankzugriffe gehören zu den Entwicklungsstandards dynamischer Anwendungen.
• Datei-Uploads werden – soweit eingesetzt – hinsichtlich Berechtigung, Typ und Größe kontrolliert und gegen direkte Ausführung geschützt.
• APIs und Webhooks werden mit geeigneten Authentifizierungs- und Missbrauchsschutzmaßnahmen betrieben.

5. Protokollierung und Nachvollziehbarkeit

• Sicherheits-, Login- und Systemereignisse werden, soweit für das jeweilige Produkt erforderlich, protokolliert.
• Passwörter, vollständige Authentifizierungstokens und unnötige sensible Inhalte werden nicht bewusst in Protokollen gespeichert.
• Zugriff auf Protokolle wird auf erforderliche Personen beschränkt.

6. Verfügbarkeit, Sicherung und Wiederherstellung

• Für zentrale SaaS-Leistungen gilt die vertraglich vereinbarte Verfügbarkeit; die Standard-AGB sehen 99,0 % im Jahresmittel mit den dort beschriebenen Ausnahmen vor.
• Datensicherungs- und Wiederherstellungsverfahren richten sich nach Produkt, Hostingkonfiguration und vereinbartem Leistungsumfang.
• Wiederherstellbarkeit und betriebliche Verantwortlichkeiten werden im Rahmen der jeweiligen Produkt- bzw. Projektkonfiguration berücksichtigt.

7. Datenminimierung, Löschung und Testdaten

• Es werden nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet.
• Löschung, Export und Aufbewahrung richten sich nach Produktfunktion, Weisung, Vertrag und gesetzlichen Pflichten.
• Für Tests werden bevorzugt synthetische oder anonymisierte Daten eingesetzt; reale Produktivdaten nur, wenn dies erforderlich und rechtlich abgesichert ist.

8. Incident-Management

• Sicherheitsvorfälle werden erfasst, bewertet, eingedämmt und nachbereitet.
• Bei Verletzungen des Schutzes von Auftragsdaten unterstützt der Meldeprozess die unverzügliche Information des Verantwortlichen gemäß Rahmen-AVV.

9. Regelmäßige Überprüfung

• Sicherheitsmaßnahmen, Berechtigungen und Anwendungscode werden im Rahmen von Wartung und Releases überprüft und bei Bedarf angepasst.
• Produktspezifische Schutzmaßnahmen werden risikoorientiert fortentwickelt.