Security &
Vertrauen.

ISO/IEC 27001 beschreibt die Anforderungen an ein Informationssicherheits-Managementsystem. Dazu gehören Risikoanalysen, klare Verantwortlichkeiten, Schutzmaßnahmen und deren regelmäßige Überprüfung. Eine Zertifizierung gilt immer für einen genau definierten Geltungsbereich, nicht automatisch für jedes Angebot eines Unternehmens.

Die DSGVO und das Bundesdatenschutzgesetz regeln unter anderem Rechtsgrundlagen, Transparenz, Betroffenenrechte und den Schutz personenbezogener Daten. Datenschutz ist eine laufende Verpflichtung. Ein Icon oder eine Datenschutzerklärung allein belegt keine vollständige Konformität.

Bei einem autorisierten Penetrationstest untersuchen unabhängige Fachleute festgelegte Anwendungen oder Systeme auf ausnutzbare Schwachstellen. Ein belastbarer Nachweis nennt Umfang, Datum, Prüfer und den Umgang mit gefundenen Risiken. Automatische Scans ersetzen diesen Test nicht.

HTTPS verwendet TLS, um die Verbindung zwischen Browser und Website zu verschlüsseln und die Identität des Servers zu prüfen. Das schützt die Übertragung, ist aber keine Ende-zu-Ende-Verschlüsselung der gesamten Verarbeitung. Daten können nach der Übertragung vom empfangenden Dienst verarbeitet werden.

Die Allianz für Cyber-Sicherheit ist eine Initiative des Bundesamts für Sicherheit in der Informationstechnik. Sie fördert Informationen und Erfahrungsaustausch zur Cybersicherheit. Eine Teilnahme ist weder ein Sicherheitszertifikat noch der Nachweis einer technischen Prüfung.

Die Gesellschaft für Datenschutz und Datensicherheit e. V. unterstützt die fachliche Auseinandersetzung mit Datenschutz und Datensicherheit. Eine Mitgliedschaft belegt die Zugehörigkeit zum Verein, nicht automatisch die Rechtskonformität oder Sicherheit eines digitalen Angebots.

Ein deutscher Unternehmenssitz bedeutet nicht automatisch, dass Software vollständig in Deutschland entwickelt wird oder alle Daten dort verarbeitet werden. Aussagen zur Herkunft sollten benennen, ob sie sich auf die Organisation, Entwicklung, Infrastruktur oder einzelne Leistungen beziehen.

Eine Zusage wie „Hosted in Europe“ muss alle relevanten Verarbeitungen berücksichtigen: Anwendung, gespeicherte Daten, Backups, Protokolle, Medien und weitere Dienstleister. Ein EU-Standort allein schließt Zugriffe oder Übermittlungen außerhalb des Europäischen Wirtschaftsraums nicht aus.

Der EU AI Act regelt AI-Systeme anhand ihres Einsatzes und Risikos. Pflichten unterscheiden sich beispielsweise zwischen Anbietern und Betreibern und gelten zeitlich gestaffelt. „AI Act Ready“ ist kein allgemeines amtliches Gütesiegel und ersetzt keine Prüfung des konkreten Anwendungsfalls.

Automatische Prüfungen können bekannte Schwachstellen und bestimmte Fehlkonfigurationen erkennen. Aussagekraft und Abdeckung hängen von den eingesetzten Prüfungen ab. Ein unauffälliger Scan garantiert keine Sicherheit und ersetzt weder manuelle Prüfungen noch Penetrationstests.

Rollenbasierte Zugriffskontrolle ordnet Berechtigungen definierten Rollen zu. Das Prinzip der geringsten Rechte beschränkt Zugriffe auf das erforderliche Minimum. Berechtigungen müssen bei jeder relevanten Anfrage durchgesetzt werden, nicht nur durch ausgeblendete Schaltflächen.

Ein belastbares Monitoring umfasst Ereigniserfassung, Alarmierung, Zuständigkeiten und einen Reaktionsplan. Rund-um-die-Uhr-Erreichbarkeit einer Website ist nicht dasselbe wie ein durchgehend besetzter Sicherheitsbetrieb. Erkennung und Reaktionszeiten benötigen konkrete Vereinbarungen.