Sicherheit & Compliance

Sind Sie nach ISO 27001 oder TISAX zertifiziert? #

Nein, und es ist derzeit nicht geplant. Wir halten es für redlicher, das offen zu sagen, als mit Prozessreife zu argumentieren, die nicht auditiert ist. Wenn Ihre Vergabe ein Zertifikat zwingend voraussetzt — bei Automotive-OEMs und Tier-1-Zulieferern ist TISAX regelmäßig harte Voraussetzung —, sind wir an dieser Stelle der falsche Anbieter. Das sagen wir lieber vor dem Aufwand als danach.

Was wir stattdessen tun: Wir dokumentieren unsere Prozesse nach ISO-27001-Logik und legen sie hier offen. Diese Seite ist so aufgebaut, dass sie einen Lieferantenfragebogen weitgehend beantwortet.

Entwicklungsstandort #

Die Entwicklung findet vollständig in Deutschland statt, am Firmensitz in Wüstenstein, Bayern. Es gibt keine Offshore- oder Nearshore-Anteile. Projektsprache ist Deutsch oder Englisch.

Umgang mit Kundendaten #

• Datensparsamkeit als Grundsatz. Wir arbeiten nach Möglichkeit mit synthetischen Testdatenbeständen statt mit Echtdaten. In den Projekten der öffentlichen Verwaltung war das verpflichtend und hat sich als Standard bewährt.
• Auftragsverarbeitung. Wir schließen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO ab. Ein Entwurf kann vorab zur Prüfung bereitgestellt werden.
• Zugriffsbeschränkung. Zugriff auf Kundensysteme und -daten erhalten nur die im jeweiligen Projekt tätigen Personen.
• Rückgabe und Löschung. Projektdaten werden nach Vertragsende nach Absprache zurückgegeben oder gelöscht.

Sub-Auftragsverarbeiter #

Wir setzen Sub-Auftragsverarbeiter nur nach vorheriger Abstimmung ein. Die im jeweiligen Projekt genutzten Dienste werden im AVV benannt.

Hosting-Optionen #

Für Systeme, die wir betreiben oder deren Betrieb wir begleiten, bieten wir drei Modelle:

1. On-Premises beim Kunden — die Regel bei Datenhoheitsauflagen.
2. Deutsche Cloud bei einem Anbieter mit Rechenzentrum in Deutschland.
3. Hybrid — sensible Verarbeitung lokal, unkritische Last extern.

Security-Praktiken in der Entwicklung #

• Threat Modeling entlang der Systemgrenzen als Teil des Architekturentwurfs.
• Verschlüsselung und Zertifikate — TLS, PKI, X.509, Client Certificates, inklusive Lebenszyklus.
• Identitäts- und Zugriffsmanagement — OAuth2, OpenID Connect, Keycloak.
• Hardening von Netzwerk- und Applikationskomponenten, insbesondere an exponierten Übergängen.
• Statische Analyse als Pflicht-Gate in der CI.
• Abhängigkeitsprüfung — automatisierte Dependency-Updates mit Testabsicherung.

Umgang mit KI-Werkzeugen und Kundencode #

Dieser Punkt wird 2026 aktiv abgefragt, deshalb hier ausführlich:

• Der Einsatz von KI-Werkzeugen an Kundencode wird vor Projektbeginn schriftlich geklärt — bis hin zum vollständigen Verzicht, wenn der Kunde das wünscht.
• Wir bewerten je Projekt Cloud-API, dediziertes Hosting und vollständiges Self-Hosting und legen offen, welche Variante zum Einsatz kommt.
• Geprüft werden Trainingsdaten-Ausschluss, Aufbewahrungsfristen und Vertraulichkeitsstufen des jeweiligen Anbieters.
• Für sensible Projekte entwerfen wir den hybriden Fall: sensible Verarbeitung lokal, unkritische Last extern.
• Nachvollziehbarkeit bleibt erhalten: Agentengestützte Änderungen durchlaufen dieselben Gates und sind über den ticket-getriebenen Workflow bis auf die Anforderung rückverfolgbar.

Diese Website #

Keine Cookies, kein Tracking, keine externen Schriften, keine Einbindung von Drittanbieter-Skripten. Gebaut nach WCAG 2.2 AA, mit eigener Barrierefreiheitserklärung.

Auskunft für Ausschreibungen #

Ausführliche, personenbezogene Expertenprofile, Referenzbeschreibungen und ergänzende Compliance-Angaben stellen wir für konkrete Vergaben bereit. Sprechen Sie uns an.