Fassung go-live-2026-10-26 · IDS Business Live AG, Badenerstrasse 808, 8048 Zürich · gültig ab Veröffentlichung
Die Anwendung läuft auf der Infomaniak Public Cloud in der Schweiz (Projekt upper-os, Region dc4-a, eine VM). Keine Massnahme ist durch eine externe Stelle geprüft. Der Anhang unterscheidet:
| Kennzeichen | Bedeutung |
|---|---|
| U-B | im Betrieb umgesetzt und nachgewiesen (Stand 26.10.2026) |
| U-L | in der Software umgesetzt und durch automatisierte Tests nachgewiesen; kein eigener Betriebsnachweis |
| G | geplant bzw. konzipiert, nicht nachgewiesen |
| O | offen: kein Entscheid oder kein Konzept |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Jeder mandantenbezogene Datensatz trägt eine unveränderliche Mandanten-Kennung; die Datenbank erzwingt die Trennung (Row-Level-Security) | Isolations- und Zugriffstests der Datenbank | U-L |
| Mandantenkontext aus der Authentifizierung, nie aus Client-Parametern | Sitzungskontext in der Transaktion | U-L |
| Anwendungsrollen der Datenbank können RLS nicht umgehen; exakte Rechtelisten je Schema werden getestet | Rechtetests (inkl. Abrechnung, Verwaltung) | U-L |
| Abrechnungs- und Verwaltungsrollen ohne Lesezugriff auf Inhaltsdaten | Zugriff auf Inhaltstabellen verweigert | U-L |
| Datenbank (PostgreSQL 17) auf derselben VM, nur lokal erreichbar | Betriebsdokumentation Go-live | U-B |
| Isolationstests als Release-Bedingung in einer CI | lokal vor jedem Release; | U-L / O |
| Externer Penetrationstest der Mandantentrennung | nicht beauftragt Unabhängiger externer Penetrationstest beschlossen; Durchführung nach dem Go-live, spätestens bei 20–30 zahlenden Kunden. | O |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Identity Provider Keycloak, selbst betrieben auf der VM der Anbieterin | Betriebsdokumentation Go-live | U-B |
| Mehr-Faktor-Anmeldung (TOTP) für alle Kunden- und Betreiberkonten verpflichtend | Keycloak-Konfiguration; Datenbank-Constraint für Betreibersitzungen | U-B |
Keine Selbstregistrierung beim Identity Provider, kein offline_access |
Konfiguration | U-L |
Serverseitige Sitzungen, Cookies __Host-, Secure, HttpOnly, SameSite=Lax |
Anwendungscode | U-L |
| Kundensitzung: höchstens 30 min Inaktivität, 12 h absolut; Anmeldefluss 10 min | Anwendungscode | U-L |
| Betreibersitzung: 15 min Inaktivität, 8 h absolut | Anwendungscode | U-L |
| Erneute Bestätigung mit dem zweiten Faktor vor kritischen Aktionen (Fair Start, Weiterführung, Vertragsschluss, Kündigung, Supportfreigabe, Zahlungsbestätigung) | Anwendungscode | U-L |
| Ratenbegrenzung der Anmeldung | je Prozess im Speicher | U-L |
| Server-Administration: SSH nur mit Schlüssel, eingeschränkter Zugang für Betreiberpersonen; Infomaniak-Konsole mit MFA | Betriebskonzept | G |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Rechte je Arbeitsbereich; keine globale Kundenrolle | Rechtekatalog | U-L |
| Getrennte Identitätsbereiche Kunde/Betreiber; ein Kunden-Cookie öffnet keine Betreibersitzung und umgekehrt | Anwendungscode und Tests | U-L |
| Betreiberrollen Owner, Finance, Support, Operations; persönliche Zuweisung, keine Selbstvergabe, sofortiger Entzug | Datenbank-Guards | U-L |
| Zwei Betreiberpersonen mit MFA; Vier-Augen-Prinzip für Rollenvergabe, Gutschrift und Storno sowie für alle Freigaben weiterer Betreiberpersonen; der Owner entscheidet eigene Betreiberfreigaben allein, mit zweitem Faktor und protokolliert (nie Rollenvergaben) | Betriebsdokumentation Go-live; Datenbank-Guards (Antrag ≠ Entscheid) | U-B |
| Vier-Augen-Prinzip zusätzlich für Fortsetzen nach Plattform-Stopp, Sicherheitssperren, Betreiberkonten, Rückerstattung | Datenbank-Guards | U-L |
| Zugriff der Anbieterin auf Inhaltsdaten nur mit Supportfreigabe des Kunden: Fall, benannte Person, Zweck, Umfang, 1–72 h, widerrufbar; nur lesend über Funktionen je Bereich; jeder Abruf im Betreiber- und Kundenprotokoll | Anwendungscode und Tests | U-L |
| Notfallzugriff ohne Kundenfreigabe | nicht implementiert | – |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Übertragung zur Anwendung mit TLS; Zertifikate von Let's Encrypt | Betriebsdokumentation Go-live | U-B |
| Versand von E-Mails der Anwendung über Hostpoint mit TLS 1.3 | Betriebsdokumentation Go-live | U-B |
| Verschlüsselte Sicherungen (AES-256, pgBackRest) | Betriebsdokumentation Go-live | U-B |
| Zugangsdaten zu Kundensystemen (OAuth-Tokens, API-Schlüssel) mit AES-256-GCM verschlüsselt, gebunden an Zweck und Kontext (Arbeitsbereich, Verbindung, Connector) | Anwendungscode und Tests | U-L |
| Der Webserver kann Zugangsdaten nur versiegeln, nicht öffnen; die App-Rolle hat kein Leserecht auf versiegelte Spalten | Anwendungscode und Tests | U-L |
| Schlüssel getrennt von Daten in einer Schlüsselverwaltung, Rotation, protokollierte Zugriffe | produktive Schlüsselverwaltung nicht eingerichtet; bis dahin ist das Verbinden von Integrationen gesperrt | G |
| Verschlüsselung der Datenbank-Datenträger | – | O |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Minimale Lese-Scopes; Verbindung nur, wenn alle Pflicht-Scopes erteilt | Anwendungscode | U-L |
| Lese-Connectoren ohne unnötige Personendaten (Bestellungen ohne Personendaten, CRM nur Zahlen, Bewertungen ohne Namen) | Anwendungscode | U-L |
| Ausgehende Verbindungen nur per HTTPS an Hosts einer Allowlist; Schutz vor Zugriffen auf private Netze | Anwendungscode | U-L |
| Keine Zugangsdaten in Prompts, Logs, Audit oder Git; Logs ohne Cookies, Tokens, Query-Strings | Anwendungscode | U-L |
| KI-Kontext: Daten nur des anfragenden Arbeitsbereichs; Kontextdaten gelten als Daten, nie als Anweisungen | Anwendungscode und Tests | U-L |
| KI-Funktionen nur nach Freigabe durch die Anbieterin; heute ausgeschaltet; keine automatische Umschaltung zwischen KI-Anbietern | Betriebsdokumentation Go-live | U-B |
| KI-Anbieter vertraglich ohne Training auf Kundeninhalten | Anthropic: Commercial Terms Ziff. B; OpenAI: Data Processing Addendum. | O |
| Schreibende Aktionen bei Drittplattformen gesperrt (Datenbank-Prüfung, keine registrierten Adapter, Client-Prüfung) | Anwendungscode und Tests | U-L |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Jede verändernde Aktion über einen Command-Bus mit Idempotenzschlüssel, Audit-Eintrag und Outbox | Anwendungscode | U-L |
| Protokoll je Arbeitsbereich, nur anhängbar, mit Hash-Kette; Manipulation (Änderung, Löschung, Umordnung, Einfügung) wird erkannt | Anwendungscode und Tests | U-L |
| Abrechnungsereignisse je Konto und Betreiberprotokoll (global) mit eigener Hash-Kette | Migrationen | U-L |
| Export der Kettenköpfe (Audit-Anker) stündlich, versiegelt, in ein separates Infomaniak-Projekt | Betriebsdokumentation Go-live | U-B |
| Unveränderliche Belege (Rechnung, Gutschrift, Storno) mit SHA-256 des PDF; lückenlose Nummern | Anwendungscode | U-L |
| Kunde sieht Handlungen der Anbieterin (Supportzugriffe, Sperren, Abrechnungsereignisse) im eigenen Protokoll | Anwendungscode | U-L |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Rechenzentrum in der Schweiz: Infomaniak Public Cloud, Region dc4-a; physische Sicherheit durch den Anbieter | Betriebsdokumentation Go-live; Anbieterangaben | U-B |
| Sicherungen mit pgBackRest: wöchentlich voll, täglich differentiell, laufende WAL-Archivierung; Infomaniak Object Storage in derselben Region; Aufbewahrung 14 Tage | Betriebsdokumentation Go-live | U-B |
| Wiederherstellungsprobe | Restore geprüft am 26.10.2026 | U-B |
| Ziele für Wiederherstellungspunkt und -zeit (RPO/RTO) | – | G |
| Externe Überwachung und Alarmierung | – | O |
| Sofortstopp je Arbeitsbereich durch den Kunden; plattformweiter Stopp durch die Anbieterin (Fortsetzen nur mit vier Augen) | Anwendungscode | U-L |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Vorfallprozess (Erfassung, Bewertung, Massnahmen, Meldungen, Abschluss, protokolliert) als Werkzeug | Anwendungscode | U-L |
| Meldewege und -fristen | Meldung an Kunden unverzüglich, spätestens 72 Stunden nach Kenntnis; Erfassung als Betreiber-Incident. | O |
| Vertraulichkeitsverpflichtung der Betreiberpersonen | – | O |
| Persönliche Konten, minimale Rechte, keine geteilten Zugänge | zwei persönliche Betreiberkonten mit MFA | U-B |
| Unterauftragsbearbeiter mit Vertrag vor Einsatz | siehe Anhang 05; | O |
| Abhängigkeits- und Secret-Prüfung vor Releases | Release-Prüfungen | U-L |
| Patch-Prozess für Betriebssystem, PostgreSQL und Identity Provider | Betriebskonzept | G |
| Datenschutz-Folgenabschätzung, Verzeichnis der Bearbeitungstätigkeiten | – | O |
| Massnahme | Mechanismus / Beleg | Stand |
|---|---|---|
| Exportzugang während Fair Start, Laufzeit und Exportfrist | Export (JSON) im Kundenkonto | U-L |
| Löschung aller Mandantendaten nach der Exportfrist | kein automatischer Löschprozess; nach Ablauf der Exportfrist entsteht eine Aufgabe für die Betreiber, die Löschung wird manuell ausgeführt und protokolliert. spätestens 30 Tage nach Ablauf der Exportfrist | G |
| Ablauf der Sicherungen | Aufbewahrung 14 Tage | U-B |
| Löschprotokoll ohne Inhalte, Bestätigung auf Anfrage | – | O |
| Aufbewahrungsfristen je Kategorie | Sicherheitsereignisse und Betreiberprotokoll 2 Jahre; Betriebsprotokolle 90 Tage; Supportfälle 2 Jahre nach Abschluss; Abrechnungsbelege 10 Jahre (Buchführungspflicht); Rohdaten | O |