Verarbeitende Daten
Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/-kategorien: Kontakt und Identifikationsdaten (bspw. Vor- und Nachname, Anschriften usw.); Daten über Gesetzesverstöße und Unregelmäßigkeiten im Zusammenhang mit einer Meldung; Informationen zur Bezahlung des Hinweisgebersystems.
Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen: Beschäftigte; Lieferanten; Geschäftspartner; Kunden; Ansprechpartner; Handelsvertreter; Interessenten.
Datenverschlüsselung
Die vollständigen Inhalte der Hinweise sowie die Kommunikation zwischen Hinweisgeber und Meldestellenbeauftragter die über whistly geführt wird, wird direkt in Ihrem Browser verschlüsselt und entschlüsselt. Es handelt sich um eine sogenannte Ende-zu-Ende-Verschlüsselung. Damit ist sichergestellt, dass wirklich nur die involvierten Personen Inhalte lesen können.
Selbst whistly hat keinen Zugriff auf Ihre Kommunikation, da die Daten bereits verschlüsselt bei uns ankommen und nur Sie mit Eingabe Ihres Passworts über die entsprechende Schlüssel verfügen, um die Inhalte zu entschlüsseln.
Darüber hinaus werden Daten, die zu und von whistly übertragen werden (Data in transit), über HTTPS/SSL unter Verwendung von branchenweit anerkannten starken Verschlüsselungsmechanismen verschlüsselt. Sehen Sie hier das letzte Testergebnis der SSL Verschlüsselung von whistly.
Die Speicherung von Daten (Data at rest) erfolgt ebenfalls verschlüsselt. Wir verwenden die AES-256-Verschlüsselung von AWS RDS, um Daten im Ruhezustand zu verschlüsseln.
Zugriffskontrolle und Identitätsmanagement
Die Plattform erfordert für den Zugriff auf das Basissystem eine Passwort-Authentifizierung. whistly verwendet One-Way-Hashing und Salting zum Speichern von Passwörtern. Einweg-Hashing ist eine irreversible Umwandlung: Sie können nicht vom gehashten Kennwort zum ursprünglichen Kennwort zurückkehren, so dass der Angreifer im schlimmsten Fall, wenn die whistly-Datenbank kompromittiert wird, nicht in der Lage ist, die ursprünglichen Kennwörter zu erkennen. (Die Art und Weise, wie wir ein Kennwort überprüfen, besteht darin, dass wir das Kennwort, das der Benutzer eingibt, hashen und prüfen, ob es mit dem Hash in der Datenbank übereinstimmt. Da uns nur wichtig ist, dass die beiden Kennwörter übereinstimmen, ist es nicht wichtig, das ursprüngliche Kennwort abrufen zu können: Aus diesem Grund gilt das Einweg-Hashing als beste Praxis für die Speicherung von Kennwörtern).
Zusätzlich können Adminnutzer von whistly eine Multi-Faktor-Authentifizierung für ihren Account einstellen. Sobald Benutzer im System angemeldet sind, müssen ihnen Berechtigungen zugewiesen werden, um zusätzliche Operationen durchzuführen und auf bestimmte Inhalte zuzugreifen. Mit Berechtigungen wird gesteuert, wer Zugriff auf welche Inhalte hat, um sicherzustellen, dass nur autorisierte Benutzer Zugriff auf bestimmte Daten haben.
Physikalische Sicherheit
Die personenbezogenen Daten von den whistly Nutzern sowie alle Hinweisdaten werden ausschließlich im Rechenzentrum von Amazon Web Services (AWS) in Frankfurt gespeichert. AWS übernimmt die Verantwortung für die physikalische Sicherheit auf Infrastrukturebene. Das AWS-Rechenzentrum ist ISO 27001 zertifiziert und erfüllt somit die höchsten Sicherheitsanforderungen.
Für weitere Informationen und Zertifikate besuchen Sie bitte die Seite der AWS: https://aws.amazon.com/de/compliance/germany-data-protection/
Anwendungssicherheit
Anwendungssicherheit hat für whistly höchste Priorität. Das Entwicklungsteam führt ständig Code-Reviews durch, um sicherzustellen, dass nur qualitativ hochwertiger und sicherer Code in die Produktionsumgebung gelangt.
Das System wird automatisiert und manuell mit routinemäßigen Penetrationstest auf eine Vielzahl von Schwachstellen getestet, darunter:
Vulnerable software & hardware
- Web servers, e.g. Apache, Nginx
- Mail servers, e.g. Exim
- Development software, e.g. PHP
- Network monitoring software, e.g. Zabbix, Nagios Networking systems, e.g. Cisco ASA
- Content management systems, e.g. Drupal, Wordpress
- Other well-known weaknesses, e.g. 'Log4Shell' and 'Shellshock'
Web Application Vulnerabilities
- Checks for multiple OWASP Top Ten issues SQL injection
- Cross-site scripting (XSS)
- XML external entity (XXE) injection Local/remote file inclusion
- Web server misconfigurations
- Directory/path traversal, directory listing & unintentionally exposed content
Attack Surface Reduction
- Publicly exposed databases
- Administrative interfaces
- Sensitive services, e.g. SMB
- Network monitoring software
Information Leakage
- Local directory path information
- Internal IP Addresses
Encryption weaknesses
- 'Heartbleed', 'CRIME', 'BEAST' and 'ROBOT'
- Weak encryption ciphers & protocols
- SSL certificate misconfigurations
- Unencrypted services such as FTP
Common mistakes & misconfigurations
- VPN configuration weaknesses
- Exposed SVN/git repositories
- Unsupported operating systems
- Open mail relays
- DNS servers allowing zone transfer
Compliance
whistly ist vollständig DSGVO-konform und hält die Grundsätze der gängigen Datenschutzgesetze ein:
- Vertraulichkeit – Zugangskontrollen stellen sicher, dass die unternehmensinterne Vertraulichkeit gewahrt wird.
- Speicherbeschränkungen – Archivierungsberechtigungen innerhalb von whistly tragen dazu bei, dass Daten nur dann aufbewahrt oder entfernt werden, wenn dies intern von den Benutzern des Unternehmens genehmigt wurde.
- Datenminimierung – whistly speichert nur die notwendigen Informationen von Hinweisgebern in verschlüsselter Form und minimiert die Menge der gespeicherten und abgefragten Daten. Damit wird sichergestellt, dass die im Betrieb erhobenen Daten auf den vorgesehenen Zweck beschränkt sind.
- Zweckbindung – whistly hat keinen Zugriff auf Ihre personenbezogene Daten der Hinweisgeber und der entsprechenden Kommunikation, da diese verschlüsselt sind. Darüber hinaus verwendet whistly keine Daten zu anderen Zwecken als zur Sicherstellung des Betriebs der Software wie beschrieben.
- Rechtmäßigkeit, Fairness und Transparenz – whistly stellt sicher, dass die Nutzer vollständig darüber informiert sind, wie die von ihnen übermittelten Daten über die Hinweisgeberstelle genutzt und verarbeitet werden.
Technische und organisatorische Maßnahmen
Zur Sicherstellung eines angemessenen Schutzniveaus wurden technische und organisatorische Maßnahmen eingeführt, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen. Es folgt eine nicht erschöpfende Liste der technischen und organisatorischen Sicherheitsmaßnahmen, die vom Auftragnehmer ergriffen und umgesetzt werden:
- Qualitätssicherung: Der Auftragnehmer verfügt über Prozesse zur Qualitätssicherung der SaaS. Diese Prozesse umfassen automatisierte und manuelle Tests von Funktionen vor der Nutzung sowie Fehlerbehebungen.
- Code-Prüfung: Der neue Code für die SaaS wird von mindestens einem höherrangigen Entwickler überprüft, bevor sie für eine Produktionsumgebung freigegeben wird. Im Rahmen dieser Prüfung wird u. a. untersucht, ob sichere Kodierungsverfahren angewendet werden.
- HTTPS: Die Übertragung personenbezogener Daten durch die SaaS über das Internet erfolgt verschlüsselt.
- Speicherung von Passwörtern: Alle Passwörter für die SaaS werden mit Hilfe eines dem Branchenstandard entsprechenden Hashing-Algorithmus gespeichert.
- Backups: Für alle personenbezogenen Daten in der SaaS werden täglich oder kontinuierlich schrittweise Backups vorgenommen.
- Zugriffskontrolle: Mitarbeiter erhalten nur dann Zugriffsrechte für personenbezogene Daten in der SaaS, soweit sie diese Rechte zur Erfüllung ihrer Funktion benötigen. Die Zugriffsrechte werden zurückgenommen, wenn sie nicht mehr benötigt werden.
- Sichere Rechenzentren: Die SaaS wird nur in Rechenzentren gehostet, die ein hohes Maß an Sicherheit und Verfügbarkeit bieten, etwa in nach ISO 27001 zertifizierten Rechenzentren.
- Ende-zu-Ende Verschlüsselung: Daten im Zusammenhang mit den Hinweisen und deren Kommunikation werden Ende-zu-Ende verschlüsselt. Die Datenbanken werden verschlüsselt durch AES-256 Verschlüsselung.
- Privacy by design: Der Auftragnehmer hat die Voreinstellung (default) von whistly derart konzipiert und programmiert, dass nur solche Daten verarbeitet werden, die für den Verarbeitungszweck (=Aufklärung von Compliance-Hinweisen) erforderlich sind. Bereits die Felder der Eingabemaske beschränken sich auf das absolut erforderliche Maß. Zudem können Hinweisgeber ihre Meldung auch anonym abgeben.
Ergebnis unseres letzten Penetrationstests
Wir engagieren Intruder einem preisgekrönten IT-Sicherheitsanbieter, um externe Penetrationstests und Bewertungen der Sicherheit unserer Produkte durchzuführen.
