Sicherheit ist kein Feature. Sondern Voraussetzung.
Sicherheit ist das Fundament von anny. Als SaaS-Lösung für Buchungs- und Ressourcenmanagement schützen wir Kundendaten proaktiv. Wir hinterfragen unsere Sicherheitsprotokolle ständig, damit deine Buchungsdaten sicher bleiben und dein Unternehmen widerstandsfähig bleibt.
Compliance & Zertifizierungen
anny erfüllt die wichtigsten internationalen Sicherheitsstandards:
ISO 27001:2022 : Zertifiziertes Informationssicherheits-Managementsystem (ISMS), das alle Prozesse, Richtlinien und Kontrollen zur Absicherung von Unternehmensdaten umfasst.
ISO 27017 : Zusätzlicher Standard für cloudspezifische Sicherheitskontrollen, der sicherstellt, dass unser Cloud-Betrieb nach internationalen Best Practices abgesichert ist.
DSGVO : Alle Kundendaten werden vollständig DSGVO-konform verarbeitet. Details in unserer Datenschutzerklärung.
Unsere Zertifikate stehen im Trust Center zum Download bereit.
Unsere Infrastruktur wird durch über 17 dokumentierte Sicherheitskontrollen geschützt, die automatisiert überwacht werden.
Zugriffskontrolle & Authentifizierung
Zugang zu unseren Systemen folgt dem Least-Privilege-Prinzip: Jeder Zugriff ist auf das Minimum beschränkt, das zur Aufgabenerfüllung notwendig ist.
Produktionsdatenbanken, Netzwerke und Anwendungen erfordern individuelle Zugangsdaten oder autorisierte SSH-Schlüssel. Keine geteilten Accounts.
Jeder Remote-Zugriff auf Produktionssysteme erfordert Multi-Faktor-Authentifizierung (MFA) über eine verschlüsselte Verbindung.
Der Zugang zu Produktionsdatenbanken, Betriebssystemen, Netzwerken und Firewalls ist auf autorisierte Mitarbeitende mit nachgewiesenem Business Need beschränkt.
Klare Richtlinien regeln das Anlegen, Ändern und Entziehen von Nutzerrechten. Beim Offboarding werden alle Zugriffsrechte innerhalb der definierten SLAs entzogen.
Netzwerk & Systemhärtung
Netzwerk-Firewalls sind aktiv konfiguriert und verhindern unbefugten Zugriff. Der Zugang zur Firewall-Konfiguration selbst ist auf autorisierte Personen beschränkt. Netzwerk- und Systemhärtung folgt dokumentierten Branchenstandards, die mindestens jährlich überprüft und aktualisiert werden. Daten werden sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt.
Monitoring & Logging
Ein zentrales Log-Management-System erfasst sicherheitsrelevante Ereignisse und macht potenzielle Bedrohungen sichtbar. Alle Systeme werden automatisch überwacht, bei Erreichen definierter Schwellenwerte werden Echtzeit-Alerts ausgelöst.
Produktsicherheit
Sicherheit ist direkt ins Produkt eingebaut, nicht nachträglich aufgesetzt. Alle Datenspeicher, die sensible Kundendaten enthalten, sind im Ruhezustand verschlüsselt. Formale Richtlinien regeln die Anforderungen an Vulnerability Management und Systemmonitoring für unser IT- und Engineering-Team: Schwachstellen werden systematisch erfasst, bewertet und behoben. Mindestens einmal jährlich führen wir Control Self-Assessments durch, um sicherzustellen, dass alle Sicherheitskontrollen wie vorgesehen funktionieren. Werden dabei Abweichungen festgestellt, werden Korrekturmaßnahmen eingeleitet und innerhalb definierter SLAs umgesetzt.
Organisatorische Sicherheit
Technik allein reicht nicht. Sicherheit beginnt bei den Menschen, die damit arbeiten.
Einstellung & Überprüfung
Alle neuen Mitarbeitenden durchlaufen Background Checks vor Arbeitsantritt. Bereits beim Onboarding wird ein verbindlicher Code of Conduct unterschrieben. Verstöße dagegen werden gemäß einer festgelegten Disziplinarrichtlinie geahndet. Für externe Dienstleister und Auftragnehmer gelten dieselben Anforderungen: Auch deren Verträge beinhalten den Code of Conduct sowie eine Vertraulichkeitsvereinbarung. Mitarbeitende unterzeichnen die Vertraulichkeitsvereinbarung ebenfalls im Rahmen des Onboardings.
Security Awareness Training
Alle Mitarbeitenden absolvieren innerhalb der ersten 30 Tage ein Security Awareness Training und wiederholen dieses mindestens jährlich. So bleibt Sicherheitsbewusstsein kein einmaliges Event, sondern ein fester Bestandteil des Arbeitsalltags.
Physische Sicherheit & Zugang
Besucher in sicherheitsrelevanten Bereichen müssen sich registrieren, einen Besucherausweis tragen und werden von autorisierten Mitarbeitenden begleitet. Elektronische Datenträger mit vertraulichen Informationen werden nach dokumentierten Verfahren vernichtet, inklusive Vernichtungszertifikat für jedes Gerät.
Regelmäßige Überprüfung
Führungskräfte führen mindestens jährlich Performance-Evaluierungen durch, die auch sicherheitsrelevante Verantwortlichkeiten umfassen.
Datenschutz & Datenverarbeitung
Der Schutz eurer Daten endet nicht bei der Verschlüsselung. Klare Regeln bestimmen, wie Daten klassifiziert, aufbewahrt und gelöscht werden.
Datenklassifizierung
Eine formale Datenklassifizierungsrichtlinie stellt sicher, dass vertrauliche Informationen angemessen geschützt und nur für autorisiertes Personal zugänglich sind. Je nach Sensibilität gelten unterschiedliche Zugriffs- und Verarbeitungsregeln.
Datenaufbewahrung & Löschung
Formale Aufbewahrungs- und Entsorgungsverfahren regeln den gesamten Lebenszyklus von Unternehmens- und Kundendaten. Es wird nur aufbewahrt, was tatsächlich notwendig ist. Bei Vertragsende werden alle vertraulichen Kundendaten vollständig aus der Anwendungsumgebung entfernt, gemäß etablierter Best Practices. Kunden behalten jederzeit die Kontrolle über ihre Daten und können eine Löschung auch vorzeitig veranlassen.
DSGVO-Konformität
anny kann vollständig DSGVO-konform eingesetzt werden. Personenbezogene Daten werden ausschließlich zweckgebunden verarbeitet und nicht an unbefugte Dritte weitergegeben. Alle Details in unserer Datenschutzerklärung.
Business Continuity & Incident Response
Wir haben Continuity- und Disaster-Recovery-Pläne etabliert und testen diese regelmäßig. Ein dokumentiertes Konfigurationsmanagement sorgt dafür, dass Systeme schnell wiederhergestellt werden können. Ergänzt wird das durch über 14 interne Sicherheitsprozeduren, von Change Management bis Incident Response.
