Die Software-as-a-Service-Lösung von Uberall basiert auf einer sicherheits- und datenschutzorientierten Philosophie. Uberalles robuste Datensicherheitsmaßnahmen in Verbindung mit umfassenden Audits seiner Anwendungen, Infrastruktur und Netzwerke stellen sicher, dass Kundendaten immer geschützt sind. Über 1.000.000 Geschäftseinheiten (Standorte) weltweit vertrauen Uberall bei der Verwaltung ihrer sensiblen Geschäfts- und Endbenutzerdaten an.

Compliance & Datenschutz

DSGVO

Uberall setzt sich vollständig für den Schutz und die Achtung der Privatsphäre seiner Benutzer ein und befolgt die geltenden Datenschutzgesetze, insbesondere die DSGVO.

Um die kontinuierliche Einhaltung der Datenschutzgesetze zu gewährleisten, hat eine identifizierte Rolle die Verantwortung, alle datenschutzrelevanten Aktivitäten innerhalb der Uberall-Gruppe zu überwachen und zu koordinieren.

Gleichzeitig ist sich Uberall bewusst, dass die dauerhafte Sicherung des Datenschutzes eine gemeinsame Anstrengung ist. Die Mitarbeiter von Uberall durchlaufen Datenschutzschulugen, um sicherzustellen, dass alle Geschäftseinheiten ihre Aktivitäten unter Berücksichtigung von Datenschutzaspekten kontinuierlich überprüfen und optimieren.

Im Rahmen der vertraglichen Erbringung von Dienstleistungen nutzt Uberall Dritte als Verarbeiter personenbezogener Daten im Sinne von Art. 28 der DSGVO. Eine Übersicht solcher Verarbeiter sowie die technischen und organisatorischen Maßnahmen von Uberall nach Artikel 32 Abs. 1 der DSGVO (TOM) finden du hier.

Infrastruktursicherheit

Uberall wird vollständig auf Amazon Web Services (AWS) gehostet und nutzt alle integrierten Sicherheits-, Datenschutz- und Redundanzfunktionen der Plattform, um den höchsten Standard bei Datenschutz und Datensicherheit für deine Kunden zu gewährleisten. Jede AWS-Region ist so konzipiert und gebaut, dass sie strenge Compliance-Standards erfüllt, darunter ISO/IEC 27001:2013, SOC 1, PCI DSS Level 1. Für detaillierte Informationen schaue auf der AWS Compliance-Seite nach. AWS erklärt sich als vollständig konform mit allen geltenden EU-Datenschutzgesetzen. Weitere Informationen zur AWS-Sicherheit findest du hier.

Netzwerksicherheit: AWS Network Firewall wird für grundlegenden Netzwerkschutz verwendet. Eine Default-Deny-Strategie wird angewendet, um nur erforderlichen Datenverkehr zuzulassen.

DDoS-Prävention: AWS Shield bietet mehrere DDoS-Minderungsfunktionen, um Störungen durch bösartigen Datenverkehr zu verhindern und gleichzeitig legitimen Datenverkehr durchzulassen. Dies hält Uberalles Websites, Anwendungen und APIs hoch verfügbar und leistungsfähig.

Eindringlingserkennung & Prävention: Uberall nutzt AWS GuardDuty als Bedrohungserkennung und kontinuierliches Überwachungstool für die Infrastruktur.

• Alle drahtlosen Netzwerke sind mit WPA3-PSK geschützt.

DMZ: Nur Balancer und Bastion-Hosts sind aus dem Internet erreichbar; alle anderen Ressourcen sind in einer privaten VPC

Interne Sicherheit

• Single Sign-On: Uberall-Mitarbeiter verbinden sich mit allen internen Tools und Drittanbieter-Diensten über Google Single Sign-On (SSO), um eine minimale Passwort-Sicherheitsoberfläche zu gewährleisten
• MFA: Alle Mitarbeiter müssen MFA für ihr Google-Konto verwenden, und verdächtige Anmeldungen und Ereignisse werden von Google Suite überwacht und regelmäßig von unserem IT-Team überprüft
• Passwörter-Stärke: Wir erzwingen global starke Passwortregeln für Google-Konten, und Google Suite hält sich an bewährte Branchenpraktiken beim Verschlüsseln und Salzen von Passwörtern

Anwendungssicherheit

Rollenbasierte Zugriffskontrolle

Uberall nutzt rollenbasierte Zugriffskontrollrichtlinien, um den Systemzugriff auf autorisierte Benutzer zu beschränken. Du kannst eine detaillierte Kontrolle der Zugriffsgenehmigungen in zwei Dimensionen konfigurieren - Benutzerebene, Funktionsebene. Routinen werden regelmäßig (mindestens wöchentlich) durchgeführt, um sicherzustellen, dass es keine Abweichungen von vordefinierten Erwartungen und Richtlinien gibt. Erfahre mehr über Benutzerzugriffskontrolle.

Schwachstellen-Management

Hier sind einige wichtige Aspekte unseres Schwachstellen-Handhabungsansatzes:

• Internes Sicherheitsteam, das Uberalles Kernanwendungen ständig gegen die OWASP Top 10 Sicherheitsrisiken scannt und alle entdeckten Probleme behebt.
• Automatisierte Scans mit OWASP ZAP zur Erkennung von Sicherheitsschwachstellen. Uberall-Server werden regelmäßig mit den neuesten Sicherheitsupdates gepatcht. (OS, Bibliotheken, Anwendungen)
• Patching: Für OS-Sicherheits-Patches haben wir unattended-upgrades aktiviert, damit diese automatisch angewendet werden. Bibliotheken und Anwendungen werden kontinuierlich gescannt und manuell aktualisiert, sobald Schwachstellen entdeckt und Upgrades getestet wurden.
• Regelmäßige SpotBugs-, Sonarqube- und CodeNarc-Scans zur Überwachung unserer Code-Repositories und zur Durchsetzung von Coding-Standards und Best Practices.
• Intrusion Detection System (AWS GuardDuty). Kontinuierliche Überwachung von AWS-Netzwerkdatenverkehr und Workloads auf bösartige oder nicht autorisierte Aktivitäten.

CSRF

Alle POST-Anforderungen werden vor der Verarbeitung auf CSRF-Token überprüft.

Cross-Site Scripting XSS

Alle Benutzereingaben werden beim Anzeigen ordnungsgemäß kodiert und bereinigt. Uberall hat Content Secure Policy aktiviert, um eine zusätzliche Sicherheitsebene zur Eindämmung von Cross-Site Scripting XSS und Dateninjektionsangriffen zu bieten.

SQL-Injection

Uberall nutzt ORMs und führt serverseitige Validierungen durch, um SQL-, NoSQL-, OS- und LDAP-Injection-Angriffe zu vermeiden.

Logging & Überwachung

• Uberall hat angemessene Verfolgungsmaßnahmen eingeführt, um die Rechenschaftspflicht durchgeführter Operationen zu gewährleisten und anomale oder verdächtige Ereignisse zu überwachen und zu analysieren.
• Uberall speichert Protokolle für alle von Diensten gesammelten Informationen, Netzwerkdatenverkehr, alle Anmeldungen, Zugriffskontrollfehler, serverseitige Validierungsfehler bei der Eingabe und Administratoraktivitäten, um nur einige zu nennen.
• Diese Protokolle werden in Echtzeit überwacht und analysiert, um potenziell bösartige oder nicht autorisierte Aktivitäten zu identifizieren.
• Alle Protokolldateiinformationen werden in eine zentrale Datenbank repliziert, um Verlust oder Manipulation zu verhindern und die Lebenszyklusverwaltung von Audit-Protokollen zu unterstützen.
• Uberall nutzt AWS GuardDuty zur Bedrohungserkennung und kontinuierlichen Überwachung des gesamten ein- und ausgehenden Datenverkehrs.

Incident Management

Uberall hat einen Incident-Response-Prozess für Sicherheitsereignisse, die die Integrität oder Verfügbarkeit unserer Systeme und Daten beeinträchtigen könnten, eingerichtet. Dieser umfasst:

• Ständige Überwachung und Eindringlingserkennung
• Erstellung von Warnungen, Benachrichtigung von Kunden, Incident-Tickets und eines dedizierten Task Force zur Bewertung des Problems
• Bewertung des Schweregrad und des Ausmaßes des Schadens
• Eindämmung des Verstoßes
• Beseitigung der Grundursache
• Wiederherstellung und Rückkehr zum Normalbetrieb
• Post-Mortem, Dokumentation

Sicherheitsvorfälle melden

Sicherheitsvorfälle können unter security@uberall.com (oder intern in #security) gemeldet werden.

Das Sicherheitsteam überprüft alle Meldungen und ergreift die erforderlichen Maßnahmen (z. B. erhöht ein internes Ticket).

Geschäftskontinuität

Um die Produktresilienz bei unvorhergesehenen Problemen zu gewährleisten, halten wir eine strikte Geschäftskontinuitätsrichtlinie ein, einschließlich:

• Tägliche Datenbank-Backups, dupliziert über drei Verfügbarkeitszonen
• Regelmäßig getesteter Katastrophenwiederherstellungsplan zur Neustartung ausgefallener Infrastruktur
• Automatisierte Warnungen über alle Systeme, um Probleme von Anfang an zu erfassen