Informationssicherheit bei der dexa group

Die dexa group – Dexa Solutions GmbH und Dexa Systems GmbH mit Sitz in Möhnesee – entwickelt und betreibt das Brandwarnsystem Safe Fire House sowie das Einbruchwarnsystem EWS. Unsere Systeme sind bei Feuerwehren, Kommunen und öffentlichen Auftraggebern im Einsatz und unterstützen Einsatzkräfte im Ernstfall. Vertraulichkeit, Integrität und Verfügbarkeit dieser Systeme haben für uns höchste Priorität und sind unmittelbar in der Geschäftsführung verankert.

Verantwortung

Verantwortlich für die Informationssicherheit der dexa group ist der Geschäftsführer Tim Behrendt. Er legt die Sicherheitsrichtlinien fest, verantwortet das Sicherheitsprogramm und gibt jede Änderung an produktiven Systemen und sicherheitsrelevanten Konfigurationen persönlich frei.

Betrieb in zertifizierten deutschen Rechenzentren

Unsere Server werden in Rechenzentren in Deutschland betrieben, bereitgestellt durch die centron GmbH. Sämtliche Daten werden ausschließlich in Deutschland verarbeitet. Unser Rechenzentrumsbetreiber verfügt über folgende Nachweise:

• ISO/IEC 27001:2024 für Rechenzentrum, Managed Server, IT-Outsourcing und Hosting
• ISO 27001 auf der Basis von IT-Grundschutz, erteilt durch das Bundesamt für Sicherheit in der Informationstechnik (BSI), Schutzbedarf „hoch"
• Testat nach BSI C5:2020 (Cloud Computing Compliance Criteria Catalogue) mit uneingeschränktem Prüfurteil
• ISO 9001:2015 und ISO 14001:2015

Ausgewählte Dienstleister

Dienstleister wählen wir nach ihren Sicherheitsnachweisen aus. Unsere Netz- und Tunnelinfrastruktur stellt Cloudflare bereit; Cloudflare wird jährlich durch einen unabhängigen Prüfer nach BSI C5:2020 testiert. Für Kommunikation und Zusammenarbeit setzen wir Microsoft 365 ein; Microsoft veröffentlicht für seine Cloud-Dienste ein Testat nach BSI C5.

Verschlüsselung

• Übertragung: Sämtliche Verbindungen zu unseren öffentlichen Diensten sind per TLS verschlüsselt. Die Administration von Servern und Geräten im Feld erfolgt ausschließlich über ein privates Netz auf Basis von WireGuard mit Ende-zu-Ende-Verschlüsselung.
• Veröffentlichung von Diensten: Öffentlich erreichbare Dienste werden über verschlüsselte Tunnel bereitgestellt, die ausschließlich von unseren Servern nach außen aufgebaut werden. Unsere Standorte nehmen keine eingehenden Verbindungen aus dem Internet an.
• Zugangsdaten: Passwörter, Schlüssel und Tokens werden ausschließlich verschlüsselt in einem zentralen Credential-Store gespeichert. Jeder Zugriff wird protokolliert. Sicherheitsrelevante Felder in unseren Betriebsdatenbanken werden feldweise mit AES-GCM verschlüsselt.
• Datensicherung: Unsere Datensicherungen werden vor dem Speichern verschlüsselt und auf einem separaten Sicherungsserver abgelegt.

Zugang und Berechtigungen

• Jeder administrative Zugang ist an ein persönliches, namentlich zugeordnetes Konto gebunden. Gemeinsam genutzte Administratorkonten setzen wir nicht ein.
• Administrative Zugänge sind mit FIDO2-Hardware-Sicherheitsschlüsseln geschützt.
• Berechtigungen werden nach Rolle und dem Prinzip der minimalen Rechte vergeben.
• Administrationsschnittstellen sind aus dem Internet nicht erreichbar.
• Jede Brandwarnzentrale beim Kunden erhält eigene Zugangsdaten.

Umgang mit Zugangsdaten

Zugangsdaten werden niemals im Quellcode, in Konfigurationsablagen oder in Dokumentationen gespeichert. Programme erhalten sie zur Laufzeit aus dem Credential-Store. Wird ein Zugangsdatum an einer ungeschützten Stelle aufgefunden, gilt es als kompromittiert und wird ersetzt.

Laufende und tägliche Überwachung

Unsere Systeme werden automatisiert und fortlaufend geprüft:

• Stündlich: Prüfung unserer von außen sichtbaren Angriffsfläche gegen eine festgelegte Sollliste. Jede Abweichung wird gemeldet.
• Alle zehn Minuten: Durchsetzung der Netzregeln für interne Schnittstellen.
• Alle fünf Minuten: Kontrolle, dass Zugangsdaten in unseren Betriebsdatenbanken nicht im Klartext gespeichert sind; Funde werden sofort verschlüsselt.
• Täglich: Prüfung der Gültigkeit aller Zertifikate und Zugangsdaten mit Frühwarnung vor dem Ablauf, Kontrolle der Datensicherungen sowie Funktionsprüfungen unserer Dienste.
• Fortlaufend: Überwachung der Erreichbarkeit und des Zustands aller Brandwarnzentralen im Feld.
• Protokollierung: Schreibzugriffe auf sicherheitsrelevante Konfigurationen unserer zentralen Server werden auf Systemebene revisionssicher protokolliert.

Audits und Überprüfungen

• Unsere Rechenzentrums- und Netzdienstleister werden regelmäßig durch unabhängige Prüfstellen auditiert (siehe oben).
• Intern überprüfen wir Zugänge, Anmeldeaktivitäten, Postfach- und Weiterleitungsregeln, Firewall-Konfigurationen und die Erreichbarkeit unserer Dienste regelmäßig. Festgestellte Abweichungen werden dokumentiert und behoben.
• Jede Änderung an produktiven Systemen folgt einem festen Verfahren: Sicherung vorab, dokumentierter Rückweg, Verifikation nach der Umsetzung. Temporäre Zugänge und Testressourcen werden entfernt und die Entfernung wird nachgewiesen.

Datenschutz

Wir verarbeiten personenbezogene Daten gemäß der Datenschutz-Grundverordnung (DSGVO). Einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO stellen wir unseren Kunden zur Verfügung. Zur Datenschutzerklärung

Meldung von Sicherheitslücken

Wenn Sie eine mögliche Schwachstelle in unseren Produkten oder Diensten feststellen, wenden Sie sich bitte direkt an uns. Wir bestätigen den Eingang Ihrer Meldung, behandeln sie vertraulich und informieren Sie über den weiteren Verlauf.

Kontakt