Lassen Sie uns sprechen Informationssicherheit
Wir arbeiten mit Lebensläufen, Kontaktdaten und Gehaltsvorstellungen, mit Informationen also, die Menschen uns im Vertrauen überlassen. Wer sich bei uns bewirbt oder uns mit einer Suche beauftragt, soll sich darauf verlassen können, dass diese Daten sicher verwahrt sind.
Warum uns das wichtig ist
Diese Seite beschreibt, wie wir unsere IT-Infrastruktur abgesichert haben. Sie richtet sich an Kunden, Bewerberinnen und Bewerber, Partner sowie an alle, die wissen möchten, wie wir mit ihren Daten umgehen. Technische Einzelheiten nennen wir bewusst nur so weit, wie es zum Verständnis nötig ist.
Unser Grundsatz
Klassische IT-Sicherheit ging davon aus, dass das Firmennetz „innen“ sicher und alles andere „außen“ gefährlich sei. Diese Annahme trägt nicht mehr, schon gar nicht in einer Zeit, in der geteilte Büroflächen, mobiles Arbeiten und Cloud-Dienste selbstverständlich sind. Wir haben unsere Infrastruktur deshalb nach einem anderen Prinzip aufgebaut.
Kein Netzwerk gilt als vertrauenswürdig, auch unser eigenes nicht. Jeder Zugriff wird geprüft, jede Verbindung kontrolliert.
Daraus leiten sich drei Regeln ab, an denen sich jede einzelne Maßnahme messen lassen muss.
Wir verlassen uns nicht darauf, dass ein Dienst durch ein Passwort geschützt ist. Was von außen keine Aufgabe hat, nimmt von außen auch keine Verbindungen an.
Der Kontrollpunkt zwischen unseren Systemen und dem Internet wird von uns betrieben, nicht von einem Dritten.
Wer im Büro sitzt, hat deshalb noch keine Berechtigung. Zugriff setzt ein authentifiziertes, dem Unternehmen bekanntes Gerät voraus.
Technik
Zwischen unseren Arbeitsplätzen und dem Internet steht ein von uns betriebenes Sicherheits-Gateway. Sämtlicher Datenverkehr läuft hindurch: in beide Richtungen, von jedem Gerät, ob per Kabel oder WLAN. Einen Weg daran vorbei gibt es nicht; das haben wir messtechnisch überprüft.
Das Gateway untersucht den Datenverkehr fortlaufend anhand eines Regelwerks aus rund 48.000 aktuellen Angriffssignaturen. Erkannte Bedrohungen werden verworfen, bevor sie ein Endgerät erreichen, darunter Schadsoftware, Verschlüsselungstrojaner, Phishing-Infrastruktur und Werkzeuge zum Missbrauch fremder Rechenleistung.
Das Regelwerk wird täglich automatisch aktualisiert. Neue Angriffsmuster sind damit in der Regel innerhalb eines Tages wirksam, ohne dass der Schutz dafür unterbrochen wird.
Von außen ist keiner unserer Dienste erreichbar. Die Firewall arbeitet nach dem Prinzip „alles verweigern“; Ausnahmen bestehen ausschließlich für ausdrücklich freigegebene, authentifizierte Verbindungswege.
Im Rahmen der Umstellung haben wir sämtliche historisch gewachsenen Freigaben überprüft und alles entfernt, was keinen aktiven Zweck mehr erfüllt. Nicht benötigte Funktionen werden bei uns abgebaut, nicht bloß abgeschaltet. Eine deaktivierte Komponente kann versehentlich wieder aktiv werden, eine entfernte nicht.
Mitarbeitende greifen von unterwegs ausschließlich über ein privates, Ende-zu-Ende verschlüsseltes Netzwerk zu, in dem jedes Gerät einzeln authentifiziert ist. Es gibt keine ins Internet geöffneten Fernwartungszugänge und keinen Zugang, der allein durch die Kenntnis einer Adresse zu erreichen wäre.
Adressvergabe und Namensauflösung im Büronetz betreiben wir selbst. Damit ist ausgeschlossen, dass ein fremdes System unseren Geräten unbemerkt einen anderen Weg ins Internet unterschiebt. Das ist ein bekannter Angriffsweg in gemeinsam genutzten Büroumgebungen.
Ein Lagebild zeigt fortlaufend den Zustand aller Sicherheitskomponenten, die erkannten Ereignisse und alle aktiven Geräte. Sicherheitsrelevante Vorgänge werden protokolliert und bleiben nachvollziehbar. Der Zugang zu dieser Übersicht ist auf authentifizierte Geräte beschränkt.
Sicherheitsvorkehrungen, die unbemerkt ausfallen, sind gefährlicher als gar keine. Unsere Kontrollmechanismen überwachen sich deshalb gegenseitig: Ein automatischer Wächter prüft laufend, ob die Prüfung des Datenverkehrs tatsächlich greift, stellt den Sollzustand bei Abweichungen selbsttätig wieder her und protokolliert jeden Eingriff.
Wirksamkeit
Eine Sicherheitsmaßnahme gilt uns erst dann als wirksam, wenn wir ihre Wirkung nachgewiesen haben, nicht schon, wenn sie eingerichtet ist.
Deshalb prüfen wir mit eigens angelegten Testfällen regelmäßig, ob unsere Angriffserkennung tatsächlich blockiert, ob von außen wirklich kein Dienst erreichbar ist und ob es keinen Weg an der Prüfung vorbei gibt. Diese Tests sind jederzeit wiederholbar und dokumentiert.
Jede Änderung an der Infrastruktur wird vor ihrer Durchführung gesichert und bleibt damit rückführbar.
Standards
Unsere technischen Maßnahmen orientieren sich an den Empfehlungen gängiger Sicherheitsstandards, insbesondere an den Themenfeldern Netzwerksicherheit, Netzwerktrennung, Überwachung, Protokollierung und Schutz vor Schadsoftware nach ISO/IEC 27001, Anhang A, sowie an den Bausteinen des BSI IT-Grundschutz.
Wir weisen ausdrücklich darauf hin, dass NOBA Experts nicht nach ISO/IEC 27001 zertifiziert ist. Eine Zertifizierung setzt ein förmliches Informationssicherheits-Managementsystem samt externer Auditierung voraus. Die hier beschriebenen Maßnahmen bilden dessen technische Grundlage; der organisatorische Ausbau ist Gegenstand unserer weiteren Planung.
Diese Unterscheidung ist uns wichtig: Wir beschreiben, was wir tatsächlich umgesetzt haben, und behaupten keine Konformität, die wir nicht nachweisen können.
DSGVO
Die technischen Maßnahmen dieser Seite dienen zugleich der Erfüllung unserer Pflichten aus Artikel 32 DSGVO (Sicherheit der Verarbeitung). Verschlüsselte Übertragung, Zugriffsbeschränkung und die Fähigkeit, Sicherheitsvorfälle zu erkennen, sind dort ausdrücklich gefordert.
Eine bewusste Grenze ziehen wir beim Aufbrechen verschlüsselter Verbindungen: Technisch wäre eine tiefere Inhaltsprüfung möglich, sie würde jedoch bedeuten, dass wir die verschlüsselte Kommunikation unserer Mitarbeitenden mitlesen. Das lehnen wir aus Gründen des Persönlichkeitsschutzes ab und nehmen den geringeren Erkennungsumfang bewusst in Kauf.
Ehrlich gesagt
Absolute Sicherheit gibt es nicht, und wir halten wenig von Anbietern, die etwas anderes behaupten. Unsere Maßnahmen senken das Risiko erheblich, sie beseitigen es nicht.
Wir arbeiten deshalb nach dem Grundsatz mehrerer voneinander unabhängiger Schutzschichten: Fällt eine aus, greifen die übrigen weiter. Und wir gehen davon aus, dass sich die Bedrohungslage laufend verändert. Informationssicherheit ist für uns ein fortlaufender Prozess, kein einmal erreichter Zustand.
