Sicherheitsrichtlinie

Zertifizierungen und Bewertungen

Wir pflegen die folgenden Sicherheitszertifizierungen und unterziehen uns regelmäßigen Bewertungen:

• SOC 2 Type II Zertifizierung (in Bearbeitung)
• Jährliche Penetrationstests durch Dritte
• Kontinuierliche Schwachstellenscans
• Regelmäßige Sicherheitsaudits durch unabhängige Firmen

Detaillierte Sicherheitsberichte sind unter apilium.com/security verfügbar

Code-Datenfluss

Wenn Sie Apilium Forge IDE verwenden, fließt Ihr Code durch unsere sichere Infrastruktur:

• Ihr Code wird während der Übertragung mit TLS 1.3 verschlüsselt
• Anfragen werden über unsere Backend-Server verarbeitet, die auf AWS gehostet werden
• KI-Verarbeitung wird von unseren Modellanbietern mit Null-Aufbewahrungsvereinbarungen durchgeführt
• Bei aktiviertem Datenschutzmodus wird kein Klartext-Code nach Abschluss der Anfrage gespeichert

Infrastrukturpartner

Verschlüsselung

Daten bei Übertragung: Alle Daten, die zwischen Apilium Forge und unseren Servern übertragen werden, sind mit TLS 1.3 mit starken Cipher-Suites verschlüsselt

Daten im Ruhezustand: Alle gespeicherten Daten sind mit AES-256-GCM-Verschlüsselung verschlüsselt

Verschlüsselungsschlüssel werden mit AWS KMS mit automatischer Rotation alle 90 Tage verwaltet

Für Enterprise-Kunden bieten wir Ende-zu-Ende-Verschlüsselung an, bei der nur Sie die Entschlüsselungsschlüssel besitzen

Zugriffskontrollen

• Multi-Faktor-Authentifizierung (MFA) für alle Mitarbeiterkonten erforderlich
• Hardware-Sicherheitsschlüssel (FIDO2/WebAuthn) für privilegierten Zugriff
• Rollenbasierte Zugriffskontrolle (RBAC) mit Prinzip der geringsten Berechtigung
• Just-in-Time-Zugriffsbereitstellung für Produktionssysteme
• Vierteljährliche Zugriffsüberprüfungen und sofortige Deaktivierung bei Ausscheiden
• IP-Allowlisting und VPN-Anforderungen für administrativen Zugriff

Netzwerksicherheit

• Web Application Firewall (WAF) mit benutzerdefinierten Regelsätzen
• Enterprise-Grade DDoS-Mitigation (Cloudflare Magic Transit)
• Netzwerksegmentierung mit privaten Subnetzen für sensible Dienste
• Intrusion Detection/Prevention Systeme (IDS/IPS)
• Kontinuierliche Netzwerkverkehrsüberwachung und Anomalieerkennung
• Regelmäßige externe und interne Penetrationstests

Anwendungssicherheit

• Secure Software Development Lifecycle (SSDLC) mit Sicherheits-Gates
• Obligatorische Code-Reviews mit sicherheitsfokussierter Checkliste
• Static Application Security Testing (SAST) in der CI/CD-Pipeline
• Dynamic Application Security Testing (DAST) für bereitgestellte Anwendungen
• Software Composition Analysis (SCA) für Abhängigkeitsschwachstellen
• Regelmäßige Sicherheitsschulungen für alle Entwickler
• Schutz gegen OWASP Top 10 und SANS Top 25 Schwachstellen

Client (IDE) Sicherheit

Apilium Forge IDE wurde mit Sicherheit im Fokus entwickelt:

• Code-signierte Binärdateien für alle Plattformen (Windows, macOS, Linux)
• Automatische Sicherheitsupdates mit Rollback-Fähigkeit
• Sandboxed Extension-Ausführungsumgebung
• Lokale Verschlüsselung von gecachten Daten und Anmeldeinformationen
• Konfigurierbarerer Netzwerkzugriff mit Allowlist-Domains
• Unterstützung für .apiliumignore zum Ausschluss sensibler Dateien von der KI-Verarbeitung

Mitarbeiter-Sicherheitsschulungen

Alle Apilium-Mitarbeiter durchlaufen umfassende Sicherheitsschulungen:

• Sicherheitsbewusstseinsschulung beim Onboarding
• Vierteljährliche Sicherheitsschulungs-Updates und -Bewertungen
• Monatliche Phishing-Simulationsübungen
• Rollenspezifische Sicherheitsschulungen für Ingenieure
• Jährliche Incident-Response-Tabletop-Übungen

Sicherheitsrichtlinien

Wir pflegen und setzen umfassende Sicherheitsrichtlinien durch:

• Informationssicherheitsrichtlinie und -standards
• Acceptable Use und Zugriffskontrollrichtlinien
• Incident Response und Kommunikationsplan
• Business Continuity und Disaster Recovery Plan
• Anbieter-Sicherheitsbewertungsanforderungen
• Datenklassifizierungs- und Handhabungsrichtlinien
• Change Management und Release-Verfahren

Mitarbeiterüberprüfung

Alle Mitarbeiter mit Zugang zu Kundendaten durchlaufen Hintergrundüberprüfungen entsprechend ihrer Rolle und Zuständigkeit und unterzeichnen Vertraulichkeitsvereinbarungen.

Enterprise-Datenschutzoptionen

• On-Premises-Bereitstellung für vollständige Datenhoheit
• Dedizierte Infrastruktur, isoliert von anderen Kunden
• Benutzerdefinierte Datenresidenzanforderungen (nur EU, bestimmte Regionen)
• Bring-your-own-Key (BYOK) Verschlüsselung
• Private Netzwerkkonnektivität (AWS PrivateLink, VPN)

Datenklassifizierung

Wir klassifizieren alle Daten basierend auf Sensibilitätsstufe:

• Öffentlich: Marketingmaterialien, öffentliche Dokumentation
• Intern: Interne Prozesse, nicht-sensible Geschäftsdaten
• Vertraulich: Kundenkontodaten, Support-Kommunikation
• Eingeschränkt: Kundencode, Anmeldeinformationen, Sicherheitskonfigurationen

Backup und Wiederherstellung

Wir pflegen robuste Backup- und Disaster-Recovery-Fähigkeiten:

• Verschlüsselte, geografisch verteilte Backups
• Point-in-Time-Wiederherstellung für Datenbanken (bis zu 35 Tage)
• Recovery Time Objective (RTO): 4 Stunden
• Recovery Point Objective (RPO): 1 Stunde
• Vierteljährliche Disaster-Recovery-Tests
• Multi-Region-Failover-Fähigkeit

Incident Response Prozess

Wir folgen einem strukturierten Incident-Response-Prozess:

• Erkennung: 24/7 automatisierte Überwachung und Alarmierung
• Triage: Sicherheitsteam-Bewertung innerhalb von 15 Minuten
• Eindämmung: Sofortige Isolierung betroffener Systeme
• Untersuchung: Ursachenanalyse und Auswirkungsbewertung
• Beseitigung: Entfernung der Bedrohung und Systemhärtung
• Wiederherstellung: Kontrollierte Wiederherstellung der Dienste
• Post-Mortem: Lessons Learned und Prozessverbesserungen

Benachrichtigung bei Sicherheitsverletzungen

Im Falle einer Sicherheitsverletzung, die Ihre Daten betrifft, verpflichten wir uns zu:

• Benachrichtigung betroffener Nutzer innerhalb von 72 Stunden nach bestätigter Verletzung
• Klare Details darüber, welche Daten betroffen waren
• Erklärung der Maßnahmen, die wir zur Behebung des Vorfalls ergreifen
• Anleitung zu Schritten, die Sie zu Ihrem Schutz unternehmen können
• Benachrichtigung relevanter Aufsichtsbehörden wie gesetzlich vorgeschrieben
• Regelmäßige Updates, bis der Vorfall behoben ist

Im Geltungsbereich

• Apilium Forge IDE (alle Plattformen)
• api.apilium.com und alle Subdomains
• portal.apilium.com (Kundenportal)
• apilium.com (Website)

Wie melden

Wenn Sie eine Sicherheitsschwachstelle entdecken:

• E-Mail an [email protected] mit detaillierten Schwachstelleninformationen
• Schritte zur Reproduktion, potenzielle Auswirkungen und Proof-of-Concept angeben
• Für sensible Berichte unseren PGP-Schlüssel verwenden (verfügbar auf unserer Sicherheitsseite)
• Bis zu 90 Tage für die Behebung vor öffentlicher Offenlegung einräumen

Unser Versprechen

Wir verpflichten uns gegenüber Sicherheitsforschern zu:

• Empfangsbestätigung innerhalb von 24 Stunden
• Erste Bewertung innerhalb von 5 Werktagen
• Information über den Behebungsfortschritt
• Nennung in unseren Sicherheitsdanksagungen (sofern keine Anonymität gewünscht)
• Keine rechtlichen Schritte bei gutgläubiger Sicherheitsforschung

Wir bieten Belohnungen für qualifizierende Schwachstellen. Kontaktieren Sie uns für aktuelle Programmdetails.

Anbieter-Sicherheitsanforderungen

Alle Anbieter mit Zugang zu Kundendaten müssen unsere Sicherheitsanforderungen erfüllen:

• Vollständiger Sicherheitsfragebogen und Risikobewertung
• SOC 2 Type II oder gleichwertige Zertifizierung
• Datenverarbeitungsvertrag (DPA) mit DSGVO-konformen Klauseln
• Jährliche Sicherheitsüberprüfung und Rezertifizierung
• Sofortige Benachrichtigungsanforderungen bei Verletzungen

Unterauftragsverarbeiter

Aktuelle Unterauftragsverarbeiter mit Zugang zu Kundendaten:

• AWS (Infrastruktur) - US/EU
• Anthropic, OpenAI (KI-Modelle) - US mit Null-Aufbewahrung
• Stripe (Zahlungsabwicklung) - US/EU
• Cloudflare (CDN/Sicherheit) - Global
• MongoDB Atlas (Datenbank) - EU
• SendGrid (E-Mail) - US

Wir benachrichtigen Kunden 30 Tage vor dem Hinzufügen neuer Unterauftragsverarbeiter. Aktuelle Liste verfügbar unter apilium.com/compliance