Compliance und Sicherheit

ISO 27001 Zertifizierung

Turbit befindet sich derzeit im Zertifizierungsprozess nach ISO/IEC 27001. Interne Richtlinien, Kontrollen und Audits sind bereits implementiert, um diesem Standard zu entsprechen.

Kritische Infrastruktur

Nahezu alle Turbit-Kunden werden als Betreiber kritischer Infrastrukturen eingestuft. Die Verifizierung dieser Kunden wurde anhand detaillierter Infrastruktur- und Sicherheitspläne abgeschlossen. Turbit hat keinen direkten Zugriff auf die Steuerungssysteme von Wind- oder Solarparks, was das Sicherheitsrisiko begrenzt und die Verifizierungsprozesse vereinfacht.

Dokumentation für Kunden

Sicherheitsübersicht und Infrastrukturpläne sind auf Anfrage verfügbar. Datenverarbeitungsverträge stehen zur Unterzeichnung bereit.

Unterauftragnehmerliste

Eine aktuelle Unterauftragnehmerliste ist unter NDA verfügbar — fordern Sie sie zusammen mit unserer DPA über das Kontaktformular unten an.

Datenbereiche

• Operational Data wie SCADA, Status-Codes, Sensorsignale, Leistungs- und Wartungsinformationen.
• Kundendaten: Nur essenzielle geschäftliche Kontaktdetails werden gespeichert.

Verschlüsselung

• Während der Übertragung: TLS für alle Schnittstellen.
• Im Ruhezustand: verschlüsselte Speicherung auf Infrastruktur innerhalb der EU.

Datenlokalisierung

• Die gesamte Speicherung und Verarbeitung von Kundendaten erfolgt innerhalb der Europäischen Union.
• Website-Analyse und Marketing-Tools sind hiervon getrennt zu betrachten — die beteiligten Auftragsverarbeiter und deren Garantien für Drittlandübermittlungen finden Sie in der Datenschutzerklärung.

Anbieter und Standort

Unsere Server befinden sich auf europäischen Bare-Metal-Servern in EU-Rechenzentren, die ISO 27001 erfüllen. Nur Turbit hat Zugriff darauf. Geografische Redundanz gewährleistet höchste Verfügbarkeit 24/7.

Architektur

Produktionsdienste und Datenbanken laufen redundant, mindestens drei Services über verschiedene Rechenzentren verteilt. Private Netzwerke, Segmentierung und Firewalls schützen alle Schnittstellen. Regelmäßige Offline- und Cold-Backups werden off-site gespeichert und sind auch für Worst-Case-Szenarien verfügbar.

• Strukturierter Softwareentwicklungszyklus mit Sicherheitsüberprüfungen bei Änderungen.
• Änderungen werden über RFCs und Architectural Decision Records nachverfolgt.
• Wöchentliche automatische Aktualisierungen von Diensten und Betriebssystemen.
• Nur vom Cybersicherheitsteam geprüfte Pakete werden zugelassen.
• Kontinuierliche Überwachung von Sicherheitswarnungen mit schneller Patch-Eingabe.

Account-Lebenszyklus

• Manuelle Benutzererstellung, sofortiger Widerruf möglich.
• Halbautomatische, regelmäßige Zugriffsüberprüfungen.
• Geplante Kontrollmaßnahmen: automatische Deaktivierung inaktiver Konten und erzwungene Passwortrotation für kritische Dienste.

Authentifizierung und Schnittstellen

• Multi-Faktor-Authentifizierung unterstützt.
• API-Zugriff über API-Schlüssel, OAuth 2.0 oder Zertifikate.
• Fernzugriff über 2FA, SSH-Schlüsselauthentifizierung, OpenVPN und OAuth.

Minimale Rechte

• Rollenbasierte Zugriffskontrolle für Mitarbeiter, Kunden und Lieferanten.

• Verbindungen zu externen Einrichtungen werden über das Turbit-Support-Ticket-System bereitgestellt.
• Nur geschultes und autorisiertes Personal hat Zugang zu diesen Bereichen.
• Passwörter werden über ein sicheres One-Time-Transfer-System ausgetauscht.

Personal

• Alle Mitarbeiter absolvieren jährliche Sicherheitsschulung und Phishing-Drills.
• NDAs bei der Einstellung unterzeichnet.

Prävention und Erkennung

• Netzwerksegmentierung und Firewalls sind eingerichtet.
• WORM-Protokollspeicherung und -überwachung mit Betrugserkennungsanalysen, SIEM und IDS.

Patch- und Schwachstellen-Prozess

• Kontinuierliche Überwachung von Cybersicherheitswarnungen.
• Die Schwachstellen werden im internen Ticketsystem priorisiert und je nach Kritikalität behoben.

Verletzungsmitteilung

Wir benachrichtigen betroffene Datenverantwortliche innerhalb von 72 Stunden nach einer bestätigten Verletzung personenbezogener Daten gemäß GDPR Artikel 33.

Verantwortungsvolle Offenlegung

Haben Sie eine Sicherheitslücke gefunden? Melden Sie sie über das Kontaktformular unten — jede Einreichung wird von unserem Engineering-Team bewertet.

• Mindestens wöchentliche Hot-Backups durchführen.
• Vierteljährliche Offline-Cold-Backups, off-site gespeichert.
• Monatliche automatisierte Wiederherstellungstests und halbjährliche manuelle Übungen.

Umfassendes Audit-Logging wird für ISO-Konformität eingeführt und erfasst Anmeldungen, Zugriffe, Konfigurationsänderungen und Admin-Aktionen in WORM-Speicher.

Die KI von Turbit zur Überwachung ist als minimales/begrenztes Risiko ohne autonome sicherheitskritische Steuerung klassifiziert. Wir implementieren Transparenz, Erklärbarkeit und menschliche Aufsicht in all unseren KI-Produkten gemäß GDPR und EU AI Act.

Die Dokumentation, Audit-Protokolle und Verletzungsmitteilungsverpflichtungen von Turbit unterstützen die NIS2-Verpflichtungen unserer Kunden gemäß Anlage I — Risikoanalyse, Incident Handling und Supply-Chain-Sicherheit.