Sicherheitsübersicht
EU-Betriebsstatus: Anwendung und PostgreSQL wurden in die Tencent-Cloud-Region
Frankfurt migriert. Vor realen Händler- oder Empfängerdaten werden die verbleibenden Produktions-Gates, insbesondere
Datenschutzverträge, Wiederherstellungsprüfung und externe Sicherheitsprüfung, vollständig abgenommen. Es werden
keine nicht vorhandenen Zertifikate behauptet.
Zugriff und Mandantentrennung
- rollenbasierte Benutzer- und API-Berechtigungen;
- logische Trennung der Händlerdaten und serverseitige Mandantenprüfung;
- minimale Plattformberechtigungen und widerrufbare Händlerautorisierung;
- verpflichtende Mehrfaktor-Authentifizierung für Owner- und Lager-Operator-Konten;
- IP-Allowlist für administrative Zugänge; das normale Kundenportal bleibt ortsunabhängig erreichbar;
- Entzug von Mitarbeiterrechten am Tag des Austritts oder Rollenwechsels;
- Auditprotokolle für sicherheits- und betriebsrelevante Vorgänge.
Verschlüsselung und Zugangsdaten
- HTTPS für öffentlich erreichbare Dienste;
- verschlüsselte Speicherung von Plattformtoken und sensiblen Feldern;
- Secrets werden nicht in Browsercode oder Anwendungsprotokollen ausgegeben;
- planmäßige Rotation von Token- und Datenbankschlüsseln mindestens jährlich sowie unverzüglich bei Verdacht auf Kompromittierung.
Betriebssicherheit
- Gesundheits- und Bereitschaftsprüfungen, Rate Limits und restriktive Browser-Sicherheitsheader;
- Backups, Wiederherstellungsprüfungen und dokumentierte Änderungen;
- Datenschutzanfragen, Aufbewahrung und Legal Holds werden nachvollziehbar verwaltet;
- Produktiv-, Test- und Demo-Umgebungen verwenden getrennte Datenbanken, Secrets, Token und Konten;
- jährliche Rechteprüfung, Wiederherstellungsübung und Sicherheitsbewertung.
EU-Betriebsarchitektur und offene Produktions-Gates
- Tencent Cloud Frankfurt für Anwendung und PostgreSQL ist aktiv;
- tägliche logische PostgreSQL-Sicherung mit Integritätsprüfung und 14 Wiederherstellungspunkten ist eingerichtet;
- RPO- und RTO-Ziele werden erst nach dokumentierter Wiederherstellungsübung verbindlich veröffentlicht;
- verschlüsselte, versionierte EU-Offsite-Sicherung mit höchstens 35 Tagen Aufbewahrung ist vor realen Kundendaten noch zu aktivieren und zu testen;
- Tencent Cloud Observability für Infrastrukturüberwachung; keine Weitergabe von Käuferdaten an ein externes Fehlertracking-System ohne gesonderte Prüfung;
- Cloudflare optional für DNS, CDN und WAF nach Vertrags- und Datenschutzprüfung.
Incident Response und Prüfung
- kritische Sicherheitsvorfälle: Eingangsbestätigung innerhalb von 4 Stunden und erste Bewertung innerhalb von 24 Stunden;
- normale Sicherheits- und Technikfragen: erste Antwort innerhalb eines Arbeitstags;
- externer Penetrationstest vor der Verarbeitung realer Bestellungen;
- vorhandene Zertifizierungen werden nur nach dokumentiertem Nachweis veröffentlicht; derzeit wird keine ISO-27001- oder SOC-2-Zertifizierung behauptet.
Sicherheitsmeldungen
Kontakt: Wang Yajun, Geschäftsführung
E-Mail: security@nemomatheo.com
Telefon: +49 155 10910316
Bitte keine Zugangsdaten oder personenbezogenen Daten per unverschlüsselter E-Mail senden.