Ihre Daten sind unsere Verantwortung
In unserem Security & Trust Center finden Sie die neuesten Informationen zur technischen Sicherheit und Datenschutz.
Die Sicherheit unseres digitalen Arbeitsplatzes
Zero Trust Architektur
Eine sichere Zugangsverwaltung ist ein wichtiger Eckpfeiler in jedem technologiegestützten Unternehmen. Mit einer SASE-Architektur validieren und authentifizieren wir die Datenübertragung auf kontextbasierte Weise (unter Berücksichtigung des Geräts des Benutzers, seines Zustands, seines Standorts usw.).
Sensibilisierung und Aufklärung
Der Faktor Mensch: Datensicherheit liegt auch in der Verantwortung der Nutzer. Wir unterstützen Menschen gezielt beim sicheren Einsatz und bei der Nutzung von Daten. Unsere Teams durchlaufen ein spezielles Sicherheits-Onboarding, bei dem wir ein Bewusstsein für die wichtigsten Gefahren innerhalb unseres Unternehmens schaffen.
Sichere Kommunikation und Zusammenarbeit
Um Daten während der täglichen Arbeit zu sichern, verlassen wir uns auf eine starke Grundlage. Alasco nutzt Google Workplace (Enterprise), Ende-zu-Ende-verschlüsselte Kommunikationskanäle und weitere spezielle Lösungen, um sicherzustellen, dass die Daten zu jedem Zeitpunkt sicher sind.
Die Sicherheit unserer Infrastruktur und Anwendungen
Cloud Security Posture Management
Um die Sicherheit unserer AWS-Umgebung kontinuierlich zu verbessern, setzen unsere Teams spezielle Sicherheitstools ein, die kontinuierliche Sicherheitsprüfungen durchführen. Dabei handelt es sich um die Lösungen Cloud Security Posture Management (CSPM) und Cloud Infrastructure & Entitlement Management (CIEM).
System- und Laufzeit-Sicherheit
Neben der fast vollständigen Nutzung von serverlosen Konzepten wie AWS Fargate setzen wir auf gezielte Sicherheitsvorkehrungen in jeder von uns verwalteten Laufzeit von Programmen. Dazu gehören Lösungen für Endpoint Detection & Response (EDR) und Vulnerability Management (VM), um potentielle Sicherheitsrisiken frühzeitig zu identifizieren.
Edge-Sicherheit
Die Infrastruktur von Alasco wird durch das Edge-Netzwerk von Cloudflare und die damit verbundenen Funktionen für Web Application and API Protection (WAAP) geschützt. Diese zusätzliche Sicherheitsebene schützt vor 0day-Exploits, volumetrischen Angriffen und mehr.
Angriffsflächenmanagement
Sich in die Position von Angreifern zu versetzen, ist eine wichtige (und sehr wirksame) strategische Waffe gegen Angriffe. Bei Alasco steht unsere externe Angriffsfläche unter ständiger Kontrolle, um Eintrittspunkte für Angriffe von außen zu minimieren.
Eine Datenbasis, auf die Sie sich verlassen können
EU-Hosting, Zero-Trust-Architektur und Verschlüsselung nach Industriestandard: Sicherheit ist die Grundlage jeder Zahl, die Sie mit Banken, Investoren und Aufsichtsgremien teilen.
Die Sicherheit von Kundendaten
EU-Datenhosting
Das EU-basierte Datenhosting von Alasco ist eine der wichtigsten Entscheidungen, die schon früh getroffen wurden. AWS ist ein expliziter Bestandteil unseres Sicherheitsmodells und bietet Alasco modernste Technologie, Sicherheitsvorkehrungen und die Einhaltung von Branchenstandards.
Mehrmandantenfähigkeit
Bei Alasco kommen strenge Grundsätze der Datentrennung zur Anwendung. Dies bedeutet, dass die Daten unserer Kunden auf der Speicherebene klar voneinander getrennt sind und strenge Zugriffsregelungen gelten. Selbst intern haben nur autorisierte Personen innerhalb von Alasco Zugang zu diesen Daten.
Datenverschlüsselung
Die Verschlüsselung ist ein wichtiger Bestandteil der Datensicherheitsstrategie von Alasco. An jedem Punkt, an dem Daten zwischen unseren Systemen verarbeitet werden, setzen wir auf Transport Layer Security (TLS) für die Transitverschlüsselung. Dies verhindert das Abhören von Daten. Für Daten, die "im Ruhezustand" gespeichert werden, nutzen wir die nativen AWS-Funktionen, um unsere Datenspeicher standardmäßig zu verschlüsseln (S3, RDS, EBS).
Bereichsübergreifende Sicherheitsinitiativen
Bug Bounty Program
Alasco steht in engem Austausch mit der Cybersicherheit-Community. Wir schätzen deren Hilfe bei der Identifizierung von Schwachstellen in unseren Produkten sehr. Mit unserem Bug Bounty Programm schaffen wir Anreize für Externe, uns dabei zu unterstützen, unser Angebot noch sicherer zu machen.
Beeinträchtigungen und Verstöße
Der Umgang mit Sicherheitsrisiken folgt einem klaren Prozess: Aktionen, Eskalationen, Schadensbegrenzungen, Lösungen und Benachrichtigungen für alle potenziellen Vorfälle sind festgelegt, die sich auf die Sicherheit unserer Plattform oder unserer Daten auswirken.
Die kontinuierliche Modellierung von Bedrohungen
Unser Sicherheitsteam führt regelmäßige Workshops durch, in denen aus einem risikozentrischen Blickwinkel heraus Risikoszenarien modelliert werden. Sicherheitslücken und Verbesserungspotenziale werden so schnell identifiziert und behoben.
FAQ
Produktsicherheit
Wie stellt Alasco die Sicherheit beim Login sicher?
Die Authentifizierung auf unserer Plattform basiert auf der Auth0-Technologie (ein Okta-Unternehmen). Wir unterstützen die Integration von externen Identitätsanbietern, wenn Sie Alasco mit Ihrer unternehmensinternen Arbeitsplatz-IDP verbinden möchten.
Unterstützt Alasco Multi-Faktor-Authentifizierung (MFA)?
Ja.
Können Nutzeraktivitäten oder Audit-Trails bereitgestellt werden?
Diese können wir auf Anfrage zur Verfügung stellen.
FAQ
Datensicherheit
Wo verarbeitet oder speichert Alasco Kundendaten?
Unsere Anwendung wird auf AWS in der EU gehostet und unterliegt den EU-GDPR-Bestimmungen und ist mit diesen konform.
Verschlüsselt Alasco meine Daten während der Übertragung und im Ruhezustand?
Für die Datenübermittlung nutzen wir den Verschlüsselungs-Standard TLS für eingehenden HTTP-Verkehr und Verbindungen zwischen internen Diensten.
Für unsere Anwendung nutzen wir mehrere AWS-eigene Speichermechanismen (RDS, S3, SNS, SQS). Für die Alasco Kundendaten im Ruhezustand kommen AWS-eigene Verschlüsselungsmechanismen zum Einsatz. RDS zum Beispiel verschlüsselt Daten mit kryptografischen Schlüsseln, die in AWS KMS gespeichert sind. Der Verschlüsselungsalgorithmus AES-256 wird zur Verschlüsselung von RDS-Speicher, Backups, Read Replicas, Snapshots o. Ä. verwendet.
Wer hat Zugriff auf die von Alasco verwalteten Daten?
Unsere allgemeinen Sicherheitsprinzipien beruhen auf den Zero-Trust und Need-to-know Grundsätzen. Daher erhalten nur ausgewählte Kundenbetreuer:innen Zugang zu Kundendaten. Darüber hinaus hat unsere Technologieabteilung, die die Plattform betreibt, Zugang zu der zugrunde liegenden Infrastruktur und den Datenbanken.
FAQ
Governance, Risiko, Compliance
Verfügt Alasco über ein Informationssicherheitsprogramm?
Ja. Unser Sicherheitsteam ist für das Sicherheitsprogramm von Alasco verantwortlich, das beispielsweise jährliche Zielvorgaben, Designprinzipien oder Architekturentscheidungen beinhaltet. Die Sicherheit der Daten unserer Kunden hat für uns oberste Priorität, und wir investieren weiterhin in die besten Tools, um dieses Versprechen zu erfüllen.
Ist das Sicherheitsprogramm von Alasco an Branchenstandards ausgerichtet?
Ja. Insbesondere halten wir uns so weit wie möglich an die folgenden Standards:
- SOC2 Type II
- ISO 27001
- CIS AWS 1.4.0
- NIST 800-171 Rev2
- AWS Well Architected
Bescheinigungen und Benchmarks für ausgewählte Bereiche können auf Anfrage zur Verfügung gestellt werden.
Verfügt Alasco über Sicherheitszertifizierungen von Drittanbietern?
Ja. Für uns ist (Cyber-)Sicherheit keine Momentaufnahme, sondern ein kontinuierlicher Prozess, um Best Practices und Industriestandards stetig weiterzuentwickeln. Als externen Nachweis dieser Bemühungen haben wir uns nach ISO/IEC 27001 zertifizieren lassen – unser Sicherheitsprogramm geht als Gesamtkonzept über den Scope und die Anforderungen einzelner Zertifizierungen hinaus.
Auch bei unseren Dienstleistern legen wir hohe Maßstäbe an: Zentrale Anbieter in unserem Ökosystem werden anhand anerkannter Industriestandards wie z. B. SOC2 Type II und ISO 27001 bewertet. Wir überprüfen unsere Lieferanten regelmäßig, um sicherzustellen, dass sie unseren Sicherheitsanforderungen weiterhin gerecht werden.
Führt Alasco regelmäßig Penetrationstests durch ein Drittunternehmen durch?
Ja. Wir führen regelmäßig verschiedene Arten von Tests durch.
Vor allem aber betreiben wir ein hochmodernes, rund um die Uhr verfügbares Programm zur Erkennung von Schwachstellen, um potenzielle Risiken so früh wie möglich zu erkennen. Darüber hinaus führen wir mehrmals im Jahr Penetration Tests und Inside-Out-Sicherheitsaudits durch.
FAQ
KI bei Alasco
Wofür setzt Alasco KI ein?
Alasco setzt KI zur Automatisierung und Unterstützung von Finanzprozessen in der Immobilienwirtschaft ein – unter anderem für die Extraktion von Vertrags- und Rechnungsdaten, den Abgleich von Rechnungen mit Verträgen sowie datenbasierte Auswertungen und Antworten im Alasco AI Assistant. Neue Funktionen entwickeln wir kontinuierlich weiter, sie unterliegen dabei immer denselben strengen Sicherheitsrichtlinien und -prozessen wie die übrige Applikation.
Werden Kundendaten zum Training von KI-Modellen verwendet?
Nein. Kundendaten werden nicht zum Training allgemein verfügbarer oder externer KI-Modelle verwendet. Sie werden ausschließlich verarbeitet, soweit dies zur Bereitstellung, Absicherung und Verbesserung der von Alasco bereitgestellten Funktionen erforderlich ist.
Wo werden Daten bei der Nutzung von KI-Funktionen verarbeitet?
Die Verarbeitung von Kundendaten erfolgt grundsätzlich innerhalb der für Alasco definierten EU-Infrastruktur. Sofern einzelne KI-Dienste oder Unterauftragsverarbeiter eingesetzt werden, weisen wir deren Rolle, Verarbeitungsort und Schutzmaßnahmen transparent in der Unterauftragsverarbeiter- und Datenschutzdokumentation aus.
Berücksichtigen KI-Funktionen die in Alasco konfigurierten Zugriffsrechte?
Ja. Nutzer:innen erhalten Antworten ausschließlich auf Basis der Daten, auf die sie innerhalb ihrer Berechtigungen zugreifen dürfen. Ergänzt wird dies durch die logische Trennung der Mandantendaten sowie durch Zero-Trust- und Need-to-know-Prinzipien.
Wie werden Richtigkeit und Nachvollziehbarkeit von KI-Ergebnissen sichergestellt?
KI kann fehlerhafte oder unvollständige Ergebnisse erzeugen. Deshalb stellen wir Ergebnisse nachvollziehbar dar und versehen sie – je nach Funktion – mit Quellen, Konfidenzindikatoren oder Prüfhilfen. Dokumentenextraktionen können manuell überprüft und korrigiert werden. Die endgültige Entscheidung liegt immer bei den Nutzer:innen der Alasco Applikation.
Wie stellt Alasco die Einhaltung von DSGVO und EU AI Act sicher?
Alasco entwickelt und betreibt KI-Funktionen nach risikobasierten Prinzipien und berücksichtigt dabei DSGVO, EU AI Act sowie Anforderungen an Sicherheit, Transparenz, menschliche Aufsicht und Nachvollziehbarkeit. Die konkrete rechtliche Einordnung richtet sich nach Zweck und Einsatz der jeweiligen Funktion. Alasco stellt weder KI bereit, die geschäftliche Entscheidungen ohne angemessene menschliche Prüfung trifft, noch betreibt Alasco derzeit KI-Funktionen, die nach dem EU AI Act als Hochrisiko eingestuft würden.