Technische und organisatorische Maßnahmen

Secure 2 Fiber GmbH, Version 1.0, Fassung 2026110901, Stand 09.11.2026. Nach Artikel 32 DSGVO, Struktur nach ISO/IEC 27001:2022.

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (TOMs) der Secure 2 Fiber GmbH nach Artikel 32 DSGVO.

Geltungsbereich. Diese Fassung beschreibt die Maßnahmen für die Systeme, mit denen die Secure 2 Fiber GmbH Anfragen, Meldungen und Unterlagen ihrer Auftraggeber verarbeitet: das Ticketsystem mit Kundenportal und die Unternehmenssoftware (Odoo), die E-Mail-Domains s2f.site und s2f.support sowie die Datensicherung dieser Systeme. Diese Systeme betreibt die inducio GmbH als Unterauftragsverarbeiter. Für ihren Betrieb gelten ergänzend die technischen und organisatorischen Maßnahmen der inducio GmbH in der jeweils unter https://inducio-services.net/toms veröffentlichten Fassung. Wo dieses Dokument darauf verweist, ist das ausdrücklich gesagt. Für die E-Mail-Domain secure2fiber.com nutzt die Secure 2 Fiber GmbH Microsoft 365.

Fortschreibung. Die Maßnahmen werden bei Änderungen der Verarbeitung, der eingesetzten Systeme oder der rechtlichen Anforderungen fortgeschrieben. Jede Fassung erhält eine Nummer nach dem Tag ihrer Veröffentlichung und bleibt unter ihrer Adresse dauerhaft abrufbar.

Die Gliederung folgt Anhang A der ISO/IEC 27001:2022. Die Nummern entsprechen den Maßnahmen der Norm.

Organisatorische Maßnahmen

TOM 5.2 Informationssicherheitsrollen und -verantwortlichkeiten. Die Verantwortung für Datenschutz und Informationssicherheit liegt bei der Geschäftsführung der Secure 2 Fiber GmbH. Anfragen zum Datenschutz gehen an datenschutz@s2f.site und landen in einem eigenen Bereich des Ticketsystems, den nur ausdrücklich berechtigte interne Konten sehen.

TOM 5.3 Aufgabentrennung. Betrieb und Administration der Server und Datenbanken liegen bei der inducio GmbH.

TOM 5.5 Kontakt mit Behörden. Zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

TOM 5.14 Informationsübermittlung. Websites, Kundenportal und Ticketsystem sind nur verschlüsselt über HTTPS erreichbar (TLS 1.3, HTTP Strict Transport Security). Unverschlüsselte Aufrufe werden auf HTTPS umgeleitet. Auftraggeber erhalten Unterlagen und Ticketverläufe über das Kundenportal mit persönlicher Anmeldung. Zugriffsschlüssel in Ticketlinks werden aus zitierten E-Mails und Kommentaren entfernt, damit weitergeleitete E-Mails keinen Zugang öffnen.

TOM 5.15 Zugangssteuerung. Portalzugänge erhalten nur Personen, nie ein Firmenkontakt als solcher. Was ein Portalkonto sieht, richtet sich nach seiner Rolle (Technik, Abrechnung, Portaladministrator) und beschränkt sich auf die eigene Firma.

TOM 5.17 Authentisierungsinformationen. Für alle internen Konten im Ticketsystem und in der Unternehmenssoftware ist ein zweiter Faktor (zeitbasierter Einmalcode) verpflichtend. Für Portalkonten ist er freiwillig. Passwörter werden nur als Hash gespeichert.

TOM 5.20 Behandlung von Informationssicherheit in Lieferantenvereinbarungen. Mit der inducio GmbH besteht eine Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO mit den Standardvertragsklauseln der Europäischen Kommission. Mit Geschäftspartnern schließt die Secure 2 Fiber GmbH Geheimhaltungsvereinbarungen nach den Vorlagen ihres Vertragsregisters. Ihre Allgemeinen Geschäftsbedingungen enthalten eine Geheimhaltungs- und Datenschutzklausel.

TOM 5.21 Umgang mit der Informationssicherheit in der IKT-Lieferkette. Die eingesetzten Unterauftragsverarbeiter sind in Anlage A2 der Vereinbarung zur Auftragsverarbeitung benannt, veröffentlicht unter https://s2f.site/avv.

TOM 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten. Ticketsystem, Kundenportal und Unternehmenssoftware laufen nicht bei einem Anbieter öffentlicher Cloud-Dienste, sondern auf einem Server, den die inducio GmbH in ihrem Netz in Deutschland betreibt. E-Mails an die Domain secure2fiber.com laufen über Microsoft 365. Der Mandant der Secure 2 Fiber GmbH ist der Microsoft-Region Europa zugeordnet.

TOM 5.26 Reaktion auf Informationssicherheitsvorfälle. Verletzungen des Schutzes personenbezogener Daten, für die die Secure 2 Fiber GmbH selbst verantwortlich ist, meldet sie unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). Verarbeitet die Secure 2 Fiber GmbH personenbezogene Daten im Auftrag, informiert sie den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung und unterstützt ihn bei seiner Meldung (Art. 33 Abs. 2 DSGVO).

TOM 5.27 Erkenntnisse aus Informationssicherheitsvorfällen. Störungen an Ticketsystem, Kundenportal und Mailweg werden mit Ursache, Änderung und Prüfung schriftlich dokumentiert.

TOM 5.29 Informationssicherheit bei Störungen. Vor jedem Eingriff in Ticketsystem und Unternehmenssoftware werden ein Rückweg festgelegt und der Zustand vorher gesichert.

TOM 5.30 IKT-Bereitschaft für Business-Continuity. Für die Server mit Ticketsystem und Unternehmenssoftware gelten Datensicherung und Wiederanlauf der inducio GmbH (TOM 5.30 und 8.13 der inducio GmbH).

TOM 5.33 Schutz von Aufzeichnungen. Verträge werden in einem Vertragsregister mit Fassung und Prüfsumme festgehalten. Eine freigegebene Fassung wird nicht überschrieben, sondern durch eine neue abgelöst oder mit Grund zurückgezogen.

TOM 5.34 Datenschutz und Schutz personenbezogener Daten. Ansprechstelle für Datenschutzfragen ist datenschutz@s2f.site.

TOM 5.37 Dokumentierte Betriebsabläufe. Änderungen an Ticketsystem und Unternehmenssoftware werden mit Ursache, Änderung, Prüfung und Rückweg dokumentiert.

Physische Maßnahmen

Die Server mit Ticketsystem, Kundenportal, Unternehmenssoftware und Mailservern betreibt die inducio GmbH. Für ihren physischen Schutz gelten die Maßnahmen 7.1 bis 7.14 der inducio GmbH.

Technologische Maßnahmen

TOM 8.2 Privilegierte Zugangsrechte. Administrative Zugänge zu den Servern haben nur Administratoren der inducio GmbH. Erhöhte Rechte werden einzeln angefordert und im Systemprotokoll festgehalten. Die Datenbankverwaltung über die Weboberfläche ist abgeschaltet.

TOM 8.3 Informationszugangsbeschränkung. Portalkonten sehen nur Tickets, Belege und Zeitbuchungen der eigenen Firma und nur im Umfang ihrer Rolle. Eingangsrechnungen und Lieferantenbelege sind für Portalkonten gesperrt, auch über Links mit Zugriffsschlüssel. Anfragen zum Datenschutz liegen in einem Bereich, den nur ausdrücklich berechtigte interne Konten sehen.

TOM 8.4 Zugriff auf den Quellcode. Anpassungen am Ticketsystem und an der Unternehmenssoftware liegen in einer Versionskontrolle.

TOM 8.5 Sichere Authentisierung. Interne Konten melden sich mit zweitem Faktor an (siehe TOM 5.17).

TOM 8.6 Kapazitätssteuerung. Speicher und Auslastung der Server überwacht die inducio GmbH (TOM 8.6 der inducio GmbH).

TOM 8.7 Schutz gegen Schadsoftware. Eingehende E-Mails an die Domains s2f.site und s2f.support laufen über einen Mailfilter gegen Spam und Schadsoftware, E-Mails an secure2fiber.com über den Filter von Microsoft Exchange Online.

TOM 8.8 Handhabung von technischen Schwachstellen. Sicherheitsupdates des Betriebssystems werden auf den Servern automatisch eingespielt. Die Unternehmenssoftware wird auf einem einheitlichen, gepflegten Stand gehalten.

TOM 8.9 Konfigurationsmanagement. Konfiguration und Änderungen der Unternehmenssoftware sind in einer Versionskontrolle dokumentiert. Jede Änderung wird als nachvollziehbares Skript mit Probelauf und Rückweg ausgeführt.

TOM 8.12 Verhinderung von Datenlecks. Zugriffsschlüssel werden vor dem Versand aus Ticketlinks in Kommentaren und zitierten E-Mails entfernt. Portalkonten sehen keine Belege anderer Firmen.

TOM 8.13 Sicherung von Informationen. Die Server mit Ticketsystem und Unternehmenssoftware werden nächtlich gesichert, dazu kommen Momentaufnahmen der Infrastruktur (TOM 8.13 der inducio GmbH). Vor jedem Eingriff wird zusätzlich eine Sicherung der Datenbank angelegt, die nur das Dienstkonto lesen kann.

TOM 8.14 Redundanz von informationsverarbeitenden Einrichtungen. Für die Server gilt TOM 8.14 der inducio GmbH.

TOM 8.15 Protokollierung. Der Server protokolliert Anmeldungen, administrative Eingriffe und den Versand von E-Mails. Im Ticketsystem bleiben Verlauf und Änderungen jedes Tickets nachvollziehbar.

TOM 8.16 Überwachung von Aktivitäten. Berichte über die Zustellung und Fälschung von E-Mails der eigenen Domains (DMARC) werden im Ticketsystem gesammelt.

TOM 8.17 Uhrensynchronisation. Die Systemuhren der Server werden über NTP mit einer vertrauenswürdigen Zeitquelle synchronisiert.

TOM 8.18 Gebrauch von Hilfsprogrammen mit privilegierten Rechten. Werkzeuge mit Administratorrechten auf den Servern stehen nur den Administratoren der inducio GmbH zur Verfügung.

TOM 8.19 Installation von Software auf Systemen in Betrieb. Software auf den Servern wird nur aus den Paketquellen des Betriebssystems und aus versionierten Quellen installiert. Erweiterungen der Unternehmenssoftware werden vor dem Einspielen auf einer Testinstanz geprüft.

TOM 8.20 Netzwerksicherheit. Der Server mit Ticketsystem und Unternehmenssoftware hat nur Adressen in internen Netzen und steht in einem eigenen Netzsegment (DMZ). Aus dem Internet ist die Anwendung nur über einen vorgeschalteten Proxy erreichbar, der unverschlüsselte Aufrufe auf HTTPS umleitet. Die Datenbank nimmt nur Verbindungen vom Server selbst an.

TOM 8.21 Sicherheit von Netzwerkdiensten. Für die Domains s2f.site und s2f.support sind SPF und DMARC mit Ablehnung gefälschter Absender gesetzt, für secure2fiber.com SPF und DMARC mit Quarantäne. Ausgehende E-Mails werden authentisiert über die Mailserver der inducio GmbH oder über Microsoft 365 versandt.

TOM 8.22 Trennung von Netzwerken. Produktivsysteme stehen in einem eigenen Netzsegment. Test- und Staginginstanzen laufen getrennt von der Produktion.

TOM 8.24 Verwendung von Kryptographie. Daten werden zwischen Nutzern und Ticketsystem, Kundenportal und Websites mit TLS 1.3 verschlüsselt übertragen.

TOM 8.29 Sicherheitsprüfung bei Entwicklung und Abnahme. Anpassungen der Unternehmenssoftware werden vor dem Einspielen mit Tests auf einer Testinstanz abgenommen.

TOM 8.30 Ausgegliederte Entwicklung. Anpassungen der Unternehmenssoftware entwickelt die inducio GmbH.

TOM 8.31 Trennung von Entwicklungs-, Test- und Produktionsumgebungen. Entwicklung und Test finden auf getrennten Instanzen statt, nie auf der Produktion.

TOM 8.32 Änderungssteuerung. Änderungen an der Produktion folgen einem festen Ablauf: Analyse, Vorschlag, Freigabe, Probelauf auf einer Testinstanz, Sicherung des Zustands vorher, Einspielen, Nachprüfung auf einem zweiten Weg, Dokumentation mit Rückweg.

TOM 8.34 Schutz der Informationssysteme während Tests im Rahmen von Audits. Prüfungen an Produktivsystemen werden lesend und abgestimmt durchgeführt.

Ansprechstelle für Datenschutzfragen: datenschutz@s2f.site. Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Liste der Unterauftragsverarbeiter: Anlage A2 der Vereinbarung zur Auftragsverarbeitung unter https://s2f.site/avv.