Sicherheit und Datenschutz: alle Nachweise an einem Ort

Die tchop GmbH betreibt ein Informationssicherheits-Managementsystem, das von TÜV SÜD nach ISO/IEC 27001:2022 zertifiziert ist. Das jüngste Re-Zertifizierungs- und Transition-Audit fand im Oktober 2025 statt und ergab keine Abweichungen. Das nächste Überwachungsaudit ist für Q4 2026 geplant.

Zertifiziert ist: Hosting, Betrieb und Entwicklung von Software als mobile und Web-Anwendungen sowie zugehörige Schnittstellen zu anderen Anwendungen. Zertifizierte Organisation ist die tchop GmbH, Berlin. Der Geltungsbereich schließt keinen Teil unseres Geschäfts aus.

Für die tchop Plattform handelt die tchop GmbH als Auftragsverarbeiter im Auftrag ihrer Kunden. Der Kunde bleibt Verantwortlicher und bestimmt Zwecke und Mittel der Verarbeitung. Nur für diese Website ist die tchop GmbH selbst Verantwortlicher.

Die tchop Plattform läuft auf Amazon Web Services in der Region Frankfurt (eu-central-1) oder auf Hetzner Cloud in Deutschland. Beide Anbieter sind nach ISO/IEC 27001 zertifiziert und veröffentlichen SOC-2-Berichte, die wir im Rahmen unserer Lieferantenbewertung jährlich einholen und prüfen.

Enterprise-Kunden wählen ihr Hosting selbst: entweder Amazon Web Services in Frankfurt oder Hetzner in Deutschland, optional als vollständig getrennte Kundenumgebung oder als On-Premise-Installation. Unabhängig von Ihrer Wahl verarbeitet der jeweils andere Anbieter nichts für Sie, und die Verarbeitung bleibt in der vereinbarten Jurisdiktion.

Übertragung. Der gesamte Datenverkehr zwischen Clients und unseren Systemen ist mit TLS 1.2 oder höher und Forward Secrecy verschlüsselt. Unsere kryptografischen Standards folgen der NIST-Richtlinie FIPS 140-3 und werden jährlich überprüft.

Speicherung. Kundendaten werden im Ruhezustand mit AES-256 verschlüsselt. Auf AWS sind Datenbanken, Block- und Objektspeicher mit Schlüsseln aus AWS KMS verschlüsselt. Auf Hetzner kommt gleichwertiges AES-256-Schlüsselmanagement plus LUKS-Volume-Verschlüsselung auf dem Datenbank-Host zum Einsatz. Alle Firmen-Laptops nutzen Festplattenvollverschlüsselung (FileVault, XTS-AES-256). Schlüssel werden inventarisiert, jährlich überprüft und rotiert; die letzte Überprüfung wurde im Oktober 2025 freigegeben.

Chat. Chat-Nachrichten werden bei der Übertragung mit TLS 1.2 oder höher verschlüsselt und im Ruhezustand AES-256-verschlüsselt auf Servern in der EU gespeichert.

Passwörter. Nutzerpasswörter werden nie im Klartext gespeichert. Sie sind durch eine gesalzene Einweg-Hashfunktion geschützt.

Unser Zugriff. Produktionszugriff folgt dem Least-Privilege-Prinzip mit Deny-all-Provisionierung. Administrativer Zugriff auf Produktionsserver und Datenbanken wird nur bei dokumentiertem dienstlichem Bedarf vergeben, jedes Konto ist individuell nachvollziehbar, und Multi-Faktor-Authentifizierung ist für Firmen-E-Mail, Versionsverwaltung und Cloud-Infrastruktur verpflichtend. Zweitfaktoren und Eigentümerrollen für die sensibelsten Systeme liegen bei der Geschäftsführung. Produktions- und Testsysteme sind nur über unser Firmen-VPN erreichbar, das Multi-Faktor-Authentifizierung und AES-256 erzwingt; Split Tunnelling ist deaktiviert. Administratorzugriff erfolgt über SSH-Schlüsselpaare, die inventarisiert und jährlich rotiert werden.

Zugriffsrechte werden quartalsweise von CEO und Informationssicherheitsbeauftragtem überprüft und dokumentiert. Die letzte Überprüfung datiert vom 25. September 2025. Zugriffe werden innerhalb von 24 Stunden nach dem letzten Arbeitstag entzogen, und nicht genehmigter Zugriff wird selbst als Sicherheitsvorfall behandelt.

Ihre Nutzer. Mehrere Onboarding-Wege: Nutzer direkt per E-Mail mit rollengerechten Zugangsdaten einladen, Einmal-Zugangscodes erzeugen, wo Sie Ihre Nutzer nicht per E-Mail erreichen können oder wollen, oder Ihren eigenen Identity Provider über SAML 2.0 oder OpenID Connect anbinden. Beides ist mit Microsoft Entra ID und Okta produktiv im Einsatz, inklusive Mapping Ihrer Verzeichnisgruppen auf Kanäle und Rollen. Mit angebundenem SSO bleiben Authentifizierung, Passwort-Richtlinie und Multi-Faktor-Durchsetzung in Ihrem Identity Provider, und tchop verifiziert Nutzerattribute bei jedem Login neu.

Unsere Architektur gewährt zwischen Systemen nur den minimal nötigen Zugriff. Datenbankserver sind ausschließlich intern erreichbar, sämtlicher Verkehr zu Applikationsservern läuft über unsere Proxies und Gateways, und kein anderes System in unseren Rechenzentren hat direkten ein- oder ausgehenden Internetzugang. Die Zugriffskontrolle folgt Zero-Trust-Prinzipien: kontinuierliche Verifizierung, Least Privilege und segmentierter Zugriff.

Netzwerkverkehr wird durch AWS Security Groups auf TCP- und IP-Ebene sowie durch eine Enterprise-Firewall von Fortinet in unserem Berliner Büro gefiltert. AWS WAF läuft vor unserem CDN und den Load Balancern, die Filterregeln werden quartalsweise überprüft.

DDoS-Verkehr wird durch AWS Shield Standard zusammen mit AWS-WAF-Regeln, CloudFront-Edge-Caching und Rate Limiting am API-Gateway abgefangen. Unsere DDoS-Reaktion wurde 2025 in einer Tabletop-Übung geprobt.

Wir sammeln Audit-Logs aus Produktionssystemen, Datenbanken, Repositories, Cloud-Infrastruktur und Identitätsaktivität. Logs werden kontinuierlich über Grafana, Sentry und AWS CloudTrail überwacht, Alerts laufen in dedizierte Slack-Kanäle und per E-Mail, damit das Team schnell reagieren kann.

Sicherheitsvorfälle können jederzeit an support@tchop.io gemeldet werden, durch unser Team, durch Kunden oder durch externe Sicherheitsforscher. Jede Meldung wird von CEO und Informationssicherheitsbeauftragtem anhand definierter Schweregrade triagiert, mit einem Reaktionsziel von 24 Stunden bei schwerwiegenden Vorfällen; ein Incident-Ticket wird innerhalb von 24 Stunden nach der Meldung eröffnet. Sind personenbezogene Daten von EU-Bürgern betroffen, benachrichtigen wir die zuständigen Behörden und die betroffenen Personen innerhalb von 72 Stunden. Unser Incident-Response-Plan wird jährlich getestet, und jeder Vorfall schließt mit einem dokumentierten Post-Mortem ab.

Wir erstellen täglich verschlüsselte Backups aller Produktionsdatenbanken und -volumes. Wiederherstellungsziele sind je Dienst definiert: Unsere Produktionsdatenbank hat ein Recovery Time Objective von einer Stunde und ein Recovery Point Objective ohne Datenverlust, Backend und API zwei Stunden, Admin- und CMS-Ebene vier Stunden. Die Wiederherstellung aus Backups wird nach dokumentiertem Zeitplan getestet.

Zentrale Dienste laufen redundant mit Failover innerhalb unserer Produktionsregion, darunter gemanagte Datenbank-Cluster und Load Balancer.

Wir sagen 99,9 % Verfügbarkeit vertraglich zu. Die Backend-Uptime wird kontinuierlich gemessen und quartalsweise im Rahmen unseres ISMS-Monitorings überprüft.

Unser Business-Continuity- und Disaster-Recovery-Plan wird mindestens jährlich überprüft und getestet. Über Restore-Tests hinaus führen wir dokumentierte Tabletop-Übungen zu realistischen Szenarien durch, darunter Ransomware, eine kompromittierte Cloud-Umgebung, ein eskalierender DDoS-Angriff und ein vollständiger Hosting-Ausfall.

Code-Änderungen folgen einem dokumentierten Change-Management-Prozess. Automatisierte Tests decken Funktionen ab, die Kompatibilität, Betrieb oder Sicherheit betreffen. Änderungen werden im Peer-Review gegen eine Secure-Coding-Checkliste geprüft, abgeleitet aus den OWASP Top 10 und den CWE/SANS Top 25, mit Blick auf Eingabevalidierung, Output-Encoding, hartkodierte Secrets und sensible Daten in Logs. Große Features werden mit STRIDE bedrohungsmodelliert. Es gilt Funktionstrennung: Wer eine Änderung schreibt, deployt sie nicht selbst.

Entwicklung, Staging und Produktion laufen als getrennte Umgebungen mit getrennten Datenbanken und getrennter Zugriffskontrolle, Staging ist zusätzlich IP-beschränkt. Produktionsdaten dürfen nur mit namentlicher Freigabe im Einzelfall zum Testen verwendet werden, personenbezogene Daten müssen entfernt oder unkenntlich gemacht werden, und die Daten werden nach dem Test gelöscht.

Entwickler absolvieren mindestens jährlich Secure-Coding-Schulungen und arbeiten mit einer freigegebenen Liste geprüfter Open-Source-Bibliotheken.

Unsere Systeme werden täglich gescannt: Netzwerk-Scans mit OpenVAS, passive und aktive Webanwendungs-Scans mit OWASP ZAP sowie TCP- und UDP-Port-Scans mit NMAP. Abhängigkeiten werden kontinuierlich mit Dependabot überwacht, und unsere CI-Pipeline führt bei jedem Deploy ein Dependency-Audit aus, das den Build bei hohen oder kritischen Findings stoppt.

Findings werden nach CWE und WASC bewertet und in unser Risikoregister aufgenommen; Scan-Metriken wie Mean Time to Remediation und wiederkehrende Schwachstellen werden quartalsweise im Management-Review betrachtet. Threat Intelligence von CISA, der NIST National Vulnerability Database und Hersteller-Advisories fließt in unseren Incident-Response-Prozess ein.

Background-Checks sind für alle Mitarbeitenden verpflichtend. Jeder Mitarbeitende und jeder Auftragnehmer unterzeichnet eine Vertraulichkeitsvereinbarung, bevor Zugriff auf sensible Informationen gewährt wird, und verpflichtet sich zur Vertraulichkeit bei der Verarbeitung personenbezogener Daten gemäß Art. 28 Abs. 3 lit. b DSGVO.

Jeder Mitarbeitende und jeder Auftragnehmer absolviert Security-Awareness-Schulungen beim Onboarding und danach jährlich, derzeit das ESET-Cybersecurity-Training: Phishing, Passwortmanagement, Informationsklassifizierung und physische Sicherheit, plus ein verpflichtendes Modul zu KI und dem EU AI Act. Der Abschluss wird pro Person nachgehalten, mit Wissenstest am Kursende und Follow-up-Befragung. Unser Informationssicherheitsbeauftragter hält zweimal jährlich eine Security-Session für das gesamte Team. Entwickler folgen zusätzlich unserer Secure Development Policy.

Firmengeräte werden zentral verwaltet. Laptops und Smartphones sind im Mobile Device Management registriert, Festplattenvollverschlüsselung ist erzwungen, Sitzungen laufen automatisch ab, und es gilt eine Clear-Desk- und Clear-Screen-Richtlinie. Auftragnehmer mit eigenem Gerätemanagement müssen gleichwertige Compliance nachweisen.

Jeder Enterprise-Vertrag enthält einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anhang 4), die Einzelheiten der Verarbeitung (Anhang 5), unsere aktuelle Subprozessoren-Liste (Anhang 6) und unsere technischen und organisatorischen Maßnahmen (Anhang 7). Alle vier stehen vor der Unterschrift für Ihre Rechtsprüfung bereit. Unsere Subprozessoren-Liste wird auf dieser Seite veröffentlicht und gepflegt, wesentliche Änderungen kündigen wir vorab an.

Statt Compliance nur zu behaupten, zeigen wir, was wir belegen können:

• Ein Informationssicherheits-Managementsystem, zertifiziert nach ISO/IEC 27001:2022 durch TÜV SÜD, mit jährlichen internen Audits, zuletzt im September 2025.
• Ein benannter Datenschutzbeauftragter.
• Ein dokumentiertes Löschkonzept: Kundendaten werden innerhalb von 30 Tagen nach Anfrage eines aktuellen oder ehemaligen Kunden gelöscht, Gerätemedien nach NIST SP 800-88 Rev. 1 bereinigt, physische Datenträger durch einen zertifizierten Partner vernichtet, und jede Entsorgung wird protokolliert.
• Ein dokumentierter Incident-Response-Plan mit der Zusage, Behörden und betroffene Personen innerhalb von 72 Stunden zu benachrichtigen.
• Ein Lieferanten-Sicherheitsprozess: Sicherheitsbewertung vor jedem Einsatz eines Drittanbieters, jährliche Prüfung von SOC-2-Berichten und ISO-27001-Zertifikaten für Anbieter mit hohem und mittlerem Risiko sowie schriftliche Bestätigung der Löschung oder Rückgabe von Daten innerhalb von 60 Tagen nach Vertragsende.
• Verarbeitung auf AWS Frankfurt oder Hetzner Deutschland nach Ihrer Wahl, Chat-Daten ausschließlich verschlüsselt auf europäischen Servern.