Vorfallsreaktion
faktoora betreibt einen strukturierten Vorfallsmanagement-Prozess, der an den Anforderungen des Digital Operational Resilience Act (DORA) ausgerichtet ist. Diese Seite beschreibt, wie wir Sicherheitsvorfälle erkennen, klassifizieren, darauf reagieren und kommunizieren.
Erkennung
Wir setzen mehrere Überwachungsebenen und automatische Alarmierung ein, um Vorfälle frühzeitig in unserer Anwendung, Infrastruktur und Lieferkette zu erkennen.
Klassifizierung
Ab Kenntniserlangung beginnt die Bewertung innerhalb von 30 Minuten; klassifiziert wird anhand folgender Kriterien:
| Faktor | Bewertung |
|---|---|
| Anzahl betroffener Kunden | Einzelner, Teilmenge oder alle Kunden |
| Dauer der Auswirkung | Vorübergehend, anhaltend oder fortlaufend |
| Datensensibilität | Öffentlich, intern, vertraulich oder eingeschränkt |
| Servicekritikalität | Kernplattform, unterstützender Dienst oder unkritisch |
| Wirtschaftliche Auswirkung | Umsatz-, vertragliche oder regulatorische Auswirkungen |
Schweregrade
Geschäftszeiten sind Montag bis Freitag, 09:00–17:00 Uhr (MEZ/MESZ), ausgenommen gesetzliche Feiertage in Bayern. Für Kunden des Tarifs „Individuell“ (Enterprise) gelten die Fristen aus Abschnitt 10 des Service Level Agreements.
| Schweregrad | Definition | Reaktionszeit |
|---|---|---|
| Kritisch | Kerndienst nicht verfügbar oder bestätigter Datenverstoß | Automatische Erkennung rund um die Uhr; Beginn der Bewertung innerhalb von 30 Minuten ab Kenntniserlangung |
| Hoch | Erhebliche nutzerseitige Auswirkungen oder potenzielle Datenexposition | Unverzüglich während der Geschäftszeiten |
| Mittel | Begrenzte Auswirkungen, keine Daten gefährdet | Innerhalb von 1 Geschäftstag |
| Niedrig | Geringfügiges Problem, keine Nutzerauswirkung | Innerhalb von 5 Geschäftstagen |
Kundenkommunikation
| Schweregrad | Benachrichtigungszeitraum | Kanal |
|---|---|---|
| Kritisch | Innerhalb von 1 Stunde nach Klassifizierung, Updates alle 2 Stunden | E-Mail an betroffene Kunden |
| Hoch | Innerhalb von 4 Stunden bei Nutzerauswirkung | E-Mail an betroffene Kunden |
| Mittel | Auf Anfrage verfügbar | Über Support-Kanäle |
| Niedrig | Auf Anfrage verfügbar | Über Support-Kanäle |
Unterstützung Ihrer regulatorischen Meldungen
Viele unserer Kunden haben eigene Meldepflichten – etwa Finanzunternehmen nach DORA oder Verantwortliche nach der DSGVO. Unser Vorfallprozess ist darauf ausgelegt, Ihnen die Informationen für Ihre eigenen Meldungen zeitnah bereitzustellen:
| Information | Zeitpunkt | Inhalt |
|---|---|---|
| Erstmeldung | Innerhalb von 4 Stunden nach Einstufung als schwerwiegender Vorfall (spätestens 24 Stunden nach Erkennung) | Vorfallstyp, betroffene Dienste, Erkennungszeitpunkt, vorläufige Folgenabschätzung |
| Zwischenstand | Innerhalb von 72 Stunden nach der Erstmeldung | Aktualisierte Folgenabschätzung, Ursache (falls bekannt), Eindämmungsmaßnahmen, betroffene Daten |
| Abschlussbericht | Innerhalb von 1 Monat nach dem Zwischenstand | Ursachenanalyse, Gesamtauswirkung, Abhilfemaßnahmen, Erkenntnisse |
Verletzungen des Schutzes personenbezogener Daten melden wir unseren Kunden unverzüglich, wie in unserer Vereinbarung zur Auftragsverarbeitung festgelegt. Soweit faktoora selbst Verantwortlicher ist, melden wir an die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO.
Eindämmung und Wiederherstellung
Unser Vorfallsreaktionsprozess folgt diesen Phasen:
- Eindämmung - Betroffene Systeme isolieren, um weitere Auswirkungen zu verhindern
- Beweissicherung - Audit-Logs, Anwendungsprotokolle und Zugriffsprotokolle sichern
- Ursachenanalyse - Die zugrunde liegende Ursache identifizieren
- Behebung - Korrekturen implementieren und Behebung verifizieren
- Wiederherstellung - Normalbetrieb wiederherstellen und Stabilität bestätigen
Post-Incident-Review
Jeder Vorfall mit Schweregrad Hoch oder Kritisch wird innerhalb von 5 Geschäftstagen nachbereitet:
- Vollständige Zeitleiste von Erkennung, Reaktion und Wiederherstellung
- Ursachenanalyse
- Folgenabschätzung (Kunden, Daten, Dienste)
- Bewertung der Reaktionseffektivität
- Präventivmaßnahmen zur Vermeidung von Wiederholungen
Gewonnene Erkenntnisse werden dokumentiert und in unsere Sicherheitskontrollen und -verfahren integriert.
Aufbewahrung von Vorfallsprotokollen
Alle Vorfallsprotokolle werden in Anlehnung an DORA mindestens 5 Jahre aufbewahrt.
Vorfall melden
Wenn Sie einen Sicherheitsvorfall vermuten, der faktoora oder Ihre Daten betrifft:
- Sicherheitsvorfälle: security@faktoora.com
- Datenschutzvorfälle: privacy@faktoora.com
Für Schwachstellenmeldungen besuchen Sie unsere Seite Schwachstellenmeldung.