Sicherheitserklärung

Diese Sicherheitserklärung gilt für alle Produkte und Dienstleistungen der Banqup Group sowie deren verbundene Unternehmen, sofern nicht anders angegeben. Diese Sicherheitserklärung ist außerdem Bestandteil der Nutzungsvereinbarungen für Kunden der Banqup Group. Die Banqup Group schätzt das Vertrauen ihrer Kunden, indem sie als Verwalterin ihrer Daten auftritt.

Die Banqup Group nimmt ihre Verantwortung zum Schutz und zur Sicherung der Informationen ihrer Kunden ernst und strebt vollständige Transparenz hinsichtlich der nachfolgend beschriebenen Sicherheitspraktiken an.

Allgemeines

Physische Sicherheit

Die Informationssysteme und die technische Infrastruktur von Banqup werden in erstklassigen, nach SOC 2 zertifizierten Rechenzentren gehostet. Die physischen Sicherheitskontrollen in diesen Rechenzentren umfassen eine 24/7-Überwachung, Kameras, Besucherprotokolle, Zutrittsbeschränkungen und alles, was man von einer hochsicheren Datenverarbeitungseinrichtung erwarten würde.

Zugriffskontrolle

Der Zugriff auf Banqup-Technologieressourcen ist nur über sichere Verbindungen (z. B. VPN, SSH) möglich und erfordert eine Multi-Faktor-Authentifizierung. Die Passwortrichtlinie für die Produktivumgebung von Banqup verlangt Komplexität, ein Ablaufdatum und eine Sperrung nach Fehlversuchen und untersagt die Wiederverwendung von Passwörtern. Banqup gewährt Zugriff nach dem Prinzip der geringsten Rechte auf Need-to-know-Basis, überprüft die Berechtigungen vierteljährlich und entzieht den Zugriff unmittelbar nach dem Ausscheiden eines Mitarbeiters.

Sicherheitsrichtlinien

Banqup pflegt seine Informationssicherheitsrichtlinien und überprüft und aktualisiert sie regelmäßig, mindestens jährlich. Mitarbeiter müssen die Richtlinien jährlich bestätigen und zusätzliche, auf ihre Funktion bezogene Schulungen absolvieren. Die Schulungen sind so konzipiert, dass sie alle für Banqup geltenden Vorgaben und Vorschriften einhalten.

Personal

Banqup führt bei der Einstellung Hintergrundprüfungen durch (soweit dies nach geltendem Recht und in den jeweiligen Ländern zulässig oder möglich ist). Darüber hinaus kommuniziert Banqup seine Informationssicherheitsrichtlinien an alle Mitarbeiter (die dies bestätigen müssen), verlangt von neuen Mitarbeitern die Unterzeichnung von Vertraulichkeitsvereinbarungen und bietet fortlaufende Schulungen zu Datenschutz und Sicherheit an.

Dediziertes Sicherheitspersonal

Banqup verfügt über eine eigene Datenschutz- und Sicherheitsorganisation, die sich auf die Sicherheit von Anwendungen, Cloud, Netzwerk und Systemen konzentriert. Dieses Team ist außerdem für Sicherheits-Compliance, Schulungen und die Reaktion auf Vorfälle verantwortlich.

Schwachstellenmanagement und Penetrationstests

Banqup unterhält ein dokumentiertes Schwachstellenmanagement-Programm, das regelmäßige Scans sowie die Identifizierung und Behebung von Sicherheitslücken auf Servern, Arbeitsplatzrechnern, Netzwerkgeräten und Anwendungen umfasst. Alle Netzwerke, einschließlich Test- und Produktivumgebungen, werden regelmäßig von vertrauenswürdigen Drittanbietern gescannt. Kritische Patches werden vorrangig auf Servern eingespielt, alle übrigen Patches nach Bedarf. Banqup führt außerdem regelmäßig interne und externe Penetrationstests durch und behebt festgestellte Ergebnisse entsprechend ihrem Schweregrad.

Verschlüsselung

Banqup verschlüsselt alle ruhenden Daten in den Rechenzentren sowie alle übertragenen Daten gemäß dem Banqup-Verschlüsselungsstandard, der jährlich überprüft wird.

Entwicklung

Das Entwicklungsteam von Banqup wendet sichere Coding-Techniken und Best Practices an, die sich an den OWASP Top Ten orientieren. Entwickler werden bei ihrer Einstellung und danach jährlich formell in sicheren Praktiken der Webanwendungsentwicklung geschult. Entwicklungs-, Test- und Produktivumgebungen sind getrennt. Alle Änderungen werden vor der Bereitstellung in der Produktivumgebung einem Peer-Review unterzogen und zu Leistungs-, Prüf- und forensischen Zwecken protokolliert.

Asset-Management

Banqup unterhält eine Asset-Management-Richtlinie, die die Identifizierung, Klassifizierung, Aufbewahrung und Entsorgung von Informationen und Assets umfasst. Von Banqup bereitgestellte Geräte sind mit vollständiger Festplattenverschlüsselung und aktueller Antivirensoftware ausgestattet. Nur von Banqup bereitgestellte Geräte dürfen auf Produktivnetzwerke zugreifen.

Vorfallmanagement

Banqup verfügt über einen Prozess zur Reaktion auf Sicherheitsvorfälle, der die erste Reaktion, die Untersuchung, die Benachrichtigung der Kunden (mindestens im gesetzlich vorgeschriebenen Umfang), die öffentliche Kommunikation, die aufsichtsrechtliche Meldung und die Behebung umfasst.

Benachrichtigung bei Sicherheitsverletzungen

Trotz größter Sorgfalt ist keine Methode der Datenübertragung über das Internet und keine Methode der elektronischen Speicherung vollkommen sicher. Wie jede andere Organisation kann Banqup keine absolute Sicherheit garantieren. Sollte Banqup jedoch Kenntnis von einer Sicherheitsverletzung erlangen, wird Banqup die betroffenen Nutzer benachrichtigen, damit diese geeignete Schutzmaßnahmen ergreifen können. Die Verfahren von Banqup zur Benachrichtigung bei Sicherheitsverletzungen entsprechen den Verpflichtungen aus den geltenden nationalen Gesetzen und Vorschriften sowie allen für Banqup und seine verbundenen Unternehmen geltenden Branchenregeln oder -standards. Banqup verpflichtet sich, seine Kunden umfassend über alle Angelegenheiten zu informieren, die für die Sicherheit ihres Kontos relevant sind, und ihnen alle Informationen bereitzustellen, die sie zur Erfüllung ihrer eigenen aufsichtsrechtlichen Meldepflichten benötigen.

Business-Continuity-Management

Backups werden verschlüsselt und innerhalb der Produktivumgebung gespeichert, um ihre Vertraulichkeit und Integrität zu wahren. Banqup setzt eine Backup-Strategie ein, um Ausfallzeiten und Datenverluste zu minimieren.

Ihre Verantwortung

Um Ihre Daten zu schützen, müssen Sie außerdem die Sicherheit Ihres Kontos gewährleisten, indem Sie ausreichend komplexe Passwörter verwenden und sicher aufbewahren. Sie sollten sich zudem Ihres Kontexts und Ihrer Umgebung bewusst sein und auf eine sichere Arbeitsweise achten. Schließlich sollten Sie sicherstellen, dass Sie auf Ihren eigenen Systemen für ausreichende Sicherheit sorgen.

Protokollierung und Überwachung

Anwendungs- und Infrastruktursysteme protokollieren Informationen in einem zentral verwalteten Log-Repository zur Fehlerbehebung, für Sicherheitsüberprüfungen und für die Analyse durch autorisiertes Banqup-Personal. Protokolle werden in Übereinstimmung mit den regulatorischen Anforderungen aufbewahrt. Im Falle eines Sicherheitsvorfalls, der das Konto eines Kunden betrifft, wird Banqup dem Kunden angemessene Unterstützung leisten und Zugriff auf die entsprechenden Protokolle gewähren.

Compliance

Die Banqup Group hat ein Informationssicherheits-Managementsystem (ISMS) sowie Governance-, Risikomanagement- und Compliance-Praktiken implementiert, die mit aktuellen Rahmenwerken und Best Practices für Informationssicherheit übereinstimmen. Unser ISMS ist nach ISO 27001 zertifiziert. Darüber hinaus erfüllen die Zahlungsprodukte von Banqup die Datensicherheitsstandards der Payment Card Industry (PCI DSS 3.2).

Betrug

Banqup Payments nutzt regelbasierte und KI-gestützte Erkennungssysteme, um die Transaktionen der Kunden vor Finanzkriminalität zu schützen. Diese Erkennungssysteme werden kontinuierlich überprüft, um sich an veränderte Bedrohungen anzupassen, was zu einer niedrigeren Betrugsrate für Banqup-Kunden und deren Kunden führt.

Multi-Faktor-Authentifizierung

Banqup Payments verwendet das 3D-Secure-Protokoll (3DS), um eine zusätzliche Schutzebene für elektronische Online-Zahlungen hinzuzufügen. Dies verringert das Risiko nicht autorisierter Transaktionen und Rückbuchungen. Bei aktiviertem 3DS profitieren Kunden von einer Zwei-Faktor-Authentifizierung bei Zahlungen, d. h. Zahlungen werden nur ausgeführt, wenn der Kunde sie autorisiert.