Version 1.0 vom 30. November 2021

 

Backups / Backup-Wiederherstellung

• Im Rahmen unserer Standard Pimcore Cloud Edition Pläne halten wir Backups unserer Kunden für die letzten 7 vor.
• Die tatsächlichen Standorte Ihrer Datenzentren sind im jeweiligen Pimcore Cloud Agreement (PCA) angegeben.
• Eine Wiederherstellung eines Backups für Ihre produktive Pimcore Cloud Edition Instanz ist auf Rückfrage bei unserem Help Desk möglich.
• Backup-Wiederherstellung: Im Falle eines vollständigen Ausfalls eines Rechenzentrums und damit verbundenem Datenverlust der Pimcore Cloud Edition Instanz eines Kunden, sichern wir folgende Zeitdauern für eine Wiederherstellung Ihrer Instanz zu:
  • RPO (Recovery Point Objective) = 24h. Das bedeutet, dass Sie maximal 24 Stunden Ihrer Arbeit/Daten verlieren können, wenn die Daten nicht wiederhergestellt werden können und wir Ihre letzte tägliche Sicherung wiederherstellen müssen.
  • RTO (Recovery Time Objective) = 48 Stunden ist die Zeit, die benötigt wird, um Pimcore Cloud Edition in einem anderen Rechenzentrum wiederherzustellen, wenn ein Rechenzentrum komplett ausfällt.
• Wie wird dies ermöglicht: Wir überwachen aktiv unsere täglichen Backups, die an einem anderen Ort gespeichert werden. Wir haben ein automatisiertes Deployment, um Pimcore Cloud Edition automatisiert an einem anderem Hosting-Standort bereitstellen zu können.
  Wir verwenden routinemäßig sowohl die täglichen Backups als auch die Provisioning-Skripte für den täglichen Betrieb, so dass beide Bestandteile der Backup-Wiederherstellung ständig getestet werden.

 

Datenbank-Sicherheit

• Alle Ihre Daten werden in einer für den Kunden dedizierten Datenbank gespeichert - es gibt keine gemeinsame Nutzung von Daten zwischen Kunden und eine vollständige Isolierung auf Netzwerkebene.

 

Passwort-Sicherheit

• Passwörter unserer Kunden werden mit einem branchenüblichen Hashing-Verfahren geschützt (ab dem 01.12.2021 ist dies bcrypt), das bei Bedarf automatisch neu gehasht wird.
• Pimcore-Mitarbeiter haben keinen Zugang zu Ihrem Passwort und können es nicht für Sie abrufen. Die einzige Option, wenn Sie Ihr Passwort vergessen oder verloren haben, besteht darin, es zurückzusetzen.
• Ihre Anmeldedaten werden stets sicher mittels HTTPS übertragen.
• Wiederholte Anmeldeversuche werden durch eine automatische Brute-Force-Erkennung blockiert.
• Für die Erstellung neuer Passwörter gilt eine branchenübliche Passwortrichtlinie.
• Zusätzlich bieten wir die Möglichkeit einer Zwei-Faktor-Authentifizierung mit Einmal-Passwörtern (OTP).

 

Mitarbeiter-Zugang und Zugriff auf Systeme

• Pimcore-Helpdesk-Mitarbeiter können sich in Ihre Instanz einloggen, um auf Konfigurationen und Einstellungen zuzugreifen, die mit einem Support-Problem zusammenhängen. Hierfür verwenden sie ihre eigenen speziellen Mitarbeiter-Zugangsdaten, nicht Ihr Passwort (das sie nicht kennen können).
• Dieser spezielle Mitarbeiterzugang verbessert die Effizienz und die Sicherheit: Wir können dadurch ein auftretendes Problem in Ihrer Pimcore Cloud Edition Instanz schnellstmöglich reproduzieren, sie selbst müssen dabei Ihr Passwort nicht weitergeben und Aktivitäten unserer Mitarbeiter sind separat prüf- und kontrollierbar!
• Unsere Helpdesk-Mitarbeiter sind stets bestrebt, Ihre Privatsphäre so weit wie möglich zu respektieren, und greifen nur auf Dateien, Konfigurationen und Einstellungen zu, die für die Diagnose und Lösung Ihres jeweiligen Problems erforderlich sind.

 

System-Sicherheit

• Alle Pimcore Cloud Edition Server laufen auf einem managed Cluster mit aktuellen Sicherheitspatches.
• Nur einige wenige vertrauenswürdige Systementwickler und -architekten haben die Berechtigung, die Server aus der Ferne zu verwalten. Der Zugriff ist nur über eine dem Industriestandard entsprechende 2 Faktoren-Authentifizierung möglich.

 

Physische Sicherheit

• Pimcore Cloud Edition Server & Dienste werden in vertrauenswürdigen und zertifizierten Datenzentren & Service Providern in verschiedenen Regionen der Welt gehostet, abhängig von Ihrem Pimcore Cloud Agreement (PCA). Diese müssen dabei alle unsere physischen Sicherheitskriterien erfüllen:
  • Beschränkter Zugang, physischer Zugang nur für autorisierte Mitarbeiter des Rechenzentrums
  • Physische Zugangskontrolle mit Sicherheitsausweisen oder biometrischer Sicherheit
  • Sicherheitskameras, die die Standorte des Rechenzentrums rund um die Uhr überwachen
  • Sicherheitspersonal vor Ort rund um die Uhr

 

Sicherheit von Kreditkarten

• Wir speichern niemals Kreditkarteninformationen auf unseren eigenen Systemen.
• Ihre Kreditkartendaten werden immer sicher direkt zwischen Ihnen und unseren PCI-konformen Zahlungsabwicklern übertragen.

 

Kommunikation

• Die gesamte Datenkommunikation zu den Kundeninstanzen ist durch modernste Verschlüsselung (HTTPS) geschützt.
• Die gesamte Datenkommunikation, die Ihr privates Netzwerk für Ihre Instanz verlässt, ist ebenfalls durch modernste Verschlüsselung geschützt.
• Unsere Server und Dienste stehen unter strenger Sicherheitsüberwachung und werden stets gegen die neuesten bekannten Sicherheitslücken gepatcht.
• Alle unsere Zertifikate setzen auf vertrauenswürdige Zertifikatsketten.

 

Netzwerkschutz

• Alle von der Pimcore Cloud Edition genutzten Rechenzentren und Service-Provider verfügen über entsprechende Netzwerk-Kapazitäten & -Resourcen und wurden in Bezug auf Infrastruktur-Einstellungen so ausgelegt, dass sie auch den größten Distributed Denial of Service (DDoS)-Angriffen standhalten sollten. Die automatischen und manuellen Abwehrmechanismen der Pimcore Cloud Edition stellen sicher, dass mögliche Angriffe ehestmöglich erkannt und abgewendet werden können, bevor die Service-Verfügbarkeit dadurch verschlechtert oder verringert wird.
• Firewalls und Intrusion-Prevention-Systeme auf den Pimcore Cloud Edition-Servern helfen dabei, Bedrohungen wie Brute-Force-Passwort-Angriffe zu erkennen und automatisch zu blockieren.

 

Pimcore (die Software)

 

Software-Sicherheit

• Pimcore ist neben der lizenzierten Cloud Edition vor allem als Open Source Software erhältlich, so dass die Codebasis ständig von Pimcore-Benutzern, Mitwirkenden und Sicherheitsexperten weltweit überprüft wird. Fehlerberichte aus der Community sind daher eine wichtige Basis für laufende Rückmeldungen zur Sicherheit. Wir ermutigen jeden Pimcore-Entwickler, Pimcore zu überprüfen und Sicherheitsprobleme umgehend zu melden.
• Im Rahmen unserer Entwicklungsprozesse stellen wir mittels Code-Review-Prozesse stets sicher, dass neue Software-Bestandteile und Funktionen auch in Bezug auf Sicherheitsaspekte geprüft werden.

 

Security by Design

• Pimcore ist so konzipiert, dass die häufigsten Sicherheitsschwachstellen grundlegend verhindert werden:
  • SQL-Injections werden durch die Verwendung einer API auf höherer Ebene verhindert, die keine manuellen SQL-Abfragen erfordert.
  • XSS-Angriffe werden durch die Verwendung eines High-Level-Templating-Systems verhindert, das automatisch eingefügte Daten umgeht.
  • Das bei Pimcore eingesetzte Symfony-Framework verhindert den RPC-Zugriff auf private Methoden und erschwert so die Einbringung ausnutzbarer Schwachstellen.

 

Unabhängige Sicherheitsprüfungen

• Pimcore wird in regelmäßigen Abständen von unabhängigen Unternehmen geprüft, die von unseren Kunden oder Interessenten beauftragt werden, Audits und Penetrationstests durchzuführen. Unsere Pimcore-Experten erhalten die Ergebnisse und ergreifen, wann immer es nötig ist, entsprechende Korrekturmaßnahmen.
• Wir können jedoch keine dieser Ergebnisse veröffentlichen, da sie vertraulich sind und den Auftraggebern gehören.
• Pimcore hat auch eine sehr aktive Community unabhängiger Sicherheitsexperten, die den Quellcode kontinuierlich überwachen und mit uns zusammenarbeiten, um die Sicherheit der Software zu verbessern und zu härten.

 

Melden von Sicherheitsschwachstellen

• Wenn Sie eine Sicherheitslücke bei Pimcore identifiziert haben, bitten wir Sie diese umgehend per E-Mail an support@pimcore.com oder mittels entsprechendem Support-Ticket bei unserem technischen Support-Helpdesk zu melden.
• Wir werden derartige Meldungen mit entsprechend hoher Priorität behandeln und bestmöglich versuchen, das Problem durch unsere Pimcore-Experten schnellstmöglich zu bewerten, zu lösen und in Folge in verantwortungsvoller Weise an Pimcore-Kunden und -Nutzer weiterzugeben.