Sicherheit bei DPP Host
Zuletzt überprüft am 30. September 2026
DPP Host wird von der Qubites ApS in Dänemark betrieben. Diese Seite zeigt, was wir tun, um Produktpässe und Kundendaten zu schützen, und wo wir bei jeder Maßnahme der ISO/IEC 27002:2022 stehen.
Wo wir stehen
DPP Host ist nicht nach ISO/IEC 27001 zertifiziert.
Wir haben selbst bewertet, wie wir die 93 Maßnahmen der ISO/IEC 27002:2022 umsetzen, und das Ergebnis am 30. September 2026 überprüft. Kein Auditor hat es geprüft. Jede Maßnahme und ihr Status sind unten aufgeführt.
- 28 Umgesetzt Läuft heute, und wir können es nachweisen.
- 53 Teilweise Ein Teil läuft. Der Rest ist benannt und hat eine zuständige Person.
- 7 Geplant Hat eine zuständige Person und einen Auslöser. Noch läuft nichts.
- 5 Nicht anwendbar Gilt nicht für DPP Host. Die Begründung ist dokumentiert.
Was wir tun
Wo Ihre Daten liegen
Die Datenbank, die Anmeldung und die Serverfunktionen laufen in Frankfurt (EU). Veröffentlichte Produktpässe, Bilder und Lieferantendateien werden in Cloudflare R2 unter EU-Jurisdiktion gespeichert. Einige Daten werden außerhalb der EU verarbeitet. So liefert Cloudflare Seiten aus dem Rechenzentrum aus, das den Besuchern am nächsten liegt, Resend bewahrt Kopien der E-Mails, die wir senden, 30 Tage lang in den USA auf, und Verbindungen von KI-Apps werden in Cloudflare Workers KV gespeichert, das nicht auf die EU beschränkt ist.
Wer was sehen kann
Jede Tabelle der Datenbank hat Zugriffsregeln auf Zeilenebene. Mitglieder einer Organisation können die Daten einer anderen nicht lesen. Der öffentliche Schlüssel, den die Website verwendet, kann keine Tabelle lesen oder beschreiben. Daten der Eigentümer-Services werden getrennt von den Produktpässen gehalten und gelangen nie in die öffentlichen Kopien.
Keine Veröffentlichung ohne einen Menschen
Ein KI-Assistent oder eine Integration kann einen Produktpass vorbereiten. Eine Person in Ihrer Organisation gibt ihn frei, nachdem sie sich erneut angemeldet hat. Nur ein API-Schlüssel, dem ein Administrator das Recht zum Veröffentlichen erteilt hat, kann selbstständig veröffentlichen.
Schlüssel
API-Schlüssel werden einmal angezeigt und nur als schlüsselbasierte Hashes gespeichert. Sie laufen ab, lassen sich mit einer Übergangszeit austauschen und funktionieren nicht mehr, sobald die Person, die sie erstellt hat, die Organisation verlässt.
Bei der Übertragung und im Ruhezustand
Alle Verbindungen nutzen TLS mit HSTS. Die Website, das Dashboard und die Passseiten senden eine Content Security Policy. Gespeicherte Daten werden von unseren Anbietern verschlüsselt.
Backups und Kontinuität
Veröffentlichte Produktpässe werden aus einer statischen Kopie ausgeliefert, die erreichbar bleibt, wenn das Dashboard oder die Datenbank ausfällt. Jeder veröffentlichte Produktpass wird jede Nacht in einen separaten EU-Bucket kopiert. Unser Ziel ist, veröffentlichte Produktpässe innerhalb von 8 Stunden wiederherzustellen, mit höchstens 24 Stunden Datenverlust. Veröffentlichte Produktpässe bleiben ab der Veröffentlichung 10 bis 15 Jahre online, und ein schriftlicher Abwicklungsplan legt fest, wie sie online bleiben, falls DPP Host den Betrieb einstellt.
Integrität
Jede veröffentlichte Version hat einen Inhalts-Hash mit unabhängigem Zeitstempel. So kann jeder prüfen, dass sie nicht verändert wurde.
Sicherheitsvorfälle
Wir haben ein schriftliches Verfahren für Sicherheitsvorfälle und Verletzungen des Schutzes personenbezogener Daten. Es umfasst die Meldepflicht binnen 72 Stunden nach der DSGVO und das Melde- und Abhilfeverfahren nach dem Gesetz über digitale Dienste.
Die 93 Maßnahmen
Die ISO/IEC 27002:2022 nennt 93 Maßnahmen in vier Gruppen. Jede Zeile zeigt die Nummer der Maßnahme, ihren Titel in der Norm und unseren Status am 30. September 2026. Was wir für die einzelnen Maßnahmen tun und wo, bleibt intern; unter NDA stellen wir es zur Verfügung.
5 Organisatorische Maßnahmen
37 Maßnahmen: 14 umgesetzt, 21 teilweise, 2 geplant, 0 nicht anwendbar.
| Nr. | Maßnahme | Status |
|---|---|---|
| 5.1 | Informationssicherheitspolitik und -richtlinien | Teilweise |
| 5.2 | Rollen und Verantwortlichkeiten | Umgesetzt |
| 5.3 | Aufgabentrennung | Teilweise |
| 5.4 | Verantwortlichkeiten der Leitung | Umgesetzt |
| 5.5 | Kontakt mit Behörden | Teilweise |
| 5.6 | Kontakt mit speziellen Interessengruppen | Teilweise |
| 5.7 | Informationen über die Bedrohungslage | Teilweise |
| 5.8 | Informationssicherheit im Projektmanagement | Umgesetzt |
| 5.9 | Inventar der Informationen und anderer damit verbundener Werte | Umgesetzt |
| 5.10 | Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten | Umgesetzt |
| 5.11 | Rückgabe von Werten | Geplant |
| 5.12 | Klassifizierung von Informationen | Umgesetzt |
| 5.13 | Kennzeichnung von Informationen | Teilweise |
| 5.14 | Informationsübertragung | Umgesetzt |
| 5.15 | Zugangssteuerung | Umgesetzt |
| 5.16 | Identitätsmanagement | Umgesetzt |
| 5.17 | Authentisierungsinformationen | Teilweise |
| 5.18 | Zugangsrechte | Teilweise |
| 5.19 | Informationssicherheit in Lieferantenbeziehungen | Teilweise |
| 5.20 | Behandlung von Informationssicherheit in Lieferantenvereinbarungen | Teilweise |
| 5.21 | Umgang mit der Informationssicherheit in der IKT-Lieferkette | Teilweise |
| 5.22 | Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen | Teilweise |
| 5.23 | Informationssicherheit für die Nutzung von Cloud-Diensten | Umgesetzt |
| 5.24 | Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen | Teilweise |
| 5.25 | Beurteilung und Entscheidung über Informationssicherheitsereignisse | Umgesetzt |
| 5.26 | Reaktion auf Informationssicherheitsvorfälle | Teilweise |
| 5.27 | Erkenntnisse aus Informationssicherheitsvorfällen | Umgesetzt |
| 5.28 | Sammeln von Beweismaterial | Teilweise |
| 5.29 | Informationssicherheit bei Störungen | Teilweise |
| 5.30 | IKT-Bereitschaft für Business-Continuity | Teilweise |
| 5.31 | Juristische, gesetzliche, regulatorische und vertragliche Anforderungen | Teilweise |
| 5.32 | Geistige Eigentumsrechte | Umgesetzt |
| 5.33 | Schutz von Aufzeichnungen | Teilweise |
| 5.34 | Privatsphäre und Schutz personenbezogener Daten | Teilweise |
| 5.35 | Unabhängige Überprüfung der Informationssicherheit | Geplant |
| 5.36 | Einhaltung von Richtlinien, Vorschriften und Normen | Teilweise |
| 5.37 | Dokumentierte Betriebsabläufe | Umgesetzt |
6 Personenbezogene Maßnahmen
8 Maßnahmen: 0 umgesetzt, 3 teilweise, 5 geplant, 0 nicht anwendbar.
| Nr. | Maßnahme | Status |
|---|---|---|
| 6.1 | Sicherheitsüberprüfung | Geplant |
| 6.2 | Beschäftigungs- und Vertragsbedingungen | Geplant |
| 6.3 | Informationssicherheitsbewusstsein, -ausbildung und -schulung | Teilweise |
| 6.4 | Maßregelungsprozess | Geplant |
| 6.5 | Verantwortlichkeiten bei Beendigung oder Änderung der Beschäftigung | Geplant |
| 6.6 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen | Geplant |
| 6.7 | Remote-Arbeit | Teilweise |
| 6.8 | Meldung von Informationssicherheitsereignissen | Teilweise |
7 Physische Maßnahmen
14 Maßnahmen: 0 umgesetzt, 10 teilweise, 0 geplant, 4 nicht anwendbar.
| Nr. | Maßnahme | Status |
|---|---|---|
| 7.1 | Physische Sicherheitsperimeter | Teilweise |
| 7.2 | Physischer Zutritt | Teilweise |
| 7.3 | Sichern von Büros, Räumen und Einrichtungen | Teilweise |
| 7.4 | Physische Sicherheitsüberwachung | Nicht anwendbar |
| 7.5 | Schutz vor physischen und umweltbedingten Bedrohungen | Teilweise |
| 7.6 | Arbeiten in Sicherheitsbereichen | Nicht anwendbar |
| 7.7 | Aufgeräumte Arbeitsumgebung und Bildschirmsperren | Teilweise |
| 7.8 | Platzierung und Schutz von Geräten und Betriebsmitteln | Teilweise |
| 7.9 | Sicherheit von Werten außerhalb der Räumlichkeiten | Teilweise |
| 7.10 | Speichermedien | Teilweise |
| 7.11 | Versorgungseinrichtungen | Nicht anwendbar |
| 7.12 | Sicherheit der Verkabelung | Nicht anwendbar |
| 7.13 | Instandhaltung von Geräten und Betriebsmitteln | Teilweise |
| 7.14 | Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln | Teilweise |
8 Technologische Maßnahmen
34 Maßnahmen: 14 umgesetzt, 19 teilweise, 0 geplant, 1 nicht anwendbar.
| Nr. | Maßnahme | Status |
|---|---|---|
| 8.1 | Endpunktgeräte der Benutzer | Teilweise |
| 8.2 | Privilegierte Zugangsrechte | Teilweise |
| 8.3 | Informationszugangsbeschränkung | Umgesetzt |
| 8.4 | Zugriff auf den Quellcode | Teilweise |
| 8.5 | Sichere Authentisierung | Teilweise |
| 8.6 | Kapazitätssteuerung | Teilweise |
| 8.7 | Schutz gegen Schadsoftware | Teilweise |
| 8.8 | Handhabung von technischen Schwachstellen | Teilweise |
| 8.9 | Konfigurationsmanagement | Umgesetzt |
| 8.10 | Löschung von Informationen | Teilweise |
| 8.11 | Datenmaskierung | Umgesetzt |
| 8.12 | Verhinderung von Datenlecks | Teilweise |
| 8.13 | Sicherung von Informationen | Teilweise |
| 8.14 | Redundanz von informationsverarbeitenden Einrichtungen | Teilweise |
| 8.15 | Protokollierung | Teilweise |
| 8.16 | Überwachung von Aktivitäten | Teilweise |
| 8.17 | Uhrensynchronisation | Umgesetzt |
| 8.18 | Gebrauch von Hilfsprogrammen mit privilegierten Rechten | Teilweise |
| 8.19 | Installation von Software auf Systemen im Betrieb | Umgesetzt |
| 8.20 | Netzwerksicherheit | Teilweise |
| 8.21 | Sicherheit von Netzwerkdiensten | Teilweise |
| 8.22 | Trennung von Netzwerken | Umgesetzt |
| 8.23 | Webfilterung | Nicht anwendbar |
| 8.24 | Verwendung von Kryptographie | Teilweise |
| 8.25 | Lebenszyklus einer sicheren Entwicklung | Umgesetzt |
| 8.26 | Anforderungen an die Anwendungssicherheit | Umgesetzt |
| 8.27 | Sichere Systemarchitektur und Entwicklungsgrundsätze | Umgesetzt |
| 8.28 | Sichere Codierung | Umgesetzt |
| 8.29 | Sicherheitsprüfung bei Entwicklung und Abnahme | Umgesetzt |
| 8.30 | Ausgegliederte Entwicklung | Teilweise |
| 8.31 | Trennung von Entwicklungs-, Test- und Produktionsumgebungen | Teilweise |
| 8.32 | Änderungssteuerung | Umgesetzt |
| 8.33 | Testinformationen | Umgesetzt |
| 8.34 | Schutz der Informationssysteme während Tests im Rahmen von Audits | Umgesetzt |
Anbieter
DPP Host läuft bei diesen Anbietern. Die Zertifizierungen sind die, die jeder Anbieter auf seiner eigenen Sicherheitsseite angibt, geprüft am 30. September 2026 und einmal im Jahr erneut geprüft. Sie gelten für den Anbieter, nicht für DPP Host: Unseren eigenen Stand finden Sie oben.
| Anbieter | Aufgabe für DPP Host | Vom Anbieter angegebene Zertifizierungen |
|---|---|---|
| Cloudflare | Edge-Netzwerk, Workers, R2-Speicher, DNS, E-Mail-Weiterleitung | ISO/IEC 27001, 27701 und 27018; SOC 2 Type II; PCI DSS |
| Supabase | Datenbank, Anmeldung und Serverfunktionen in Frankfurt | ISO/IEC 27001; SOC 2 Type 2; HIPAA |
| GitHub | Quellcode und CI | ISO/IEC 27001; SOC 1 und SOC 2 Type 2 |
| Resend | E-Mail-Versand | SOC 2 Type II |
| Scaleway | Externe Kopien: eingerichtet, vorerst ausgeschaltet | ISO/IEC 27001; HDS |
Dokumente und Zertifizierung
Die vollständige Erklärung zur Anwendbarkeit und unsere Richtlinien erhalten Sie auf Anfrage unter NDA: hello@dpphost.eu.
Zertifizierung: sobald ein Kunde oder die EU-Vorschriften für Digitalproduktpass-Dienstleister sie verlangen.
Sicherheitsmeldungen: hello@dpphost.eu. Datenschutz: privacy@dpphost.eu. Wir veröffentlichen keine Verfügbarkeitsgarantie.
Status gemäß der Überprüfung vom 30. September 2026. Diese Seite ändert sich, wenn sich die Erklärung zur Anwendbarkeit ändert.