SOC 2
TYPE II
AktuellTYPE II
SOC 2 Type II
Trust Services Criteria: Security, Availability, Confidentiality. Processing Integrity und Privacy werden bei der nächsten Erneuerung ergänzt.
Starter
90Tage
Audit-Log-Aufbewahrung
TRUST & SICHERHEIT
Was wir tun, was wir haben, was Sie prüfen können.
TradeOS verwaltet Ihre operativen Daten — Aufträge, Sendungen, Verträge, Finanzdaten, Lieferantenbeziehungen, Kundendaten, Kommunikation über sieben Kanäle. Wir betrachten diese Verantwortung als Eintrittspreis für eine Handelsplattform. Keine Marketing-Position. Eine Grundlage. Diese Seite dokumentiert, was wir gebaut haben, wofür wir zertifiziert sind, wozu wir uns vertraglich verpflichten und was Ihr Team unabhängig prüfen kann.
Audit · jährlich
SOC 2 Type IIvollständiger Bericht unter NDA · Executive Summary öffentlich
ISMS · 3-Jahres-Zyklus
ISO 27001:2022gesamter Plattformbetrieb · jährliche Überwachung
Datenschutz · EU-Betroffene
DSGVO + AVVStandard in Business+ · individuell auf Enterprise
Verfügbarkeit
99,95 % UptimeSLA · status.edma.trade · öffentliche Historie
ZERTIFIZIERT
Auditiert. Dokumentiert. Unter NDA verfügbar.
Jede Aussage auf dieser Seite ist einem konkreten Artefakt zugeordnet, das Ihr Team prüfen kann. Öffentliche Artefakte werden über den Link unten heruntergeladen. NDA-geschützte Artefakte werden innerhalb von 2 Werktagen nach unterzeichneter Standard-NDA bereitgestellt.
ISO
27001
:2022
Aktuell27001
:2022
ISO 27001:2022
Das Statement of Applicability dokumentiert die 93 im Geltungsbereich liegenden Annex-A-Controls; verfügbar unter Standard-NDA zusammen mit dem vollständigen SOC-2-Bericht.
GDPR
· EU ·
Konform· EU ·
DSGVO-Konformität
EDMA agiert als Auftragsverarbeiter für kundenseitig bereitgestellte Daten; Verantwortlicher ausschließlich für Nutzerkonto-Daten.
HIPAA
· BAA ·
Bedingt· BAA ·
HIPAA (BAA)
Nicht anwendbar auf Nicht-Healthcare-Workspaces. BAA-Bedingungen sind ein Addendum zum Standard-MSA, kein separater Vertrag.
Auf der Konformität-Fahrplan 2026–2027: PCI-DSS Level 1 (Zahlungs-Workflows), ISO 27701 (Erweiterung von 27001 um Privacy Management), SOC 2 Type II Erweiterung auf Sovereign- und Air-Gapped-Deployment-Stufen. Öffentliche vierteljährliche Fortschritte im Newsroom.
WO IHRE DATEN LIEGEN
Geografische Datenresidenz nach Deployment-Stufe.
Drei Standardregionen für Team- und Business-Kunden. Single-Tenant Sovereign Deployment in jeder von ~25 Cloud-Regionen auf Enterprise. Air-Gapped Deployment für Kunden, deren Daten ihre eigene Infrastruktur nicht verlassen dürfen.
RESIDENZ-MAP · STANDARDVERHALTEN · IN-REGION3 STANDARD + 25 SOVEREIGN
Regionsübergreifende Datenbewegungen sind opt-in und auditierbar. Standardverhalten: Daten bleiben in Ihrer gewählten Region. Backup und Disaster Recovery: ausschließlich innerhalb der Region, sofern der Kunde nicht ausdrücklich schriftlich Cross-Region DR als Vertrags-Addendum anfordert.
VERSCHLÜSSELUNG
At rest, in transit, in use. End-to-End.
Konkrete Algorithmen, konkrete Schlüsselhierarchien, konkrete Compute-Attestierung. Kundenverwaltete Schlüssel auf Enterprise: Rotieren oder zerstören Sie die Schlüssel, und EDMA kann Ihre Daten nicht mehr entschlüsseln — auch nicht für die eigene Incident Response.
[01]
At rest
Daten at rest
- AES-256-GCM für alle gespeicherten Daten — Datenbanken, Object Storage, Backups.
- Pro-Tenant-Verschlüsselungsschlüssel erzwingen Arbeitsbereich-Isolation; keine geteilten Schlüssel zwischen Tenants.
- Hierarchisches KMS: Tenant Master Keys leiten Data Encryption Keys ab; Root Keys verlassen das HSM nicht.
- Backup-Verschlüsselung nutzt eine separate Schlüsselhierarchie; Restore erfordert ausdrückliche Kundenautorisierung.
- Audit-Logs verschlüsselt mit einer dritten Schlüsselfamilie — Aufbewahrung kryptografisch erzwungen, nicht nur über Access Control.
[02]
In transit
Daten in transit
- TLS 1,3 für alle externen Kommunikationen — kein Fallback auf TLS 1,2.
- Certificate Pinning in iOS- und Android-Mobile-Apps.
- mTLS Mutual TLS für Service-zu-Service-Authentifizierung innerhalb der Plattform.
- API-Requests authentifiziert über signierte JWT mit 1-Stunden-Rotation und audience-scoped Claims.
- WebSocket-Verbindungen erben denselben TLS-1,3-Standard; kein Plaintext-Fallback.
[03]
In use · Compute
Daten in use
- Standard-SaaS: TPM-Attestierung auf der Control Plane; sensitive Workloads in attestierten Runtimes.
- Sovereign-Stufe: Confidential Computing auf AWS Nitro Enclaves oder GCP Confidential Computing — selbst EDMA-Engineers haben keinen Zugriff auf entschlüsselte Daten.
- Air-Gapped-Stufe: Schlüssel und Entschlüsselungsoperationen verbleiben vollständig auf der Kunden-Infrastruktur.
- Memory-Zeroization beim Enclave-Shutdown; kein Swap-to-Disk für Cleartext Working Memory.
Enterprise · SchlüsselsouveränitätBYOK & HYOK unterstützt
Bring Your Own Key und Hold Your Own Key werden über die wichtigsten Key Manager unterstützt. Sie können EDMAs Zugriff auf Ihre Daten jederzeit widerrufen durch Rotation oder Zerstörung des Wrapping Key. Nach dem Widerruf kann EDMA nicht entschlüsseln — nicht für Support, nicht für Incident Response, aus keinem Grund.
UNTERSTÜTZT· AWS KMS· Azure Key Vault· GCP Cloud KMS· HashiCorp Vault
ZUGRIFFSKONTROLLE
Wer darf was — mit vollständiger Audit-Sichtbarkeit.
Authentifizierung, Autorisierung und Audit sind drei separate Systeme mit drei separaten Garantien. RBAC mit feldgenauer Granularität. Manipulationssichere Audit-Logs mit kryptografischer Verkettung. SIEM-kompatibler Export ab Business+.
Authentifizierung
[01 / 03]
Wie Nutzer sich anmelden.
- E-Mail + Passwort mit optionaler TOTP 2FA Starter · Solo
- SSO via SAML 2,0 und OIDC Business+
- SCIM 2,0 für User-Provisionierung & -Deprovisionierung Business+
- Pflicht-2FA pro Rolle erzwingbar Business+
- Passwortlos via Passkeys / WebAuthn — auf jeder Stufe gegenüber Passwörtern empfohlen
In Produktion getestete IdPs
OktaAzure ADGoogle ArbeitsbereichAuth0OneLoginDuoPing IdentityJumpCloud
Autorisierung
[02 / 03]
Wer darf was tun.
- RBAC mit 6 Standardrollen + unbegrenzten eigenen Rollen
- Berechtigungsgranularität: Bereich · Aktion · Feld
- Arbeitsbereich-scoped — Multi-Tenant-Operatoren erhalten Berechtigungssätze pro Arbeitsbereich
- Zeitlich befristeter Zugriff — temporäre Rollen mit explizitem Ablauf
- Privileged Access Management für Support-Eskalationen
- Just-in-Time-(JIT-)Elevation für risikoreiche Operationen
- Genehmigungs-Workflows für sensitive Aktionen — pro Arbeitsbereich konfigurierbar
Standardrollen
InhaberAdminBetreiberFinanzenBetrachterPartner
Audit-Trail
[03 / 03]
Jedes Ereignis, geloggt.
- Authentifizierungs-Events: Erfolg, Fehlschlag, Ort, Gerät
- Autorisierungsentscheidungen: wer, was, wann, gewährt/verweigert, Grundlage
- Datenzugriff auf Zeilenebene geloggt für sensitive Entitäten — Aufträge, Verträge, Finanzdaten
- Manipulationssicheres Audit-Log mit kryptografischer Verkettung — jeder Eintrag per Hash mit seinem Vorgänger verknüpft
- Export-Formate: CEF, LEEF, JSON — SIEM-kompatibel Business+
Validierte SIEM-Ziele
SplunkDatadogSumo LogicElastic SIEMSentinel
Solo
180Tage
Audit-Log-Aufbewahrung
Business
1Jahr
SIEM-Export verfügbar
Enterprise
Unbegrenzt
kundendefinierte Aufbewahrung
WER NOCH IHRE DATEN VERARBEITET
Vollständige Sub-Processor-Offenlegung. Quartalsweise aktualisiert.
Jeder Dritte, der Operator-Daten berührt, ist unten gelistet. Zweck, zugegriffene Daten, Standort, Konformität-Status. Wesentliche Änderungen lösen 30 Tage Vorankündigung aus. Enterprise-Kunden behalten unter individueller AVV das Widerspruchsrecht.
| Sub-Processor | Zweck | Zugegriffene Daten | Standort | Konformität |
|---|---|---|---|---|
| Amazon Web ServicesAWS · Primär-Infra | Infrastruktur-Hosting — Compute, Storage, Datenbanken, Netzwerk | Alle operativen Daten | US · EU · APAC pro Kunden-Region | SOC 2ISO 27001HIPAA-fähigDSGVO |
| AnthropicClaude · primäre KI | KI-Inferenz — Primärmodell für Atlas, Rechts-KI, Buchhaltungs-KI | Nur operatorinitiierte KI-Prompts | US | SOC 2DSGVOKeine Datenspeicherung |
| OpenAIGPT · Fallback-KI | KI-Inferenz — Fallback / spezialisierte Fähigkeiten | Nur operatorinitiierte KI-Prompts | US | SOC 2DSGVOKeine Datenspeicherung |
| GoogleGemini · Fallback-KI | KI-Inferenz — Fallback / EU-Regions-Routing für Atlas | Nur operatorinitiierte KI-Prompts | US · EU | SOC 2ISO 27001DSGVO |
| StripeZahlungen · Billing | Zahlungsabwicklung — Subscription-Billing und Marktplatz-Settlement | Nur Abrechnungsdaten · keine operativen Daten | US · EU | PCI-DSS L1SOC 2DSGVO |
| Resend / Amazon SESTransaktions-E-Mail | Zustellung transaktionaler E-Mails | E-Mail-Inhalt + Empfängeradresse | US · EU | SOC 2DSGVO |
| TwilioSMS · WhatsApp Business | SMS + WhatsApp-Business-Messaging — Gegenpartei-Kommunikation | Nachrichteninhalt + Kontakt der Gegenpartei | US · regional | SOC 2DSGVO |
| MapboxGeocoding · Maps | Geocoding + Map Tiles für Sendungsverfolgung | Adress-Strings für Sendungsverfolgung | US | SOC 2DSGVO |
| CloudflareCDN · DDoS · WAF | CDN, DDoS-Schutz, Web Application Firewall | HTTP-Request-Metadaten · keine Payload-Aufbewahrung | Global Edge | SOC 2ISO 27001DSGVO |
| SentryError Monitoring | Error Monitoring & Leistung Traces | Error Stack Traces · PII an der Quelle bereinigt | US · EU | SOC 2DSGVO |
Benachrichtigungs-Richtlinie
Kunden erhalten 30 Tage Vorankündigung vor jeder Sub-Processor-Änderung. Wesentliche Änderungen — neue Region, neuer Datentyp, neues Konformitätsregime — lösen explizite erneute Einwilligung für Enterprise-Kunden unter individueller AVV aus. Die aktuelle Liste wird auch als versionierter JSON-Feed unter edma.trade/security/subprocessors.json für Konformität-Automatisierungs-Tooling veröffentlicht.
Widerspruchsrecht
Kunden können bestimmten Sub-Processors widersprechen. EDMA bemüht sich, eine vergleichbare Alternative zu finden oder, wenn keine machbare Alternative existiert, Gründe für eine Kündigung ohne Strafzahlungbereitzustellen. Dieses Recht ist in der Standard-AVV enthalten und überdauert Vertragsverlängerungen.
ADVERSARIAL-TESTS
Jährlich von Dritten getestet. Kontinuierlich von uns selbst.
Zwei Perimeter: Third-Party-Penetration-Testing für Breite und externe Validierung sowie kontinuierliches internes Testing für Tiefe und Geschwindigkeit. Bug-Bounty-Programm skaliert mit GA. Enterprise-Kunden können ihr eigenes Deployment testen.
Third-Party-Pen-Test
jährlich
Externe Penetration-Tests
- Frequenz: mindestens jährlich · on-demand bei größeren Architekturänderungen
- Umfang: Web-App, API-Oberfläche, Infrastruktur, Social-Engineering-Simulation
- Methodik: OWASP ASVS L2 Minimum · OWASP Top 10 + API Top 10
- Firmen: rotiert über[offen — NCC Group / Bishop Fox / Trail of Bits / Praetorian]
Kontinuierlich intern
bei jedem Commit
Kontinuierliches Testing in CI
SAST— Static Application Security Testing · bei jedem CommitSCA— Software Composition Analysis · bei jedem Dependency-UpdateDAST— Dynamic Testing · nachts- Container-Image-Scanning · bei jedem Build
IaC-Scanning · bei jedem Terraform-Plan- Secret-Scanning · Pre-Commit + Post-Merge-Sweeps
Bug Bounty
in Entwicklung
Öffentliches Bug Bounty · Q4 2026
- Launch: parallel zu GA in Q4 2026
- Anbieter: [TBD — HackerOne / Bugcrowd]
- Umfang: Produktions-Endpoints & kundenseitig zugängliche Anwendungen
- Bounty-Spanne: $250 – $10.000 je nach Schweregrad & Impact
- Vor dem Launch: private Invite-only-Beta mit [TBD — Anzahl] Forschern
Kundengeführt
Enterprise
Eigenes Deployment testen
Enterprise-Kunden können unabhängige Penetration-Tests auf ihrem dedizierten VPC-Deployment mit Voranmeldung durchführen.
Testumfang, Methodik und Offenlegung der Ergebnisse werden durch eine separate Testvereinbarung geregelt. Sovereign- und Air-Gapped-Deployments erlauben kundengesteuerte Tests ohne Koordinationsauflagen — es ist Ihre Infrastruktur, testen Sie sie nach Ihrem Zeitplan.
WENN ETWAS SCHIEFGEHT
Dokumentierte Playbooks. Benachrichtigung innerhalb von 72 Stunden.
Framework nach NIST SP 800-61. 24/7 Incident-Commander-Rotation. Statusseiten-Updates innerhalb von 15 Minuten nach Bestätigung, vollständige Kundenbenachrichtigung innerhalb von 24 Stunden für bestätigte Verletzungen, die ihre Daten betreffen, öffentlicher Post-Incident-Bericht innerhalb von 5 Werktagen.
Schritt 01 · Detect
Erkennung
- 24/7-SOC-Monitoring — Security Operations Center über drei Zeitzonen
- Authentifizierungs-, Autorisierungs- und DatenzugriffsmusternAnomalieerkennung auf
- Threat-Intelligence-Feeds: [TBD Anbieter]
- Kundengemeldete Vorfälle über dedizierten Kanal — umgeht die allgemeine Support-Warteschlange
- Interne Eskalations-SLA: P1 5 Min. · P2 30 Min. · P3 4 Std.
Schritt 02 · Respond
Reaktion
- Dokumentierte Playbooks nach dem NIST-SP-800-61-Framework
- Incident-Commander-Rotation 24/7 — namentlich benannte Person auf Abruf, kein geteilter Posteingang
- CERR-Prozess: Containment · Eradication · Recovery · Lessons Learned
- Statusseiten-Updates innerhalb von 15 Minuten nach Bestätigung
- Vollständige Benachrichtigung innerhalb von 24 Std. · Post-Incident-Bericht innerhalb von 5 Werktagen
Schritt 03 · Notify
Verletzungs-Benachrichtigung
- Kundenbenachrichtigung innerhalb von 72 Stunden nach bestätigter Verletzung, die ihre Daten betrifft — gemäß Art. 33 DSGVO
- Meldung an Aufsichtsbehörden gemäß Anforderungen der jeweiligen Jurisdiktion
- Benachrichtigung betroffener Datensubjekte koordiniert mit dem Kunden gemäß dessen AVV und geltendem Recht
- Öffentliche Offenlegung koordiniert mit betroffenen Kunden und Behörden
- Statusseite innerhalb von 7 TagenWesentliche Verletzungen werden öffentlich über nach Bestätigung offengelegt
Benachrichtigungs-SLA
Bestätigte Verletzung → Kunde benachrichtigt
T+0Vorfall vom IR-Commander bestätigt00:00
T+15minStatusseiten-Eintrag erstellt00:15
T+24hvollständige Kundenbenachrichtigung (E-Mail + Portal)24:00
T+72hMeldung an Aufsichtsbehörde · Art. 33 DSGVO72:00
T+5TPost-Incident-Bericht (direkt an Kunden)120:00
T+30TAbschlussbericht · Root Cause + Remediation720:00
Alle Systeme betriebsbereitWesentliche Vorfälle werden offengelegt unter status.edma.trade — seit Beta-Launch Mai 2026: [X] wesentliche Vorfälle · vollständige Historie öffentlich.
Statusseite öffnen →IHR RECHT AUF ÜBERPRÜFUNG
Unabhängige Überprüfung — durch Sie oder Ihre Auditoren.
Vertrauen ohne Überprüfung ist eine Marketingbehauptung. Jeder Business- und Enterprise-Kunde erhält das unten genannte Dokumentationspaket. Enterprise-Kunden können zusätzlich vor Ort auditieren, Audit-Logs in ihr eigenes SIEM streamen und Lieferanten-Security-Fragebögen mit einer 5-Tage-SLA beantwortet bekommen.
A · Dokumentations-Review
Business+Standard-Dokumentationspaket
Alle Business- und Enterprise-Kunden erhalten:
- Jährlichen SOC-2-Type-II-Bericht (unter NDA)
- ISO-27001-Zertifikat und Statement of Applicability
- Penetration-Test- Executive Summary (vollständiger Bericht unter NDA)
- Quartalsweise aktualisierte Sub-Processor-Liste · JSON-Feed verfügbar
- Dokumentation zu Verschlüsselung & Key Management
- Incident-Response-Playbooks (wo nötig redigiert)
B · Vor-Ort-Audits
EnterpriseUnseren Betrieb direkt auditieren
Enterprise-Kunden können jährliche Vor-Ort-Audits mit 60 Tagen Vorankündigungdurchführen. Umfang: Informationssicherheits-Controls, Sub-Processor-Management, Incident-Response-Verfahren und Encryption Key Management.
Kosten: kundengetragen für Audits über das Standard-Dokumentations-Review hinaus. EDMA stellt Arbeitsplatz, benanntes Personal und Dokumentenzugriff. Erkenntnisse bleiben unter der Auditvereinbarung kundenvertraulich.
C · Kontinuierliches Monitoring
EnterpriseEvents in Ihren Stack streamen
Enterprise-Kunden können kontinuierlichen Monitoring-Zugang anfragen:
- SIEM-Integration von Audit-Logs — Splunk, Datadog, Sumo Logic, Elastic, Sentinel
- Echtzeit-Security-Event-Streaming via Kafka-Topic oder Webhook
- Kundengesteuerter API-Zugang für Konformität-Automatisierungs-Tools
- Per Vertrag konfiguriert; Rate Limits und Event-Typen verhandelbar
D · Lieferanten-Fragebögen
Business+Security-Assessments — SIG, CAIQ, individuell
Standard-Security-Assessments — SIG, CAIQ, Lieferanten-Security-Fragebögen, individuelle Enterprise-Templates — werden für Business+-Kunden innerhalb von 5 Werktagen beantwortet.
Jährliche Aktualisierung der Antworten im CSM-Umfang enthalten. Vorausgefüllte Antwort-Bibliotheken auf Anfrage für gängige Frameworks (SIG Core, CAIQ v4, NIST CSF 2,0) verfügbar.
KONKRETE FRAGEN
Was InfoSec-Teams tatsächlich fragen.
12 Fragen in 4 Themen gruppiert. Klicken Sie auf eine Gruppe zum Aufklappen. Antworten sind faktisch, knapp und verlinken auf den spezifischen Abschnitt oben, in dem das zugrunde liegende Control dokumentiert ist.
Gruppe 01Dateneigentum & -kontrolle3 Fragen
Wem gehören unsere Daten?
Ihnen. Immer. EDMA verarbeitet Daten in Ihrem Auftrag als Auftragsverarbeiter im Sinne der DSGVO. Ihre Daten sind jederzeit im CSV-/JSON-Format exportierbar. Nach Vertragsende haben Sie 90 Tage zum Export; wir löschen innerhalb von 30 Tagen nach Ablauf der Löschfrist. Das Export-Schema ist dokumentiert und stabil.
Können EDMA-Mitarbeiter auf unsere Daten zugreifen?
Nur unter drei konkreten Bedingungen: (1) Sie haben einen Support-Fall geöffnet und Zugriff gewährt; (2) Notfall-Incident-Response erfordert Datenzugriff — auditiert, zeitlich begrenzt, kundenbenachrichtigt; (3) Gerichtsbeschluss oder rechtliches Verfahren — wir widersprechen und benachrichtigen Sie, sofern nicht rechtlich untersagt. Standardbetrieb erfordert keinen EDMA-Zugriff auf Kundendaten. Alle Zugriffsereignisse werden in Ihr Audit-Log geschrieben.
Was passiert, wenn EDMA übernommen wird oder den Betrieb einstellt?
Übernahme: Kundendatenschutz-Klauseln überdauern die Übernahme; der neue Eigentümer übernimmt die AVV-Bedingungen. Betriebseinstellung: 12 Monate Vorankündigung vertraglich gegenüber Enterprise-Kunden zugesichert, mit Datenmigrations-Unterstützung; 6 Monate Vorankündigung für alle anderen Stufen. Open-Source-Escrow für kritische Datenformate stellt sicher, dass eine Migration technisch machbar ist, selbst wenn EDMA-Personal nicht verfügbar ist.
Gruppe 02KI & Datenschutz3 Fragen
Werden unsere Daten zum Trainieren von KI-Modellen verwendet?
Nein. EDMA hat Zero-Data-Retention-Verträge mit Anthropic (Claude), OpenAI und Google (Gemini). Ihre Prompts und KI-Antworten werden von den Anbietern über die Dauer des API-Calls hinaus nicht aufbewahrt und nicht zum Training verwendet. Lokales Gemma 4 E4B — unser Resilienz-Fundament — läuft auf von EDMA kontrollierter Infrastruktur oder bei Ihnen im Air-Gapped Deployment.
Können wir eigene KI-Anbieter-Schlüssel verwenden?
Ja — auf Enterprise-Stufe. Bring Your Own Key (BYOK) unterstützt für Anthropic, OpenAI, Google und freigegebene kundengehostete LLM-Inference-Endpoints. KI-Prompts werden über Ihr Anbieter-Konto geroutet und Ihnen direkt in Rechnung gestellt. EDMA sieht den API-Key nie — er liegt in Ihrem KMS und wird bei jedem Request gewrapped.
Was ist mit KI-Halluzinationen im Finanz- oder Rechtskontext?
KI-Produkte im Finanz- oder Rechtskontext (Rechts-KI, Buchhaltungs-KI) umfassen Confidence Scoring, Human-Review-Workflows für hochriskante Aktionen und Audit-Ketten für jedes KI-generierte Artefakt. Ausgaben sind standardmäßig im Draft-Modus; menschliche Freigabe ist vor Versand oder Commit erforderlich. Die Audit-Kette ist das Protokoll darüber, wer was wann und auf welcher Grundlage geprüft hat.
Gruppe 03Operative Sicherheit3 Fragen
Wie werden Nutzer-Credentials gespeichert?
bcrypt mit Cost Factor 12 (adaptiv). Password-Reset nutzt Einmal-Tokens mit zeitlicher Begrenzung. Passkeys (WebAuthn) werden auf jeder Stufe gegenüber Passwörtern empfohlen. SSO wird ab Business+ Stufe gegenüber lokalen Credentials empfohlen — Passwörter werden auf Arbeitsbereich-Ebene deaktiviert, wenn SSO erzwungen wird.
Wie handhaben Sie administrativen Zugriff auf die Produktion?
Just-in-Time-(JIT-)Elevation erforderlich für jeden Produktionszugriff — kein Standing Access. Mehr-Personen-Genehmigung für produktionsrelevante Änderungen, die Kundendaten betreffen. Aufgezeichnete Sessions für sämtliche Produktions-Datenbank-Zugriffe. Vierteljährliche Access Reviews. Privileged Access Management (PAM) über [TBD-Anbieter].
Wie sieht Ihr Secure Software Development Lifecycle aus?
Threat Modeling in der Design-Phase. Verpflichtendes Code-Review durch 2+ Engineers. Automatisierte Security-Tests (SAST, SCA, DAST) in CI. Dependency-Schwachstellen werden verfolgt und innerhalb der SLA gepatcht: P1 24 Std. · P2 7T · P3 30T. Keine Secrets im Quellcode — Pre-Commit- und Post-Merge-Scans. Jährliche Secure-Coding-Schulung für alle Engineers.
Gruppe 04Konformität-Spezifika3 Fragen
Sind Sie DSGVO-konform?
Ja. EDMA agiert als Auftragsverarbeiter für kundenseitig bereitgestellte Daten (bzw. als Verantwortlicher für Nutzerkonto-Daten). Standard-AVV in Business+ Verträgen enthalten. Kundenspezifische AVVs werden auf Enterprise-Stufe verhandelt. Data Subject Access Requests (DSAR) werden über einen In-Product-Workflow mit 30-Tage-Antwort-SLA unterstützt.
Unterstützen Sie Datenresidenz für [bestimmtes Land]?
Standardregionen: US (Virginia), EU (Frankfurt), APAC (Singapur). Sovereign-Stufe (Enterprise) unterstützt jede AWS-, GCP- oder Azure-Region — etwa 25 Regionen weltweit. Spezifische Länderanforderungen (Datenlokalisierung in Russland, China, Indien) erfordern ein individuelles Enterprise-Deployment; für Scoping bitte Vertrieb kontaktieren.
Wie lautet die Verletzungs-Benachrichtigungs-SLA?
Kundenbenachrichtigung innerhalb von 72 Stunden nach bestätigter Verletzung, die ihre Daten betrifft, gemäß Art. 33 DSGVO. Wesentliche Verletzungen werden öffentlich über die Statusseite innerhalb von 7 Tagen nach Bestätigung offengelegt. Detaillierter Post-Incident-Bericht innerhalb von 30 Tagen. Kundenspezifisches Benachrichtigungs-Timing verfügbar unter individuellen Enterprise-Verträgen (z. B. 24-Stunden-Benachrichtigung für regulierte Finanzkunden).
NÄCHSTER SCHRITT
Holen Sie sich das Security-Review-Paket.
Drei Pfade. Wählen Sie den, der zu Ihrem Evaluationsstand passt — vorläufiges Durchlesen, NDA-geschützter Deep Dive oder direktes Gespräch mit Security Engineering.
Pfad AÖFFENTLICH · OHNE NDA
Self-Service-Review-Paket
Öffentliche Artefakte ohne NDA verfügbar. End-to-End in 30 Minuten lesbar. Geeignet für frühe Lieferanten-Evaluation.
SOC 2 Type II Executive Summary
ISO 27001:2022 Zertifikat
Sub-Processor-Liste · aktuelles Quartal
Pen-Test Executive Summary
AVV-Vorlage · Standardform
Pfad BNDA-GESCHÜTZT
NDA-geschütztes Review-Paket
Löst eine Standard-Mutual-NDA über DocuSign aus. Lieferung innerhalb von 2 Werktagen nach Unterzeichnung. Geeignet für laufende Beschaffung.
SOC 2 Type II vollständiger Bericht
ISO 27001 Statement of Applicability
Penetration-Test vollständige Berichte
Individuelle AVV-Vorlage
Incident-Response-Playbooks (redigiert)
Pfad CENTERPRISE
Security-Engineering-Beratung
60-minütiger Call mit EDMAs Security-Engineering-Team. Geeignet für komplexe Anforderungen und Custom-Deployment-Scoping.
Review der Deployment-Architektur
Scoping individueller Anforderungen
Walkthrough zu BYOK-/HYOK-Optionen
Audit-Umfang & -Kadenz
Regulatorisch spezifische Konformität
Direktkontakt
Für koordinierte Schwachstellen-Offenlegung, dringende Sicherheitsanfragen oder alles, was den allgemeinen Vertrieb umgehen muss. 24/7 vom diensthabenden Security-Engineer überwacht. Verschlüsseln Sie sensible Kommunikation mit dem rechts angezeigten PGP-Key.
PGP-Key · [email protected]
FINGERPRINT · [TBD — 40-CHAR HEX]-----BEGIN PGP PUBLIC KEY BLOCK----- Version: edma-trade-os v2026.05 [ Public key block — published at edma.trade/.well-known/security.txt ] [ TBD: full ASCII-armored block to be inserted here at production ] [ TBD: key rotation policy — annual, with 90-day overlap ] -----END PGP PUBLIC KEY BLOCK-----