Gehen Sie auf Nummer sicher

Als in Deutschland ansässiger Anbieter ist die sipgate GmbH umfassender Regulierung, auch im Bereich Datenschutz und -sicherheit, unterworfen. Unter anderem verpflichtet das Telekommunikationsgesetz die sipgate GmbH, ein umfassendes Sicherheitskonzept vorzuhalten. Dieses Konzept enthält neben Regelungen zur Datensicherheit auch Notfallpläne für viele Notfallszenarien. Die Einhaltung des Sicherheitskonzepts wird durch die zuständige Aufsichtsbehörde, die Bundesnetzagentur, in regelmäßigen Abständen geprüft.

Die Vertrags- und Nutzungsbedingungen, ergänzt durch die jeweils einschlägige Leistungsbeschreibung, regeln die Nutzung der sipgate Dienste durch die Kunden:innen.

Die Datenschutzerklärung beschreibt, wie sipgate personenbezogene Daten sammelt, empfängt, verwendet, speichert, teilt, überträgt und verarbeitet.

Der Vertrag zur Verarbeitung von Daten im Auftrag legt fest, wie sipgate personenbezogene Daten im Auftrag der Kund:innen im Zusammenhang mit den von sipgate bereitgestellten Dienstleistungen verarbeitet und enthält Informationen über die Subunternehmer, mit denen sipgate arbeitet und den Umfang ihrer Datenverarbeitung.

sipgate verpflichtet sich, die Verfügbarkeit seiner Systeme sicherzustellen, indem alle angemessenen kommerziellen Anstrengungen unternommen werden, um eine jährliche Serviceverfügbarkeit von 99,95 % für den Telefoniedienst zu gewährleisten. Ferner bietet sipgate Echtzeit-Updates und historische Daten zum Systemstatus auf einer Statusseite an.

Alle sipgate Mitarbeitenden müssen bei der Einstellung die Corporate Acceptable Use Policy (AUP), den Code Of Use Good Judgement (CUGJ) und eine Verpflichtung zum Datengeheimnis lesen und anerkennen. In diesen beiden Dokumenten werden die Sicherheitsverantwortlichkeiten der Mitarbeitenden zum Schutz von Unternehmenswerten und -daten definiert.

sipgate unterhält eine kontinuierliche Bereitschaft zur Entstörung der Systeme, um schnell auf alle Sicherheits- und Datenschutzereignisse zu reagieren. Hierbei ist das schnelle Vorfallreaktionsprogramm von sipgate höchst reaktionsfähig und wiederholbar. Vorgegebene Vorfalltypen, basierend auf historischen Trends, werden erstellt, um eine zeitnahe Vorfallverfolgung, konsistente Aufgabenverteilung, Eskalation und Kommunikation zu erleichtern. In diesen Prozess fließen viele automatische Ereignisse ein, einschließlich Warnungen zu bösartigen Aktivitäten oder Anomalien, Anbieterwarnungen, Kundenanfragen oder Datenschutzereignissen.

Die unternehmensweiten Passwortrichtlinien bei sipgate folgen den branchenüblichen Best Practices hinsichtlich erforderlicher Länge und Komplexität. Der Zugang zu den Unternehmenssystemen von sipgate, sowohl remote als auch vor Ort, ist zentralisiert, mit einem zweiten Faktor gesichert und nur durch ein VPN möglich. Sämtliche, im Unternehmen eingesetzten, SaaS (Software as a Service) Systeme sind durch den Google SSO Login mit zweitem Faktor abgesichert.

sipgate stellt sicher, dass alle Mitarbeitenden entsprechend ihrer Rolle sicherheitstechnisch unterwiesen werden. Ferner werden die Mitarbeitenden über aktuelle Sicherheitsnachrichten oder Initiativen kontinuierlich informiert und bekommen regelmäßig Angebote für passende Trainings.

sipgate unterhält eine kontinuierliche Bereitschaft zur Entstörung der Systeme, um schnell auf alle Sicherheits- und Datenschutzereignisse zu reagieren. Hierbei ist das schnelle Vorfallreaktionsprogramm von sipgate höchst reaktionsfähig und wiederholbar. Vorgegebene Vorfalltypen, basierend auf historischen Trends, werden erstellt, um eine zeitnahe Vorfallverfolgung, konsistente Aufgabenverteilung, Eskalation und Kommunikation zu erleichtern. In diesen Prozess fließen viele automatische Ereignisse ein, einschließlich Warnungen zu bösartigen Aktivitäten oder Anomalien, Anbieterwarnungen, Kundenanfragen oder Datenschutzereignissen.

sipgate nutzt zur Unterstützung der Produktentwicklung, sowie für interne Operationen Dienstleistungen von Drittanbietern. Dazu unterhält sipgate ein Lieferantenmanagement-Programm, welches sicherstellen soll, dass angemessene Sicherheits- und Datenschutzkontrollen vorhanden sind. Dieses Programm umfasst die Inventarisierung, Verfolgung und Überprüfung der Sicherheitsprogramme der Anbieter, die sipgate unterstützen.
Angemessene Schutzmaßnahmen werden in Bezug auf die erbrachte Dienstleistung und die ausgetauschten Daten bewertet. Die laufende Einhaltung der erwarteten Schutzmaßnahmen wird im Rahmen unserer vertraglichen Beziehung zu den Dienstleistern verwaltet. Die Sicherheits-, Datenschutz-, Rechts- und Compliance-Teams koordinieren sich mit Geschäftsinteressengruppen im Rahmen des Drittanbietermanagementprüfungsprozesses. Eine entsprechende Liste der Subunternehmer wird in einem Datenverarbeitungsvertrag geführt.

Der Zugang zu sipgate Systemen ist streng kontrolliert und folgt dem Prinzip der geringsten Berechtigung. Der Zugriff für sipgate Mitarbeitende erfolgt nach einem rollenbasierten Zugriffskontrollmodell (RBAC).
Um Benutzerzugriffsanfragen, Änderungen und Löschungen zu verwalten, wurde von sipgate ein entsprechender Prozess eingerichtet. Dieser Prozess variiert je nach der Art des benötigten Zugriffs oder ob das System mit der Unternehmens- oder Produktinfrastruktur verbunden ist. Administrativer und risikobehafteter Zugriff wird entweder vorab, basierend auf der funktionalen Rolle des Mitarbeitenden im Unternehmen, genehmigt oder durch eine Genehmigung im Workflow vor der Bereitstellung autorisiert. Benutzer, die eine Änderung für zusätzlichen Zugriff anfordern, durchlaufen denselben Prozess.

Alle Systeme werden regelmäßig mit festgelegten Zeitplänen und Frequenzen gesichert. Hierbei werden Maßnahmen unternommen, um eine Wiederherstellung zu gewährleisten. Sicherungen werden auf erfolgreiche Ausführung überwacht. Im Falle von Ausnahmen werden Warnungen generiert, Fehlermeldungen eskaliert, untersucht und behoben. Entsprechende Warnungen sind für alle Sicherungen eingerichtet und werden priorisiert. Die erzeugten Daten werden täglich in ein anderes Rechenzentrum übertragen.

sipgate stellt zu jeder Zeit die Einhaltung der Betroffenenrechte der DSGVO sicher. Jederzeit können Kund:innen die Löschung der zu ihrer Person gespeicherten Daten verlangen. Sämtliche Kundendaten werden unabhängig davon gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind und soweit sipgate nicht durch anderweitige gesetzliche Vorgaben zu einer längeren Speicherung verpflichtet ist. Die rechtzeitige Löschung der Daten wird durch ein Löschkonzept sichergestellt, das auch Backups berücksichtigt. Werden Daten im Auftrag der Kund:innen gespeichert, greifen die Regelungen des Vertrags zur Verarbeitung von Daten im Auftrag. In diesen Fällen können Kund:innen ihre Daten jederzeit selbst löschen. Weitere Informationen zu diesem Thema finden Sie in der sipgate Datenschutzerklärung.

sipgate nutzt mehrere Technologien, um sicherzustellen, dass gespeicherte Daten sowohl auf Volumen- als auch auf Feldebene verschlüsselt sind. Plattformdaten werden mit AES-256-Verschlüsselung gespeichert. Benutzerpasswörter werden nach branchenüblichen Praktiken gehasht.

Alle sensiblen Interaktionen mit sipgate (etwa API-Anrufe, authentifizierte Sitzungen, usw.), werden während der Übertragung mit TLS 1.2 oder 1.3 mit 2048-Bit-Schlüsseln oder besser verschlüsselt.
Ferner können auch Telefonate und Faxe optional mit TLS verschlüsselt übertragen werden.

Die sipgate Produktinfrastruktur wird in Rechenzentren in Deutschland gehostet. Alle Rechenzentren sind nach DIN ISO 27001 zertifiziert und redundant aufgestellt.

sipgate nutzt ChatGPT. Die Verarbeitung der Daten erfolgt ausschließlich in Europa, Kundendaten werden nach der Fertigstellung gelöscht oder anonymisiert. Eine weitere Nutzung der Daten, zum Beispiel für Machine Learning durch OpenAI, ist vertraglich ausgeschlossen.