Sicherheit als oberste Priorität von Payt

Sicherheit bei Payt

Bei Payt hat Sicherheit oberste Priorität. Deshalb achten wir in einem kontinuierlichen Prozess auf den Schutz von datenschutzsensiblen Daten. So lassen wir beispielsweise regelmäßig externe Penetrationstests durchführen und setzen die daraus resultierenden Empfehlungen direkt in unserer Software um. Stolz sind wir auch auf unser ISO 27001-Zertifikat: der Beweis, dass Payt die Sicherheit sehr ernst nimmt und den Sicherheitsprozess gut kontrolliert.

ISO 27001 Zertifikat

ISO 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Diese Norm legt die Anforderungen für die Einrichtung, Implementierung, Ausführung, Überprüfung, Bewertung, Aufrechterhaltung und Verbesserung eines Informationssicherheits-Managementsystems (ISMS) fest, in diesem Fall unserer eigenen Payt-Plattform.

Das Audit wurde von Lloyd’s Register durchgeführt. Die Spezialisten von Lloyd’s haben Payt anhand einer Liste von Anforderungen und Standards zur Informationssicherheit getestet und geprüft. Als Ergebnis dieser Tests kamen sie zu dem Schluss, dass die Sicherheitspolitik von Payt in Ordnung ist.

Ethisches Hacking

Trotz der großen Aufmerksamkeit, die wir der Sicherheit der Daten unserer Kunden widmen, ist es möglich, dass es zu Einbrüchen kommt. Wir stehen dem Konzept des Ethical Hacking positiv gegenüber und begrüßen es, wenn - in verantwortungsvoller Weise - auf Schwachstellen in unserer Software hingewiesen wird.

Wenn Sie eine Schwachstelle in einem unserer Systeme finden, würden wir uns freuen, von Ihnen zu hören. Dies ermöglicht es uns, so schnell wie möglich Maßnahmen zu ergreifen. Wir möchten mit Ihnen zusammenarbeiten, um unsere Kunden und unsere Systeme besser zu schützen.

Wir bitten Sie:

Ihre Erkenntnisse per E-Mail an security@paytsoftware.com zu senden,
das Problem nicht zu missbrauchen, indem Sie z.B. mehr Daten herunterladen, als zum Nachweis des Lecks notwendig sind. Wir bitten Sie auch, keine Daten Dritter einzusehen, zu löschen oder zu verändern;
das Problem nicht mit anderen zu teilen, bis es behoben ist, und alle vertraulichen Daten, die durch das Leck erlangt wurden, sofort nach Bestätigung des Berichts zu löschen;
keine Angriffe auf die physische Sicherheit, Social Engineering, (verteilte) Dienstverweigerung, Spam oder Anwendungen Dritter zu verwenden;
ausreichende Informationen bereitzustellen, um das Problem zu reproduzieren, damit wir es so schnell wie möglich beheben können. Normalerweise reichen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle aus, aber bei komplexeren Schwachstellen können wir Sie um weitere Informationen bitten.

Was wir versprechen:

Wir behandeln Ihre Meldung mit höchster Priorität und reagieren innerhalb von drei Tagen auf Ihre Meldung. In dieser Antwort können Sie eine Bewertung des Berichts und einen voraussichtlichen Termin für eine Lösung von uns erwarten.
Wenn Sie die oben genannten Bedingungen erfüllen, werden wir im Zusammenhang mit der Meldung keine rechtlichen Schritte gegen Sie einleiten.
Wir behandeln Ihren Bericht vertraulich und geben Ihre persönlichen Daten nicht ohne Ihre Zustimmung an Dritte weiter, es sei denn, dies ist zur Erfüllung einer gesetzlichen Verpflichtung erforderlich.
Wir werden Sie über die Fortschritte bei der Lösung des Problems auf dem Laufenden halten.
In der Berichterstattung über das gemeldete Problem geben wir, wenn Sie es wünschen, Ihren Namen als Entdecker an.
Je nach Auswirkung der Sicherheitslücke bieten wir eine finanzielle Entschädigung (Bug Bounty).
Wir bemühen uns, alle Probleme so schnell wie möglich zu lösen, und sind gerne bereit, an einer Veröffentlichung über das Problem nach dessen Behebung mitzuwirken.