Sicherheit & Vertrauen

Werk24 bietet EU- und US-Endpunkte.

• EU: Frankfurt (eu-central-1) mit georedundanten Backups in Stockholm (eu-north-1).
• USA: N. Virginia (us-east-1) mit georedundanten Backups in N. California (us-west-1).

Die Verarbeitung findet in der Region des angefragten Endpunkts statt; wir replizieren Inhalte nicht regionsübergreifend.

Ja. Sie können einzelne oder alle Workloads auf unseren US-Endpunkt routen. Diese Anfragen werden in den USA verarbeitet und gespeichert.

Es gibt keine automatische Replikation zwischen EU und USA; die Datenresidenz bestimmt sich durch den von Ihnen gewählten Endpunkt.

Werk24 verarbeitet so wenig personenbezogene Daten wie möglich. Wenn die Titelblöcke einem Standardformat folgen, schwärzen wir den Freigabebereich bereits sehr früh in der Verarbeitungskette.

Im Ruhezustand: AWS KMS mit einem dedizierten CMK pro Mandant (SSE-KMS für angebundene Kunden; Testdaten via SSE-S3). Schlüssel werden jährlich rotiert.

Bei der Übertragung: TLS 1.2+ (TLS 1.3 bevorzugt) über ACM-verwaltete Zertifikate; mTLS für besonders sensible interne Dienste. Enterprise-Tarife unterstützen Ende-zu-Ende-Verschlüsselung mit flüchtigen Schlüsseln.

Der Zugriff folgt dem Least-Privilege-Prinzip: dienstspezifische IAM-Rollen, getrennte Accounts sowie MFA/YubiKey für Administratoren. Root-Zugriff ist stark eingeschränkt und erfordert die Freigabe durch den CEO; Zugangsdaten und Schlüssel werden im Bankschließfach aufbewahrt.

Segmentierte VPCs mit öffentlichen Subnetzen für Frontends und rein privaten Subnetzen für Worker/Inference. Security Groups begrenzen Dienstports; sensible Dienste nutzen VPC-Endpunkte (kein Durchlauf durchs öffentliche Internet). Öffentliche APIs stehen hinter API Gateway/ALB mit WAF.

Zentralisierte Logs (CloudWatch, CloudTrail) liegen unveränderlich und versioniert mindestens 12 Monate in S3. Sentry liefert Telemetrie auf Anwendungsebene. GuardDuty und CloudWatch Alarms ermöglichen Echtzeit-Anomalieerkennung und Bereitschafts-Alarmierung.

Wöchentliche Patch-Zyklen (Host-AMIs, Basis-Images, Python-Abhängigkeiten); CI erzwingt Dependabot-/Snyk-/Trunk-Prüfungen; AWS ECR scannt Images beim Push. Hochkritische Themen werden innerhalb von 24 h triagiert und innerhalb von 72 h behoben (Ausnahmen werden dokumentiert).

Tägliche Backups mit Point-in-Time-Recovery für kritische Datenbanken; Backups liegen in Frankfurt/Stockholm (EU) bzw. den entsprechenden US-Regionen. RPO 24 h, RTO 4 h; komplette Wiederherstellung der Umgebung wird geübt und ist derzeit nach einem Totalausfall in ~12 h verifiziert.

Ja. Für Kunden mit strengen Residenz- oder Isolationsanforderungen stellen wir eine dedizierte Umgebung in der gewünschten Region bereit – mit separaten KMS-Schlüsseln und mandantenspezifischen IAM-Grenzen.

Unser detailliertes „Konfigurations- & Sicherheitskonzept“ (versioniert) stellen wir auf Anfrage bereit – inklusive Architekturdiagrammen, Prozessbeschreibungen und Testergebnissen zur Notfallwiederherstellung.