Sicherheitsübersicht

Callilio verpflichtet sich, die Vertraulichkeit, Integrität und Verfügbarkeit unserer Plattform sowie der uns anvertrauten Daten zu schützen. Diese Seite beschreibt unsere Sicherheitsphilosophie, technischen Maßnahmen und betrieblichen Praktiken. Sie ergänzt unsere Datenschutzerklärung und Allgemeinen Geschäftsbedingungen und bietet Transparenz über unsere Sicherheitskontrollen.

1. Sicherheitsphilosophie

Sicherheit ist integraler Bestandteil unseres Produktdesigns und Betriebs. Wir verfolgen einen Defence-in-Depth-Ansatz, der technische und organisatorische Kontrollen über Infrastruktur, Anwendung und Personal hinweg schichtet. Wir orientieren uns an Branchen-Best-Practices und halten die Konformität mit einschlägigen Standards ein (etwa DSGVO und CCPA/CPRA). Unsere internen Kontrollen sind in Übereinstimmung mit den Trust-Service-Kriterien von SOC 2 Typ II konzipiert; eine formale Zertifizierung wird geprüft, sobald wir Enterprise-Kunden mit entsprechenden Anforderungen onboarden. Wir bewerten und verbessern unsere Sicherheitslage kontinuierlich.

2. Infrastruktursicherheit

• Cloud-Hosting: Unser Web-Frontend wird auf Vercel gehostet, einer führenden Edge-Delivery-Plattform mit guter Sicherheitsbilanz. Unser Anwendungs-Backend, die Datenbank und der Speicher laufen auf Supabase (basierend auf PostgreSQL) in der Region West-EU (London). Unser Echtzeit-Sprachdienst läuft in Frankfurt. Beide Anbieter setzen robuste physische und Netzwerk-Sicherheitskontrollen ein, einschließlich Perimeterschutz, Intrusion-Detection und DDoS-Abwehr. Einige Sub-Prozessoren für Sprach- und Textverarbeitung arbeiten aus den USA; sie sind in unserer Datenschutzerklärung aufgeführt, und Übermittlungen sind durch Standardvertragsklauseln abgedeckt.
• Isolation und geringste Rechte: Kundendaten sind logisch getrennt. Unsere Infrastruktur folgt dem Prinzip der geringsten Rechte auf Netzwerk- und Dienstebene. Datenbank-Zugangsdaten und API-Schlüssel werden in verschlüsselten Secrets-Management-Tools gespeichert und regelmäßig rotiert.
• Backups und Redundanz: Supabase stellt automatisierte tägliche Backups und Point-in-Time-Recovery für die PostgreSQL-Datenbank bereit. Backups sind verschlüsselt und werden in geografisch getrennten Regionen gespeichert. Das verteilte Content-Delivery-Netzwerk von Vercel gewährleistet Verfügbarkeit durch Redundanz.

3. Datenverschlüsselung

• Während der Übertragung: Alle zwischen Clients und unseren Servern übertragenen Daten werden mit TLS 1.2 oder höher verschlüsselt. Telefonieverkehr nutzt sichere Protokolle wie TLS für die SIP-Signalisierung und das Secure Real-Time Transport Protocol (SRTP) für Medienströme.
• Im Ruhezustand: In Supabase (PostgreSQL), im Objektspeicher und in Backups gespeicherte Daten werden im Ruhezustand mit AES-256 verschlüsselt. Verschlüsselungsschlüssel werden über anbieterseitige Key-Management-Dienste mit strengen Zugriffskontrollen verwaltet. Von Stripe verarbeitete Zahlungsinformationen erfüllen die PCI-DSS-Anforderungen und werden tokenisiert; wir speichern niemals vollständige Kartennummern.

4. Authentifizierung und Zugriffskontrolle

• Supabase Auth: Unsere Plattform nutzt Supabase Auth zur Verwaltung der Benutzerauthentifizierung. Zu den Authentifizierungsoptionen gehören E-Mail/Passwort, passwortlose Magic Links und OAuth über Google oder Microsoft. Passwörter werden mit starken Algorithmen (bcrypt) gehasht und niemals im Klartext gespeichert.
• Rollenbasierte Zugriffskontrolle (RBAC): Wir setzen RBAC ein, um sicherzustellen, dass Nutzer nur Zugriff auf die für ihre Rolle erforderlichen Ressourcen haben. Administrative Rechte sind auf autorisiertes Personal beschränkt und erfordern Multi-Faktor-Authentifizierung.
• Sitzungsverwaltung: Benutzersitzungen werden sicher nachverfolgt. Access-Tokens sind kurzlebig und Refresh-Tokens werden rotiert. Sitzungsmetadaten (IP-Adresse, Gerät) werden erfasst, um Anomalien zu erkennen.
• Zugangsdaten und Webhook-Signatur: Dienst-Zugangsdaten werden in verschlüsselten Secrets-Management-Tools gespeichert und regelmäßig rotiert. Ausgehende Webhooks werden mit einem Geheimnis pro Unternehmen signiert. Rate-Limiting schützt vor Missbrauch.

5. Netzwerksicherheit

• Perimeterschutz: Firewalls und Sicherheitsgruppen beschränken eingehenden Datenverkehr auf nur die erforderlichen Ports und Dienste. Denial-of-Service-Schutz bei Vercel und Supabase wehrt gängige volumetrische und Angriffe auf Anwendungsebene ab.
• Segmentierung: Wir trennen Produktions-, Staging- und Entwicklungsumgebungen. Interne Dienste kommunizieren über private Netzwerke; sensible Dienste (Datenbanken, Message-Broker) sind nicht öffentlich zugänglich.
• Monitoring: Kontinuierliches Netzwerk-Monitoring erkennt anomale Verkehrsmuster und mögliche Eindringversuche. Bei verdächtigen Aktivitäten werden Alarme ausgelöst.

6. Anwendungssicherheit

• Sicherer Entwicklungslebenszyklus: Sicherheit ist in unserem gesamten Software-Entwicklungslebenszyklus verankert. Entwickler folgen Coding-Standards, die Eingabevalidierung, Ausgabe-Encoding und geringste Rechte betonen. Codeänderungen durchlaufen Peer-Reviews und automatisierte Tests.
• Statische und dynamische Analyse: Wir nutzen automatisierte Werkzeuge für Static Application Security Testing (SAST) und Dependency-Scanning, um Schwachstellen in Code und Bibliotheken Dritter zu identifizieren. Kritische Abhängigkeiten werden auf bekannte Schwachstellen (CVE) überwacht und zeitnah aktualisiert.
• Penetrationstests: Penetrationstests sind vor dem Onboarding bedeutender Enterprise-Kunden geplant. Derzeit setzen wir auf sichere Coding-Praktiken, Peer-Code-Reviews und automatisiertes Dependency-Scanning (npm audit, Dependabot), um bekannte Schwachstellen zu mindern.
• Sichere Konfiguration: Sichere Standardkonfigurationen (z. B. Content Security Policy, ausschließlich HTTPS, sichere Cookies, CSRF-Schutz) werden durchgesetzt. Der Zugriff auf administrative Schnittstellen ist beschränkt.
• Responsible Disclosure: Wir begrüßen es, wenn Sicherheitsforschende Schwachstellen verantwortungsvoll melden. Siehe den Abschnitt Offenlegung von Schwachstellen weiter unten.

7. KI- / LLM-Sicherheit

Die KI-Komponenten, die unsere Sprachassistenten antreiben, bringen besondere Sicherheitsaspekte mit sich:

• Isolation von KI-Workloads: Aufrufe an LLM-Anbieter (OpenAI, Anthropic) erfolgen über sichere APIs. Pseudonymisierungstechniken entfernen direkte Identifikatoren aus den Prompts. Anbietern ist es vertraglich untersagt, unsere Daten zu speichern oder zum Training ihrer Modelle zu verwenden.
• Prompt Injection und Inhaltssicherheit: Wir gestalten unsere System-Prompts defensiv, fügen für sensible Kontexte zusätzliche Sicherheitshinweise hinzu und nutzen die integrierte Content-Moderation unserer KI-Anbieter, um missbräuchliche oder schädliche Ein- und Ausgaben zu reduzieren. Eine dedizierte Prompt-Injection-Filterung wird derzeit aktiv ausgebaut.
• Menschliche Aufsicht: KI-Antworten werden überwacht und können einer menschlichen Überprüfung unterzogen werden, insbesondere während Onboarding- oder Trainingsphasen. Kunden können fehlerhafte Antworten zur Überprüfung markieren.

8. Telefonie-Sicherheit

• Telefonieanbieter: Unser Telefonieanbieter Twilio ist nach ISO 27001 zertifiziert und bietet robuste Sicherheitsfunktionen, darunter verschlüsselte Medien, sichere SIP-Schnittstellen und Betrugserkennung. Weitere Anbieter werden angebunden und implementieren ähnliche Schutzmaßnahmen.
• Anrufweiterleitung: Alle Anrufflüsse, IVR-Menüs und Weiterleitungen werden über sichere, authentifizierte APIs konfiguriert. Anrufe werden protokolliert und in verschlüsselter Form gespeichert. Kunden können die Anrufaufzeichnung pro Leitung aktivieren oder deaktivieren, um die jeweiligen Einwilligungsanforderungen zu erfüllen.
• Nummernbereitstellung: Wir stellen Telefonnummern über geprüfte Carrier bereit. Nummern werden bestimmten Kunden zugewiesen und nicht unmittelbar nach Freigabe wiederverwendet.

9. Optionen zur Datenresidenz

Kundendaten werden in der Region West-EU (London) von Supabase gespeichert. Kunden mit regulatorischen oder vertraglichen Anforderungen können uns nach anderen Regionen fragen; wir bearbeiten solche Anfragen individuell und nicht über eine Selbstbedienungseinstellung — bitte sprechen Sie uns an, bevor Sie sich auf einen bestimmten Standort verlassen. Die Standorte unserer Sub-Prozessoren legen wir in unserer Datenschutzerklärung und im Auftragsverarbeitungsvertrag offen.

10. Audit-Logging und Monitoring

• Umfassende Protokolle: Wir führen detaillierte Protokolle administrativer Aktionen, Nutzeraktivitäten (z. B. Anmeldungen, Buchungen, Nachrichten) und Systemereignisse. Protokolle enthalten Zeitstempel, Nutzerkennungen und Metadaten und sind manipulationssicher.
• Zentralisiertes Logging: Protokolle aus Supabase, Vercel und Edge-Funktionen werden zur Überprüfung aggregiert. Anomalieerkennung bei Authentifizierungs- und Admin-Aktionen wird manuell überwacht. Eine dedizierte SIEM-Lösung wird mit dem Wachstum der Plattform geprüft.
• Zugriffs-Audits: Regelmäßige Audits stellen sicher, dass Berechtigungen angemessen bleiben. Sensible Aktionen (z. B. Datenexport, Änderung von Einstellungen) erfordern eine zusätzliche Bestätigung und werden protokolliert.

11. Incident Response

Wir folgen branchenüblichen Incident-Response-Verfahren auf Basis von NIST SP 800-61. Ein formaler, dokumentierter Incident-Response-Plan mit benannten Rollen und Eskalationspfaden wird vor dem Onboarding unseres ersten Enterprise-Kunden vorbereitet. Zentrale Elemente sind:

• Erkennung und Analyse: Automatisiertes Monitoring und menschliche Überprüfung erkennen Anomalien. Wir bewerten Schweregrad, Umfang und Auswirkungen jedes Vorfalls.
• Eindämmung und Beseitigung: Wir isolieren betroffene Systeme, entfernen Schadcode und wenden notwendige Patches oder Konfigurationsänderungen an.
• Benachrichtigung: Sofern gesetzlich oder vertraglich erforderlich, benachrichtigen wir betroffene Kunden und Aufsichtsbehörden unverzüglich. Benachrichtigungen enthalten eine Beschreibung des Vorfalls, seiner wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen.
• Lessons Learned: Nachbereitungen identifizieren Grundursachen und Verbesserungsmöglichkeiten. Behebungsmaßnahmen werden bis zum Abschluss nachverfolgt.

12. Offenlegung von Schwachstellen / Responsible-Disclosure-Programm

Wir schätzen Beiträge aus der Sicherheits-Community. Wenn Sie glauben, eine Schwachstelle entdeckt zu haben, melden Sie diese bitte verantwortungsvoll:

1. Senden Sie eine detaillierte Beschreibung der Schwachstelle an security@callilio.com. Bitte fügen Sie Schritte zur Reproduktion und relevante Nachweise bei.
2. Legen Sie die Schwachstelle nicht öffentlich offen, bevor wir die Möglichkeit hatten, das Problem zu untersuchen und zu beheben.
3. Wir bestätigen den Eingang innerhalb von 72 Stunden und informieren über den Fortschritt der Behebung. Wo angemessen, bieten wir Anerkennung oder Belohnungen an.

13. Sicherheit & Compliance

• DSGVO und DSG: Wir handeln in Übereinstimmung mit der DSGVO und dem Schweizer DSG, einschließlich der Verwendung von Standardvertragsklauseln für internationale Übermittlungen und der Umsetzung von Grundsätzen der Datenminimierung.
• CCPA/CPRA und weitere US-Bundesstaatsgesetze: Unsere Datenschutzpraktiken entsprechen den Datenschutzanforderungen Kaliforniens und anderer Bundesstaaten. Wir verkaufen keine personenbezogenen Daten und nutzen Kundendaten nicht für verhaltensbasierte Werbung.
• SOC 2: Callilio ist nicht SOC 2-zertifiziert; es wurde kein Audit durchgeführt. Unsere internen Kontrollen sind in Übereinstimmung mit den Trust-Service-Kriterien von SOC 2 Typ II konzipiert. Eine formale Zertifizierung wird geprüft, sobald wir Enterprise-Kunden mit entsprechenden Anforderungen onboarden. Auf Anfrage und vorbehaltlich einer Vertraulichkeitsvereinbarung stellen wir die zugrunde liegenden internen Unterlagen bereit — unsere Compliance-Operations-Dokumentation und unsere PII-Datenkarte —, damit Sie diese Ausrichtung selbst beurteilen können.
• PCI DSS: Die Zahlungsabwicklung erfolgt über Stripe, das PCI-DSS-Level-1-konform ist. Wir speichern keine vollständigen Zahlungskartendaten in unseren Systemen.

14. Datenaufbewahrung und -löschung

Aufbewahrungsfristen sind in unserer Datenschutzerklärung festgelegt. Kunden können uns bitten, die Aufbewahrungsdauer für Anrufaufzeichnungen, Transkripte und Nachrichten für ihr Konto zu ändern. Wenn Daten über das Dashboard oder bei Kontobeendigung gelöscht werden, entfernen wir sie aus den aktiven Systemen und innerhalb eines angemessenen Zeitraums auch aus den Backups. Gelöschte Daten sind nicht wiederherstellbar. Aggregierte, anonymisierte Kennzahlen können zu Analysezwecken aufbewahrt werden.

15. Sicherheit für Mitarbeitende und Auftragnehmer

Callilio wird derzeit als Einzelgründer-Praxis betrieben. Der Gründer befolgt dokumentierte Sicherheitsverfahren und nutzt Multi-Faktor-Authentifizierung, verschlüsseltes Passwort-Management und das Prinzip der geringsten Rechte für jeden Zugriff auf Produktionssysteme.

Mit dem Wachstum des Teams durchlaufen alle neuen Mitarbeitenden Hintergrundprüfungen (soweit nach lokalem Recht zulässig), erhalten beim Onboarding eine Schulung zu Sicherheit und Datenschutz und absolvieren jährliche Auffrischungsschulungen. Der Zugriff auf Produktionssysteme erfolgt nach dem Prinzip der geringsten Rechte und ist nach Rollen getrennt.

16. Sicherheitsanforderungen für Sub-Prozessoren

Wir verlangen von allen Sub-Prozessoren, Sicherheitsmaßnahmen umzusetzen, die der Sensibilität der von ihnen verarbeiteten Daten angemessen sind. Sub-Prozessoren müssen Vertraulichkeitsverpflichtungen, Verschlüsselungsstandards, Verfahren zur Meldung von Verletzungen und die Konformität mit einschlägigen Datenschutzgesetzen zusichern. Die aktuelle Liste der Sub-Prozessoren finden Sie in unserer Datenschutzerklärung.

17. Penetrationstest-Rhythmus

Wir etablieren einen Penetrationstest-Rhythmus vor dem Onboarding unseres ersten Enterprise-Kunden. Derzeit führen wir bei der Einführung wesentlicher neuer Funktionen oder Infrastrukturänderungen interne Sicherheitsüberprüfungen durch und setzen auf automatisierte Werkzeuge für Static Application Security Testing (SAST) und Dependency-Scanning.

18. Business Continuity und Disaster Recovery

• Redundante Infrastruktur: Unsere Architektur umfasst Redundanz über mehrere Availability Zones hinweg, um die Auswirkungen von Hardware- oder Netzwerkausfällen zu minimieren.
• Regelmäßige Backups: Datenbanken werden täglich gesichert und können auf jeden Punkt innerhalb eines 7-tägigen Aufbewahrungsfensters wiederhergestellt werden. Wir testen die Backup-Wiederherstellungsverfahren regelmäßig.
• Wiederherstellungsverfahren: Point-in-Time-Recovery der Datenbank ist über Supabase verfügbar (7-Tage-Fenster). Ein formaler Disaster-Recovery-Plan mit dokumentierten RTO- und RPO-Zielen, einschließlich periodischer Wiederherstellungsübungen, ist vor dem Enterprise-Kunden-Onboarding in Vorbereitung.

19. Kontakt für Sicherheitsanfragen

Wenn Sie Fragen zu den Sicherheitspraktiken von Callilio haben oder einen Sicherheitsvorfall melden möchten, wenden Sie sich bitte an unser Sicherheitsteam: