Sicherheitsübersicht

Callilio verpflichtet sich, die Vertraulichkeit, Integrität und Verfügbarkeit unserer Plattform sowie der uns anvertrauten Daten zu schützen. Diese Seite beschreibt unsere Sicherheitsphilosophie, technischen Maßnahmen und betrieblichen Praktiken. Sie ergänzt unsere Datenschutzerklärung und Allgemeinen Geschäftsbedingungen und bietet Transparenz über unsere Sicherheitskontrollen.

1. Sicherheitsphilosophie

Sicherheit ist integraler Bestandteil unseres Produktdesigns und Betriebs. Wir verfolgen einen Defence-in-Depth-Ansatz, der technische und organisatorische Kontrollen über Infrastruktur, Anwendung und Personal hinweg schichtet. Wir orientieren uns an Branchen-Best-Practices und halten die Konformität mit einschlägigen Standards ein (etwa DSGVO, CCPA/CPRA und HIPAA). Unsere internen Kontrollen sind in Übereinstimmung mit den Trust-Service-Kriterien von SOC 2 Typ II konzipiert; eine formale Zertifizierung wird geprüft, sobald wir Enterprise-Kunden mit entsprechenden Anforderungen onboarden. Wir bewerten und verbessern unsere Sicherheitslage kontinuierlich.

2. Infrastruktursicherheit

• Cloud-Hosting: Unser Web-Frontend wird auf Vercel gehostet, einer führenden Edge-Delivery-Plattform mit guter Sicherheitsbilanz und EU-Regionsoptionen. Unser Anwendungs-Backend, die Datenbank und der Speicher laufen auf Supabase (basierend auf PostgreSQL). Beide Anbieter setzen robuste physische und Netzwerk-Sicherheitskontrollen ein, einschließlich Perimeterschutz, Intrusion-Detection und DDoS-Abwehr. Server befinden sich standardmäßig in der EU, US-Regionen sind für Kunden verfügbar, die dies wünschen.
• Isolation und geringste Rechte: Kundendaten sind logisch getrennt. Unsere Infrastruktur folgt dem Prinzip der geringsten Rechte auf Netzwerk- und Dienstebene. Datenbank-Zugangsdaten und API-Schlüssel werden in verschlüsselten Secrets-Management-Tools gespeichert und regelmäßig rotiert.
• Backups und Redundanz: Supabase stellt automatisierte tägliche Backups und Point-in-Time-Recovery für die PostgreSQL-Datenbank bereit. Backups sind verschlüsselt und werden in geografisch getrennten Regionen gespeichert. Das verteilte Content-Delivery-Netzwerk von Vercel gewährleistet Verfügbarkeit durch Redundanz.

3. Datenverschlüsselung

• Während der Übertragung: Alle zwischen Clients und unseren Servern übertragenen Daten werden mit TLS 1.2 oder höher verschlüsselt. Telefonieverkehr nutzt sichere Protokolle wie TLS für die SIP-Signalisierung und das Secure Real-Time Transport Protocol (SRTP) für Medienströme.
• Im Ruhezustand: In Supabase (PostgreSQL), im Objektspeicher und in Backups gespeicherte Daten werden im Ruhezustand mit AES-256 verschlüsselt. Verschlüsselungsschlüssel werden über anbieterseitige Key-Management-Dienste mit strengen Zugriffskontrollen verwaltet. Von Stripe verarbeitete Zahlungsinformationen erfüllen die PCI-DSS-Anforderungen und werden tokenisiert; wir speichern niemals vollständige Kartennummern.

4. Authentifizierung und Zugriffskontrolle

• Supabase Auth: Unsere Plattform nutzt Supabase Auth zur Verwaltung der Benutzerauthentifizierung. Zu den Authentifizierungsoptionen gehören E-Mail/Passwort, passwortlose Magic Links und OAuth über Google oder Microsoft. Passwörter werden mit starken Algorithmen (bcrypt) gehasht und niemals im Klartext gespeichert.
• Rollenbasierte Zugriffskontrolle (RBAC): Wir setzen RBAC ein, um sicherzustellen, dass Nutzer nur Zugriff auf die für ihre Rolle erforderlichen Ressourcen haben. Administrative Rechte sind auf autorisiertes Personal beschränkt und erfordern Multi-Faktor-Authentifizierung.
• Sitzungsverwaltung: Benutzersitzungen werden sicher nachverfolgt. Access-Tokens sind kurzlebig und Refresh-Tokens werden rotiert. Sitzungsmetadaten (IP-Adresse, Gerät) werden erfasst, um Anomalien zu erkennen.
• API-Schlüssel-Verwaltung: API-Schlüssel sind an bestimmte Projekte gebunden und haben granulare Geltungsbereiche. Kunden können Schlüssel über das Dashboard rotieren und widerrufen. Rate-Limiting schützt vor Missbrauch.

5. Netzwerksicherheit

• Perimeterschutz: Firewalls und Sicherheitsgruppen beschränken eingehenden Datenverkehr auf nur die erforderlichen Ports und Dienste. Denial-of-Service-Schutz bei Vercel und Supabase wehrt gängige volumetrische und Angriffe auf Anwendungsebene ab.
• Segmentierung: Wir trennen Produktions-, Staging- und Entwicklungsumgebungen. Interne Dienste kommunizieren über private Netzwerke; sensible Dienste (Datenbanken, Message-Broker) sind nicht öffentlich zugänglich.
• Monitoring: Kontinuierliches Netzwerk-Monitoring erkennt anomale Verkehrsmuster und mögliche Eindringversuche. Bei verdächtigen Aktivitäten werden Alarme ausgelöst.

6. Anwendungssicherheit

• Sicherer Entwicklungslebenszyklus: Sicherheit ist in unserem gesamten Software-Entwicklungslebenszyklus verankert. Entwickler folgen Coding-Standards, die Eingabevalidierung, Ausgabe-Encoding und geringste Rechte betonen. Codeänderungen durchlaufen Peer-Reviews und automatisierte Tests.
• Statische und dynamische Analyse: Wir nutzen automatisierte Werkzeuge für Static Application Security Testing (SAST) und Dependency-Scanning, um Schwachstellen in Code und Bibliotheken Dritter zu identifizieren. Kritische Abhängigkeiten werden auf bekannte Schwachstellen (CVE) überwacht und zeitnah aktualisiert.
• Penetrationstests: Penetrationstests sind vor dem Onboarding bedeutender Enterprise-Kunden geplant. Derzeit setzen wir auf sichere Coding-Praktiken, Peer-Code-Reviews und automatisiertes Dependency-Scanning (npm audit, Dependabot), um bekannte Schwachstellen zu mindern.
• Sichere Konfiguration: Sichere Standardkonfigurationen (z. B. Content Security Policy, ausschließlich HTTPS, sichere Cookies, CSRF-Schutz) werden durchgesetzt. Der Zugriff auf administrative Schnittstellen ist beschränkt.
• Responsible Disclosure: Wir begrüßen es, wenn Sicherheitsforschende Schwachstellen verantwortungsvoll melden. Siehe den Abschnitt Offenlegung von Schwachstellen weiter unten.

7. KI- / LLM-Sicherheit

Die KI-Komponenten, die unsere Sprachassistenten antreiben, bringen besondere Sicherheitsaspekte mit sich:

• Isolation von KI-Workloads: Aufrufe an LLM-Anbieter (OpenAI, Anthropic) erfolgen über sichere APIs. Pseudonymisierungstechniken entfernen direkte Identifikatoren aus den Prompts. Anbietern ist es vertraglich untersagt, unsere Daten zu speichern oder zum Training ihrer Modelle zu verwenden.
• Prompt Injection und Inhaltssicherheit: Wir setzen Prompt-Filterung und Kontext-Bereinigung ein, um Prompt-Injection-Angriffe zu mindern. Content-Moderation-Dienste erkennen und blockieren missbräuchliche oder bösartige Nutzereingaben. Sicherheits-Guardrails verhindern, dass die KI schädliche oder unangemessene Ausgaben erzeugt.
• Menschliche Aufsicht: KI-Antworten werden überwacht und können einer menschlichen Überprüfung unterzogen werden, insbesondere während Onboarding- oder Trainingsphasen. Kunden können fehlerhafte Antworten zur Überprüfung markieren.

8. Telefonie-Sicherheit

• Telefonieanbieter: Unser primärer Telefonieanbieter Twilio ist nach ISO 27001 zertifiziert und bietet robuste Sicherheitsfunktionen, darunter verschlüsselte Medien, sichere SIP-Schnittstellen und Betrugserkennung. Telnyx dient als redundanter Anbieter und implementiert ähnliche Schutzmaßnahmen.
• Anrufweiterleitung: Alle Anrufflüsse, IVR-Menüs und Weiterleitungen werden über sichere, authentifizierte APIs konfiguriert. Anrufe werden protokolliert und in verschlüsselter Form gespeichert. Kunden können die Anrufaufzeichnung pro Leitung aktivieren oder deaktivieren, um die jeweiligen Einwilligungsanforderungen zu erfüllen.
• Nummernbereitstellung: Wir stellen Telefonnummern über geprüfte Carrier bereit. Nummern werden bestimmten Kunden zugewiesen und nicht unmittelbar nach Freigabe wiederverwendet.

9. Optionen zur Datenresidenz

Standardmäßig werden Kundendaten in der EU-Region von Supabase gespeichert. Kunden mit regulatorischen oder vertraglichen Anforderungen können die Datenspeicherung in bestimmten Regionen (z. B. USA) anfordern. Datenresidenz-Präferenzen gelten für Datenbanken, Dateispeicher und Backups. Die Standorte unserer Sub-Prozessoren legen wir in unserer Datenschutzerklärung und im Auftragsverarbeitungsvertrag offen.

10. Audit-Logging und Monitoring

• Umfassende Protokolle: Wir führen detaillierte Protokolle administrativer Aktionen, Nutzeraktivitäten (z. B. Anmeldungen, Buchungen, Nachrichten) und Systemereignisse. Protokolle enthalten Zeitstempel, Nutzerkennungen und Metadaten und sind manipulationssicher.
• Zentralisiertes Logging: Protokolle aus Supabase, Vercel und Edge-Funktionen werden zur Überprüfung aggregiert. Anomalieerkennung bei Authentifizierungs- und Admin-Aktionen wird manuell überwacht. Eine dedizierte SIEM-Lösung wird mit dem Wachstum der Plattform geprüft.
• Zugriffs-Audits: Regelmäßige Audits stellen sicher, dass Berechtigungen angemessen bleiben. Sensible Aktionen (z. B. Datenexport, Änderung von Einstellungen) erfordern eine zusätzliche Bestätigung und werden protokolliert.

11. Incident Response

Wir folgen branchenüblichen Incident-Response-Verfahren auf Basis von NIST SP 800-61. Ein formaler, dokumentierter Incident-Response-Plan mit benannten Rollen und Eskalationspfaden wird vor dem Onboarding unseres ersten Enterprise-Kunden vorbereitet. Zentrale Elemente sind:

• Erkennung und Analyse: Automatisiertes Monitoring und menschliche Überprüfung erkennen Anomalien. Wir bewerten Schweregrad, Umfang und Auswirkungen jedes Vorfalls.
• Eindämmung und Beseitigung: Wir isolieren betroffene Systeme, entfernen Schadcode und wenden notwendige Patches oder Konfigurationsänderungen an.
• Benachrichtigung: Sofern gesetzlich oder vertraglich erforderlich, benachrichtigen wir betroffene Kunden und Aufsichtsbehörden unverzüglich. Benachrichtigungen enthalten eine Beschreibung des Vorfalls, seiner wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen.
• Lessons Learned: Nachbereitungen identifizieren Grundursachen und Verbesserungsmöglichkeiten. Behebungsmaßnahmen werden bis zum Abschluss nachverfolgt.

12. Offenlegung von Schwachstellen / Responsible-Disclosure-Programm

Wir schätzen Beiträge aus der Sicherheits-Community. Wenn Sie glauben, eine Schwachstelle entdeckt zu haben, melden Sie diese bitte verantwortungsvoll:

1. Senden Sie eine detaillierte Beschreibung der Schwachstelle an security@callilio.com. Bitte fügen Sie Schritte zur Reproduktion und relevante Nachweise bei.
2. Legen Sie die Schwachstelle nicht öffentlich offen, bevor wir die Möglichkeit hatten, das Problem zu untersuchen und zu beheben.
3. Wir bestätigen den Eingang innerhalb von 72 Stunden und informieren über den Fortschritt der Behebung. Wo angemessen, bieten wir Anerkennung oder Belohnungen an.

13. Compliance und Zertifizierungen

• DSGVO und DSG: Wir handeln in Übereinstimmung mit der DSGVO und dem Schweizer DSG, einschließlich der Verwendung von Standardvertragsklauseln für internationale Übermittlungen und der Umsetzung von Grundsätzen der Datenminimierung.
• CCPA/CPRA und weitere US-Bundesstaatsgesetze: Unsere Datenschutzpraktiken entsprechen den Datenschutzanforderungen Kaliforniens und anderer Bundesstaaten. Wir verkaufen keine personenbezogenen Daten und nutzen Kundendaten nicht für verhaltensbasierte Werbung.
• HIPAA-Bereitschaft: Für US-Gesundheitskunden schließen wir Business Associate Agreements ab und implementieren die nach HIPAA und dem HITECH Act erforderlichen Schutzmaßnahmen. PHI wird sicher gespeichert und übertragen und ausschließlich zur Bereitstellung der Dienste verwendet.
• SOC 2: Unsere internen Kontrollen sind in Übereinstimmung mit den Trust-Service-Kriterien von SOC 2 Typ II konzipiert. Eine formale Zertifizierung wird geprüft, sobald wir Enterprise-Kunden mit entsprechenden Anforderungen onboarden. Auf Anfrage und vorbehaltlich einer Vertraulichkeitsvereinbarung stellen wir ggf. Unterlagen zu unserem Compliance-Status bereit.
• PCI DSS: Die Zahlungsabwicklung erfolgt über Stripe, das PCI-DSS-Level-1-konform ist. Wir speichern keine vollständigen Zahlungskartendaten in unseren Systemen.

14. Datenaufbewahrung und -löschung

Aufbewahrungsfristen sind in unserer Datenschutzerklärung festgelegt. Kunden können konfigurieren, wie lange Anrufaufzeichnungen, Transkripte und Nachrichten gespeichert werden. Wenn Daten über das Dashboard oder bei Kontobeendigung gelöscht werden, entfernen wir sie aus den aktiven Systemen und innerhalb eines angemessenen Zeitraums auch aus den Backups. Gelöschte Daten sind nicht wiederherstellbar. Aggregierte, anonymisierte Kennzahlen können zu Analysezwecken aufbewahrt werden.

15. Sicherheit für Mitarbeitende und Auftragnehmer

Callilio wird derzeit als Einzelgründer-Praxis betrieben. Der Gründer befolgt dokumentierte Sicherheitsverfahren und nutzt Multi-Faktor-Authentifizierung, verschlüsseltes Passwort-Management und das Prinzip der geringsten Rechte für jeden Zugriff auf Produktionssysteme.

Mit dem Wachstum des Teams durchlaufen alle neuen Mitarbeitenden Hintergrundprüfungen (soweit nach lokalem Recht zulässig), erhalten beim Onboarding eine Schulung zu Sicherheit und Datenschutz und absolvieren jährliche Auffrischungsschulungen. Der Zugriff auf Produktionssysteme erfolgt nach dem Prinzip der geringsten Rechte und ist nach Rollen getrennt.

16. Sicherheitsanforderungen für Sub-Prozessoren

Wir verlangen von allen Sub-Prozessoren, Sicherheitsmaßnahmen umzusetzen, die der Sensibilität der von ihnen verarbeiteten Daten angemessen sind. Sub-Prozessoren müssen Vertraulichkeitsverpflichtungen, Verschlüsselungsstandards, Verfahren zur Meldung von Verletzungen und die Konformität mit einschlägigen Datenschutzgesetzen zusichern. Die aktuelle Liste der Sub-Prozessoren finden Sie in unserer Datenschutzerklärung.

17. Penetrationstest-Rhythmus

Wir etablieren einen Penetrationstest-Rhythmus vor dem Onboarding unseres ersten Enterprise-Kunden. Derzeit führen wir bei der Einführung wesentlicher neuer Funktionen oder Infrastrukturänderungen interne Sicherheitsüberprüfungen durch und setzen auf automatisierte Werkzeuge für Static Application Security Testing (SAST) und Dependency-Scanning.

18. Business Continuity und Disaster Recovery

• Redundante Infrastruktur: Unsere Architektur umfasst Redundanz über mehrere Availability Zones hinweg, um die Auswirkungen von Hardware- oder Netzwerkausfällen zu minimieren.
• Regelmäßige Backups: Datenbanken werden täglich gesichert und können auf jeden Punkt innerhalb eines 7-tägigen Aufbewahrungsfensters wiederhergestellt werden. Wir testen die Backup-Wiederherstellungsverfahren regelmäßig.
• Wiederherstellungsverfahren: Point-in-Time-Recovery der Datenbank ist über Supabase verfügbar (7-Tage-Fenster). Ein formaler Disaster-Recovery-Plan mit dokumentierten RTO- und RPO-Zielen, einschließlich periodischer Wiederherstellungsübungen, ist vor dem Enterprise-Kunden-Onboarding in Vorbereitung.

19. Kontakt für Sicherheitsanfragen

Wenn Sie Fragen zu den Sicherheitspraktiken von Callilio haben oder einen Sicherheitsvorfall melden möchten, wenden Sie sich bitte an unser Sicherheitsteam: