Sicherheit

Wo Daten gespeichert und verarbeitet werden, steht unter Datenspeicherort und Verarbeitung, wer sie im Auftrag von Pareo verarbeitet, unter Unterauftragsverarbeiter. Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erhalten Sie auf Anfrage.

Standort

• Pareo läuft auf Google Cloud in der EU. Die Hauptregion ist Belgien (europe-west1).
• Gespeicherte Kundendaten bleiben einschließlich der Backups in der EU. Die Datenbank-Backups liegen in der EU-Multiregion von Google. Eine tägliche Kopie der Dokumente geht nach Frankfurt (europe-west3). Eingehende E-Mails liegen in Irland, siehe Eingehende E-Mail.
• Sprachmodelle verarbeiten Inhalte in der EU.
• Die Datenbank läuft in einem privaten Netzwerk und hat keine öffentliche IP-Adresse.
• Der Dateispeicher ist versioniert, öffentlicher Zugriff darauf ist gesperrt.

Welche Dienste Pareo im Einzelnen nutzt, steht unter Standort und Komponenten.

Verschlüsselung

• Alle Verbindungen nutzen HTTPS mit TLS 1.2 oder neuer und einer eingeschränkten Auswahl an Cipher Suites. HSTS ist aktiviert.
• Alle gespeicherten Daten sind mit AES-256 verschlüsselt.
• Sensible Felder verschlüsselt die Anwendung zusätzlich auf Feldebene, etwa die Kontaktdaten von Zeichnungsberechtigten und Lieferantenantworten.
• Bei der Variante mit eigenem Speicher verschlüsselt Pareo Ihre Dateien mit einem Schlüssel aus Ihrem Azure Key Vault.

Anmeldung

• Single Sign-on mit SAML 2.0, zum Beispiel Microsoft Entra ID, Okta oder Google Workspace. Die Mehr-Faktor-Authentifizierung (MFA) übernimmt Ihr Identitätsanbieter.
• Passwörter werden mit Argon2id gehasht und gegen bekannte Datenlecks geprüft.
• Die Anmeldung per Passwort lässt sich mit einem zweiten Faktor absichern: einem Passkey (WebAuthn) auf dem Gerät oder einem Sicherheitsschlüssel. Ein Admin kann für alle Anmeldungen per Passwort in der Organisation einen Passkey verlangen.
• Nach wiederholt fehlgeschlagenen Anmeldeversuchen wird das Konto vorübergehend gesperrt.
• Sitzungen laufen 24 Stunden nach der Anmeldung ab und enden beim Abmelden sofort.

Mandantentrennung

• Produkt-, Anfrage-, Lieferanten- und Dokumentdaten gehören zu genau einer Organisation.
• Die Trennung ist in der Datenbank selbst verankert (Row-Level Security), nicht nur in der Anwendung.
• Eine Person kann zu mehreren Organisationen gehören. Benutzerkonten und Anmeldeprotokolle trennt deshalb die Anwendung und nicht die Datenbank.

Netzwerkschutz

• Google Cloud Armor filtert den gesamten Datenverkehr, bevor er die Anwendung erreicht. Cloud Armor wehrt SQL-Injection, Cross-Site-Scripting, Local File Inclusion und Remote Code Execution ab und bietet adaptiven DDoS-Schutz auf Layer 7.
• Anfragen werden je Quell-IP-Adresse begrenzt.
• Über ingest.pareo.ai, die Adresse für den Connector, lässt Cloud Armor nur signierte Aufrufe des Connectors durch. Die Anwendung prüft die Signatur, bevor sie die Daten liest.
• Google verwaltet die Zertifikate und erneuert sie automatisch.

Welche IP-Adressen Sie in Ihrer Firewall freigeben und warum sich der Zugang zu Pareo nicht nach IP-Adresse beschränken lässt, steht unter IP-Freigaben.

Anbindung Ihrer Systeme

• Der Pareo Connector baut ausschließlich ausgehende Verbindungen auf. Pareo baut keine Verbindung in Ihr Netz auf, eine eingehende Firewall-Regel ist nicht nötig.
• Jeder Connector hat ein eigenes Schlüsselpaar und signiert damit jeden Aufruf. Daten nimmt Pareo erst an, wenn der Pareo-Support den Fingerabdruck des Schlüssels freigegeben hat. Ihre IT übermittelt ihn auf einem zweiten Weg.
• Welche Daten der Connector liest, legt ein von Pareo signiertes Extraktionsprofil fest. In SAP und Teamcenter arbeitet er mit einem technischen Benutzer ohne Schreibrechte.
• Die Protokolle des Connectors enthalten keine Datenwerte.
• Admins Ihrer Organisation können einen Connector jederzeit pausieren oder widerrufen.

Welche Daten der Connector überträgt und wie Ihre IT seine Images prüft, steht unter Sicherheit des Connectors. Wie Pareo S/4HANA Cloud, Ariba und SharePoint direkt anbindet, steht unter Ihre Systeme anbinden.

Eingehende E-Mail

• Amazon SES nimmt die E-Mails in Irland an und speichert sie dort mit AES-256 verschlüsselt bis zu 7 Tage, danach werden sie gelöscht. So geht bei einer kurzen Störung keine E-Mail verloren.

Die Eingangsadresse ist wie ein Passwort zu behandeln. Den Grund und die Einrichtung der Weiterleitung finden Sie unter Eingehende E-Mail.

Zugriff durch Pareo-Mitarbeitende

• Zugriff auf die Produktivumgebung haben nur namentlich benannte Personen, die ihn für ihre Aufgabe brauchen.
• Der Zugriff erfordert ein Pareo-Google-Konto mit erzwungener Zwei-Faktor-Authentifizierung.
• Die Zugriffsrechte werden jedes Quartal überprüft.
• Administrative Vorgänge in Google Cloud und in der Pareo-Adminkonsole werden protokolliert.
• Die Infrastruktur enthält keine langlebigen Zugangsdaten. Dienste und Deployments authentifizieren sich mit kurzlebigen Tokens.
• Für Störfälle gibt es einen Notfallzugang (Break-Glass). Jede Nutzung wird protokolliert.

Audit-Trail

• Jede Änderung an einem Datensatz wird mit altem Wert, neuem Wert, Benutzer und Zeitpunkt protokolliert.
• Anmeldungen, fehlgeschlagene Anmeldungen und Zugriffe auf vertrauliche Daten werden protokolliert.
• Jeder Compliance-Wert zeigt seine Quelle: ein Dokument, SAP, eine Richtlinie oder eine manuelle Änderung.

Software-Lieferkette

• Jedes Release ist signiert und enthält eine Software Bill of Materials (SBOM).
• Jedes Deployment prüft die Signaturen. Zusätzlich startet die Produktivumgebung nur Images, die mit dem Release-Schlüssel der Produktion signiert sind, unabhängig vom Deployment-Werkzeug.
• Staging läuft in einer getrennten Umgebung mit eigenen Schlüsseln. Ein Staging-Build gelangt nicht in die Produktion.
• Auch die Images des Connectors sind signiert und enthalten eine SBOM. Ihre IT kann beides mit cosign prüfen, siehe Aktualisierung und Prüfung des Images.

Verfügbarkeit

• Pareo läuft in einer einzigen Verfügbarkeitszone von europe-west1. Ein Failover in eine andere Zone gibt es nicht. Fällt diese Zone aus, ist Pareo für die Dauer des Ausfalls nicht erreichbar.
• Bei Wartung und Updates kommt es zu kurzen Unterbrechungen.

Sicherung und Wiederherstellung

• Die Datenbank wird täglich gesichert. Backups werden 14 Tage aufbewahrt.
• Mit Point-in-Time-Recovery stellt Pareo die Datenbank auf jeden beliebigen Zeitpunkt der letzten 7 Tage wieder her. Ältere Stände stammen aus einem täglichen Backup.
• Überschriebene oder gelöschte Dateien holt Pareo aus dem versionierten Dateispeicher zurück, ohne die Datenbank wiederherzustellen. Alte Dateiversionen bleiben 90 Tage erhalten, gelöschte Dateien lassen sich weitere 30 Tage wiederherstellen.
• Eine tägliche Kopie der Dokumente geht in eine zweite EU-Region, Frankfurt (europe-west3). Löschungen erreichen die Kopie innerhalb eines Tages. Die Kopie behält alte Versionen wie der Hauptspeicher.

Benötigen Sie eine längere Aufbewahrung oder mehrere Zonen, sprechen Sie uns vor der Einführung an. Eine Einstellung dafür gibt es nicht.

Vorfälle

• Pareo benachrichtigt betroffene Kunden innerhalb von 48 Stunden über eine Verletzung des Schutzes personenbezogener Daten.

Kontakt

Schwachstellen und Fragen zur Sicherheit melden Sie an .