Sicherheit

Tierdaten, Behandlungsnachweise und Transportverläufe sind geschäftskritische Daten. Diese Seite beschreibt, wie Mule die Systeme schützt, die es entwickelt und betreibt. Kunden erhalten die vollständigen Maßnahmen in ihrem AVV und können jederzeit Sicherheitsfragen stellen.

1. Grundsätze

• Ihre Daten, nach Ihren Regeln. Kundensysteme werden in der EU oder in den USA gehostet, nach Wahl des Kunden. Das Mule Portal läuft in der EU (Frankfurt) auf einer gemeinsamen Datenbank; jeder Lese- und Schreibzugriff ist in der Anwendung auf die Organisation des Kunden beschränkt.
• Minimale Rechte. Mitarbeitende und Nutzer erhalten nur den Zugriff, den ihre Rolle erfordert. Berechtigungen werden bei jeder Anfrage auf dem Server geprüft, nicht nur in der Oberfläche.
• Nachweisbare Datensätze. Wichtige Datensätze wie Ladungen, Behandlungen und Unterschriften können nur ergänzt, nicht überschrieben werden und tragen Geräte- und Serverzeit, sodass jede Änderung eine Spur hinterlässt.

2. Zugriff

• Multi-Faktor-Authentifizierung für jedes Mitarbeiterkonto bei Mule sowie für Inhaber- und Abrechnungsrollen der Kunden im Portal.
• Produktionszugriffe werden protokolliert und innerhalb von 1 Werktag nach einem Rollenwechsel entzogen.
• Keine gemeinsam genutzten Konten.

3. Datenschutz

• TLS 1.2 oder höher für den gesamten Datenverkehr; Verschlüsselung im Ruhezustand durch unsere Hosting- und Datenbankanbieter.
• Secrets in einem verwalteten Speicher, niemals im Code oder im Chat.
• Tägliche verschlüsselte Backups, deren Wiederherstellung mindestens alle 6 Monate getestet wird.
• Offline-fähige Apps für den Einsatz vor Ort führen eine lokale verschlüsselte Warteschlange und synchronisieren, sobald wieder eine Verbindung besteht.

4. Softwareentwicklung

• Code-Review bei jeder Änderung, Scans von Abhängigkeiten und Secrets, getrennte Staging- und Produktionsumgebung.
• Keine unmaskierten personenbezogenen Produktionsdaten in der Entwicklung.
• Sicherheitsupdates für Frameworks und Abhängigkeiten werden monatlich eingespielt, kritische Patches so bald wie praktisch möglich, im Rahmen jeder monatlichen Pauschale.

5. Website

• Strenge Sicherheits-Header, darunter eine Content Security Policy, HSTS und Frame-Schutz.
• Vor der Einwilligung wird kein optionales Drittanbieter-Skript geladen.

6. Vorfälle

Mule verfügt über einen schriftlichen Plan zur Reaktion auf Sicherheitsvorfälle. Kunden werden über eine Verletzung des Schutzes personenbezogener Daten, die ihre Daten betrifft, unverzüglich und spätestens innerhalb von 48 Stunden informiert, nachdem Mule davon Kenntnis erlangt hat.

7. Zertifizierungen

Mule ist derzeit weder nach ISO 27001 noch nach SOC 2 zertifiziert. Eine Zertifizierung veröffentlichen wir hier erst, wenn sie erteilt wurde.

8. Eine Sicherheitslücke melden

Siehe Meldung von Sicherheitslücken und unsere security.txt.