Sicherheit und verantwortungsvolle Offenlegung

KM0 Digital wird von AMVARA CONSULTING S.L. betrieben. Wir wenden Praktiken an, die für eine öffentliche Marketing-Website und eine selbst gehostete Cloud-Plattform angemessen sind:

• Verschlüsselung: HTTPS/TLS für km0digital.com und cloud.km0digital.com (Let's-Encrypt-Zertifikate).
• HTTP-Sicherheitsheader: u. a. Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy, soweit konfiguriert.
• EU-Infrastruktur: Hosting in Deutschland (Hetzner), Datenverarbeitung überwiegend in der EU.
• Zugriffskontrolle: Least Privilege für operativen Zugriff; Multi-Faktor-Authentifizierung für interne Systeme, wo zutreffend.
• Entwicklung: geschützter main-Branch, Code-Review, Abhängigkeitsmonitoring und dokumentierte Abläufe im technischen Blog.
• Backups und Monitoring: operative Backups und Logging für Zuverlässigkeit und Incident Response.

Wir behaupten kein SOC-2-, HIPAA- oder CCPA-Compliance, keine Penetrationstest-Programme oder Drittanbieter-Audits, sofern nicht ausdrücklich verifiziert und veröffentlicht.

Datenschutzinformationen finden Sie auf unserer Rechts- und Datenschutzseite.

AMVARA CONSULTING S.L. ist nach ISO/IEC 27001:2022 durch TÜV NORD CERT zertifiziert. Kilometer 0 Digital und cloud.km0digital.com fallen in den Zertifikatsumfang von AMVARA als Teil der Plattform und zugehöriger Cloud-nativer Dienste.

KM0 Digital trägt keine ISO-27001-Zertifizierung unter eigenem Namen. Wir entwickeln, betreiben und warten KM0 im Rahmen von AMVARAs zertifiziertem Informationssicherheits-Managementsystem und folgen diesen Kontrollen im Betrieb.

Wenn Sie das Zertifikat, die Statement of Applicability oder einen Sicherheitsfragebogen benötigen, kontaktieren Sie hello.yoel@amvara.de.

Wir begrüßen gutgläubige Meldungen zu Sicherheitslücken, die km0digital.com, cloud.km0digital.com und die von AMVARA betriebene KM0-Infrastruktur betreffen.

Bitte tun Sie:

• Meldungen umgehend an hello.yoel@amvara.de senden.
• Klare Reproduktionsschritte und Impact-Bewertung liefern.
• Keinen Zugriff auf, keine Änderung, Löschung oder Exfiltration fremder Daten.
• Tests stoppen, sobald eine Schwachstelle bestätigt ist.
• Angemessene Zeit zur Behebung vor öffentlicher Offenlegung einräumen.

Bitte nicht:

• Denial-of-Service-Angriffe.
• Social Engineering, Phishing, Spam oder physische Angriffe.
• Unbefugter Datenzugriff oder Exfiltration.
• Intrusives automatisiertes Scannen der Produktion ohne vorherige schriftliche Genehmigung.
• Lateral Movement, Persistenz oder öffentliche Offenlegung, bevor wir das Problem beheben konnten.

AMVARA wird:

• Gültige Meldungen bestätigen.
• Bei Bedarf untersuchen und kommunizieren.
• Je nach Schwere und Risiko beheben.
• Keine rechtlichen Schritte gegen Forscher einleiten, die diese Richtlinie in gutem Glauben befolgen.

Sicherheitskontakt: hello.yoel@amvara.de. Maschinenlesbare Richtlinie: /.well-known/security.txt.