Datensicherheit
Datensicherheit bei mTrip
Die Datensicherheit bei mTrip umfasst das Hosting auf Amazon Web Services, kontrollierte Zugriffe, Verschlüsselung, Backups, Kartenzahlungen und die Löschung von Daten. Ein unabhängiges Unternehmen testet die Plattform und die Apps mindestens einmal pro Jahr, und mTrip überprüft seine Sicherheitsrichtlinien mindestens einmal pro Jahr.
Cyber Essentials zertifiziert
Gültig bis 30. Oktober 2027. Zertifikat ansehen
Trust Center
Für Kunden: Sicherheitsdokumente im Trust Center
Das mTrip Trust Center ist die Anlaufstelle für mTrip-Kunden. Dort finden Sie die Richtlinien und Sicherheitsdokumente von mTrip. Beginnen Sie am besten hier, wenn Sie eine Leistungsträgerprüfung durchführen.
Zertifizierung
Cyber Essentials zertifiziert
mTrip Inc besitzt das Cyber-Essentials-Zertifikat, ein vom britischen Staat unterstütztes Programm zum Schutz vor den häufigsten Cyberangriffen. Das IASME Consortium hat mTrip am 30. Oktober 2026 zertifiziert, das Zertifikat ist bis zum 30. Oktober 2027 gültig. Es gilt für die gesamte Organisation. Diese Stufe von Cyber Essentials beruht auf einer Selbstbewertung.
Das Wesentliche
Datensicherheit in vier Punkten
Hosting auf AWS, kein Serverzugriff für Mitarbeitende
Europäische Kunden werden in Frankfurt gehostet, hochgeladene Dateien liegen in London. Andere Kunden werden in North Virginia gehostet. Mitarbeitende von mTrip haben keinen physischen Zugang zur Infrastruktur.
Verschlüsselt bei Übertragung und Speicherung
Der Datenverkehr nutzt TLS 1.2 oder höher. Datenbanken, Dateispeicher und Backups sind mit AES-256 verschlüsselt, und die Anwendung verschlüsselt zusätzlich die sensibelsten Felder der Reisenden.
Tägliche Backups, jährlich getestete Wiederherstellung
Die Produktionsdatenbanken werden täglich gesichert, mit Point-in-Time-Recovery über 7 Tage. Die Backups werden in eine zweite AWS-Region kopiert und vor dem Löschen geschützt.
Jährlich von einem unabhängigen Unternehmen getestet
Ein unabhängiges Unternehmen testet die Plattform und die Apps mindestens einmal pro Jahr, und mTrip überprüft seine Sicherheitsrichtlinien mindestens einmal pro Jahr.
Defense in Depth
Schutzebenen vom Netzwerkrand bis zum Backup
Infrastruktur
Datensicherheit: Hosting und Backups
Hosting
Gehostet bei Amazon Web Services
AWS · Frankfurt · London · North Virginia
- Die mTrip-Plattform läuft auf Amazon Web Services (AWS).
- Europäische Kunden werden in Frankfurt (Deutschland) gehostet, ihre hochgeladenen Dateien werden in London (Vereinigtes Königreich) gespeichert.
- Andere Kunden werden in North Virginia (USA) gehostet.
- AWS verfügt über die Zertifizierungen SOC 1, SOC 2, SOC 3, ISO 27001 und PCI DSS (siehe AWS-Compliance).
- Diese Zertifizierungen gehören AWS. Mitarbeitende von mTrip haben keinen physischen Zugang zur Infrastruktur.
Backups
Tägliche verschlüsselte Backups, jährlich getestet
Täglich · 7 Tage Wiederherstellung · Zweite AWS-Region
- mTrip sichert die Produktionsdatenbanken täglich und ermöglicht eine zeitpunktgenaue Wiederherstellung (Point-in-Time Recovery) für die letzten 7 Tage.
- Die Backups werden verschlüsselt, in eine zweite AWS-Region kopiert und vor dem Löschen geschützt.
- Eine Wiederherstellung wird mindestens einmal im Jahr getestet.
Zugriff
Zugriff, Anmeldung und Verschlüsselung
Zugriff
Kontrollierter Zugriff und Überwachung
SSO · MFA · Web Application Firewall
- Der Zugriff auf die Produktionsumgebung erfolgt per Single Sign-on mit Multi-Faktor-Authentifizierung, und mTrip protokolliert jede administrative Aktion.
- Öffentlicher Datenverkehr läuft über eine Web Application Firewall mit Rate Limiting und Regeln gegen gängige Angriffe.
- Die Bedrohungserkennung läuft durchgehend auf dem Produktionskonto.
Anmeldung
Anmeldung von Administratoren und Passwortschutz
bcrypt · Rate Limiting · Sperrung nach 5 Versuchen
- Administratorkonten auf der mTrip-Webplattform melden sich mit einem per E-Mail gesendeten Einmalcode oder über das Single Sign-on des Kunden an. mTrip speichert Passwörter als bcrypt-Hash, begrenzt die Anzahl der Anmeldeversuche und sperrt ein Konto nach 5 fehlgeschlagenen Versuchen.
Verschlüsselung
Verschlüsselung bei der Übertragung und im Ruhezustand
TLS 1.2+ · AES-256 · Feldebene
- Der Datenverkehr zur mTrip-Webplattform und zu den zugehörigen APIs nutzt TLS 1.2 oder höher. mTrip verschlüsselt Datenbanken, Dateispeicher und Backups im Ruhezustand mit AES-256.
- Außerdem verschlüsselt die Anwendung die sensibelsten Felder der Reisenden, etwa E-Mail-Adresse, Telefonnummer, Geburtsdatum und Buchungsreferenzen.
Personen
Mitarbeitende, Geräte und Zugriffsprüfungen
Mitarbeitende
Sensibilisierung und Vertraulichkeit der Mitarbeitenden
Unterzeichnete Richtlinie
- Die Mitarbeitenden unterzeichnen die Cyber-Security-Richtlinie von mTrip.
- Sie regelt den Umgang mit vertraulichen Daten, Kundendaten, privaten Geräten, E-Mail-Sicherheit, Passwörtern und Datenübertragungen.
- Alle mit Zugriff auf die Systeme von mTrip halten sich daran, auch Dienstleister und Partner. Verstöße führen zu disziplinarischen Maßnahmen.
Geräte
Gerätesicherheit
macOS-Firewall · Malware-Schutz · Sperre nach 15 Minuten
- Die Mitarbeitenden von mTrip arbeiten mit Mac-Laptops.
- Die macOS-Firewall ist aktiviert, ebenso der integrierte Malware-Schutz von Apple (XProtect und Gatekeeper). Jedes Gerät sperrt sich nach spätestens 15 Minuten Inaktivität und ist dann per Passwort geschützt.
Zugriffskontrolle
Rollenbasierter Zugriff und Zugriffsprüfungen
Minimale Berechtigungen · Prüfung alle 6 Monate · Admin-Prüfung zweimal jährlich
- mTrip vergibt Zugriffe nach dem Prinzip der minimalen Berechtigungen.
- Jede Zugriffsanfrage wird sowohl von der IT als auch von der vorgesetzten Person der antragstellenden Person genehmigt. Jedes Konto ist ein persönliches Konto mit eigenen Zugangsdaten.
- Beim Ausscheiden wird der Zugriff entzogen. mTrip überprüft die Zugriffe mindestens alle sechs Monate.
- Administratorkonten werden zweimal jährlich überprüft. Für administrative Aufgaben nutzen Administratoren ein separates Konto.
- Für alle Nutzenden der Cloud-Dienste von mTrip (Google Workspace, AWS, Asana und Pipedrive) ist die Multi-Faktor-Authentifizierung verpflichtend.
Absicherung
Tests, Releases und Incident Response
Absicherung
Unabhängige Tests und Überprüfung der Richtlinien
Unabhängiges Unternehmen · Mindestens jährlich
- Ein unabhängiges Unternehmen testet die Plattform und die mobilen Apps mindestens einmal jährlich. mTrip überprüft seine Sicherheitsrichtlinien mindestens einmal jährlich.
Release-Sicherheit
Schwachstellenanalysen vor dem Release
OWASP Testing Guide · OWASP Top Ten
- Die Sicherheitsrichtlinie von mTrip für Webanwendungen schreibt vor, dass vor dem Livegang eines neuen oder größeren Releases eine Sicherheitsbewertung nach dem OWASP Testing Guide durchgeführt wird.
- Kleinere Releases durchlaufen mindestens einen automatisierten Scan auf die OWASP-Top-Ten-Risiken. Befunde mit hohem Risiko behebt mTrip sofort oder begrenzt vor dem Release die Gefährdung. Befunde mit mittlerem Risiko werden eingeplant.
Change-Management
Sichere Entwicklung und Change-Management
Änderungskontrolle · Terraform · CI/CD
- Änderungen durchlaufen einen dokumentierten Änderungskontrollprozess und eine Versionskontrolle. mTrip definiert seine Infrastruktur als Code mit Terraform. Die Anwendung läuft in Containern, die mTrip bei jedem Release über eine CI/CD-Pipeline neu erstellt und bereitstellt.
Incident Response
Incident Response und Meldung eines Sicherheitsvorfalls
Response-Team · Schriftliches Verfahren
- mTrip verfügt über ein schriftliches Verfahren für das Incident Management und die Incident Response sowie über ein Incident-Response-Team.
- Es umfasst Meldung, Eindämmung, Beweissicherung, Wiederherstellung und eine abschließende Nachbetrachtung.
- Einen vermuteten Sicherheitsvorfall melden Sie per E-Mail an [email protected].
- Die Nachricht informiert das Support-Team und bildet die erste Dokumentation des Vorfalls.
- Wenn ein Vorfall Kunden betrifft, informiert mTrip diese.
Daten
Betriebskontinuität, Datenlöschung und Kartenzahlungen
Betriebskontinuität
Business Continuity und Disaster Recovery
Kontinuitätsplan · Wiederherstellungsplan
- mTrip pflegt einen Business-Continuity-Plan und einen Disaster-Recovery-Plan.
- Alle Mitarbeitenden arbeiten remote, sodass kein Büroumzug nötig ist, und die kritischen Systeme von mTrip laufen in der Cloud.
Datenlöschung
Datenlöschung bei Vertragsende
Offboarding-Verfahren
- Endet ein Vertrag, löscht mTrip die Daten des Kunden gemäß dem Offboarding-Verfahren für Kunden.
Kartenzahlungen
Kartenzahlungen bleiben bei einem PCI-DSS-Anbieter
PCI Booking · Conferma · Nur Token
- Kartennummern werden direkt im sicheren Kartenformular von PCI Booking eingegeben, einem nach PCI DSS zertifizierten Anbieter. mTrip speichert nur ein Token und eine maskierte Kartennummer (die ersten sechs und die letzten vier Ziffern).
- Vollständige Kartennummern oder Sicherheitscodes speichert mTrip nie.
- Über Conferma ausgestellte virtuelle Karten können Reisenden in der App angezeigt werden.
- Conferma liefert die Kartenabbildungen, mTrip speichert keine Kartendaten.
Fragen von Security-Teams
Häufig gestellte Fragen
Hosting und Zertifizierung
Was unternimmt mTrip für die Datensicherheit?
mTrip hostet die Plattform bei Amazon Web Services, verschlüsselt den Datenverkehr und gespeicherte Daten, kontrolliert und protokolliert administrative Zugriffe, sichert die Produktivdatenbanken täglich und lässt Kartennummern bei einem PCI-DSS-zertifizierten Anbieter verwalten. Ein unabhängiges Unternehmen prüft die Plattform und die mobilen Apps mindestens einmal pro Jahr.
Wo hostet mTrip die Kundendaten?
Bei Amazon Web Services. Europäische Kunden werden in Frankfurt (Deutschland) gehostet, hochgeladene Dateien liegen in London (Vereinigtes Königreich). Alle anderen Kunden werden in North Virginia (USA) gehostet.
Welche Zertifizierungen gelten?
mTrip Inc besitzt das Cyber-Essentials-Zertifikat, das das IASME Consortium am 30. Oktober 2026 ausgestellt hat und das bis zum 30. Oktober 2027 gültig ist. Es gilt für die gesamte Organisation (Selbstbewertung). AWS verfügt für die Infrastruktur, auf der mTrip läuft, über die Zertifizierungen SOC 1, SOC 2, SOC 3, ISO 27001 und PCI DSS. PCI Booking, ein PCI-DSS-zertifizierter Anbieter, verarbeitet die Kartennummern. Im Trust Center finden mTrip-Kunden die Richtlinien und Sicherheitsdokumente von mTrip.
Datenschutz
Sind die Daten verschlüsselt?
Ja. Der Datenverkehr zur Plattform und zu ihren APIs nutzt TLS 1.2 oder höher. mTrip verschlüsselt Datenbanken, Dateispeicher und Backups im Ruhezustand mit AES-256. Zusätzlich verschlüsselt die Anwendung E-Mail-Adresse, Telefonnummer, Geburtsdatum und Buchungsreferenzen.
Speichert mTrip Kreditkartennummern?
Nein. Kartennummern werden direkt in das sichere Kartenformular von PCI Booking eingegeben, einem PCI-DSS-zertifizierten Anbieter. mTrip speichert nur ein Token und eine maskierte Kartennummer, niemals vollständige Kartennummern oder Sicherheitscodes.
Wie oft werden Backups erstellt, und wird die Wiederherstellung getestet?
mTrip sichert die Produktivdatenbanken täglich und ermöglicht eine Point-in-Time-Wiederherstellung für die letzten 7 Tage. Die Backups sind verschlüsselt, werden in eine zweite AWS-Region kopiert und sind vor Löschung geschützt. mTrip testet mindestens einmal pro Jahr eine Wiederherstellung.
Was geschieht mit unseren Daten, wenn der Vertrag endet?
mTrip löscht die Daten des Kunden gemäß seinem Verfahren für das Offboarding von Kunden.
Zugriff, Tests und Reaktion
Wie melden sich Administratoren an der mTrip-Webplattform an?
Mit einem Einmalcode, der per E-Mail gesendet wird, oder über das Single Sign-on des Kunden. mTrip sperrt ein Konto nach 5 fehlgeschlagenen Anmeldeversuchen.
Wird mTrip von einem unabhängigen Unternehmen getestet?
Ja. Ein unabhängiges Unternehmen testet die Plattform und die mobilen Apps mindestens einmal pro Jahr, und mTrip überprüft seine Sicherheitsrichtlinien mindestens einmal pro Jahr.
Wie melde ich mTrip einen Sicherheitsvorfall?
Schreiben Sie an [email protected]. Die Nachricht benachrichtigt das Support-Team und gilt als erste Dokumentation des Vorfalls.
Hat mTrip einen Incident-Response-Plan und einen Disaster-Recovery-Plan?
Ja. mTrip verfügt über ein schriftliches Verfahren für Incident Management und Incident Response mit einem Incident-Response-Team sowie über einen Business-Continuity-Plan und einen Disaster-Recovery-Plan.
Details prüfen und mit dem Team sprechen
Das Trust Center richtet sich an mTrip-Kunden und enthält die Richtlinien und Sicherheitsdokumente von mTrip. Alle weiteren Fragen klären wir gern in einer Demo. Lesen Sie auch die Datenschutzerklärung.