Technische und organisatorische Massnahmen

Version 1.2 · Stand: 17. September 2026

Kurze öffentliche Zusammenfassung der freigegebenen TOMs von Montrel für die Auftragsbearbeitung bei Ruum. Keine interne Security-Doku. Keine Garantie einer Zertifizierung oder eines Sicherheitsstandards, sofern nicht ausdrücklich vereinbart.

Zugriffsschutz

Benutzerkonten, Rollen und Berechtigungen: Zugriffe erfolgen nach Need-to-know und Least-Privilege. Administrationszugriffe erfolgen über individuelle Konten; Mehrfaktor-Authentifizierung wird für privilegierte Konten eingesetzt, soweit vom jeweiligen System unterstützt. Zugriffsrechte werden bei Rollenwechsel oder Wegfall des Bedarfs angepasst bzw. entzogen.

Netzwerksicherheit

Übertragungen zwischen Benutzer und produktiven Diensten erfolgen über aktuelle verschlüsselte Transportprotokolle. Administrative Zugriffe auf Systeme erfolgen über abgesicherte, verschlüsselte Verbindungen. Produktive Infrastruktur wird bei externen Hosting- und Cloud-Anbietern betrieben, die geeignete physische Sicherheitsmassnahmen für ihre Rechenzentren bereitstellen.

Datensicherheit

Wo vom eingesetzten Dienst unterstützt und dem Risiko entsprechend, werden gespeicherte Daten verschlüsselt. Schlüssel und Zugangsdaten werden getrennt von den zu schützenden Daten verwaltet, soweit dies technisch möglich ist. Passwörter und Zugangsdaten werden nicht in Klartext in frei zugänglichen Dokumenten gespeichert.

Mandantentrennung

Bei mandantenfähigen Diensten werden Kundendaten logisch voneinander getrennt. Zugriffsprüfungen berücksichtigen insbesondere Tenant-, Rollen- und Berechtigungskontexte. Test- und Entwicklungsumgebungen werden von Produktionsumgebungen soweit technisch und wirtschaftlich angemessen getrennt.

Backups & Wiederherstellung

Für produktive Systeme werden dem Schutzbedarf entsprechende Sicherungen vorgesehen. Backups werden gegen unbefugten Zugriff geschützt. Verschlüsselte Backups werden standardmässig 30 Tage aufbewahrt. Internes Wiederherstellungsziel: 24 Stunden. Ein verbindliches RTO entsteht nur durch ausdrückliche SLA-Vereinbarung. Wiederherstellungen werden mindestens jährlich getestet.

Protokollierung

Sicherheitsrelevante System- und Administrationsereignisse werden soweit technisch verfügbar protokolliert. Technische und sicherheitsrelevante Logs werden standardmässig 90 Tage aufbewahrt, soweit keine längere gesetzliche oder vertragliche Frist erforderlich ist.

Entwicklungsprozess

Änderungen an produktiven Diensten werden risikobasiert geprüft und kontrolliert ausgerollt. Keine echten Kundendaten in Development, Testing oder Staging; keine produktiven Kundendaten für KI-gestützte Entwicklung. Produktionszugriff auf Kundendaten nur bei technischem Bedarf.

Datenschutz

Datenschutzanforderungen werden bei Betrieb und Weiterentwicklung berücksichtigt. Personendaten werden nach den vertraglich vereinbarten Fristen gelöscht oder anonymisiert, soweit keine gesetzlichen oder technisch erforderlichen Aufbewahrungsfristen entgegenstehen. Sicherheitsvorfälle werden erfasst, bewertet und soweit erforderlich behoben; bei relevanten Datenschutzverletzungen gilt die Melde- und Unterstützungsregelung der AVV.

Siehe auch Trust Center, Subprozessoren, AVV.