Bei Salesupply setzen wir uns dafür ein, deine Daten mit robusten Sicherheits- und Datenschutzmaßnahmen zu schützen. Diese Richtlinie beschreibt unseren umfassenden Ansatz zum Schutz der uns anvertrauten Informationen. Zuletzt aktualisiert: 9. November 2026.
Dieser Text ist in mehreren Sprachen verfügbar. Weichen die Fassungen voneinander ab, ist die englische Fassung maßgebend.
Dieser Abschnitt beschreibt die grundlegenden Richtlinien, die Governance und die Zertifizierungen, die das Fundament unseres Informationssicherheits-Managementsystems (ISMS) bilden.
Wir verfügen über eine klar dokumentierte Informationssicherheitsrichtlinie, die unsere Geschäftsführung erstmals am 8. Januar 2021 genehmigt hat. Diese Richtlinie wird über ein Online-System verteilt, ist für alle Mitarbeitenden von Salesupply verbindlich und wird jährlich überprüft. Unsere Auftragsverarbeitungsverträge (AVV) mit Kunden und Unterauftragsverarbeitern legen unsere Verpflichtungen zu Datenschutz und Privatsphäre näher fest.
Unsere Informationssicherheitsrichtlinie legt fest, dass identifizierte Risiken einer Risikobewertung unterzogen werden. Die Risikobewertung und der Risikobehandlungsplan werden auf Grundlage der Leitlinien der ISO 27005 erstellt.
Die Geschäftsführung ist für die Informationssicherheitsrichtlinie verantwortlich. Der Information Security Manager (CTO) ist für die Pflege und Koordination des Informationssicherheits-Managementsystems (ISMS) verantwortlich.
Unsere Server werden in nach ISO 27001 zertifizierten Rechenzentren gehostet, mit zertifizierter physischer Sicherheit und Umgebungssicherheit.
Unsere Mitarbeitenden und Prozesse sind grundlegend für unsere Sicherheit. Hier beschreiben wir die organisatorischen Kontrollen, mit denen wir deine Daten während ihres gesamten Lebenszyklus schützen.
Neue Mitarbeitende werden einer Hintergrundprüfung unterzogen, einschließlich der Einholung beruflicher Referenzen. Alle Mitarbeitenden unterzeichnen Arbeitsverträge, die Vertraulichkeitsklauseln und eine Bestätigung der Informationssicherheitsrichtlinie enthalten. Alle Mitarbeitenden sind dafür verantwortlich, Informationen zu schützen und Sicherheitsvorfälle zu melden. Mit unseren Partnern schließen wir Geheimhaltungsvereinbarungen (NDAs).
Unsere Auftragsverarbeitungsverträge räumen dem Verantwortlichen (unserem Kunden) Auditrechte zur Überprüfung der Einhaltung ein, mit angemessener Vorankündigung und gemäß dem Vertrag ohne zusätzliche Kosten.
Alle Informationswerte sind registriert und haben zugewiesene Eigentümer. Datenträger werden nach dokumentierten Verfahren sicher entsorgt, um einen Datenabfluss aus ausgemusterten Informationswerten zu verhindern.
Unsere Informationssicherheitsrichtlinie regelt das Management von Sicherheitsvorfällen, einschließlich Meldewegen, Untersuchung und Kommunikation mit den betroffenen Parteien. Unsere Auftragsverarbeitungsverträge verpflichten Salesupply, den Verantwortlichen unverzüglich zu benachrichtigen, nachdem Salesupply eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.
Unsere Auftragsverarbeitungsverträge betonen die Pflicht von Salesupply, sicherzustellen, dass Unterauftragsverarbeiter die Datenschutzvorschriften einhalten, und den Verantwortlichen über beabsichtigte Änderungen in Bezug auf Unterauftragsverarbeiter zu informieren. Die Informationssicherheitsrichtlinie besagt: „Lieferanten, die Informationswerte von Salesupply oder seinen Kunden verarbeiten, müssen die Anforderungen dieser Richtlinie erfüllen“.
Ein Business-Continuity-Plan (BCP) ist vorhanden, um Unterbrechungen der Leistungen bei unerwarteten Ereignissen so gering wie möglich zu halten und die Widerstandsfähigkeit und Verfügbarkeit unserer Leistungen sicherzustellen.
Wir setzen auf einen mehrschichtigen technischen Ansatz, um unsere Systeme und deine Daten vor Bedrohungen zu schützen. Im Folgenden findest du die wichtigsten technischen Kontrollen, die wir umgesetzt haben.
Auf allen Laptops ist eine vollständige Festplattenverschlüsselung (BitLocker) mit mindestens AES-256 implementiert. Alle Wechseldatenträger sind deaktiviert. Die Nutzung privater Mobilgeräte für geschäftliche Zwecke ist nicht erlaubt. Normale Benutzer haben keine lokalen Administratorrechte.
Die Büros von Salesupply verfügen über Sicherheitssysteme, Alarmanlagen, Videoüberwachung und Zugangskontrolle per Schlüsselkarte. Unsere nach ISO 27001 zertifizierten Rechenzentren verfügen über physische Zugangskontrollen, Überwachung und Alarmanlagen.
Firewalls kontrollieren den Netzwerkverkehr und blockieren unbefugte Zugriffe. Trennung von Entwicklungs-, Test- und Produktionsumgebungen. Drahtlose Netzwerke gesichert mit WPA2-Enterprise und Network Access Control (NAC).
Auf allen Servern und Endgeräten ist ein fortschrittlicher Malwareschutz (Antivirus, Anti-Spyware) installiert, der fortlaufend aktuell gehalten wird.
Sicherer Fernzugriff (VPN) mit Multi-Faktor-Authentifizierung (MFA). Eingeschränkter und überwachter Zugriff auf administrative Schnittstellen. Verschlüsselte Übertragungsverfahren (VPN, SSL/TLS, SFTP) für den gesamten Datenaustausch.
Systeme zur Erkennung und Abwehr von Angriffen (IDS/IPS) sind implementiert, um den Netzwerkverkehr auf schädliche Aktivitäten und Richtlinienverstöße zu überwachen.
Systeme werden gemäß bewährten Branchenpraktiken und Sicherheits-Baselines (z. B. CIS Benchmarks, NIST) konfiguriert, um ihre Angriffsfläche zu verringern.
Für kritische Systeme werden Systemprotokolle und Audit-Trails geführt. Die Protokollierung personenbezogener Daten wird auf ein Minimum beschränkt. Protokolle werden regelmäßig überprüft, um Sicherheitsvorfälle und ungewöhnliche Aktivitäten zu erkennen.
Kritische Daten werden regelmäßig gesichert, und die Integrität der Sicherungen wird getestet. Für kritische Systeme ist Redundanz implementiert, um eine hohe Verfügbarkeit sicherzustellen.
Du hast eine Schwachstelle in einem unserer Systeme gefunden oder eine Frage zur Sicherheit deiner Daten? Schreib eine E-Mail an security@salesupply.com. Kunden können sich auch an ihren Account Manager bei Salesupply wenden, zum Beispiel für einen ausgefüllten Sicherheitsfragebogen.
Veröffentlicht am 26. Oktober 2026 · Status: behoben
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619) öffentlich bekannt. Europäische und internationale Sicherheitsbehörden forderten Organisationen auf, sofort zu patchen. So ist Salesupply damit umgegangen.
Kurz gesagt: Wir haben noch am selben Morgen gehandelt, bevor der offizielle Fix verfügbar war. Alle unsere PHP-Systeme waren innerhalb weniger Tage gepatcht, die meisten innerhalb weniger Stunden nach Veröffentlichung des Fixes. Bestell-, Bestands- und Versandprozesse liefen die ganze Zeit weiter. Wir haben keine Anzeichen für einen unbefugten Zugriff gefunden, und es kam weder zu einem Verlust noch zu einer Offenlegung von Kundendaten.
PHP ist die Programmiersprache hinter einem großen Teil der Websites und Webanwendungen weltweit, darunter mehrere Systeme von Salesupply. Die beiden Schwachstellen, beide als kritisch eingestuft (CVSS 9.2), konnten es einem Angreifer ermöglichen, einen Server ohne Anmeldung aus der Ferne zu übernehmen. Da die Schwachstelle in PHP selbst lag und nicht in der eigenen Software eines Unternehmens, betraf sie Organisationen weltweit.
Am Morgen des 21. Oktober, noch bevor der offizielle Fix veröffentlicht war, hat unser Business-Technology-Team jedes System erfasst, auf dem PHP läuft, und dessen Gefährdung bewertet. Auf allen diesen Systemen haben wir gemäß der vom Hersteller empfohlenen Gegenmaßnahme die PHP-Funktion deaktiviert, auf die die Angriffe voraussichtlich abzielen würden. Als zusätzliche Vorsichtsmaßnahme haben wir Datei-Uploads auf unsere PHP-Systeme vorübergehend ausgesetzt und Systeme vom Netz genommen, wo dies die sicherere Wahl war.
Der offizielle PHP-Fix wurde an diesem Nachmittag um 16:00 Uhr MESZ veröffentlicht. Noch am selben Abend liefen unsere kundenseitigen Systeme mit gepatchten PHP-Versionen. Das letzte verbleibende System blieb durch die Gegenmaßnahme geschützt und wurde am 23. Oktober in einem kurzen Wartungsfenster vollständig gepatcht.
Bestellimport, Bestandssynchronisierung, Versand- und Tracking-Updates, Anmeldungen, Dashboards und Reporting liefen ganz normal weiter. Die Patches erforderten nur einen kurzen Neustart. Die einzige vorübergehende Einschränkung betraf Datei-Uploads, etwa Massenimporte über das Dashboard, die wir ausgesetzt hatten, bis die Fixes bestätigt waren. Uploads sind inzwischen wieder vollständig verfügbar.
Ja. Nach dem Patchen haben wir alle PHP-Systeme auf Anzeichen von Missbrauch geprüft, etwa unerwartete Dateien, Prozesse oder Verbindungen, und sie in den folgenden Tagen weiter überwacht. Wir haben keinen Hinweis darauf gefunden, dass ein Angreifer auf ein System zugegriffen hat, und es kam weder zu einem Verlust noch zu einer Veränderung oder Offenlegung von Kundendaten. Du musst nichts unternehmen.
Wir beschleunigen bereits geplante Arbeiten, damit jedes von uns betriebene System auf einer unterstützten Version läuft, die Sicherheitsfixes direkt vom Hersteller erhält. Wir verfolgen Sicherheitshinweise weiterhin genau, damit wir wie in diesem Fall noch am selben Tag reagieren können.