Technische Informationen zur Global Changer Software

Stand: Juni 2025

Software as a Service-Lösung (SaaS): Wir betreiben die Software in der Cloud. Nutzer:innen erhalten Zugriff auf ihr Konto über ihren Webbrowser.
ISO27001 / Externe Prüfung: Wir haben ein nach ISO 27001 zertifiziertes Informationssicherheits-Managementsystem. Das Zertifikat kann hier angefragt werden: https://trust.globalchanger.com/. Des Weiteren haben wir im Q3 2024 einen externen Penetration-Test erfolgreich durchgeführt. Dieser wird jährlich wiederholt.
Ort der Datenspeicherung: Unsere Webserver und Datenbanken befinden sich ausschließlich in AWS Datacentern in Deutschland (Frankfurt a. M.). Alle hochgeladenen Dokumente werden unter zusätzlichen Sicherheitsvorkehrungen gespeichert. Anmerkung: Um unseren Kunden eine noch höhere Sicherheit zu ermöglichen, ziehen wir bis spätestens Juli 2025 auf dedizierte Server in Deutschland von Hetzner um. Ab Juli 2025 läuft auch unsere KI auf exklusiv für uns bereitgestellten Grafikkarten bei einem deutschen Hosting-Partner.
Schnittstellen zu Ihren Systemen: Es sind keine Schnittstellen zu Ihren bestehenden Systemen notwendig. Wenn sie aus fachlicher Sicht sinnvoll sind, dann lassen sich Schnittstellen umsetzen. Ihre Kontaktperson berät Sie gerne dazu.
DSGVO: Wir folgen strikt den Vorgaben der DSGVO und speichern nur Daten, die zwingend für die Erbringung unseres Services nötig sind.
Daten: Ihre Daten werden natürlich nicht mit anderen Unternehmen geteilt.
Verschlüsselung: Aller Netzwerkverkehr ist stets HTTPS verschlüsselt (QUIC, X25519, AES_128_GCM, TLS v1.3).
Passwörter: Passwörter werden von uns nicht direkt gespeichert. Dies geschieht nur als Salted Hash unter Zuhilfenahme von in der Industrie anerkannten Bibliotheken.
Qualitätssicherung: Wir haben viele verschiedene Ebenen von automatisierter und manueller Qualitätssicherung. Jeder Quelltext wird einem Peer-review unterzogen und Werkzeuge zur statischen Quellcodeanalyse werden verwendet.
Updates: Wir aktualisieren die Software gewöhnlich ein- bis zweimal pro Woche. So erhalten Sie regelmäßig neue Features und Sicherheitsupdates. Alle Updates durchlaufen einen mehrstufigen Veröffentlichungsprozess, um die Funktionsfähigkeit sicherzustellen. Neuer Quellcode wird immer erst intern veröffentlicht.

Details zur Systemarchitektur von Global Changer

Um die Isolation von Kundendaten zu gewährleisten, werden unsere Services in einem Heroku Private Space gehostet (Ab Juli 2025 Umzug zu Hetzner). Um die Hochverfügbarkeit unserer Software zu gewährleisten, betreiben wir alle Services, sowie die gesamte Netzwerkarchitektur vollständig redundant (keine Single-Point-of-Failures / SPOFs). Die Software wird zudem in der AWS Region Frankfurt über alle darin verfügbaren Availability Zones betrieben. Unsere Datenbank ist sowohl in-transit, als auch at-rest vollständig AES 256 verschlüsselt. Es werden tägliche, verschlüsselte Voll-Backups aller Daten erstellt, welche im Rahmen von regelmäßigen “Firedrill-Übungen” auf Rückspielbarkeit getestet werden. Wir haben ein mehrstufiges Intrusion Detection and Prevention Konzept: Über eine Web Application Firewall (WAF, Anbieter: Cloudflare) wird Traffic gefiltert. Hier nutzen wir neben den OWASP Top 10 Regeln, Bot-Erkennung und Country-Blocks. Auch Rate-Limiting, Challenges und DDoS-Protection werden durch Cloudflare bereitgestellt. Heroku nutzt ebenfalls einen IDPS-Anbieter. Der gesamte Traffic ist mittels HTTPS verschlüsselt. Wir verwenden eine Anomaly-Detection auf Fehlerraten (bspw. HTTP Fehler), um mögliche Attacken, welche nicht durch die WAF erkannt werden, zu identifizieren, während der Laufzeit zu stoppen und nachträglich auszuwerten. Unsere Hosting-Umgebung, sowie auch wir sind vollständig ISO 27001 zertifiziert. Unser CISO ist direkt dem Geschäftsführer unterstellt.

Unsere Software folgt den Prinzipien einer Zero-Trust-Infrastruktur. Zudem sind wir um Datenminimierung bemüht und zeigen unseren Kunden Wege zur Pseudonymisierung und Anonymisierung von Daten auf. Wir bevorzugen EU-Subanbieter und haben umfassende Zugriffskontrollen (bspw. MFA) und -prinzipien (bspw. “Need-to-know” und “Least-Privileges”) implementiert und Login- und Audit-Trails wo möglich aktiviert.

Abbildung 1: Systemarchitektur von Global Changer