Sicherheit

MASSNAHMEN

Unsere Maßnahmen

Verschlüsselung

Alle Verbindungen nur über HTTPS (TLS), HSTS mit Preload für alle Domains.
Datenbank und Dateiablage verschlüsselt gespeichert (Supabase/AWS, AES-256).
Zugangsdaten zu verbundenen Diensten zusätzlich mit AES-256-GCM verschlüsselt (eigener Schlüssel).
Anmelde- und Unterschriftslinks als Einmal-Token, in der Datenbank nur als Prüfsumme (SHA-256) gespeichert.

Zugangskontrolle

Anmeldung per einmaligem E-Mail-Link ohne Passwort; Links gelten nur kurz und nur einmal.
Adminbereich mit eigener Domain, eigener Anmeldung und kurzer Sitzung.
Ratenbegrenzung für Anmeldung, Formulare und Schnittstellen; Schutz gegen Formular-Missbrauch (CSRF-Prüfung der Herkunft).
Zwei-Faktor-Anmeldung (Authenticator-App) für den Adminbereich ist Pflicht.

Zugriffskontrolle

Rollen und Rechte je Person (Inhaber/in, Administration, Mitarbeitende, Rollenprofile); Sicht auf Kunden nur nach Zuordnung.
Zeilenbasierte Zugriffsregeln (Row Level Security) in der Datenbank: jede Organisation sieht nur ihre eigenen Daten.
Kunden, VOT und Handwerkspartner sehen nur ihre eigenen Vorgänge bzw. freigegebene Dokumente.

Weitergabekontrolle

Content-Security-Policy mit Nonce, Schutz gegen Einbetten (frame-ancestors), strenge Referrer-Policy.
Kamera, Mikrofon und Standort nur im Mitarbeiterbereich und VOT-Portal freigegeben.
Datenexport je Kunde nur für Inhaber/in und Administration, mit Protokoll.

Eingabekontrolle

Verlauf je Kunde, Projekt und Dokument; Protokoll im Adminbereich.
Unterschriften mit Zeitstempel, IP-Adresse und Prüfsumme des Dokuments.
Vier-Augen-Prüfung für iSFP, Umsetzungshilfe, Energieausweis, Heizlast und hydraulischen Abgleich.

Verfügbarkeit und Belastbarkeit

Hosting in EU-Rechenzentren (Dublin/Irland) mit automatischen Datenbanksicherungen des Anbieters.
Fehlerüberwachung mit bereinigten Meldungen (keine Namen, E-Mails, Inhalte), Aufbewahrung 90 Tage.
Aufbewahrungsfristen mit Löschsperre: Archivieren statt Löschen, solange Fristen laufen.

Trennung und Datenminimierung

Mehrmandantenfähig: Daten verschiedener Büros strikt getrennt (Organisation in jeder Zeile).
Steuer-ID, Geburtsdatum und Kunden-IBAN für Förderanträge werden bewusst nicht gespeichert.
Webseiten-Statistik nur nach Einwilligung; die Portale setzen nur technisch notwendige Cookies.

Organisation

Datenschutz-Cockpit: Verarbeitungsverzeichnis, Dienstleister mit AVV-Stand, Betroffenenanfragen mit Monatsfrist, Datenpannen mit 72-Stunden-Frist.
Sicherheitskontakt nach RFC 9116 unter /.well-known/security.txt.
Regelmäßige Prüfung durch den AMP Prüfstand (nur lesend) und Datenbank-Hinweise des Anbieters.

PHISHING

Echte E-Mails von uns erkennen

Wir fragen nie nach einem Passwort. Kundenportal und Partnerportale funktionieren nur mit Anmeldelinks, die Sie selbst angefordert haben oder die wir Ihnen zum Start schicken.
Unsere Links führen nur auf Adressen, die auf amp-energyconsult.de enden (z. B. kunde.amp-energyconsult.de). Prüfen Sie im Zweifel die Adresszeile Ihres Browsers.
Bankverbindungen ändern wir nie per E-Mail. Bei einer Rechnung mit neuer Bankverbindung rufen Sie uns bitte vorher an (+49 174 9156865).
Kommt Ihnen eine E-Mail seltsam vor, öffnen Sie keine Anhänge und leiten Sie sie an anfrage@amp-energyconsult.de weiter.

SCHWACHSTELLEN

Sicherheitslücke melden

Sie haben eine Schwachstelle gefunden? Schreiben Sie bitte an anfrage@amp-energyconsult.de mit einer kurzen Beschreibung, betroffener Adresse und Zeitpunkt. Die maschinenlesbare Kontaktangabe steht unter /.well-known/security.txt.

Wir bestätigen den Eingang in der Regel innerhalb von zwei Werktagen und halten Sie über die Behebung auf dem Laufenden.
Bitte greifen Sie nicht auf fremde Daten zu, verändern oder löschen Sie nichts und führen Sie keine Last- oder Spam-Tests durch.
Wer sich daran hält und uns Zeit zur Behebung gibt, muss von uns keine rechtlichen Schritte befürchten.

DIGITAL SERVICES ACT

Rechtswidrige Inhalte melden

Kontaktstelle für Behörden, die EU-Kommission und Nutzer nach Art. 11 und 12 der Verordnung (EU) 2022/2065 (Digital Services Act): anfrage@amp-energyconsult.de, Sprachen Deutsch und Englisch.

Finden Sie in einem Portal Inhalte, die Sie für rechtswidrig halten (z. B. hochgeladene Dateien), schicken Sie uns bitte die genaue Adresse, eine Begründung, Ihren Namen und Ihre E-Mail-Adresse sowie die Erklärung, dass Ihre Angaben nach bestem Wissen richtig sind (Art. 16 DSA). Wir prüfen jede Meldung zeitnah und teilen Ihnen das Ergebnis mit.

DATENPANNEN

Wenn doch etwas passiert

Jede Datenschutzverletzung erfassen wir im Datenschutz-Cockpit, prüfen das Risiko und melden sie, wenn nötig, innerhalb von 72 Stunden der Aufsichtsbehörde (Art. 33 DSGVO). Bei hohem Risiko informieren wir die Betroffenen direkt (Art. 34 DSGVO). Energieberatungsbüros, die unsere Software nutzen, informieren wir unverzüglich, möglichst innerhalb von 24 Stunden.

RECHTSRAHMEN

Rechtlicher Rahmen

Datenschutz-Grundverordnung (Art. 25 und 32 DSGVO): Datenschutz durch Technik und sichere Verarbeitung – Einzelheiten unter Datenschutz.
Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (§ 19 Abs. 4 TDDDG): Schutz der Dienste nach dem Stand der Technik, Verschlüsselung bei der Übertragung.
Für Energieberatungsbüros: Auftragsverarbeitung nach Art. 28 DSGVO (Muster-AVV) mit diesen Maßnahmen als Anlage.
Datenpannen: Dokumentation, Meldung binnen 72 Stunden und Benachrichtigung bei hohem Risiko (Art. 33, 34 DSGVO); Prüfung der Datenschutz-Folgenabschätzung bei neuen Funktionen (Art. 35 DSGVO).
NIS-2-Richtlinie (NIS2UmsuCG): Wir liegen unter den Schwellen für „wichtige“ und „besonders wichtige“ Einrichtungen (50 Beschäftigte bzw. 10 Mio. € Umsatz) und sind nicht registrierungspflichtig. Wir orientieren uns trotzdem an ihren Grundsätzen: Risikomanagement, Vorfallbehandlung, Lieferkette, Verschlüsselung und Zugangsschutz.
Cyber Resilience Act (Verordnung (EU) 2024/2847): Für unsere App „AMP Scan“ und die Browser-Erweiterung zum BAFA-Antrag gilt, sobald wir sie öffentlich bereitstellen: Sicherheitsupdates während der Nutzungsdauer, ein Meldeweg für Schwachstellen (siehe oben) und die Meldung aktiv ausgenutzter Schwachstellen an das BSI bzw. die ENISA ab 11.09.2026.
KI-Verordnung (Art. 4): Wer im Team KI-Hilfsmittel nutzt, ist dafür geschult; Entscheidungen über Personen trifft keine KI.
Aufbewahrung (GoBD, § 147 AO): Rechnungen und Buchungsbelege werden unveränderbar archiviert; Änderungen und Löschungen werden protokolliert.

Stand: 28.10.2026