Diese Richtlinie beschreibt unsere Maßnahmen zum Schutz der Sicherheit und Integrität Ihrer personenbezogenen Daten und gewährleistet den sicheren Betrieb unserer Plattform. Wir verpflichten uns, aktuelle Best Practices und technische Standards umzusetzen, um Risiken zu minimieren und ein sicheres Spielerlebnis zu bieten.
1. Anwendungsbereich und Zielsetzung
Diese Richtlinie gilt für alle Geschäftsprozesse von EvoKit Casino, in denen personenbezogene Daten verarbeitet werden. Ziel ist es, Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu gewährleisten und Bedrohungen wirksam entgegenzutreten.
2. Verantwortlichkeiten
– Die Geschäftsführung ist für die Gesamtstrategie der Datensicherheit verantwortlich.
– Der IT-Leiter koordiniert technische Schutzmaßnahmen und Incident Response.
– Alle Mitarbeiter sind gemäß interner Schulungen und Richtlinien zur Einhaltung dieser Vorgaben verpflichtet.
3. Technische Schutzmaßnahmen
3.1 Netzwerksicherheit
– Einsatz von Next-Generation Firewalls zur Überwachung und Kontrolle eingehender und ausgehender Daten.
– Intrusion-Detection- und Prevention-Systeme (IDS/IPS) zur Erkennung und Abwehr von Angriffen.
– Netzsegmentierung für sensible Systeme (z. B. KYC-Server, Zahlungsgateway).
3.2 Verschlüsselung
– SSL/TLS-Verschlüsselung für alle Datenübertragungen zwischen Client und Server.
– Verschlüsselung ruhender Daten (at rest) mittels AES-256 auf Datenbank- und Fileservern.
– Strikte Schlüsselmanagementverfahren und regelmäßige Rotation von Verschlüsselungsschlüsseln.
3.3 Zugangskontrollen
– Multi-Faktor-Authentifizierung (MFA) für alle Mitarbeiterzugänge zu Produktionssystemen.
– Rollenzuweisung nach dem Prinzip der geringsten Privilegien (Least Privilege).
– Zentralisiertes Identitäts- und Zugriffsmanagement (IAM) mit Audit-Logs.
3.4 Systemhärtung und Patch-Management
– Regelmäßige Updates und Sicherheitspatches für Betriebssysteme, Datenbanken und Anwendungen.
– Einsatz von automatisierten Tools zur Schwachstellenanalyse.
– Deaktivierung nicht benötigter Dienste und Ports.
3.5 Backups und Wiederherstellung
– Automatisierte, tägliche Komplett-Backups sämtlicher Datenbanken und Konfigurationsdateien.
– Offsite-Backups in mindestens zwei geografisch getrennten Rechenzentren.
– Regelmäßige Tests der Wiederherstellungsprozesse (Disaster-Recovery-Übungen).
4. Organisatorische Maßnahmen
4.1 Sicherheitsrichtlinien und Schulungen
– Pflichtschulungen für alle Mitarbeiter zu IT-Sicherheit, Datenschutz und Phishing-Vermeidung.
– Regelmäßige Awareness-Kampagnen und Simulation von Angriffsszenarien.
– Schriftliche Verfahrensanweisungen für Sicherheitsvorfälle und Eskalationsprozesse.
4.2 Incident-Management
– 24/7-Monitoring und Alarmierung bei sicherheitsrelevanten Ereignissen.
– Dokumentierte Prozesse zur Identifikation, Bewertung, Eindämmung und Behebung von Vorfällen.
– Nachbereitung mit Forensik-Analyse und Lessons Learned.
4.3 Drittanbieter-Management
– Sorgfältige Auswahl und Überprüfung von Dienstleistern anhand von Sicherheitskriterien.
– Abschluss von Verträgen mit verbindlichen Sicherheits- und Datenschutzklauseln.
– Regelmäßige Audits und Penetrationstests bei kritischen Partnern.
5. Datenschutz und Datenminimierung
– Erfassung nur jener personenbezogenen Daten, die für die Vertragserfüllung oder gesetzliche Pflichten erforderlich sind.
– Pseudonymisierung und Anonymisierung von Daten, wo immer möglich.
– Löschung oder Sperrung nicht benötigter Daten gemäß definierten Aufbewahrungsfristen.
6. Überwachung und Auditierung
– Kontinuierliche Überwachung der Systeme auf ungewöhnliche Aktivitäten mittels SIEM-Lösungen.
– Regelmäßige interne und externe Audits, einschließlich ISO 27001-Assessments.
– Dokumentation aller Prüfergebnisse und Nachverfolgung von Abhilfemaßnahmen.
7. Business Continuity und Resilienz
– Erstellung und Pflege eines Business-Continuity-Plans (BCP) für kritische Geschäftsprozesse.
– Notfallteam mit klar definierten Rollen und Verantwortlichkeiten.
– Regelmäßige Tests der Notfallpläne und Kommunikation im Krisenfall.
8. Sicherheitsbewertung neuer Technologien
– Vor Einführung neuer Systeme oder Features erfolgt eine Datenschutz-Folgenabschätzung (DSFA).
– Sicherheitsreview und Penetrationstest durch unabhängige Experten.
– Genehmigung durch die IT-Leitung vor Go-Live.
9. Dokumentation und Berichterstattung
– Vollständige Dokumentation aller Sicherheitsrichtlinien, Verfahren und Schulungsunterlagen.
– Regelmäßige Berichte an die Geschäftsführung über den Status von IT-Sicherheit und Datenschutz.
– Transparente Kommunikation von Sicherheitsvorfällen an Aufsichtsbehörden, sofern gesetzlich vorgeschrieben.
10. Weiterentwicklung der Richtlinie
– Halbjährliche Überprüfung und Aktualisierung dieser Richtlinie.
– Berücksichtigung neuer Bedrohungsszenarien und technologischer Entwicklungen.
– Anpassung an gesetzliche Änderungen und regulatorische Anforderungen.
