So schützen wir deine DATEV-Daten.

Deine DATEV- und Windows-Zugangsdaten werden ausschließlich lokal auf deinem Windows-System gespeichert – niemals bei Klardaten. Bei der Einrichtung über Klardaten werden die Zugangsdaten an deinen Connector übertragen. Der Connector schützt die gespeicherten Zugangsdaten mit Windows DPAPI. Die Verbindung zu Klardaten ist TLS-verschlüsselt. Die vertraglichen TOMs beschreiben die Anforderungen an Verschlüsselung, Schlüsselverwaltung und Zugriffsschutz. Auch dein Windows-System muss vor unberechtigtem Zugriff geschützt sein.

Anwendungen melden sich an der Gateway-API mit JWT-Zugriffstoken und Refresh-Token oder mit API-Schlüsseln als Bearer-Zugangsdaten an. Für den Zugriff auf eine bestimmte Kundeninstanz brauchen sie zusätzlich die passende Berechtigung. Die gewählte Verbindung und das eingerichtete DATEV-/Windows-Nutzerprofil bestimmen, welche DATEV-Daten zugänglich sind. Profile und Dienstkonten sollten nur die Rechte erhalten, die für die Anbindung nötig sind. Nutzen mehrere Personen dasselbe technische Profil, gelten für sie die Rechte dieses Profils. Bestimmte MCP-Schreibrechte benötigen beim Verbinden eine zusätzliche Freigabe. Schreibzugriffe werden im Prüfprotokoll erfasst.

Klardaten prüft für jede angefragte Kundeninstanz die Zugriffsberechtigung. Eine Anmeldung allein erlaubt keinen Zugriff auf andere Kundenverbindungen. Innerhalb einer Verbindung gelten die DATEV-Rechte des eingerichteten Profils. Die vertraglichen TOMs schreiben für Klardaten-Produktivsysteme persönliche Benutzerkonten, Mehrfaktor-Authentifizierung und Berechtigungen nach Aufgabenbereich vor. Wenn im Support oder bei einer Störung auf Kundeninhalte zugegriffen wird, muss der Zugriff einem bestimmten Zweck dienen. Er wird kontrolliert und protokolliert. Soweit erforderlich, erfolgt er mit Freigabe des Kunden oder nach einer dokumentierten Anweisung.

Die TOMs beschreiben die zentrale Überwachung der Systeme und sicherheitsrelevanter Ereignisse. Sie sehen außerdem Datensicherungen in getrennten Verfügbarkeitszonen der Cloud und regelmäßige Tests zur Wiederherstellung vor. Wie dringend ein Sicherheitsupdate eingespielt wird, hängt vom Schweregrad der Schwachstelle und dem Risiko für den Betrieb ab. Diese Datensicherungen ersetzen keine Sicherung deiner eigenen DATEV-Umgebung. Die vereinbarten Maßnahmen stehen in Anlage 2 des Auftragsverarbeitungsvertrags.

Dazu gehören die Verpflichtung auf Vertraulichkeit und dokumentierte Weisungen, Berechtigungen nach Aufgabenbereich und die Überprüfung von Zugriffsrechten. Die TOMs beschreiben außerdem Geräteverschlüsselung, Bildschirmsperren und den geschützten Zugriff auf Produktivsysteme. Die vollständigen Maßnahmen stehen in Anlage 2 des AVV.