# Trust Center: Sicherheit, Datenschutz und Betrieb bei ART-KON-TOR Digital - Veröffentlicht: 2026-10-09 - Aktualisiert: 2026-10-10 - Quelle: https://art-kon-tor-digital.de/it/trust-center/ --- ART-KON-TOR Digital · Sicherheit und Datenschutz # Trust Center Kurz gesagt Auf dieser Seite steht, wie wir mit deinen Systemen und Daten umgehen: wo unsere Server stehen, wie Zugriffe geregelt sind, wie gesichert und verschlüsselt wird, welche Dienstleister beteiligt sind und wen du bei einem Sicherheitsvorfall erreichst. Gedacht für Geschäftsführer, Datenschutzbeauftragte und alle, die unsere Arbeit in einem Audit beschreiben müssen. [Unterlagen anfragen](#kontakt) [Sicherheitsvorfall melden](#melden) ![](https://art-kon-tor-digital.de/wp-content/uploads/2026/09/serverraum-1024x577.webp) ## ÜberblickSieben Themen, eine Seite Kunden fragen uns diese Punkte in jedem Audit, bei jeder Lieferantenbewertung und vor jedem Vertrag. Hier stehen die Antworten gesammelt, in der Fassung vom Oktober 2026. Was sich ändert, ändern wir hier zuerst. - [Infrastruktur und Standorte](#infrastruktur) - [Zugriff und Verschlüsselung](#zugriff) - [Backup und Wiederherstellung](#backup) - [Verfügbarkeit und Wartung](#verfuegbarkeit) - [Verträge und Auftragsverarbeiter](#vertraege) - [Entwicklung und Websites](#entwicklung) - [Sicherheitsvorfälle und Meldungen](#melden) ## Zum AnfassenSo ist ein Schrank bei uns bestückt Firewall-Paar, drei Hosts, Storage, Backup-Server mit Kopie außer Haus, USV. Klick auf einen Einschub, um zu sehen, wofür er da ist. - **Patchpanel.** Hier kommen die Leitungen aus dem Gebäude an: Arbeitsplätze, Access Points, Kameras, Produktion. Jede Dose ist beschriftet und im Plan dokumentiert, damit ein Umzug kein Rätselraten wird. - **Switch.** Switches von Ubiquiti, zentral verwaltet. Getrennte Netze für Büro, Gäste, Geräte und Produktion, Stromversorgung der Access Points über das Netzwerkkabel. Zeigt, welcher Port gerade was macht. - **Firewall-Paar.** Zwei Firewalls mit pfSense oder OPNsense, die sich gegenseitig überwachen. Fällt eine aus, übernimmt die andere, ohne dass jemand etwas merkt. Regeln sind dokumentiert, VPN für Homeoffice und Standorte läuft hier. - **Proxmox-Host 1.** Ein Virtualisierungs-Host auf Proxmox. Darauf laufen virtuelle Maschinen als getrennte Einheiten: Fileserver, Warenwirtschaft, Mailserver, Websites. Fällt der Host aus, starten die Maschinen auf einem anderen Host neu. - **Proxmox-Host 2.** Zweiter Host im Cluster. Die Hosts teilen sich den Speicher, deshalb kann eine Maschine im laufenden Betrieb umziehen, etwa für ein Update am Host. Der Knopf „Ausfall simulieren“ zeigt, was passiert, wenn dieser Host stehen bleibt. - **Proxmox-Host 3.** Dritter Host. Drei Hosts sind das Minimum, damit der Cluster bei einem Ausfall noch entscheiden kann, wer übernimmt. Reserve ist eingeplant: Jeder Host hat Luft, um die Last eines ausgefallenen Nachbarn mitzutragen. - **KI-Server.** Ein Server mit Grafikkarten für Sprachmodelle. Darauf laufen Modelle für Kunden, die ihre Daten nicht in eine Cloud geben: Dokumente zusammenfassen, Wissensdatenbank, Übersetzung. Zugriff nur für benannte Nutzer über das VPN. - **Storage.** Gemeinsamer Speicher für die Hosts, auf schnellen Datenträgern, verschlüsselt. Hier liegen die virtuellen Maschinen; die Hosts selbst sind austauschbar. - **Backup-Server.** Proxmox Backup Server: Sicherung aller Maschinen mit Versionen, die sich nachträglich nicht verändern lassen. Von hier geht eine verschlüsselte Kopie außer Haus. Wiederherstellungen testen wir regelmäßig. „Backup-Lauf zeigen“ spielt den Weg nach. - **USV.** Unterbrechungsfreie Stromversorgung. Überbrückt Stromausfälle und fährt die Systeme kontrolliert herunter, wenn der Strom länger wegbleibt. Meldet sich im Monitoring, bevor die Batterie alt wird. Beispielhafte Bestückung. Wo deine Systeme laufen, steht im [Trust Center](https://art-kon-tor-digital.de/it/trust-center/). ## InfrastrukturWo deine Systeme laufen ### Eigene Hardware in Deutschland Unsere Hosting-Umgebung läuft auf eigener Hardware in einem deutschen Rechenzentrum. Wir wissen, in welchem Rack die Server stehen, und haben physischen Zugang. Websites, Shops, Nextcloud, Managed Server und KI-Server unserer Kunden laufen dort auf Proxmox, voneinander getrennt. ### Oder bei dir im Haus Für Unternehmen mit eigenen Anforderungen, etwa Berufsgeheimnisträger oder Betriebe mit Produktionsdaten, bauen wir Server und KI-Systeme im eigenen Serverraum auf oder als Kombination aus beidem. Dann verlassen die Daten dein Gebäude nicht. ### Keine Hyperscaler für Kundendaten Wir betreiben Kundensysteme nicht bei AWS, Azure oder Google Cloud. Wo ein Kunde Microsoft 365 oder Google Workspace nutzt, ist das seine Entscheidung; wir richten es ein und sichern es ab, Datenhaltung und Vertrag laufen zwischen Kunde und Anbieter. ### Netzwerk und Trennung Kundensysteme sind voneinander getrennt, Verwaltungszugänge laufen über eigene Netze und VPN. Firewalls und Zugriffsregeln werden dokumentiert und bei Änderungen nachgeführt. ## ZugriffWer bei uns worauf zugreifen kann ### Personengebundene Zugänge Jeder Administrator arbeitet mit eigenem Konto, Sammelkonten gibt es nicht. Zugriffe auf Kundensysteme werden protokolliert. Verlässt jemand das Unternehmen, werden seine Zugänge am selben Tag gesperrt und betroffene Passwörter gewechselt. ### Mehrfaktor-Anmeldung Für alle Verwaltungszugänge, intern wie bei Kunden, gilt Mehrfaktor-Anmeldung. Passwörter und Schlüssel liegen in einem selbst gehosteten Passwort-Manager mit Freigaben pro Kunde und Person. ### Verschlüsselung Verbindungen zu Websites, Nextcloud und Verwaltungsoberflächen sind TLS-verschlüsselt, Standortverbindungen laufen über VPN. Backups werden vor dem Transport verschlüsselt; der Schlüssel wird getrennt von den Daten aufbewahrt und auf Wunsch allein beim Kunden. ### Fernwartung mit Zustimmung Auf Arbeitsplätze greifen wir nur zu, wenn der Nutzer die Sitzung freigibt oder ein Wartungsfenster vereinbart ist. Für Berufsgeheimnisträger stimmen wir Fernwartung und Cloud-Dienste auf die Vorgaben des Berufsrechts ab. ## BackupWie gesichert und wiederhergestellt wird Systeme in unserem Rechenzentrum werden täglich gesichert, zusätzlich auf einen Proxmox Backup Server mit Versionen, die sich nachträglich nicht verändern lassen. Für Kundensysteme vor Ort richten wir die zweite Kopie außer Haus ein. Wiederherstellungen testen wir in festen Abständen und protokollieren Dauer und Ergebnis. Das Konzept dahinter, die Regeln und der Notfallplan stehen auf der Seite [Backup & Notfallplan](/it/backup-notfallplan/). Auf Anfrage stellen wir dir für dein System das aktuelle Testprotokoll zur Verfügung. ## VerfügbarkeitÜberwachung, Wartung, Reaktion ### Monitoring rund um die Uhr Server, Dienste, Zertifikate, Speicher und Backups werden automatisch überwacht. Bei Störungen werden wir alarmiert, auch nachts. Die Reaktion außerhalb der Geschäftszeiten richtet sich nach dem vereinbarten Paket. ### Angekündigte Wartungsfenster Updates mit Neustart kündigen wir an und legen sie in Zeiten mit wenig Betrieb. Sicherheitsupdates mit hoher Dringlichkeit spielen wir kurzfristig ein und informieren danach. ### Reaktionszeiten im Vertrag Was wir bei welcher Priorität zusagen, steht im Betreuungs- oder Hostingvertrag, nicht nur auf dieser Seite. Die drei Stufen sind unter [IT-Betreuung in Paketen](/it/it-betreuung/pakete/) beschrieben. ## VerträgeAuftragsverarbeitung und beteiligte Dienstleister Mit jedem Kunden, für den wir personenbezogene Daten verarbeiten, schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, mit Verschwiegenheitsverpflichtung und einer Beschreibung der technischen und organisatorischen Maßnahmen. Unsere Mitarbeiter sind auf Vertraulichkeit verpflichtet. Für den Betrieb setzen wir auf eine kleine Zahl von Dienstleistern: den Betreiber des Rechenzentrums, in dem unsere Hardware steht, sowie Cloudflare für Schutz und Auslieferung unserer eigenen Website. Eine vollständige Liste der Unterauftragsverarbeiter mit Zweck und Standort stellen wir dir mit dem Vertrag zur Verfügung und informieren dich, wenn sich daran etwas ändert. Dienste, die ein Kunde selbst nutzt, etwa Microsoft 365, sind nicht unsere Unterauftragsverarbeiter. Wie unsere eigene Website mit Besucherdaten umgeht, Matomo ohne Cookies und ohne Datenabfluss, steht in der [Datenschutzerklärung](/datenschutz/). ## EntwicklungWie wir Websites und Anwendungen bauen - **Kein Page-Builder, wenige Plugins.** Websites entstehen mit eigenen Blöcken und Code, den wir lesen und pflegen können. Jede Erweiterung muss einen Grund haben. - **Updates im Betrieb.** WordPress, Shopware, Server und Bibliotheken werden laufend aktualisiert, mit Backup vor jedem Eingriff und Prüfung danach. - **Zugänge nach Rolle.** Redakteure bearbeiten Inhalte, Administratorrechte haben nur die, die sie brauchen. Zwei-Faktor-Anmeldung für das Backend. - **Trennung von Entwicklung und Betrieb.** Änderungen werden auf einer Testumgebung geprüft, bevor sie live gehen. Zugangsdaten liegen nie im Code. - **Barrierefreiheit und Datenschutz als Teil des Bauplans.** BFSG-Anforderungen, Consent nur wo nötig, Schriften und Skripte vom eigenen Server. - **Übergabe möglich.** Code, Zugänge und Dokumentation gehören dem Kunden. Wer wechseln will, kann das ohne uns. ## SicherheitsvorfälleWen du erreichst, wenn etwas passiert Wenn du einen Vorfall vermutest, eine Schwachstelle in einem von uns betriebenen System gefunden hast oder eine Meldung von deinem Datenschutzbeauftragten weitergeben musst, schreib an [kontakt@akt-digital.de](mailto:kontakt@akt-digital.de?subject=Sicherheitsvorfall) mit dem Betreff „Sicherheitsvorfall“ oder ruf an unter [03641 5598209](tel:+4936415598209). Für betreute Kunden gelten die Rufnummern aus dem Notfallplan, auch außerhalb der Geschäftszeiten, wenn Bereitschaft vereinbart ist. Bei einem Vorfall in unserer Infrastruktur informieren wir betroffene Kunden unverzüglich, in jedem Fall innerhalb der Fristen, die wir im Vertrag zur Auftragsverarbeitung zugesagt haben, mit Umfang, Ursache und Maßnahmen. Hinweise auf Schwachstellen von Sicherheitsforschern nehmen wir ernst und antworten; bitte gib uns Zeit zur Behebung, bevor du den Fund veröffentlichst. ## Für dein AuditWas wir dir liefern können - Vertrag zur Auftragsverarbeitung mit Beschreibung der technischen und organisatorischen Maßnahmen - Liste der Unterauftragsverarbeiter mit Zweck und Standort - Backup-Konzept und aktuelles Wiederherstellungsprotokoll für dein System - Netzwerk- und Systemdokumentation deiner Umgebung - Auszug der Zugriffsprotokolle auf deine Systeme für einen Zeitraum - Beantwortung von Lieferantenfragebögen, etwa nach TISAX- oder ISO-27001-Katalog, für den Teil, den wir verantworten Eine eigene Zertifizierung nach ISO 27001 oder TISAX haben wir nicht. Wir unterstützen Kunden bei der Vorbereitung auf ihre Audits und beantworten die Fragen, die unsere Leistung betreffen, mit Nachweisen statt Zusicherungen. Mehr dazu unter [NIS2 technisch umsetzen](/it/cyber-security/nis2/). ## FAQHäufige Fragen aus Audits Wo genau stehen die Server? In einem Rechenzentrum in Deutschland, auf Hardware, die uns gehört. Den Betreiber, den Standort und seine Zertifizierungen nennen wir dir im Vertrag und in der Liste der Unterauftragsverarbeiter. Haben Mitarbeiter von Dienstleistern Zugriff auf unsere Daten? Der Rechenzentrumsbetreiber hat physischen Zugang zum Gebäude, aber keine Zugänge zu unseren Systemen; Datenträger sind verschlüsselt. Cloudflare sieht Verbindungsdaten unserer eigenen Website, nicht Kundensysteme. Seid ihr nach ISO 27001 zertifiziert? Nein. Wir arbeiten nach den Grundsätzen, die dort gefordert werden, dokumentieren sie und weisen sie auf Anfrage nach. Für Kunden, die eine zertifizierte Lieferkette brauchen, klären wir im Gespräch, ob und wie das gelöst werden kann. Dürfen wir eure Systeme selbst prüfen lassen? Ja, nach Absprache. Penetrationstests auf von uns betriebene Kundensysteme stimmen wir mit dir ab, damit das Monitoring nicht als Angriff alarmiert und andere Kunden nicht betroffen sind. Was passiert mit unseren Daten, wenn wir kündigen? Du bekommst alle Daten in einem gängigen Format und die Dokumentation. Nach der Übergabe und einer vereinbarten Frist löschen wir die Daten und Backups und bestätigen das schriftlich. ## Passt dazuWeiterführende Seiten [IT & KI**Backup & Notfallplan**Sicherung, Wiederherstellung und Notfallplan im Detail.](/it/backup-notfallplan/) [IT & KI**Cyber Security**Schutzmaßnahmen für dein Unternehmen, inklusive NIS2.](/it/cyber-security/) [IT & KI**Hosting & Managed Server**Die Infrastruktur, auf der Websites, Shops und Nextcloud laufen.](/it/hosting-managed-server/) ## Brauchst du Unterlagen für ein Audit? Schreib uns, welche Nachweise dein Prüfer oder dein Kunde verlangt. Wir stellen sie zusammen und antworten innerhalb von 48 Stunden. [Unterlagen anfragen](#kontakt)