Standards, an die wir uns halten
Offizielle Standards, an die wir uns halten, und Hersteller, deren Stack wir täglich einsetzen. Ohne Plaketten an der Wand, aber mit dokumentierten Prozessen.
Standards statt Plaketten
Was wir leben, was wir nicht zertifiziert haben
Wir halten uns an etablierte Standards für Sicherheit, Datenschutz, Barrierefreiheit und Code-Qualität. Wir tragen aber keine formellen Zertifikate, die das mit einem Audit-Logo belegen würden. Auf dieser Seite zeigen wir transparent, was wir tun und was wir bewusst nicht behaupten.
Sicherheits-Standards als Default
OWASP Top 10, BSI-Grundschutz-Bausteine für Konfigurationen, Secret-Management über Vaults, MFA-Pflicht in jedem Account. Diese Maßnahmen sind nicht extra, sondern Bestandteil jedes Projekts ab Tag eins.
Was uns mit Standards verbindet
Disziplin statt Audit-Theater
Wir orientieren uns an Standards, weil sie Engineering-Probleme schon gelöst haben. Nicht, weil ein Vertrieb damit punkten will.
ISO 27001 als Leitlinie, nicht als Zertifikat
Wir arbeiten nach den Prinzipien von ISO 27001: dokumentiertes Informationssicherheits-Management, definierte Rollen, regelmäßige Risiko-Analysen, ein nachvollziehbarer Patch- und Backup-Prozess. Wir sind aber nicht ISO-27001-zertifiziert. Wer ein Auditor-Logo im Pitch sehen will, ist bei uns falsch. Wer eine Liste der gelebten Kontrollen sehen will, ist richtig: Wir schicken auf Anfrage unser internes ISMS-Light-Dokument.
DSGVO als Ausgangspunkt, nicht als Pflichtübung
Datenschutz ist bei uns kein Cookie-Banner-Thema. Wir prüfen bei jedem Projektstart Datenflüsse, Drittland-Transfers und Speicherorte. AV-Verträge nach Art. 28 DSGVO schließen wir auf Anfrage, Standard sind eine aktuelle Subprozessoren-Liste und ein TOM-Konzept. Wenn ein Kunde gehostet bei uns liegen will, läuft das bei Hetzner in Nürnberg oder Falkenstein, nicht in Oregon.
Häufige Fragen
Fragen zu Standards
Halten Sie formelle Zertifikate für Ihre Standards?
Welche Code-Standards setzen Sie?
Welche Sicherheitsstandards setzen Sie in Projekten um?
Wie gewährleisten Sie Code-Qualität und Barrierefreiheit?
Arbeiten Sie nach ISO 27001 und sind Sie zertifiziert?
Wie berücksichtigen Sie Datenschutz und DSGVO in Ihren Projekten?
Wie klären Sie, ob Ihre Standards zu den Compliance-Anforderungen eines Kunden passen?
Standards-Frage offen?
Wir klären in 30 Minuten, ob unser Vorgehen zu Ihrem Compliance-Rahmen passt. Ohne PowerPoint.
Was wir einhalten
Standards & Konformitäten
| Standard | Was das konkret bedeutet | |
|---|---|---|
| ISO 27001 | Informationssicherheits-Management | Dokumentierte Prozesse, Rollenkonzepte, regelmäßige Audits. Aktuell ohne Zertifizierung, aber prozesskonform. |
| DSGVO | EU-Datenschutz-Grundverordnung | AVV-Templates, Subprozessoren-Liste, dokumentierter Datenfluss, AV-Verträge auf Anfrage. Keine externe Zertifizierung, aber kontinuierliche Selbstprüfung. |
| BITV 2.0 / WCAG 2.2 AA | Barrierefreiheit Web & App | Barrierefrei bauen ist Default in unserer Definition of Done. Kein Extra, kein Aufpreis. Keine offizielle Konformitätsbestätigung durch Dritte. |
| BSI-Grundschutz | Empfohlene Maßnahmen-Sammlung | Default für Public-Sector-Projekte. Konfigurations-Templates für unsere Standard-Stacks. Wir nutzen die Bausteine, sind aber kein zertifizierter BSI-Dienstleister. |
| OWASP Top 10 | Häufigste Web-Schwachstellen | Statische Code-Analyse und Sicherheitsprüfungen: einfache Prüfungen selbst, umfassende Pentests mit externen Prüfern. Keine OWASP-Top-10-Verstöße zum Go-Live. Kein externes Audit-Zertifikat. |
Wo wir Disziplin haben statt Plakette
Code-Quality als nicht-verhandelbare Konstante
Standards werden nicht durch ein Zertifikat erfüllt, sondern durch ein Toolchain-Setup, das Verstöße erst gar nicht durchlässt.
AWS-Architektur nach Well-Architected-Framework
Wo wir AWS einsetzen, folgen wir den fünf Säulen des Well-Architected-Frameworks: Operational Excellence, Security, Reliability, Performance Efficiency und Cost Optimization. Wir durchlaufen die offiziellen Well-Architected-Reviews vor jedem Production-Launch. Wir sind aber kein zertifizierter AWS-Partner mit Solutions-Architect-Stempeln im Team. Wer eine reine AWS-Implementierungs-Partner-Beziehung sucht, dem empfehlen wir gezielt einen zertifizierten Partner aus unserem Netzwerk.
Pipelines, die Verstöße blocken
Jeder Commit läuft durch dieselbe Pipeline: Linter, statische Analyse, Security-Scanner, Lighthouse-Audit für Performance und Accessibility, Test-Coverage-Threshold. Was rot ist, wird nicht deployt, auch wenn der Kunde drängt. Diese Disziplin ersetzt kein Zertifikat. Sie ersetzt aber das Vergessen, das im Audit-Theater regelmäßig nach dem ersten Quartal einsetzt.
Standards-Audit für Ihr Projekt
Wir prüfen Ihr Setup gegen OWASP Top 10, DSGVO-Konformität und WCAG 2.2 AA. Ohne Zertifikats-Logo, aber mit konkretem Maßnahmen-Katalog.
Innerhalb von zwei Wochen liegt der Bericht vor: Befunde priorisiert nach Risiko, mit Aufwands-Schätzung pro Maßnahme. Kein Verkaufstermin im Anschluss, sondern eine ehrliche Liste, was zu tun ist.
Warum diese Haltung
Standards sind kein Marketing
Ein Zertifikat sagt aus, dass jemand ein Audit bestanden hat. Es sagt nichts darüber aus, ob die geprüften Prozesse zwischen den Audits gelebt werden. Wir investieren das Geld lieber in das Tooling, das die Standards jeden Tag erzwingt.
Ehrlichkeit über Lücken
Wenn ein Projekt in einer regulierten Branche zwingend eine ISO-27001-zertifizierte Lieferkette verlangt, sagen wir das offen vorab. Wir holen dann einen zertifizierten Partner für den Bereich dazu, der die Auditor-Vorgaben formal erfüllt. Unser Engineering läuft daneben weiter, im Rahmen, den der zertifizierte Partner abdeckt. Das ist sauberer, als ein Zertifikat zu behaupten, das wir nicht haben.
Wohin wir uns entwickeln
Wir prüfen pro Jahr neu, welche Zertifizierung tatsächlich Nutzen für unsere Mandate hätte. Aktuell auf der Beobachtungsliste: ISO 27001 in einer Form für kleine Engineering-Teams sowie eine BSI-Grundschutz-Profilbestätigung. Wir kündigen das auf dieser Seite an, sobald die Vorbereitung läuft. Vorher steht hier nichts, was wir nicht jederzeit belegen können.
Mitgliedschaften
Wo wir verortet sind
Compliance-Check für Ihr Projekt
Wenn Sie eine Branche bedienen, in der bestimmte Zertifikate oder Standards verlangt werden (Healthcare, Finanzdienstleister, Public Sector), prüfen wir vorab, ob unser Vorgehen ausreicht oder ob wir gezielt einen zertifizierten Partner dazuholen müssen. Wir benennen das offen, bevor wir ein Angebot schreiben.