Trust Center
Risikobericht-Anhang
Stand: 16. Mai 2026 — IKT-Risikoinventar und operationelle Risiken
Berichtsinformationen
- Berichtsdatum:
- 16.05.2026
- Berichtszeitraum:
- Mai 2026
- Geltungsbereich:
- Resilience Platform SaaS — IKT-Dienstleistung für Finanzinstitute (https://resilience.amartens.com)
- Methodik:
- Risikobewertung nach Schadenshöhe × Eintrittswahrscheinlichkeit (Bewertung 1–4 pro Achse, Score 1–16). Angelehnt an DORA Art. 24 und MaRisk AT 4.3.
- Risikotragfähigkeit:
- Risikotragfähigkeit gegeben bis Score 8. Scores > 8 erfordern dokumentierte Massnahmen und Freigabe.
- Nächste Überprüfung:
- Q3 2026
Risikosumme
Risikokategorien
Materiale Risiken
Single-Zone-Produktivhosting ohne aktive DR — MySQL-Port extern erreichbar
Die Resilience Platform wird auf einem einzelnen Plesk-Server (Hetzner, DE) betrieben. Es existiert keine aktive Standby-Umgebung für Failover. Ein externer NMAP-Scan hat 15 offene Ports identifiziert, darunter MySQL (3306) und administrative Ports (2941, 7088, 8880, 8443), die idealerweise auf localhost beschränkt werden sollten.
Risikobewertung
Behandlung
reduce — Aufbau einer sekundären Staging-Umgebung, regelmässige Backup-Restore-Tests, Evaluierung eines aktiven DR-Setups für Q3 2026.
Massnahmen (8)
- Dokumentierter Backup-Restore-Test (Q2 2026 — durchgeführt 16.05.)
- Backup-Restore-Konzept erstellt (docs/ops/backup-restore-concept.md)
- Aufbau einer Staging-Umgebung zur Vorbereitung aktiver DR (Q3 2026)
- Monitoring-Alarmierung bei Server-Ausfall (bestehend)
- SLA mit Hetzner auf Verfügbarkeit prüfen
- MySQL-Port 3306 in Plesk-Firewall auf localhost beschränken (Sofortmassnahme)
- Ports 2941, 7088, 8880, 8443 in Plesk-Firewall prüfen und schliessen
- Staging-Umgebung konfiguriert (docs/ops/staging-environment-setup.md)
CSP wurde auf nonce-basiertes Modell umgestellt — unsafe-inline aus script-src entfernt
Die Content-Security-Policy verwendet jetzt ein nonce-basiertes Script-Modell mit strict-dynamic. Inline-Scripts sind nur noch mit gültigem Nonce erlaubt. Externer Pentest steht noch aus. SAST/DAST-Scans und Abhängigkeitsanalysen sind noch nicht automatisiert.
Risikobewertung
Behandlung
monitor — CSP ist auf nonce-basiert umgestellt. Externen Pentest beauftragen, SAST/DAST-Pipeline aufbauen.
Massnahmen (3)
- CSP nonce-basiert (erledigt)
- Externen Pentest beauftragen (Q3 2026)
- SAST/DAST in CI/CD-Pipeline integrieren (Q3 2026)
Evidence-Storage nutzt private Disk — Zugriffsschutz über Controller mit Policy
Evidence-Dateien werden auf der privaten Storage-Disk (storage/app/private) gespeichert. Downloads erfolgen ausschliesslich über den EvidenceItemController mit Policy-basiertem Zugriff. Dateityp-Whitelist und Malware-Scanning sind noch nicht formalisiert.
Risikobewertung
Behandlung
accept — Risiko bei aktueller Betriebsgrösse akzeptiert. Dateityp-Whitelist und Malware-Scanning bei Wachstum formalisieren.
Massnahmen (1)
- Dateityp-Whitelist formalisieren (bei Bedarf)
Externer Pentest erfolgreich abgeschlossen — Finanzkunden-Pilot freigegeben
Externer Pentest (aktiv + Auth) durch HostedScan abgeschlossen. OWASP ZAP Passive + Active Scan ohne Critical/High Findings. Trust Center mit 17 Modulen, Risk Report, Customer Readiness Pack und sämtlicher DORA-Dokumentation (DPA, TOMs, Subprocessor, Incident Playbook) ist bereit. Datenschutzreview und Accessibility-Audit stehen noch aus, blockieren aber den Pilotstart nicht.
Risikobewertung
Behandlung
monitor — Pentest-Ergebnisse dokumentieren und im Trust Center veröffentlichen.
Massnahmen (4)
- Externer Pentest durchgeführt (16.05.2026)
- OWASP ZAP Passive + Active Scan (0 Critical/High)
- Datenschutzreview planen
- Accessibility-Audit planen
Nicht-materiale Risiken
Nicht-material| ID | Kategorie | Risiko | Schaden | Wahrscheinlichkeit | Score | Owner |
|---|---|---|---|---|---|---|
| RISK-PF-005 | Operational Resilience | BCM-Wiederanlauftest dokumentiert und bestanden | 0 (0) | 0 (0) | 0 | BCM-Beauftragter |
| RISK-PF-006 | Operational Resilience | Tabletop-Übung geplant (Q3 2026) | 0 (0) | 0 (0) | 0 | CISO |
| RISK-PF-007 | Third Party / Outsourcing | Subprocessor-Register dokumentiert | 0 (0) | 0 (0) | 0 | Datenschutzbeauftragter |
| RISK-PF-008 | Data Protection / Privacy | Cookie-Notice: Essential-only-Modell aktiv — Consent-Management bei Bedarf nachrüstbar | 0 (0) | 0 (0) | 0 | Datenschutzbeauftragter |
| RISK-PF-009 | Information Security | Multi-Faktor-Authentifizierung (TOTP/2FA) über Fortify verfügbar | 0 (0) | 0 (0) | 0 | Laravel Engineer |
| RISK-PF-010 | Compliance | AI-Governance dokumentiert (AI-Act-Readiness) | 0 (0) | 0 (0) | 0 | CISO / KI-Beauftragter |
Massnahmenübersicht
| Massnahme | Risiko | Beschreibung | Status | Priorität |
|---|---|---|---|---|
| MSR-PF-001 | RISK-PF-001 | Backup-Restore-Test dokumentiert + Konzept erstellt | Abgeschlossen | High |
| MSR-PF-002 | RISK-PF-001 | Staging-Umgebung dokumentiert (Subdomain + DB-Klon in Plesk erforderlich) | Geplant | High |
| MSR-PF-003 | RISK-PF-002 | CSP-Revision nonce-basiert | Abgeschlossen | High |
| MSR-PF-004 | RISK-PF-002 | Externer Pentest (aktiv + Auth) durch HostedScan | Abgeschlossen | High |
| MSR-PF-005 | RISK-PF-002 | SAST/DAST-Pipeline aufbauen (geplant Q3 2026) | Geplant | Medium |
| MSR-PF-006 | RISK-PF-003 | Private Storage-Disk + Policy-Download | Abgeschlossen | High |
| MSR-PF-007 | RISK-PF-004 | OWASP ZAP Scan durchgeführt | Abgeschlossen | High |
| MSR-PF-008 | RISK-PF-004 | Security-Header + Sensitive URLs | Abgeschlossen | High |
| MSR-PF-009 | RISK-PF-001 | MySQL-Port 3306 Hoster beauftragt | In Umsetzung | High |
| MSR-PF-010 | RISK-PF-005 | BCM-Wiederanlauftest dokumentiert + Wiederholung bestanden | Abgeschlossen | High |
| MSR-PF-011 | RISK-PF-006 | Tabletop-Übung geplant (Q3 2026) | Geplant | Medium |
| MSR-PF-012 | RISK-PF-007 | Subprocessor-Register aktualisiert | Abgeschlossen | Medium |
| MSR-PF-013 | RISK-PF-008 | Cookie-Consent essential-only (akzeptiert) | Abgeschlossen | Low |
| MSR-PF-014 | RISK-PF-009 | Fortify 2FA (TOTP) verfügbar und aktiviert | Abgeschlossen | High |
| MSR-PF-015 | RISK-PF-010 | AI-Governance / AI-Act-Readiness dokumentiert | Abgeschlossen | Medium |
Go/No-Go-Bewertung
Finance Trust Level 4 erreicht. Pentest, Backup-Wiederholung und MFA sind umgesetzt. MySQL-Port 3306 ist hosterseitig zu schliessen, blockiert aber den Pilotstart nicht.
Auflagen
- ✅ CSP nonce-basiert (umgesetzt)
- ✅ Evidence Private Storage (umgesetzt)
- ✅ OWASP ZAP Passive + Active Scan: 0 Critical/High Findings
- ✅ Externer Pentest (aktiv + Auth) durch HostedScan — bestanden
- ✅ Backup-Restore-Wiederholungstest erfolgreich
- ✅ MFA (Fortify 2FA TOTP) im Portal implementiert
- ✅ Sensitive URLs blockiert (.env, .git, composer, artisan)
- ✅ Spatie Laravel Backup installiert und aktiv (täglich DB, wöchentlich Full)
- ✅ Backup-Restore-Konzept + Wiederholungstest erfolgreich
- ✅ WAF (ModSecurity) aktiv
- ✅ Fortify 2FA (TOTP) verfügbar
- ✅ Trust Center mit 17 Seiten, Risk Report, Customer Readiness Pack
- ⚠️ MySQL-Port 3306: Hoster beauftragt (blockiert Pilot nicht)
No-Go-Kriterien
- Aktiver Pentest mit kritischen Findings (nicht bestanden) — bestanden
- MySQL-Port 3306 bleibt nach Hoster-Kontakt unverändert offen
Methodik
Schadenshöhe
Eintrittswahrscheinlichkeit
Materialitäts-Matrix
Dieser Risikobericht-Anhang basiert auf dem aktuellen Ist-Zustand der Resilience Platform (https://resilience.amartens.com). Alle Risikobewertungen sind Selbsteinschätzungen des Plattformbetreibers und nicht extern geprüft. Stand: 16.05.2026. Der Bericht dient der Transparenz gegenüber Finanzkunden und ersetzt keine rechtsverbindliche Zusicherung. Review-Status: reviewed.