Informationssicherheit
Zeichnungen, Spezifikationen und Daten unserer Kunden schützen wir systematisch
Die Zeichnungen, 3D-Modelle und Spezifikationen, die uns Kunden anvertrauen, sind uns ebenso wichtig wie die daraus gefertigten Teile. Deshalb behandeln wir Informationssicherheit als Teil der Qualität: mit eigener Richtlinie, verantwortlichen Personen, Nachweisen und regelmäßigen Überprüfungen. Auf dieser Seite beschreiben wir, was wir umgesetzt haben – und wie Sie uns eine Sicherheitslücke melden können.
Stand: 22. Oktober 2026
-
Wir haben die Anforderungen des in der Automobilindustrie verwendeten VDA-ISA-Katalogs umgesetzt.
-
Obwohl wir dem polnischen Cybersicherheitsgesetz (KSC) nicht unterliegen, wenden wir die zehn Maßnahmengruppen aus Art. 21 der NIS-2-Richtlinie an.
-
Sicherheitslücke gefunden? Wir bestätigen Ihre Meldung innerhalb von 3 Werktagen.
TISAX® – Prüfniveau AL2
TISAX® (Trusted Information Security Assessment Exchange) ist das in der Automobilindustrie etablierte Verfahren zur Bewertung der Informationssicherheit und zum Austausch der Ergebnisse. Es beruht auf dem Anforderungskatalog VDA ISA und wird von der ENX Association verwaltet. So kann ein Prüfergebnis von vielen Partnern anerkannt werden, statt bei jedem Kunden erneut zu auditieren.
SUNEKO hat die TISAX®-Anforderungen auf dem Prüfniveau AL2 (Assessment Level 2) umgesetzt. Auf diesem Niveau prüft ein Auditor eines zugelassenen Prüfdienstleisters die Plausibilität der Selbstbewertung: Er wertet Nachweise aus und befragt die für die Sicherheit verantwortlichen Personen.
Prüfergebnisse und ihr Geltungsbereich werden Partnern über das ENX-Portal bereitgestellt. Benötigt Ihre Organisation im Rahmen der Lieferantenqualifizierung eine Bestätigung, schreiben Sie uns – wir informieren Sie über Geltungsbereich und Status der Prüfung.
TISAX® ist eine eingetragene Marke der ENX Association.
NIS-2 – freiwillig angewandte Maßnahmen
Das polnische Gesetz über das nationale Cybersicherheitssystem (KSC), das die NIS-2-Richtlinie umsetzt, gilt für Einrichtungen ausgewählter Sektoren oberhalb bestimmter Größenschwellen. SUNEKO ist keine wesentliche und keine wichtige Einrichtung im Sinne dieses Gesetzes. Dennoch wenden wir die Risikomanagementmaßnahmen nach Art. 21 Abs. 2 der NIS-2-Richtlinie an – freiwillig, denn gute Praxis hängt nicht von einer Beschäftigtenschwelle ab, und die Sicherheit der Lieferkette ist für unsere Kunden wichtig.
-
Risikoanalyse und Sicherheitsrichtlinien (Art. 21 Abs. 2 Buchst. a)
Die Informationssicherheitsrichtlinie SUN-ISMS-01 wird mindestens alle 12 Monate sowie nach wesentlichen Änderungen oder Vorfällen überprüft. Sie verpflichtet uns außerdem zu einer regelmäßigen Bewertung der Wirksamkeit der Schutzmaßnahmen und zur fortlaufenden Verbesserung des Informationssicherheits-Managementsystems.
-
Behandlung von Sicherheitsvorfällen (Art. 21 Abs. 2 Buchst. b)
Vorfälle und Verdachtsfälle sind unverzüglich zu melden. Wir führen ein Vorfallregister mit Fristüberwachung für 24 Stunden, 72 Stunden und einen Monat; die Erkenntnisse fließen in die Verbesserung unserer Schutzmaßnahmen ein.
-
Betriebskontinuität und Datensicherung (Art. 21 Abs. 2 Buchst. c)
Tägliche verschlüsselte Datensicherungen mit automatischer Integritätsprüfung sowie Test-Wiederherstellungen. Die Ergebnisse der Tests halten wir im Prüfregister fest.
-
Sicherheit der Lieferkette (Art. 21 Abs. 2 Buchst. d)
Gemäß der Richtlinie SUN-ISMS-01 berücksichtigen wir Sicherheit beim Einkauf und in der Zusammenarbeit mit Lieferanten. Die Website nutzt nur eine minimale Zahl externer Softwarekomponenten; deren Stückliste (SBOM) stellen wir auf Anfrage bereit. Karte und Film werden erst nach Ihrer Einwilligung geladen.
-
Sichere Entwicklung und Umgang mit Schwachstellen (Art. 21 Abs. 2 Buchst. e)
Die Website verfügt über eine Reihe automatisierter Tests, die u. a. Anmeldung mit Zwei-Faktor-Authentifizierung, Ereignisprotokoll, Verschlüsselung und Formulare abdecken. Gemeldete Schwachstellen nehmen wir nach dem unten beschriebenen Verfahren entgegen; unsere Datei security.txt folgt RFC 9116.
-
Wirksamkeitsprüfung der Maßnahmen (Art. 21 Abs. 2 Buchst. f)
Täglich prüfen wir automatisch die Integrität des Ereignisprotokolls, und E-Mail-Alarme melden ausgewählte Ereignisse (z. B. neues Administratorkonto, 2FA-Reset, Serien fehlgeschlagener Anmeldungen, fehlgeschlagene Sicherung) an benannte Personen. Regelmäßige Überprüfungen – Konten, Updates, Sicherungen, Lieferanten – halten wir in einem Register fest.
-
Cyberhygiene und Schulungen (Art. 21 Abs. 2 Buchst. g)
Passwörter mit mindestens 12 Zeichen, die abgelehnt werden, wenn sie naheliegend sind (Liste gängiger Passwörter, Teil der E-Mail-Adresse), Sperre nach fehlgeschlagenen Anmeldeversuchen und automatische Abmeldung bei Inaktivität. Die Richtlinie SUN-ISMS-01 verpflichtet uns zu einer regelmäßigen Schulung des Personals.
-
Kryptografie und Verschlüsselung (Art. 21 Abs. 2 Buchst. h)
Verbindungen sind per TLS verschlüsselt, HTTPS wird erzwungen (HSTS). Inhalte von Meldungen, Anhänge und Sicherungen verschlüsseln wir mit AES-256; Passwörter der Konten im Administrationsbereich speichern wir ausschließlich als Hashwerte.
-
Personal, Zugriffskontrolle und Werte (Art. 21 Abs. 2 Buchst. i)
Zugriff nach dem Need-to-know- und dem Least-Privilege-Prinzip: persönliche Benutzerkonten, Rollen, ein Protokolleintrag beim Öffnen der Details einer Meldung, beim Herunterladen eines Anhangs und beim Export sowie Erkennung ungenutzter Konten.
-
Mehrfaktor-Authentifizierung (Art. 21 Abs. 2 Buchst. j)
Jedes Konto im Administrationsbereich erfordert einen zweiten Faktor (Code aus einer App). Sitzungen laufen bei Inaktivität ab, und der Zugang kann auf ausgewählte IP-Adressen beschränkt werden.
Die Beschreibung dient der Information: Sie ist weder Rechtsberatung noch eine Konformitätserklärung nach dem KSC-Gesetz. Die technischen Maßnahmen betreffen diese Website und ihren Administrationsbereich; die organisatorischen Regeln ergeben sich aus dem Informationssicherheits-Managementsystem des Unternehmens.
Ihre Daten in unseren Formularen
Angebotsanfrage, Kontakt, Meldung oder Bewerbung – jedes Formular folgt denselben Regeln:
- Inhalte von Meldungen und Anhänge speichern wir im Administrationsbereich verschlüsselt (AES-256); eine Kopie der Meldung geht außerdem per E-Mail an unser Büro.
- Dateien nehmen wir nur in ausgewählten Formaten an und prüfen ihren Inhalt vor dem Speichern.
- Auf Meldungen im Administrationsbereich haben nur berechtigte Personen Zugriff – mit verpflichtender Zwei-Faktor-Authentifizierung; das Öffnen der Details, das Herunterladen eines Anhangs und der Export werden im Ereignisprotokoll festgehalten.
- Daten im Administrationsbereich löschen wir automatisch nach den in den Informationspflichten genannten Fristen; die Fristen für Kopien der E-Mail-Benachrichtigungen und für Sicherungen beschreibt die Datenschutzerklärung.
- In Meldungen speichern wir die IP-Adresse nur als Hashwert, in anonymen Meldungen nicht einmal diesen. IP-Adressen können in den technischen Protokollen des Servers vorkommen.
- Statistik und externe Inhalte (Karte, Film, Facebook) werden nur mit Ihrer Einwilligung aktiviert.
Sind Ihre Zeichnungen oder Unterlagen vertraulich? Haken Sie in der Anfrage „Vertrauliche Unterlagen“ an und hängen Sie keine Dateien an – wir melden uns zu einer Geheimhaltungsvereinbarung (NDA) und einem vereinbarten Übertragungsweg.
Schwachstellen melden
Wenn Sie eine Sicherheitslücke in dieser Website oder in unseren Systemen gefunden haben, nehmen Sie bitte Kontakt auf. Wir schätzen verantwortungsvolle Offenlegung und nehmen sie ernst.
Wir bitten Sie
- Beschreiben Sie das Problem, nennen Sie die betroffene Seite bzw. Ressource und die Schritte zur Reproduktion.
- Laden Sie keine Daten anderer Personen herunter, ändern oder löschen Sie sie nicht – ein Nachweis der Lücke genügt.
- Führen Sie keine Angriffe durch, die den Betrieb der Website stören (z. B. Überlastung), und wenden Sie kein Social Engineering gegenüber unseren Mitarbeitern an.
- Geben Sie uns angemessen Zeit für die Behebung, bevor Sie Einzelheiten öffentlich machen.
Was nach Ihrer Meldung geschieht
-
Wir bestätigen
Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen.
-
Wir bewerten und beheben
Wir prüfen die Meldung, bewerten das Risiko und beseitigen die Ursache. Über den Fortschritt halten wir Sie auf dem Laufenden.
-
Wir danken
Nach der Behebung melden wir uns und bedanken uns. Gegen Personen, die in gutem Glauben und im Einklang mit diesen Regeln handeln, leiten wir keine rechtlichen Schritte ein.
Ein Bug-Bounty-Programm betreiben wir nicht.
Fragen zur Informationssicherheit?
Im Rahmen der Lieferantenqualifizierung beantworten wir gern Ihre Fragen, füllen Fragebögen aus und stellen die benötigten Informationen bereit.
Rufen Sie lieber an? 33 482 30 10