Wo SQACE läuft, und wie Ihre Daten geschützt sind.
SQACE ist eine unabhängige Prüfinstanz. Damit das tragfähig ist, muss klar sein, wo Ihre Daten verarbeitet werden, wer darauf zugreift und was nachvollziehbar bleibt. Diese Seite beantwortet die Fragen, die in einer Security-Review und einem Architektur-Review gestellt werden, nüchtern und konkret.
Ein Hinweis vorab zur Einordnung: SQACE ist kein Compliance-Tool. SQACE testet, ob Datenverarbeitungen das richtige Ergebnis liefern. Dabei entstehen Belege, die Sie für Nachweise gegenüber Prüfung und Aufsicht verwenden können. Den regulatorischen Rahmen erfüllt Ihre Organisation, SQACE liefert dafür reproduzierbare Evidenz.
Der Datenfluss auf einen Blick.
- Quellsysteme Datenbanken und Dateien Anbindung über JDBC (Oracle, MS SQL Server, PostgreSQL) sowie CSV, JSON, XML und Dateien fester Satzlänge. Zugriff read-only (Enterprise: getrennter Production Server)
- SQACE, geschützter Datenraum Eigener Storage, getrennte Umgebung Regelwerke, Läufe und Ergebnisse in eigenem Storage. Enterprise: Production Server liest Produktionsdaten read-only, physisch getrennt. Verifikationsumgebung, eigener Storage
- Ergebnisse Dashboards und Reports Klassifizierte Abweichungen mit Drill-down auf Feld- und Regelebene, abrufbar über die Oberfläche und per REST. Ergebnisraum, kein Schreibzugriff auf die Quelle
Quellsysteme, Datenraum und Ergebnisse bleiben innerhalb dieser Grenze. SQACE sendet keine Telemetrie und keine Nutzungsdaten nach außen.
Was im Datenraum eingebaut ist.
Der geschützte Datenraum ist nicht nur Speicherort, sondern bringt die Kontrollen mit, nach denen eine Security-Review fragt. Jede Funktion beantwortet eine konkrete Frage.
Wer darf was
Berechtigungskonzept
Rollen und Rechte bis auf Objektebene. In der Enterprise-Variante über Mission Spaces innerhalb eines Arbeitsbereichs, mit Anbindung an Ihre bestehende Identitätsverwaltung.
Wer hat wann was getan
Revisionssicherer Audit Trail
Läufe, Regeländerungen und Freigaben werden protokolliert. Produktiv gesetzte Lösungen sind read-only. So bleibt nachvollziehbar, wer auf welcher Grundlage getestet hat.
Welcher Stand galt
Versionierung
Regelwerke, Testbausteine und Läufe sind versioniert. Ein Prüflauf lässt sich mit genau dem Regelstand reproduzieren, der zum Zeitpunkt der Ausführung galt.
Wie lange bleibt es liegen
Automatische Löschung und Vorhaltezeiten
Vorhaltezeiten konfigurierbar, Löschung automatisiert. Daten und Ergebnisse bleiben nur so lange gespeichert, wie Sie es festlegen, danach werden sie entfernt.
Wie meldet man sich an
SSO und Active Directory
Anmeldung über Single Sign-on und Active Directory. SQACE fügt sich in Ihre bestehende Zugriffs- und Berechtigungslandschaft ein, statt eine eigene daneben aufzubauen.
Wo liegen die Daten
Eigener, getrennter Datenraum
SQACE arbeitet in eigenem Storage. In der Enterprise-Variante sind die Umgebungen physisch getrennt, der Production Server liest Produktionsdaten read-only (Privacy by Design).
On-Premise oder EU-Cloud. Made in Europe.
Sie entscheiden, wo SQACE läuft. In beiden Fällen bleibt die Verarbeitung innerhalb der Grenze, die das Datenfluss-Diagramm zeigt.
Entwicklung und Betriebsoption in Europa On-Premise
SQACE läuft in Ihrem Rechenzentrum. Die Daten bleiben vollständig in Ihrer Kontrolle, der Betrieb liegt bei Ihnen.
EU-Cloud Ihrer Wahl
Betrieb in einer EU-Region. Quellsysteme, Datenraum und Ergebnisse bleiben innerhalb der EU-Grenze, die das Diagramm zeigt. Die konkrete Region und das Hosting-Modell legen wir in der Security-Review fest.
Rollen nach DSGVO
In der Regel bleiben Sie Verantwortlicher (Controller) für Ihre Daten. Verarbeitet SQACE in Ihrem Auftrag, ist die Auftragsverarbeitung nach Art. 28 DSGVO geregelt (AVV). Die genaue Rollenverteilung hängt vom Betriebsmodell ab und wird in der Review festgehalten.
Ehrlich zur Stufe
Manche Garantien sind Enterprise-Stufe: der read-only Production Server auf Produktionsdaten und die physische Trennung der Umgebungen. Welche Stufe diese und weitere Eigenschaften abdeckt, halten wir transparent fest, damit Sie nichts annehmen, was Ihre Lizenz nicht enthält.
Betrieb ohne stillen Datenabfluss.
Keine Telemetrie. SQACE sendet keine Nutzungs- oder Produktdaten an Dritte. Es gibt keinen stillen Datenabfluss, den eine Review erst aufdecken müsste.
Keine künstlichen Limits. Nutzer, Storage und CPU sind nicht lizenzseitig gedeckelt. Die Architektur skaliert mit Ihrer Last, nicht mit der Anzahl der Köpfe.
Made in Europe, Frankfurt am Main. SQACE ist ein Produkt der FINARIS GmbH, mit über 20 Jahren Banken-Domäne (zuvor RapidRep). Entwicklung und Verantwortung liegen in Europa.
Welche Funktion welchen Anforderungspunkt bedient.
Regulatorik ist oft der Anlass, korrektes Testen zu finanzieren. SQACE liefert die verteidigbare Evidenz, mit der Sie einzelne Anforderungspunkte belegen. Das ist Evidenz, die SQACE erzeugt, kein Compliance-Produkt: den Rahmen erfüllt Ihre Organisation. Welche Funktion welchem Punkt dient und welches Artefakt sie liefert, lesen Sie hier.
Operationelle Resilienz
DORA
Verlangt nachweisbar belastbare IKT-Prozesse. Reproduzierbare Prüfläufe belegen, dass eine Verarbeitung getestet wurde und welches Ergebnis sie lieferte. Artefakt: versionierter Lauf plus Audit Trail.
Ordnungsmäßige Geschäftsorganisation
MaRisk
Erwartet nachvollziehbare Datenprozesse und Kontrollen. Ein revisionssicheres Protokoll macht Kontrollhandlungen prüf- und vorlegbar. Artefakt: klassifizierte Abweichung plus Audit Trail.
Risikodaten-Aggregation
BCBS 239
Fordert Korrektheit und Nachvollziehbarkeit aggregierter Risikodaten. Der regelbasierte Soll/Ist-Vergleich prüft das Ergebnis der Aggregation, nicht nur, ob die Daten plausibel aussehen. Artefakt: klassifizierte Abweichung mit Drill-down auf Feld- und Regelebene.
Validierte Verarbeitung
GxP
Verlangt validierte, reproduzierbare Verarbeitung mit lückenloser Dokumentation. Artefakt: versionierter Lauf mit versioniertem Regelstand plus Audit Trail.
Das Security-Review-Paket: was Sie vorlegen können.
Eine Review braucht Unterlagen, nicht Versprechen. Das stellen wir auf Anfrage und unter NDA zur Verfügung, damit Ihr Prüfteam SQACE ohne Umwege bewerten kann.
Was wir liefern
- Auf Anfrage, unter NDA
Daten-Flow-Diagramm
Wo Daten ein- und austreten, was die Grenze verlässt und was nicht. Die Grundlage für die Bewertung der Angriffsfläche.
- Auf Anfrage, unter NDA
Kontroll- und Maßnahmenliste
Die technischen und organisatorischen Maßnahmen im Überblick, als Liste, die sich gegen Ihren Prüfkatalog abgleichen lässt.
- Auf Anfrage, unter NDA
AVV (Art. 28 DSGVO)
Auftragsverarbeitungsvertrag für den Fall, dass SQACE in Ihrem Auftrag verarbeitet. Vorlage und Ausgestaltung besprechen wir mit Ihnen.
- Auf Anfrage, unter NDA
Subprozessorenliste
Für die EU-Cloud-Option: welche Subprozessoren beteiligt sind. Bei On-Premise in Ihrem Rechenzentrum entfällt dieser Punkt weitgehend.
- Auf Anfrage, unter NDA
Architektur- und Deployment-Dokumentation
Aufbau, Umgebungen und Trennung, Betriebs- und Deployment-Details für das Architektur-Review.
- Auf Anfrage, unter NDA
Pen-Test-Zusammenfassung
Eine Zusammenfassung der Ergebnisse aus der Sicherheitsprüfung. Den aktuellen Stand und Umfang nennen wir in der Review.
Was die Review außerdem abdeckt
Diese Themen behandeln wir in der Security-Review im Detail. Belege dazu legen wir auf Anfrage vor, statt sie hier als pauschale Aussage zu behaupten.
- Verschlüsselung in Transit und at Rest: die eingesetzten Verfahren und wo sie greifen.
- Secure-SDLC und Schwachstellenmanagement: wie Änderungen entstehen, geprüft und Schwachstellen behandelt werden.
- Incident-Response: wie mit sicherheitsrelevanten Vorfällen umgegangen wird.
Zertifizierungen, ehrlich
Wir behaupten keine Zertifikate, die wir nicht belegen können.
Den aktuellen Zertifizierungsstatus nennen wir Ihnen in der Security-Review. Was wir liefern, sind die Unterlagen oben: Diagramm, Kontrollliste, AVV, Subprozessorenliste, Architektur- und Deployment-Dokumentation und die Pen-Test-Zusammenfassung. Lieber genau das, als ein Siegel zu suggerieren, das wir hier nicht nachweisen.
Ehrlich zur Integration.
Datenhoheit hängt auch davon ab, woran SQACE überhaupt angebunden wird. SQACE liest heute aus JDBC-Datenbanken (Oracle, MS SQL Server, PostgreSQL und weitere JDBC-kompatible) sowie aus Dateien (CSV, JSON, XML, feste Satzlänge), integriert sich mit Jira und Xray und ist über REST für CI/CD ansteuerbar.
Native Konnektoren etwa zu dbt, Snowflake oder Airflow gibt es derzeit nicht. Wir nennen den aktuellen Stand lieber genau, als Abdeckung zu suggerieren, die nicht da ist. Die vollständige Liste und die Betriebsdetails finden Sie auf der Seite zu den Integrationen.
Was Prüfung und Architektur meist zuerst fragen.
Nein. SQACE läuft On-Premise oder in einer EU-Cloud Ihrer Wahl. Quellsysteme, der geschützte Datenraum und die Ergebnisse bleiben innerhalb dieser Grenze. SQACE sendet keine Telemetrie nach außen.
Für die Verifikation nicht. In der Enterprise-Variante liest der Production Server Produktionsdaten read-only und ist physisch von den übrigen Umgebungen getrennt. Schreibende Aktionen sind möglich, laufen aber bewusst auf getrennten Zielen, nicht auf der geprüften Quelle.
Nein. SQACE testet, ob Datenverarbeitungen das richtige Ergebnis liefern. Dabei entstehen Belege (Audit Trail, Versionierung, klassifizierte Abweichungen), die Sie für Nachweise gegenüber Prüfung und Aufsicht verwenden können. Den regulatorischen Rahmen selbst erfüllt Ihre Organisation, SQACE liefert dafür reproduzierbare Evidenz.
Wir behaupten keine Zertifikate, die wir nicht belegen können. Den aktuellen Zertifizierungsstatus nennen wir Ihnen in der Security-Review. Was wir liefern, sind die konkreten Unterlagen für Ihr Prüfteam: Daten-Flow-Diagramm, Kontroll- und Maßnahmenliste, AVV, Subprozessorenliste für die EU-Cloud-Option, Architektur- und Deployment-Dokumentation und eine Pen-Test-Zusammenfassung, auf Anfrage und unter NDA.
Bringen Sie SQACE durch Ihre Security-Review.
In einer Security-Review stellen wir Architektur, Berechtigungskonzept und Betriebsdetails im Detail vor und legen das Review-Paket vor. Oder Sie sehen sich zuerst an, was SQACE kostet.