Tacto ist nach ISO 27001 zertifiziert – dem international anerkannten Standard für Informationssicherheits-Managementsysteme. Die Zertifizierung wird durch jährliche externe Audits aufrechterhalten und belegt, dass Tacto Sicherheitsprozesse, Risikomanagement und Schutzmaßnahmen nach höchsten industriellen Standards betreibt.
1. Zusammenfassung
Tacto betreibt eine SaaS-Lösung für den industriellen Einkauf. Sicherheit und Datenschutz haben höchste Priorität. Unsere Architektur basiert auf dem „Security-by-Design"-Prinzip und nutzt die zertifizierte Infrastruktur von Microsoft Azure in der Europäischen Union.
Dieses Dokument bestätigt, dass die Kommunikation mit dem Tacto-Portal sicher ist und den aktuellen Industriestandards (nach ISO 27001, SOC 2 und BSI-Empfehlungen) entspricht.
2. Infrastruktur & Zertifizierungen
Tacto hostet keine Server „on-premises", sondern setzt vollständig auf eine Cloud-Architektur, die strengsten Compliance-Anforderungen genügt.
Cloud-Provider: Microsoft Azure (Regionen: „Germany West Central" und „West Europe")
Zertifizierungen der Rechenzentren: Die zugrunde liegende Infrastruktur ist nach ISO/IEC 27001, SOC 2 Type II und TISAX zertifiziert
Datenstandort: Garantierte Datenhaltung ausschließlich in der Europäischen Union (EU/EWR). Es findet kein Datentransfer in Drittländer statt
Tacto Compliance: Tacto ist nach ISO 27001 zertifiziert. Alle Subunternehmer verfügen ebenfalls über entsprechende Zertifizierungen
3. Netzwerk- und Übertragungssicherheit
Um das Whitelisting unserer Domain zu rechtfertigen, setzen wir auf umfassende Schutzmechanismen gegen Angriffe und Schadsoftware:
Verschlüsselung der Übertragung: Jeglicher Datenverkehr zwischen dem Browser des Nutzers und unseren Servern wird zwingend per TLS 1.3 (Transport Layer Security) verschlüsselt. Wir nutzen SSL-Zertifikate von Let's Encrypt
E-Mail-Verschlüsselung & VPN-Tunnel: Interne Kommunikation und Remote-Zugriffe erfolgen über verschlüsselte Kanäle (E-Mail-Verschlüsselung sowie VPN-gesicherte Verbindungen)
Schutz vor Schadsoftware: Alle Dateien, die in das Portal hochgeladen werden, durchlaufen automatisch das Azure Storage Malware Scanning. Dies verhindert, dass schädliche Dateien über unsere Plattform verbreitet werden
Netzwerkschutz: Einsatz von Anti-DDoS-Layern, Web Application Firewalls (WAF) und kontinuierlichem Netzwerk-Monitoring zur Abwehr von Angriffen
4. Datensicherheit & Verschlüsselung (Data at Rest)
Die Vertraulichkeit der Daten wird durch starke kryptografische Verfahren gewährleistet:
Verschlüsselung im Ruhezustand: Alle Datenbanken, Backups und Dateispeicher werden mit AES-256-Bit verschlüsselt
Schlüsselmanagement: Zentrale Verwaltung kryptografischer Schlüssel über den Azure Key Vault mit strikter Rotation und Zugriffskontrolle
Backups: Verschlüsselte Backups werden lokal redundant in Deutschland und den Niederlanden gespeichert (30 Tage Retention, Point-in-Time Recovery)
5. Verfügbarkeit & Backups
Tacto garantiert hohe Verfügbarkeit und kontinuierlichen Betrieb:
Mehrmals täglich Backups, separat gesichert
99 % Verfügbarkeits-SLA p. A.
24/7 Monitoring & Incident Response
6. Zugriffskontrolle & Authentifizierung
Der Zugriff auf das Portal ist streng reglementiert:
Single Sign-On (SSO) & 2-Faktor-Authentifizierung: Die Authentifizierung erfolgt über etablierte Identity Provider (z. B. Microsoft Entra ID / Azure AD) mittels SAML oder OIDC. MFA wird vom Identity Provider des Kunden unterstützt und durchgesetzt
Rollen- und Berechtigungskonzept: Jeder Nutzer erhält ausschließlich die Rechte, die für seine Funktion erforderlich sind (Prinzip der geringsten Rechte)
Mandantentrennung: Eine strikte logische Trennung der Daten auf Anwendungsebene stellt sicher, dass Kunden und Lieferanten nur auf ihre eigenen Daten zugreifen können
Lückenlose Protokollierung: Alle Zugriffe auf das System werden vollständig protokolliert und auditierbar vorgehalten
7. Transparenz & Kontrollrechte
Kunden haben jederzeit die Möglichkeit, die Sicherheitsmaßnahmen von Tacto zu überprüfen:
Audit-Recht: Kunden steht das Recht zu, Tactos Sicherheitsmaßnahmen jederzeit zu prüfen oder durch Dritte prüfen zu lassen
Aktuelle Testate & Zertifikate: ISO 27001-Zertifikat sowie weitere Nachweise sind auf Anfrage verfügbar
Lückenlose Protokollierung aller Zugriffe gewährleistet vollständige Nachvollziehbarkeit
8. Schwachstellenmanagement & Penetrationstests
Tacto betreibt ein aktives Sicherheitsmanagement, um das Portal dauerhaft zu härten:
Penetrationstests: Regelmäßige Durchführung von Penetrationstests durch externe Sicherheitsfirmen. Der letzte Test (2025) bestätigte keine kritischen Schwachstellen
Patch-Management: Tägliche automatisierte Scans nach CVE-Schwachstellen
High Risk: Behebung innerhalb von 24 Stunden
Medium Risk: Behebung innerhalb von 3 Tagen
9. KI-Sicherheit (EU AI Act)
Die in Tacto integrierten KI-Funktionen sind als System mit begrenztem Risiko gemäß EU AI Act klassifiziert.
Datenschutz: Kundendaten werden nicht zum Training der Basismodelle verwendet
Human-in-Control: Die KI fungiert rein assistierend; Entscheidungen werden durch den Nutzer getroffen
10. Datenschutz & DSGVO-Konformität
Tacto garantiert die Einhaltung der europäischen Datenschutz-Grundverordnung (DSGVO). Da im Einkaufsprozess personenbezogene Daten (z. B. Ansprechpartner bei Lieferanten) verarbeitet werden, stellen wir rechtliche und technische Sicherheit her:
Rechtsgrundlage (AVV): Die Verarbeitung erfolgt auf Basis eines Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO. Dieser regelt detailliert die Kategorien der verarbeiteten Daten, Zwecke und die Rechte der Betroffenen
Bestellter Datenschutzbeauftragter: Tacto verfügt über einen bestellten Datenschutzbeauftragten (DSB), der die Einhaltung der DSGVO-Anforderungen überwacht
Verschwiegenheitspflicht: Alle Mitarbeiter sind vertraglich zur Verschwiegenheit über verarbeitete Kundendaten verpflichtet
Datenresidenz in der EU: Wir garantieren vertraglich, dass sämtliche Daten ausschließlich in der Europäischen Union (EU-Data-Zones von Microsoft Azure, primär Deutschland und Niederlande) gespeichert und verarbeitet werden. Es findet für die Bereitstellung der Applikation keine Übermittlung in Drittländer statt
Technische und organisatorische Maßnahmen (TOMs): Zum Schutz personenbezogener Daten haben wir umfassende TOMs implementiert (Zutritts-, Zugangs-, Weitergabekontrolle etc.), die sich an etablierten Standards wie ISO 27001 orientieren
Datenschutz bei KI-Nutzung: Auch bei der Nutzung unserer KI-Features (Azure OpenAI) verlassen die Daten den europäischen Rechtsraum nicht. Microsoft Azure fungiert hier als weisungsgebundener Verarbeiter; Kundendaten werden vertraglich zugesichert nicht zum Training der KI-Basismodelle verwendet
ISO 27001:2022-Zertifizierung
Tacto ist nach ISO 27001:2022 zertifiziert, ausgestellt durch eine DAkkS-akkreditierte Zertifizierungsstelle. Die Zertifizierung ist drei Jahre gültig und wird durch jährliche Überwachungsaudits bestätigt. ISO 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme; die Zertifizierung bestätigt, dass das Informationssicherheits-Managementsystem von Tacto unabhängig geprüft und nach diesem Standard validiert wurde.
Zertifikate und weitere Sicherheitsunterlagen (z. B. Ergebnisse von Penetrationstests) können Sie über das Trust Center anfragen: trust.tacto.ai.