Auf alles vorbereitet

Servicedaten werden primär in AWS-Rechenzentren gehostet, die nach ISO 27001, PCI DSS Service Provider Level 1 und/oder SOC 2 zertifiziert sind. Weitere Informationen über die Compliance bei AWS.

Die Server in der AWS-Infrastruktur – und damit Ihre Daten – sind durch Reservestrom-, HLK-Systeme und Brandbekämpfungsanlagen geschützt. Erfahren Sie mehr über die Steuerung von Rechenzentren bei AWS.

Die Sicherheit am AWS-Standort umfasst Merkmale wie Sicherheitspersonal, Einzäunung, Sicherheits-Feeds, Einbruchserkennungstechnologie und andere Sicherheitsmaßnahmen. Weitere Informationen zur physischen Sicherheit von AWS.

Zendesk nutzt AWS-Rechenzentren in den USA, in Europa und im asiatisch-pazifischen Raum. Weitere Infos zu den Datenhosting-Standorten für Ihre Zendesk-Servicedaten.

Zendesk bietet verschiedene Wahlmöglichkeiten zu Datenlokalitäten, darunter die Vereinigten Staaten (USA), Australien (AU), Japan (JP) oder der Europäische Wirtschaftsraum (EWR). Weitere Informationen zu Produkt-, Plan und regionalen Angeboten finden Sie in unserer Regional Data Hosting Policy (Richtlinie über regionales Datenhosting).

Unser weltweit tätiges Sicherheitsteam steht rund um die Uhr bereit, um auf Sicherheitswarnungen und -vorfälle zu reagieren.

Unser Netzwerk ist durch die umfassenden Sicherheitsdienste von AWS, Integration mit unseren Cloudflare-basierten Edge-Protection-Netzwerken, regelmäßige Audits und Network-Intelligence-Technologien geschützt, die es kontinuierlich auf bekannte bösartige Datenübertragung und Netzwerkattacken überwachen und diese blockieren.

Unsere Netzwerksicherheitsarchitektur besteht aus mehreren Sicherheitszonen. Die sensibelsten Systeme, wie Datenbankserver, werden in unseren Zonen mit dem höchsten Vertrauensgrad geschützt. Andere Systeme werden in Zonen gemäß ihrer Sensibilität je nach Funktion, Informationsklassifizierung und Risiko gehostet. Je nach Zone finden zusätzliche Sicherheitsüberwachungen und Zugangskontrollen Anwendung. DMZs werden zwischen dem Internet und intern zwischen den unterschiedlichen Zonen des Vertrauens eingesetzt.

Anhand von Netzwerksicherheitsprüfungen können wir nichtkonforme oder potenziell anfällige Systeme schnell identifizieren.

Zusätzlich zu unserem umfangreichen internen Scan- und Testprogramm beauftragt Zendesk jedes Jahr Sicherheitsexperten von externen Dienstleistern mit der Durchführung eines umfassenden Penetrationstests in den Produktions- und Unternehmensnetzwerken von Zendesk.

Unser Security Incident Event Management (SIEM) System erfasst Protokolle von wichtigen Netzwerkgeräten und Host-Systemen. Das SIEM-System löst Warnungen aus und informiert das Sicherheitsteam über relevante Ereignisse, damit es diese untersuchen und entsprechend reagieren kann.

Die wichtigsten Ein- und Ausgangspunkte sind instrumentiert und werden auf Verhaltensanomalien hin überwacht. Die Systeme sind so konfiguriert, dass Alarme ausgelöst werden, wenn Vorfälle und Werte die festgelegten Schwellen überschreiten, und verwenden regelmäßig aktualisierte Signaturen, die auf neuen Bedrohungen basieren. Dies umfasst die Systemüberwachung rund um die Uhr.

Zendesk beteiligt sich an verschiedenen Programmen zur Weitergabe von Bedrohungsinformationen. Wir überwachen Bedrohungen, die in diesen Bedrohungsinformationsnetzwerken veröffentlicht werden, und ergreifen risikobasierte Maßnahmen.

Zendesk hat einen mehrstufigen Ansatz für die DDoS-Minimierung entwickelt. Die Partnerschaft mit Cloudflare zu Kerntechnologien bietet Schutz für Netzwerkränder, während die Nutzung der Skalierungs- und Schutztools von AWS zusammen mit unserer Nutzung der DDoS-spezifischen Leistungen von AWS tiefergehenden Schutz bietet.

Der Zugriff zum Zendesk-Produktionsnetzwerk ist unter strikter Anwendung des „Need-to-know“-Prinzips beschränkt, wobei die Zugriffrechte stets im geringstmöglichen Umfang gewährt werden, eine regelmäßige Überprüfung und Überwachung erfolgt und das Produktionsnetzwerk durch unser Operations Team kontrolliert wird. Wenn Mitarbeiter auf das Zendesk Production Network zugreifen, sind mehrere Authentifizierungsfaktoren erforderlich.

Im Falle eines Systemalarms werden die Ereignisse an unsere rund um die Uhr verfügbaren Teams eskaliert, die Unterstützung in den Bereichen Betrieb, Netzwerktechnik und Sicherheit bieten. Mitarbeiter werden in Bezug auf die Reaktion auf Sicherheitsvorfälle geschult, u. a. Kommunikationskanäle und Eskalationswege.

Die gesamte Kommunikation mit der Zendesk-Benutzeroberfläche und APIs wird per Branchenstandard HTTPS/TLS (TLS 1.2 oder höher) über öffentliche Netzwerke verschlüsselt. So wird sichergestellt, dass der gesamt Datenverkehr zwischen Ihnen und Zendesk sicher verläuft. Für E-Mails nutzt unser Produkt zudem standardmäßig Opportunistic TLS. Transport Layer Security (TLS) verschlüsselt E-Mails und sorgt für sicheren Versand. So werden Abhörmöglichkeiten zwischen Mailservern gemindert, wenn Peer-Services dieses Protokoll unterstützen. Zu den Ausnahmen bei der Verschlüsselung können die Verwendung von produktinternen SMS-Funktionen bzw. Apps oder Integrationen von Drittanbietern zählen. Zudem können Service-Abonnenten sie nach eigenem Ermessen nutzen.

Gespeicherte Service-Daten werden in AWS per AES-256 verschlüsselt.

Zendesk unterhält eine öffentlich zugängliche Systemstatus-Webseite, die Details zur Systemverfügbarkeit, geplanten Wartungsarbeiten, der Historie von Servicevorfällen und relevanten Sicherheitsereignissen enthält.

Zendesk verwendet Service-Clustering und Netzwerkredundanzen zur Eliminierung einzelner Ausfallpunkte. Unser strenges Backup-System und/oder unser Serviceangebot für Erweiterte Notfallwiederherstellung ermöglichen es uns, ein hohes Maß an Serviceverfügbarkeit zu gewährleisten, da die Servicedaten über Verfügbarkeitszonen hinweg repliziert werden.

Unser Notfallwiederherstellungsprogramm (Disaster Recovery, DR) stellt sicher, dass unsere Dienste im Falle einer Katastrophe verfügbar bleiben und leicht wiederhergestellt werden können.

Dies wird durch eine robuste technische Umgebung, Disaster-Recovery-Pläne und Tests erreicht.

Unser Erweitertes Notfallwiederherstellungs-Paket fügt vertragliche Ziele für Recovery Time Objective (RTO) und Recovery Point Objective (RPO) hinzu. Diese werden durch unsere Fähigkeit unterstützt, den Betrieb von Abonnenten des erweiterten Notfallwiederherstellungspakets während eines erklärten Katastrophenereignisses zu priorisieren.

Zendesk nutzt moderne, sichere Open-Source-Frameworks mit Sicherheitskontrollen, um die Gefährdung bezüglich der Top-10-Sicherheitsschwachstellen der OWASP einzuschränken. Diese eingebetteten Kontrollen mindern unsere Gefährdung durch SQL Injection (SQLi), Cross Site Scripting (XSS), Cross Site Request Forgery (CSRF) und anderes.

Unsere Abteilung für Qualitätssicherung prüft und testet unsere Codebasis. Spezielle Anwendungssicherheitstechniker ermitteln, testen und entscheiden über den Umgang mit Sicherheitsschwachstellen im Code.

Test- und Staging-Umgebungen sind von der Produktionsumgebung logisch getrennt. Bei der Entwicklung bzw. dem Testen unserer Umgebungen werden keine Servicedaten verwendet.

Wir nutzen externe Instrumentarien zur kontinuierlichen und dynamischen Überwachung unserer Kernanwendungen in Hinblick auf häufige Sicherheitsrisiken für Webanwendungen, einschließlich der 10 größten Sicherheitsrisiken gemäß OWASP. Wir beschäftigen ein spezialisiertes, internes Produktsicherheitsteam und arbeiten mit technischen Teams an der Behebung von bekannten Probleme.

Wir überwachen die Libraries und Dependencies, die in unseren Produkten genutzt werden, um Schwachstellen zu erkennen und um zu gewährleisten, dass in diesem Zusammenhang die erforderlichen Maßnahmen ergriffen werden.

Zusätzlich zu unserem umfassenden internen Prüf- und Testprogramm lässt Zendesk jedes Jahr von externen Sicherheitsexperten umfangreiche Penetrationstests der verschiedenen Anwendungen unserer Produktfamilie durchführen.

In Partnerschaft mit HackerOne betreiben wir ein Programm zur verantwortungsvollen Offenlegung („Responsible Disclosure“), das es Sicherheitsexperten und Kunden ermöglicht, Zendesk auf sichere Weise zu testen und uns über Sicherheitsschwachstellen zu informieren.

Zendesk hat mehrere verschiedene Authentifizierungsoptionen: die Abonnenten können die native Zendesk-Authentifizierung, Anmeldung über die sozialen Medien mit Einzelanmeldung (Single Sign-on, SSO) (Facebook, Twitter, Google) und/oder über Enterprise SSO (SAML, JWT) für Endbenutzer und/oder Agent-Authentifizierung aktivieren. Informationen über Benutzerzugriff.

Die native Zendesk-Authentifizierung für Produkte, die über das Admin Center verfügbar sind, bietet die folgenden Stufen der Passwortsicherheit: niedrig, mittel und hoch sowie die Möglichkeit, benutzerdefinierte Passwortregeln für Agenten und Administratoren festzulegen. Zendesk ermöglicht außerdem unterschiedliche Passwortsicherheitsstufen für Endbenutzer, Agenten und Administratoren. Nur Administratoren können die Kennwortsicherheitsstufe ändern. Erfahren Sie mehr über konfigurierbare Passwortrichtlinien.

Die native Authentifizierung von Zendesk für Produkte, die über das Admin Center verfügbar sind, bietet 2-Faktor-Authentifizierung (2FA) für Kundendienst-Mitarbeiter:innen und Administrator:innen per SMS oder eine Authentifizierungs-App. Informationen über 2FA.

Zendesk folgt den Best Practices zur sicheren Speicherung von Anmeldedaten, indem Passwörter niemals in einem für Menschen lesbaren Format, sondern ausschließlich als sicherer, salted One-Way-Hash gespeichert werden.

Für Unternehmen, die ein höheres Maß an Datenschutz und -sicherheit benötigen, bietet Zendesk das Add-on Advanced Data Privacy and Protection. Das Add-on umfasst Funktionen für BYOK-Verschlüsselung, anpassbare Richtlinien zur Datenspeicherung, Data Masking, die Unkenntlichmachung personenbezogener Daten und Zugriffsprotokolle.

Der Zugriff auf Daten in Zendesk-Anwendungen wird durch rollenbasierte Zugriffskontrollen (RBAC) gesteuert und kann durch das Definieren granularer Zugriffsrechte konfiguriert werden. Zendesk unterstützt verschiedene Genehmigungsstufen für Benutzer (Verantwortlicher, Admin, Agent, Endbenutzer usw.)

Informationen über Benutzerrollen:

• Standard-Supportrollen
• Benutzerdefinierte Support-Rollen *Nur Enterprise
• Standard-Chatrollen
• Benutzerdefinierte Chat-Rollen *Nur Enterprise
• Standard-Explore-Rollen
• Standard-Guide-Rollen
• Standard-Talk-Rollen
• Sitzungszeit

Jedes Zendesk-Konto kann den Zugriff auf seinen Zendesk-Support auf die Benutzer innerhalb eines bestimmten Bereichs von IP-Adressen beschränken. Nur Benutzer mit den zugelassenen IP-Adressen können sich dann auf Ihrem Zendesk-Konto anmelden. Sie können Abonnenten (nicht aber Agenten oder Admins) erlauben, diese Beschränkung zu umgehen. Für weitere Informationen lesen Sie bitte: Restricting access to Zendesk Support and your Help Center using IP restrictions (Beschränkung des Zugangs zu Zendesk Support und Ihrem Help Center mithilfe von IP-Beschränkungen) und Using IP Access Restriction in Chat (Nutzung von IP-Beschränkungen im Chat).

Zendesk bietet kostenfreie TLS-Verschlüsselung für Guide-Help-Center mit Host-Mapping. Zendesk nutzt Let’s Encrypt für die Anforderung von Zertifikaten und erneuert das Zertifikat automatisch, bevor es abläuft.

Sie können auch ihr eigenes Zertifikat hochladen, wenn Sie das möchten.

Für weitere Informationen zur Einrichtung von Verschlüsselungszertifikaten für ein Guide-Help-Center lesen Sie bitte Setting up a hosted TLS encryption certificate (Einrichten eines gehosteten TLS-Verschlüsselungszertifikats).

Zendesk Chat erlaubt die Möglichkeit, Einschränkungen hinsichtlich der Dateiarten vorzunehmen, die an Agenten gesendet werden dürfen. Alternativ können Sie auch beschließen, dass das Versenden von Dateien in dem Chat-Produkt gänzlich deaktiviert wird. Für weitere Informationen zu dieser Funktion lesen Sie bitte Managing file sending in live chat (Senden von Dateien im Live-Chat verwalten).

Zendesk bietet Audit Logs für Konten mit Enterprise-/Enterprise-Plus-Plänen. Diese Protokolle dokumentieren Kontenänderungen, Benutzeränderungen, App-Änderungen, Business-Regeln und Einstellungen. Das Auditprotokoll ist sowohl im Admin Center als auch in der Support API verfügbar. Um mehr über Auditprotokolle zu erfahren und um zu sehen, welche Informationen in dem Protokoll verfügbar sind, lesen Sie bitte Viewing the audit log for changes (Prüfen des Audits auf Veränderungen).

Abonnenten können ihre Instanzen konfigurieren, sodass die Benutzer sich anmelden müssen, um die Ticket-Anhänge aufrufen zu können. Informationen über private Anhänge.

Zendesk verfügt über zwei Varianten der Unkenntlichmachung für die Entfernung sensibler Daten: Mit der manuellen Unkenntlichmachung können Sie sensible Daten in Kommentaren zu Support-Tickets unkenntlich machen oder entfernen und Anhänge sicher löschen, um vertrauliche Informationen zu schützen. Die Daten werden über die Benutzeroberfläche oder API aus Tickets entfernt, um zu verhindern, dass sensible Daten in Zendesk gespeichert werden. Informationen zur Unkenntlichmachung über die UI oder die API.

Automatische Unkenntlichmachung ermöglicht die automatische Unkenntlichmachung von Kreditkartennummern in den durch Abonnenten eingereichten Tickets. Falls aktiviert, werden so Kreditkartennummern teilweise durch Leerzeichen in dem Ticket ersetzt. Sie werden zudem in den Protokollen und Datenbankeinträgen unkenntlich gemacht. Für weitere Informationen über die Aktivierung dieser Funktion und darüber, wie Kreditkartennummern erkannt werden, lesen Sie bitte Automatically redacting credit card numbers from tickets and from chats (Automatische Unkenntlichmachung von Kreditkartennummern auf Tickets und in Chats).

Mit dem Spam-Filter von Zendesk können Sie verhindern, dass Spam-Beiträge von Endbenutzern in Ihrem Guide Help Center veröffentlicht werden. Informationen über das Filtern von Spam im Guide.

Zendesk bietet DKIM (Domain Keys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting, & Conformance) zum Signieren ausgehender E-Mails von Zendesk, wenn Sie eine externe E-Mail-Domäne in Ihrem Zendesk einrichten müssen. Die Verwendung eines E-Mail-Dienstes, der diese Funktionen unterstützt, hilft Ihnen, E-Mail-Spoofing zu verhindern. Erfahren Sie, wie Sie Ihre E-Mails digital signieren.

Zendesk verfolgt alle Geräte, von denen aus eine Anmeldung bei einem Benutzerkonto erfolgt. Wenn sich jemand von einem neuen Gerät aus anmeldet, wird dieses zur Geräteliste im jeweiligen Benutzerprofil hinzugefügt. Dieser Benutzer kann eine E-Mail-Benachrichtigung erhalten, wenn ein neues Gerät hinzugefügt wird, und sollte dem nachgehen, wenn die Aktivität verdächtig erscheint. Verdächtige Sitzungen können über die Benutzeroberfläche des Agenten beendet werden. Informationen über Geräteortung.

Zendesk hat umfassende Sicherheitsrichtlinien zu zahlreichen Themen erarbeitet. Diese Richtlinien werden allen Mitarbeitern und Lieferanten mit Zugriff auf die Datenressourcen von Zendesk zur Verfügung gestellt.

Alle Mitarbeiter absolvieren eine Sicherheitsbewusstseinsschulung, die nach der Einstellung stattfindet und jährlich wiederholt wird. Alle Techniker absolvieren eine jährliche Sicherheitscode-Schulung. Das Sicherheitsteam stellt weitere Updates zum Sicherheitsbewusstsein in Form von E-Mails, Blogbeiträgen und Präsentationen bei internen Events bereit.

Zendesk führt zu allen neuen Mitarbeitern Hintergrundprüfungen in Übereinstimmung mit den vor Ort geltenden Gesetzen durch. Dieser Überprüfung sind desgleichen für selbständige Vertragsnehmer vorgeschrieben. Hintergrundprüfungen beinhalten die Kontrolle der kriminellen Vergangenheit sowie die Bestätigung der Angaben zur Ausbildung und bisherigen Beschäftigung. Das gilt auch für Reinigungspersonal.

Alle neu eingestellten Mitarbeiter unterzeichnen Vertraulichkeits- und Geheimhaltungsvereinbarungen.