Sicherheitscheck:
Papermark

Papermark verwendet AES-256 für die Verschlüsselung im Ruhezustand, der Standard, den auch Banken und Behörden einsetzen. Für die Übertragung wird TLS 1.2+ genutzt. Beides sind Industriestandards und entsprechen dem, was auch etablierte Enterprise-Anbieter wie Datasite, Intralinks und Drooms einsetzen.

Papermark wird aus München heraus entwickelt und bietet EU-Rechenzentren an, was für DSGVO-sensible Projekte besonders relevant ist. Für internationale Kunden existieren zusätzlich Standorte in den USA und den Vereinigten Arabischen Emiraten, die Auswahl liegt beim Kunden. Weiter geht hier nur, wer selbst hostet, was Papermark ebenfalls unterstützt.

Papermark liefert die Belege, die in einer Lieferanten-Prüfung tatsächlich abgefragt werden: ISO/IEC 27001 als zertifiziertes Informationssicherheits-Managementsystem, AES-256 im Ruhezustand, EU-Hosting in Frankfurt, einen signierten Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und eine öffentlich einsehbare Sub-Auftragsverarbeiter-Liste. Jeder Zugriff auf ein Dokument landet mit Zeitstempel im Audit-Log, das sich für Prüfer exportieren lässt. Ergänzend ist die Codebasis öffentlich einsehbar, sodass interne IT-Teams Implementierungsdetails selbst nachvollziehen können. Ausschlaggebend für die Bewertung sind jedoch die dokumentierten Nachweise, nicht das Lizenzmodell.

Zugriff erfolgt link-basiert mit granularer Steuerung. Rechte lassen sich jederzeit widerrufen, auch nach Download. Dynamische Wasserzeichen, 2-Faktor-Authentifizierung, Single Sign-On (Enterprise) und detaillierte Audit-Logs runden das Paket ab. Funktional auf Augenhöhe mit Drooms und Datasite.

Papermark wirbt mit Konformität zu DSGVO, CCPA und HIPAA. In Kombination mit den EU-Rechenzentren ergibt das ein klares Setup für europäische Kunden, inklusive Auftragsverarbeitungsvertrag (AVV). Datentransfers in Drittländer sind vermeidbar, wenn EU-Hosting gewählt wird.

Papermark ist nach SOC 2 Type II zertifiziert. Type II bedeutet, dass die Wirksamkeit der Kontrollen über einen Zeitraum geprüft wurde und nicht nur zu einem Stichtag — genau die Form des Nachweises, die Auslagerungsprüfungen bei Banken, Versicherern und regulierten Unternehmen verlangen. Zusammen mit ISO/IEC 27001 und dem EU-Hosting in Frankfurt deckt das die üblichen Nachweisanforderungen in M&A- und Due-Diligence-Prozessen ohne Sonderprüfung ab.

Papermark kommuniziert eine durchschnittliche Support-Reaktionszeit von 23 Minuten, direkt vom Kernteam, nicht von einer ersten Support-Ebene. Das ist für ein Unternehmen dieser Größe außergewöhnlich und bei Sicherheitsvorfällen ein handfester Vorteil.