1. Zustimmung und sichere Testvorbereitung
Die Untersuchung beginnt erst, nachdem die Befugnis oder Zustimmung bestätigt und die genaue Domäne, die Umgebungen, der Zugriff, sichere Testfenster und Grenzen mit Systemen Dritter schriftlich festgelegt wurden. Diese Vereinbarungen schützen den Geschäftsbetrieb und bestimmen, worauf sich das Zertifikat bezieht; sie verringern den festen Kontrollrahmen nicht.
2. Fester Prüfrahmen und Ergebnis
Jedes Website-Audit umfasst das vollständige Sicherheitsaudit und das websitebezogene Datenschutzaudit nach der DSGVO gemäß der geltenden Rahmenversion. Jede Prüfung erhält ein Ergebnis; nur nachweislich fehlende Funktionen werden mit Begründung als nicht anwendbar erfasst. Das Zertifikat bestätigt die letzte erfolgreiche erneute Prüfung für die angegebene Domain und den veröffentlichten Gültigkeitszeitraum.
3. Änderungen und Behebung
Der Auftrag legt fest, welche Behebung Charter Nine durchführt und zu welchem Preis. Zusätzliche Arbeiten erfordern eine gesonderte Vereinbarung. Ein Audit oder Behebungsauftrag begründet keinen automatischen Anspruch auf C9 Verified; alle geltenden Zertifizierungskriterien müssen nachweislich erfüllt sein.
Für jeden Befund dokumentieren wir, wer die Behebung durchführt und bis wann sie abgeschlossen sein muss. Führt Ihr Entwickler oder Anbieter die Behebung durch, bleibt unsere erneute technische Prüfung für die Zertifizierung erforderlich. Zusätzliche Arbeiten und weitere Prüfungen werden im Voraus kalkuliert und vereinbart.
Behebungsarbeiten werden klar abgegrenzt, getestet und nach Möglichkeit mit einer Rücksetzoption durchgeführt. Der Kunde bleibt für gültige Backups, Entscheidungen über den Geschäftsbetrieb und den Systemzugang verantwortlich, sofern nichts anderes schriftlich vereinbart wurde.
4. Nutzungsrecht und Gültigkeitsdauer
C9 Verified ist die eigene Zertifizierung von Charter Nine. Sie bestätigt die Prüfung zum angegebenen Zeitpunkt und innerhalb des festgelegten Prüfbereichs. Sie garantiert keine zukünftige Sicherheit oder allgemeine gesetzliche Konformität und ist keine staatliche, EU-, ISO- oder OWASP-Zertifizierung.
Das Abzeichen bleibt Eigentum von Charter Nine. Der Kunde erhält das Nutzungsrecht für die genannte Domain, solange das öffentliche Zertifikat gültig ist und die Platzierungsregeln befolgt werden.
5. Nachkontrolle und neue Feststellungen
Das Zertifikat ist ein Jahr gültig. Der Inhaber erhält elf Kalendermonate nach Beginn der Zertifikatsperiode eine Erinnerung. Eine neue Nachkontrolle beginnt nur nach einem neuen Auftrag. Melden Sie relevante Änderungen, neue Schwachstellen und Vorfälle, sobald sie bekannt werden, über den vereinbarten Kontaktkanal. C9 Verified umfasst keine kontinuierliche Überwachung.
Bei einem neuen nichtkritischen Befund wird der Status „Behebung erforderlich“ eingetragen. Die Behebung und eine erfolgreiche erneute Prüfung müssen innerhalb der angegebenen Frist erfolgen: höchstens 30 Kalendertage nach der Erfassung und spätestens am Ablaufdatum. Während dieses Status wird das gehostete Abzeichen nicht angezeigt. Ohne rechtzeitige erfolgreiche erneute Prüfung wird das Zertifikat ausgesetzt oder läuft mit dem Ende der Gültigkeitsdauer ab. Kritische oder andere Umstände, die die Anzeige des Abzeichens verhindern, führen zur sofortigen Aussetzung.
6. Aktueller Status und Beendigung
Das Register zeigt den aktuellen registrierten Status. Neben den oben genannten Fristen können irreführende Badge-Nutzung, beendete Mitarbeit oder eine wesentliche Änderung zu Aussetzung, Rücknahme oder Erlöschen führen. Nach Beendigung wird das Badge entfernt.
7. Vertraulichkeit und Daten
Beide Parteien behandeln nicht-öffentliche technische Informationen sorgfältig. Geheimnisse werden ausschließlich über die geschützte Kundenumgebung geteilt, nicht über das normale Kontaktformular. Personenbezogene Daten werden entsprechend den geltenden Datenschutzvereinbarungen verarbeitet.
8. Auftragsvereinbarungen
Externe Dienste werden bewertet, soweit ihre Nutzung und Vernetzung Teil der untersuchten Website ist; ihre gesamte Infrastruktur wird damit nicht zertifiziert. Fehlender Zugang für eine verpflichtende Prüfung bleibt eine Einschränkung und blockiert die Ausstellung.
Der unterzeichnete Vorschlag kann Preis, Zeitplan, Zugang, Testfenster und Behebungsarbeiten festlegen. Er kann den festen Prüfrahmen oder die Zertifizierungskriterien nicht einschränken. Die schriftliche Vereinbarung enthält die geltenden Bedingungen und bei Bedarf Auftragsverarbeitungsvereinbarungen. Diese öffentliche Zusammenfassung ersetzt die Auftragsvereinbarungen nicht.