Mechanismen, keine Siegel.
Die Fragen unten sind die, die eine Sicherheitsprüfung tatsächlich stellt — beantwortet mit dem Mechanismus, der sie beantwortet. Wo eine Kontrolle nicht gebaut ist, sagt diese Seite, dass sie nicht gebaut ist. Nur so ist der Rest überhaupt lesenswert.
Wo die Daten liegen, wer handeln darf, und was das Protokoll belegt.
Datengrenze
Schema-pro-Mandant-Trennung, Zugangsdaten ruhend verschlüsselt unter einem rotierbaren, versionierten Schlüssel, und zu keinem Zeitpunkt Training auf Kundendaten. Löschung ist eine Operation auf den Mandanten — kein Support-Ticket und ein Versprechen.
Export und Löschung sind Verfahren, die Sie ausführen, keine Gefälligkeiten, die Sie erbitten. Der Verschlüsselungsschlüssel liegt bei uns — Sie halten ihn nicht und können ihn nicht widerrufen —, und etwas anderes zu behaupten wäre genau die Art Aussage, die diese Seite vermeiden soll.
Betrieb
Der Standardbetrieb ist eine EU-ansässige Instanz, die wir betreiben. Self-Hosting ist eine vollwertige Option für Häuser mit eigenem Betriebsteam, auf Anfrage — keine Folie.
Wir veröffentlichen keine Regionenkarte. Regionales Hosting ist zurückgestellt, und das Gegenteil zu behaupten wäre hier die leichteste Aussage und die am schwersten zurückzunehmende.
Identität und Zugriff
SAML-Single-Sign-on gegen Ihr eigenes Verzeichnis, Rollen, die entscheiden, wer was freigeben darf, und eine serverseitig fixierte Identität für Maschinenzugriff.
Mit abgeflossenen Maschinen-Zugangsdaten lässt sich weder eine Person vortäuschen noch eine Rolle annehmen, die nie ausgestellt wurde.
Evidenzintegrität
Evidenz, Empfehlung, Einwand, Freigabe, Aktion und Ergebnis werden in eine hash-verkettete Historie geschrieben — reproduzierbar für jeden einzelnen Vorgang und als Ganzes für ein Audit exportierbar.
Zeitstempel und Quellenverweise reisen mit dem Fakt, und ein Widerspruch zwischen zwei Quellen wird als Widerspruch festgehalten.
Modell-Governance
Bring-your-own-Model: Jede Anfrage läuft in die Modelllandschaft, für die Sie bereits Verträge haben. Fail-closed — ein Ziel ohne hinterlegte Zugangsdaten hält die Anfrage an, statt still auf ein anderes auszuweichen.
Welche Modelle freigegeben sind, entscheiden Sie — und es wird durchgesetzt, nicht empfohlen.
Aktions-Governance
Freigabeschwellen entscheiden, was einen Menschen braucht. Autonomie wird je Muster über gemessene Leistung verdient, Ihre kritischen Aktionen graduieren nie, und ein schlechtes Ergebnis entzieht sie — mit Retro-Review des autonomen Zeitfensters.
Der Entzug gehört zum Entwurf, nicht zur Störungsbehebung.
Sicherheitsprozess
Die Subprozessor- und Modellanbieter-Kette wird offengelegt, nicht zusammengefasst. Es gibt einen Exit- und Datenrückgabe-Plan. Wir sind ein kleines Team, und die Key-Person-Abhängigkeit steht im Vertrag, statt dass Sie sie selbst finden müssen.
Wir benennen Mechanismen. Wir behaupten nie eine Zertifizierung oder einen Status, den wir nicht haben.
Vier Aussagen, die wir heute treffen könnten — und nicht treffen.
- Eine Hosting-Region. Wir betreiben eine Instanz, in der EU. Es gibt keine Regionenkarte hinter der Regionenkarte, und einen Modellaufruf an ein Land zu binden, tun wir heute nicht.
- Eine Zertifizierung. Wir haben heute keine. Wo ein Rahmenwerk für Sie zählt, zeigen wir den Mechanismus und überlassen Ihrem Prüfer den Schluss — und wenn Sie selbst zertifiziert sind, sagen Sie uns, welche Kontrollen Sie belegt brauchen, und wir beantworten sie einzeln.
- Routing nach Datensensibilität. Anfragen laufen nach Ihren Modellverträgen, nicht nach einem Klassifikator, der entscheidet, was sensibel ist.
- Dass wir ein großer Anbieter wären. Sind wir nicht. Konkret: Ihre Belege, Ihre Vorgangsprotokolle und Ihr vollständiger Export gehören Ihnen ab Woche eins in einem offenen Format, und der Vertrag benennt, wer die Arbeit fortführt, wenn wir es nicht können. Fragen Sie nach der Fortführungsklausel — es gibt sie vor der Unterschrift, nicht danach.
Die Dokumente hinter den Aussagen.
Benannt, damit Sie uns daran messen können. Jedes ist heute auf Anfrage verfügbar, und diese Seite verlinkt es statt es zu beschreiben, sobald es veröffentlicht ist — ein Download, den es nicht gibt, ist kein Dokument, und ihn hier ohne eines zu nennen, ist genau das, wogegen diese Seite steht.