Sicherheit & Vertrauen
Security by Design – Fundament, nicht nachträgliches Feature.
Jede KI-Anwendung bekommt Zugriff auf Daten. Deshalb gehören KI und Sicherheit bei uns zusammen. Hier steht, wo Ihre Daten liegen, wer sie sieht, wie KI bei uns arbeiten darf und wie Sie uns eine Schwachstelle melden.
kostenlos · 30 Minuten · telefonisch oder online
Zusagen, die im Code stehen.
Für NXN RAG gelten sieben Zusagen. Sie sind technisch umgesetzt, nicht nur beschrieben.
- Nur lesen – der Zugriff auf Ihre Datenbanken ist read-only.
- Keine Zweitablage – im Index liegen nur Auszüge.
- Keine geratenen Tabellen- oder Feldnamen.
- Lokale Embeddings.
- Nur der gefundene Auszug geht über eine API ohne Training an das Sprachmodell.
- Rechte serverseitig.
- Audit-Log.
Diese Zusagen gelten für NXN RAG. Für andere Anwendungen legen wir Datenweg und Rechte in Phase 2 fest und dokumentieren sie.
Rechte, Anmeldung, Protokoll
Rechte serverseitig
Login, Rollen und App-Rechte werden auf dem Server erzwungen. NXN RAG und NXN Agent haben ein eigenes Rollenmodell. Bestehende Rechte auf Fileserver oder Datenbank werden nicht automatisch übernommen, Sie entscheiden bewusst neu.
Anmeldung mit Ihren Konten
Ihre Mitarbeitenden melden sich per Single Sign-on an, zum Beispiel über Active Directory oder Microsoft Entra ID. Was jemand sehen darf, legt weiterhin das Rollenmodell fest. Das gilt für NXN RAG, NXN Compliance OS und NXN Agent.
Audit-Log
Wer wann was gefragt hat und was ausgeführt wurde, steht im Audit-Log. Es dient der Nachvollziehbarkeit, nicht der Auswertung von Mitarbeitenden. In NXN Compliance OS ist es revisionssicher.
Audit-Log in Ihr SIEM
Das Audit-Log lässt sich exportieren oder an Ihr eigenes SIEM übergeben, also an das System, in dem Sie Sicherheitsmeldungen zusammenführen. Das gilt für NXN RAG, NXN Compliance OS und NXN Agent.
Verschlüsselte Zugangsdaten
Zugangsdaten zu Ihren Systemen liegen verschlüsselt.
Nur freigegebene Ziele
Technische Prüfungen laufen nur gegen ausdrücklich freigegebene Ziele, jeder Lauf steht im Audit-Log.
Auch mobile Nutzung ist möglich, mit denselben Rechten und demselben Audit-Log.
Wo Ihre Daten liegen.
Ihre Systeme bleiben, wo sie sind. Die Anwendung läuft bei Ihnen oder in einer Private Cloud in Deutschland. An das Sprachmodell geht bei NXN RAG nur der Auszug, den die Antwort braucht.
Selbst gehostet · Bei Ihnen
Die Anwendung läuft als Container in Ihrer eigenen Umgebung, auf Ihren Servern. Die Anwendung und ihre Daten liegen in Ihrer Umgebung. Betrieb, Updates und Pflege übernehmen wir.
Private Cloud · Rechenzentrum in Deutschland
Die Anwendung läuft in einer Private Cloud in einem Rechenzentrum in Deutschland. Sie brauchen keine eigene Infrastruktur. Ihre Daten bleiben vollständig in Deutschland – auch wenn ein Sprachmodell über die API dazukommt.
Sprachmodell über API · Ohne Training, in Deutschland(ergänzt 1 oder 2)
Alle Sprachmodelle, die wir einsetzen, nutzen wir ohne Training mit Ihren Daten und gehostet in Deutschland – von OpenAI, Anthropic, Google, Mistral AI und NVIDIA ebenso wie offene Modelle wie Qwen. Welches Modell zu Ihrer Anwendung passt, wählen wir gemeinsam aus.
Betriebsart 3 ergänzt 1 oder 2: Die Anwendung läuft bei Ihnen oder in der Private Cloud, das Sprachmodell kommt über die API dazu.
- Läuft NXN RAG in der Private Cloud, liegt dort außer dem Index mit den Auszügen nichts dauerhaft. Ihre Dokumente und Datenbanken bleiben in Ihren Systemen.
- Bei 24/7 Managed Security werden die Sicherheitsdaten in der EU verarbeitet. Das SIEM, also das System, das Sicherheitsmeldungen zusammenführt, stellt ein spezialisierter Partner. Einrichtung, Auswertung, Reaktion und Betreuung kommen von uns.
- Auch Patientendaten können verarbeitet werden. Betriebsart, Rechte und Datenweg legen wir dafür gemeinsam mit Ihnen fest.
Wer betreibt. Was Ihnen bleibt.
Liegt bei uns
- Betrieb, Updates und Pflege, auch wenn die Anwendung auf Ihren Servern läuft. „Selbst gehostet“ beschreibt nur den Ort.
- Modelltests vor Updates und der Blick auf Nutzung und Modellkosten.
- Sicherheitsprüfung jeder KI-Anwendung vor dem Livegang.
Bleibt bei Ihnen
- Was wir für Sie umsetzen, bleibt bei Ihnen.
- Die Entscheidung, wer was sehen und auslösen darf.
- Ihre Dokumente und Datenbanken. NXN RAG liest nur.
Die Nutzung lizenzierter NetzExperten-Produkte wie NXN RAG endet mit der Kündigung. Bei NXN RAG wird der Index gelöscht, Ihre Systeme bleiben unverändert. Aus NXN Compliance OS können Sie Nachweise, Risiken und Verlauf vorher exportieren.
Wie KI bei uns arbeiten darf.
KI bereitet vor. Wo eine Entscheidung Folgen hat, entscheidet ein Mensch, und das ist nachvollziehbar.
Quelle am Satz
Jede Zahl nennt ihre Tabelle, jede Aussage ihr Dokument. Zu Antworten aus der Datenbank sehen Sie, welche Tabelle bzw. Abfrage verwendet wurde.
Ohne Grundlage keine Zahl
Geben die Daten keine Antwort her, sagt NXN RAG das, statt eine Zahl zu erfinden.
Falsche Antworten markieren
Stimmt eine Antwort nicht, können Ihre Mitarbeitenden sie als falsch markieren. Bei NXN Compliance OS und NXN Agent gilt das für den Vorschlag bzw. den Entwurf. So sehen wir, wo Daten oder Regeln nachgebessert werden müssen.
Vorschlag ist keine Aussage
In NXN Compliance OS sind KI-Vorschläge gekennzeichnet. Erst die Bestätigung eines Menschen wirkt auf Kennzahlen und Anwendbarkeitserklärung.
Freigaben legen Sie fest
Bei NXN Agent bestimmen Sie, welche Antworten ein Mensch freigeben muss und wo der Agent ohne Freigabe antworten darf. Jede Freigabe steht im Audit-Log.
Vor dem Livegang geprüft
KI-Anwendungen lassen sich zum Beispiel über manipulierte Eingaben angreifen. Wir prüfen sie manuell, wie jedes andere System.
Modelle getestet, bevor sie wirken
Neue Modellversionen testen wir gegen Beispielfälle aus Ihrem Alltag, bevor sie Ihre Abläufe erreichen. Abgekündigte Modelle ersetzen wir.
Unterlagen für Ihre Freigabe.
Unterlagen zur Architektur, den Auftragsverarbeitungsvertrag (AVV) und die technischen und organisatorischen Maßnahmen (TOM) erhalten Sie vor dem Start.
Architektur
Welche Komponenten wo laufen, welche Daten wohin gehen und was die Umgebung verlässt.
AVV
Der Vertrag zur Auftragsverarbeitung für Ihren Datenschutz.
TOM
Die technischen und organisatorischen Maßnahmen, mit denen wir Ihre Daten schützen.
Auf Wunsch schließen wir vor dem Detailgespräch eine Vertraulichkeitsvereinbarung ab.
Wenn wir Ihre Systeme prüfen.
Für einen Pentest lassen Sie uns in Ihre Systeme. So gehen wir damit um.
Schritt 1: Nur Freigegebenes
Wir prüfen nur freigegebene Ziele in abgestimmten Zeitfenstern. Empfindliche Systeme können Sie ausnehmen.
Schritt 2: Sofort gemeldet
Kritische Befunde melden wir sofort. Auf Ihren Zuruf brechen wir den Test ab.
Schritt 3: Verschlüsselt übergeben
Den Bericht übergeben wir verschlüsselt.
Schritt 4: Danach gelöscht
Testdaten löschen wir nach Abschluss des Projekts.
Schritt 5: Vertraulich von Anfang an
Auf Wunsch schließen wir vor dem Detailgespräch eine Vertraulichkeitsvereinbarung ab.
Zugangsdaten senden Sie bitte nicht per E-Mail oder Formular. Den sicheren Weg stimmen wir mit Ihnen ab.
Wer bei uns prüft.
Wir prüfen die Systeme anderer. Deshalb zeigen wir offen, wer das bei uns tut.
Im Team sind die gängigen Zertifizierungen für Penetrationstests vertreten.
Sicherheitsforscher
Unsere Pentests führen aktive Sicherheitsforscher und Bug-Bounty-Hunter durch, die Schwachstellen auch außerhalb von Kundenprojekten suchen und den Herstellern verantwortungsvoll melden.
Audit-Qualifikation
Im Team sind IT-Security-Auditor und Lead Auditor ISO 27001. Interne Audits führen bei uns Personen durch, die Sie nicht beraten haben.
Methodik
Wir arbeiten nach CREST-Standard, einem international verbreiteten Rahmen für Ablauf und Qualität von Pentests.
Mitglied in
Schwachstelle gefunden?
Unser Team sucht Schwachstellen auch außerhalb von Kundenprojekten und meldet sie den Herstellern verantwortungsvoll. Dasselbe wünschen wir uns für unsere eigenen Systeme. Wenn Ihnen eine Lücke auffällt, melden Sie sie uns bitte vertraulich. Kontaktweg und Sprachen (Deutsch, Englisch) stehen auch maschinenlesbar in unserer security.txt.
/.well-known/security.txt
Und diese Website? Ohne Tracking.
Kein Tracking, keine Cookies für Werbung oder Analyse, keine Inhalte von Drittanbietern. Schriften und Grafiken liegen auf unserem Server. Deshalb gibt es auch keinen Cookie-Banner.
Nur eigene Quellen
Die Seite lädt Schriften, Bilder und Skripte nur von unserem eigenen Server. Das legt eine Content-Security-Policy fest.
Sicherheits-Header
Die Website sendet Sicherheits-Header, die gängige Angriffe im Browser erschweren.
Formulare
Anfragen aus Formularen gehen direkt an unseren Server. Selbstchecks werten Ihre Antworten nur aus und speichern sie nicht.
FAQ
Häufige Fragen zur Sicherheit.
Ihre Fragen zur Sicherheit, direkt beantwortet.
Im Erstgespräch gehen wir Ihre Fragen zu Daten, Rechten und Betrieb durch. Architektur, AVV und TOM erhalten Sie vor dem Start. Auf Ihre Anfrage meldet sich unser Team.
kostenlos · 30 Minuten · telefonisch oder online