Informationssicherheit & TOMs

Diese Seite beantwortet die Fragen, die Informationssicherheitsbeauftragte (ISB) und IT-Sicherheit typischerweise vor einer Freigabe stellen: Hosting, Verschlüsselung, Mandantentrennung, Authentifizierung, Protokollierung sowie Lösch- und Exportwege. Die datenschutzrechtlichen Vertragsthemen (AVV, Subprozessoren, Löschfristen) stehen auf der Seite Rechtliches & Datenschutz.

Hosting und Verarbeitungsorte

Die Rechenzentren von Hetzner sind nach ISO 27001 zertifiziert. Produktion und Staging laufen getrennt, mit getrennten Datenbeständen und getrennten Zugangsdaten.

Sicherungen: Die PostgreSQL-Datenbanken werden täglich automatisiert gesichert, die Sicherungen liegen getrennt vom Produktivsystem innerhalb der deutschen Hetzner-Infrastruktur. Der Objektspeicher ist beim Anbieter redundant ausgelegt. Halbjährlich wird ein Restore-Test in einer isolierten Umgebung durchgeführt und protokolliert. Wiederanlaufziele: RTO 8 Stunden und RPO 24 Stunden für Kernplattform und KI-Service-Schicht, RTO 24 Stunden für den Objektspeicher.

Verarbeitungsorte der KI-Modelle

• OpenAI-Modelle laufen über den Microsoft Azure OpenAI Service in einer EU-Region. Das ist die Voreinstellung und die empfohlene Einstellung für Behörden.
• Google-Modelle (Gemini) laufen über Google Vertex AI in einer EU-Region.
• Mistral-Modelle laufen bei Mistral AI in Frankreich, ebenso die Spracherkennung für Capture.
• Open-Weight-Modelle (z. B. Qwen) laufen selbst gehostet bei Scaleway in Frankreich.
• Anthropic-Modelle (Claude) laufen über Microsoft Azure AI Foundry. Der Zugang erfolgt über unseren europäischen Endpunkt in Schweden, zur Beantwortung kann Microsoft die Verarbeitung zur Lastverteilung aber auch auf Azure-Regionen außerhalb der EU verteilen. Organisationen, deren Daten ausschließlich in der EU verarbeitet werden dürfen, deaktivieren die Anthropic-Modelle unter Einstellungen › Plattform & Modelle. Die Claude-Modelle verschwinden dann aus Chat, Agenten und allen Erweiterungen.

Die Modellauswahl im Account gilt als dokumentierte Weisung im Sinne des AVV.

Verschlüsselung

• Transport: durchgängig TLS (HTTPS) für alle öffentlichen Endpunkte, für die Verbindungen zwischen den Diensten und für alle Verbindungen zu Unterauftragsverarbeitern. Auch die Echtzeitverbindungen (WebSocket) laufen verschlüsselt.
• Speicherung: Passwörter als bcrypt-Hashes. Sensible Felder wie API-Keys, OAuth-Token, Plugin-Zugangsdaten und mandantenspezifische Modell-Zugangsdaten werden zusätzlich anwendungsseitig verschlüsselt (Active Record Encryption). Schlüssel liegen in verschlüsselten Rails-Credentials beziehungsweise in Umgebungsvariablen mit restriktiven Dateirechten, niemals im Quellcode.

Mandantentrennung

• Jeder Datenzugriff in der Anwendung läuft über den Mandantenkontext (Account-Scoping); es gibt keinen Pfad, über den Daten eines anderen Accounts sichtbar würden.
• Die Vektordatenbank Weaviate arbeitet mit einem eigenen Tenant je Account, die Wissensbasen sind dadurch auch auf Speicherebene getrennt.
• Mandantenspezifische Zugangsdaten (eigene Modell-Keys, Endpunkte, Plugin-Credentials) werden verschlüsselt und ausschließlich im jeweiligen Mandantenkontext verwendet.
• Die Mandantentrennung ist durch automatisierte Tests abgedeckt.

Authentifizierung, MFA und Rollenkonzept

Anmeldeverfahren:

• E-Mail und Passwort mit Komplexitätsanforderungen, bcrypt-Hashing und Kontosperrung nach Fehlversuchen.
• Passkeys (FIDO2/WebAuthn) als phishing-resistente, passwortlose Anmeldung. Passkeys funktionieren über die gesamte Produkt-Suite hinweg, also auch in der Browser-Erweiterung, in Capture, im Office-Add-in und in der mobilen App.
• Single Sign-on über Microsoft Entra ID. In diesem Fall gelten die MFA- und Conditional-Access-Richtlinien Ihres eigenen Identity-Providers. Neue Konten werden zwar automatisch angelegt (Just-in-Time-Provisionierung), sind aber erst nach Freigabe durch eine Administration nutzbar.

Eine klassische TOTP-App als zweiter Faktor ist nicht implementiert; die MFA-Anforderung wird über Passkeys oder über Ihren eigenen Identity-Provider erfüllt.

Rollen:

Ergänzend steuern Workspaces die Sichtbarkeit von Agenten und Wissensbasen innerhalb des Accounts, und über Tool-Freigaben legt die Administration fest, welche Werkzeuge (z. B. Websuche, Code Interpreter, E-Mail) überhaupt genutzt werden dürfen. Details unter Berechtigungen und Tool-Freigaben.

Zugriff durch uns als Auftragsverarbeiter: Serverzugriff erfolgt ausschließlich über personengebundene SSH-Keys, ein Passwort-Login existiert nicht. Interne Zugänge folgen dem Least-Privilege-Prinzip mit persönlichen Konten ohne geteilte Zugänge, administrative Zugänge sind phishing-resistent abgesichert, und die Zugriffsrechte werden quartalsweise rezertifiziert. Ein Support-Zugriff auf einen Kundenaccount (Impersonation durch die Plattformadministration) ist nur einer sehr kleinen Zahl von Personen möglich und wird protokolliert.

Protokollierung und Monitoring

Protokolliert werden Anmeldungen und Fehlanmeldungen, Kontosperrungen, Autorisierungsfehler, administrative Aktionen einschließlich Support-Zugriffen, API-Zugriffe und Ratenbegrenzungen, KI-Anfragen mit Modell und Kontext (für Abrechnung und Nachvollziehbarkeit) sowie alle Export- und Löschvorgänge im Datenschutzbereich.

Der Datenschutzbereich führt zusätzlich ein eigenes, revisionsfähiges Protokoll: Jeder Export und jede Löschung schreibt einen Eintrag mit Zeitpunkt, Art der Anfrage, ausführender Person, betroffenen Chat-Kennungen und Begründung beziehungsweise Aktenzeichen. Dieses Protokoll können Administrator:innen jederzeit als CSV herunterladen, es enthält ausschließlich Metadaten und keine Nachrichteninhalte.

Fehler- und Verfügbarkeitsmonitoring läuft über Sentry mit Alerting. Personenbezogene Daten werden dabei bewusst nicht übertragen: IP-Adressen, Cookies und Nutzerkennungen sind in den Fehlermeldungen abgeschaltet.

Kein Modelltraining, keine Produktverbesserung aus Ihren Daten

Eingaben, hochgeladene Dokumente und KI-Ausgaben werden nicht zum Training, zur Verbesserung oder zur Personalisierung von KI-Modellen verwendet, weder von uns noch von den eingesetzten Modellanbietern. Das ist im AVV als Verbot der Verarbeitung zu eigenen Zwecken festgeschrieben und über die Auftragsverarbeitungsverhältnisse mit Microsoft, Google, Mistral und Scaleway abgesichert.

Innerhalb der Anwendung findet kein Web-Tracking und keine Produktanalyse durch Dritte statt. Auf den öffentlichen Seiten (Website und Anmeldeseite) wird Google Analytics eingesetzt, und zwar ausschließlich nach ausdrücklicher Einwilligung über das Cookie-Banner; wählen Sie dort "nur essenzielle", wird kein Analyse-Skript geladen.

Auswertungen wie Chat Insights, Sentimentanalyse oder Quartalsberichte laufen ausschließlich innerhalb Ihres eigenen Accounts und dienen Ihrer eigenen Steuerung. Administrator:innen und Eigentümer:innen können ihre eigenen Chats über die Einstellung Meine Chats von Analysen ausschließen davon ausnehmen.

Lösch- und Exportkonzept

Automatische Löschung (Details und vollständige Tabelle unter Rechtliches & Datenschutz): Unterhaltungen nach 16 Monaten, Widget-Unterhaltungen anonymer Besucher:innen nach einer pro Account konfigurierbaren Frist ab 30 Tagen, IP-Adressen anonymer Widget-Chats nach 30 Tagen, Meeting-Audio 72 Stunden nach erfolgreicher Transkription, Roh-Transkripte standardmäßig nach 365 Tagen.

Zentrale Löschung durch die Administration: Unter Einstellungen › Datenschutz durchsuchen Administrator:innen alle Unterhaltungen des Accounts nach Chat-Kennung, Besucherkennung, IP-Adresse oder Zeitraum und löschen die Auswahl endgültig. Die Löschung erfasst Nachrichten, Anhänge und abgeleitete Verarbeitungsdaten und wird an die nachgelagerte KI-Service-Schicht durchgereicht. Eine Begründung oder ein Aktenzeichen ist Pflicht und landet im Protokoll.

Löschung ganzer Benutzerkonten: Wird ein Konto in der Benutzerverwaltung gelöscht, werden die zugehörigen Unterhaltungen, Dokumente, Ordner, geplanten Aufgaben, persönlichen Erinnerungen, Passkeys und Token mitgelöscht. Eigentümer:innen sind gegen versehentliches Löschen geschützt, und Administrationskonten können nur von Eigentümer:innen gelöscht werden.

Export (Art. 15 DSGVO): Ausgewählte Unterhaltungen exportieren Administrator:innen im Datenschutzbereich als JSON-Datei mit allen Nachrichten, der Liste der Anhänge, den gespeicherten Kennungen, den KI-Auswertungen sowie Angaben zu Speicherdauer und Empfängern. Beim öffentlichen Bürger:innen-Chat können die Nutzenden Export und Löschung zusätzlich selbst im Widget auslösen, ausgewiesen über die Chat-Kennung und ein signiertes Besitz-Token nach Art. 11 DSGVO. Der komplette Ablauf steht unter Auskunft & Löschung (DSGVO).

Deaktivieren statt löschen:

• Temporärer Chat: Nutzer:innen starten mit einem Klick einen Chat, der nicht in der Historie erscheint und nach 24 Stunden automatisch gelöscht wird.
• Datei-Uploads: Der Datei-Upload ist je Agent einzeln schaltbar und standardmäßig aus. Damit lässt sich ein Agent betreiben, bei dem gar keine Dokumente hochgeladen werden können. Zusätzlich lässt sich die maximale Dateigröße begrenzen.
• Speicherdauer verkürzen: Für die anonymen Widget-Chats setzen Sie unter Einstellungen › Datenschutz eine eigene Aufbewahrungsfrist ab 30 Tagen.
• Ephemeral-Modus im Widget: Der öffentliche Chatbot kann so ausgeliefert werden, dass Unterhaltungen gar nicht dauerhaft gespeichert werden.

Unterstützung bei DSFA und Fragebögen

Für den Einsatz generativer KI verlangen viele Aufsichtsbehörden eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, in Bayern regelmäßig auch für einen Bürger:innen-Chat. Verantwortliche bleiben Sie als Kommune oder Behörde; wir liefern die verarbeiterseitigen Angaben zu. Auf Anfrage über hello@hermine.ai erhalten Sie:

• eine Muster-DSFA für den KI-Bürger:innen-Chat mit Beschreibung der Verarbeitung, Risikobewertung und Maßnahmenkatalog, in die Sie nur noch Ihre organisationsspezifischen Punkte eintragen,
• das IT-Sicherheitskonzept und die Informationssicherheitsrichtlinie,
• das Notfallkonzept mit Backup-Strategie, RTO/RPO und Wiederherstellungstests,
• die ausführliche TOM-Dokumentation als Anlage zum AVV,
• den AVV und die aktuelle Subprozessorenliste, jederzeit auch selbst abrufbar unter /subprozessoren Ihrer Instanz.

Tipp: Klären Sie mit Ihrem ISB gleich zu Beginn, ob die Anthropic-Modelle deaktiviert bleiben sollen. Das ist die einzige Einstellung mit Auswirkung auf den Verarbeitungsort, und sie ist mit einem Schalter erledigt.