PrivaSearch
Demo planen

Sicherheit & Vertrauen

Was wir absichern, und wo Sie es nachprüfen.

Ihre Akten bleiben Ihre; die Sorge dafür liegt bei uns. Hier steht pro Thema, welche Maßnahmen in PrivaSearch enthalten sind, und pro Rahmenwerk, wie sie daran anschließen. Unser Ansatz ist ausgerichtet auf die unten genannten Rahmenwerke. Das ist kein Gütezeichen: Bei jeder Anforderung steht, wo Sie den Nachweis finden.

Maßnahmen pro Thema

Sechs Themen, in der Anwendung selbst.

Dies ist die Übersicht. Die formelle Liste der Maßnahmen, in der Form des Auftragsverarbeitungsvertrags, steht auf der Seite Sicherheit.

Zugang

  • Passwort plus verpflichtende Zwei-Schritt-Verifizierung (TOTP) für alle Nutzenden, ohne Ausnahme.
  • Ein neues Gerät bestätigen Sie mit einem Code per E-Mail; danach bleibt es dreißig Tage vertrauenswürdig.
  • Die Anmeldung ist auf fünf Versuche pro Minute und Konto begrenzt. Auch der Code des Authenticators und der Gerätecode haben eine Grenze.
  • Passwörter werden nur als Hash gespeichert (bcrypt), nie als lesbarer Text.

Trennung pro Organisation

  • Jede Organisation hat eine eigene Datenbank und eine eigene Adresse.
  • Die Datenbanken liegen auf demselben Datenbankserver: Es ist eine Trennung pro Datenbank, kein eigener Server pro Kunde.
  • Eine Sitzung oder eine Verbindung der einen Organisation existiert unter der Adresse der anderen nicht.
  • Ein Sitzungscookie gilt nur für die eigene Adresse und kann von Skripten nicht ausgelesen werden.
  • Wir verwalten die Plattform aus einer separaten Verwaltungsumgebung mit eigenen Konten. Ein Konto einer Organisation kann sich dort nicht anmelden, und ein Konto der Verwaltungsumgebung kann sich nicht in einem Arbeitsbereich anmelden.
  • Die Anmeldung in der Verwaltungsumgebung erfordert ein Passwort und einen Authenticator oder einen Passkey; auf einem neuen Gerät kommt ein Code per E-Mail hinzu.
  • Aus der Verwaltungsumgebung können wir eine Organisation anlegen, vorübergehend sperren und löschen. Während einer Sperre kann sich niemand in ihrem Arbeitsbereich anmelden; ihre Daten bleiben erhalten.
  • Von dem, was eine Organisation in PrivaSearch hat, zeigt die Verwaltungsumgebung nur Anzahlen, Status und Zeitpunkte, etwa die Anzahl der Dokumente und Konten und den Umfang des Speichers. Sie zeigt keine Namen von Projekten, Ordnern oder Dokumenten, keinen Text aus einem Dokument, keine Pseudonyme und keine Einträge aus dem Aktivitätsprotokoll der Organisation.
  • Die eine Ausnahme sind die Konten: Wir können von einer Organisation den Namen, die E-Mail-Adresse, die Rolle und den Status jedes Kontos sehen, ein Konto sperren oder entsperren und eine offene Einladung erneut senden. Jedes Öffnen dieser Liste und jede dieser Handlungen wird in einem Protokoll der Plattformverwaltung festgehalten; die Handlungen stehen auch im Aktivitätsprotokoll der Organisation, unter dem Namen Plattformverwaltung.
  • Wir können aus der Verwaltungsumgebung im Arbeitsbereich einer Organisation mitlesen, als Supportkonto Plattformverwaltung. Das erfordert jedes Mal das Passwort des Plattformadministrators und einen Grund aus einer festen Liste; Beginn, Grund und Ende werden in einem Protokoll der Plattformverwaltung festgehalten.
  • Das Mitlesen ist rein lesend und dauert höchstens eine Stunde: Jede Änderung wird abgelehnt, und nach sechzig Minuten endet die Sitzung von selbst. Solange sie läuft, steht oben auf jedem Bildschirm des Arbeitsbereichs eine Leiste, die sagt, dass die Plattformverwaltung mitliest.
  • Das Supportkonto sieht, was ein Administrator der Organisation sieht, der in keinem Projekt Mitglied ist, etwa die Konten, das Aktivitätsprotokoll und die Einstellungen. Es kann kein Dokument, kein Original und keinen extrahierten Text öffnen, nicht suchen und kein Pseudonym auflösen.
  • Ein abgelehnter Versuch des Supportkontos steht im Aktivitätsprotokoll der Organisation, unter dem Namen Plattformverwaltung. Beginn und Ende des Mitlesens stehen dort nicht; sie stehen im Protokoll der Plattformverwaltung.
  • Das Supportkonto ist kein Konto der Organisation: Es steht nicht in ihrer Liste der Benutzer, zählt nirgends mit und kann sich nicht mit einem Passwort, einem Authenticator oder einem Passkey anmelden. Als Benutzer einer Organisation können wir uns nicht anmelden.

Daten und Verschlüsselung

  • Personenbezogene Daten werden vor der Indexierung durch Pseudonyme ersetzt. Nichts ist durchsuchbar, bevor ein Mitarbeiter den Text freigegeben hat.
  • Die Zuordnung zwischen Pseudonym und Person liegt verschlüsselt in einem separaten Tresor.
  • Die Schlüssel für den Tresor und für die verschlüsselten Felder werden pro Organisation von einem Hauptschlüssel abgeleitet; die Hauptschlüssel sind für alle Organisationen dieselben.
  • Originale liegen in privatem Objektspeicher ohne öffentlichen Zugriff, mit einem eigenen Pfadpräfix pro Organisation.
  • Die Verschlüsselung gespeicherter Dateien ist eine Eigenschaft des Speichers, auf dem die Anwendung läuft. Die Anwendung verschlüsselt Originale nicht selbst; ihre Konfigurationsprüfung kontrolliert die Einstellung des Speichers.

Rechte und Aufsicht

  • Die Projektmitgliedschaft bestimmt, wer was sieht, mit den Rollen Leser, Editor und Manager. Administratoren erhalten keinen automatischen Einblick in Dokumente.
  • Jedes Mitglied eines Projekts kann das Original eines Dokuments öffnen, auch mit der Rolle Leser. Diese Rolle beschränkt, was jemand ändern darf. Jeder Download wird protokolliert.
  • Jedes Mitglied eines Projekts kann den extrahierten Text eines Dokuments lesen, das auf die Datenschutzprüfung wartet, auch mit der Rolle Leser. Das ist der Text des Originals, vor der Pseudonymisierung. Jede Einsicht wird protokolliert.
  • Ein Pseudonym im pseudonymisierten Text aufzulösen erfordert Schreibrecht auf das Projekt. Jede Auflösung wird protokolliert.
  • Fehlt eine Mitgliedschaft oder ein Recht, gibt es keinen Zugriff. Abgelehnter Zugriff wird im Aktivitätsprotokoll festgehalten.
  • Jeder Eintrag im Aktivitätsprotokoll ist mit einem Hash an den vorherigen Eintrag gekettet; eine regelmäßige Prüfung rechnet die Kette nach.
  • Das Aktivitätsprotokoll enthält keine Dokumentinhalte und keine Suchanfragen.

Verbindungen und Browser

  • Die Verbindung mit SharePoint ist rein lesend.
  • Ein KI-Assistent verbindet sich über OAuth 2.1 mit PKCE und erhält nur freigegebene, pseudonymisierte Textstellen. Zugriffstoken laufen nach acht Stunden ab.
  • Jede Seite läuft unter einer strengen Sicherheitsrichtlinie für Skripte und Stile (Content Security Policy) und kann nicht im Frame einer anderen Website geladen werden.
  • Der Browser speichert keine Antwort und sendet keinen Referrer an eine andere Website.

Entwicklung

  • Es gibt eine Qualitätsprüfung für den Quellcode: Formatierung, statische Analyse auf Stufe 9 ohne Ausnahmeliste und eine Kontrolle der Abhängigkeiten.
  • Die automatisierten Tests laufen auf derselben Art von Datenbank wie der Dienst selbst. Separate Tests überwachen die Trennung zwischen Organisationen.
  • Schlüssel und Passwörter stehen nicht im Quellcode; die Anwendung liest sie aus der Umgebung.
  • Jeder Satz über Technik auf dieser Seite wird von einem automatisierten Test überwacht: Stimmt der Satz nicht mehr, schlägt der Test fehl.

Vorfälle

Eine Schwachstelle oder einen Vorfall melden.

Sehen Sie etwas, das nicht stimmt, dann melden Sie es. Um zwei Dinge bitten wir: Testen Sie nur mit Ihrem eigenen Konto und nicht mit Daten anderer, und machen Sie eine Schwachstelle nicht öffentlich, bevor sie behoben ist.

  1. Melden Schreiben Sie an security@privasearch.ai, mit einer Beschreibung und den Schritten, um es zu reproduzieren.
  2. Bestätigung Wir bestätigen den Eingang und halten Sie über die Behebung auf dem Laufenden.
  3. Eine Datenpanne in Ihrer Umgebung Sind Sie Kunde und vermuten Sie eine Datenpanne, dann liefern wir Ihnen die Informationen für Ihre eigene Beurteilung und eine etwaige Meldung innerhalb von 72 Stunden (Art. 33 DSGVO).

Unterauftragsverarbeiter

Welche Parteien hinzukommen.

Wir setzen so wenige Parteien wie möglich ein. Welche das sind, wofür und wo sie verarbeiten, steht in der Übersicht der Unterauftragsverarbeiter; sie folgt der Einrichtung, die tatsächlich läuft. Die Verarbeitung findet auf europäischer Infrastruktur statt.

Unterauftragsverarbeiter ansehen Auftragsverarbeitungsvertrag
Was kein Unterauftragsverarbeiter von uns ist: ein KI-Assistent, den Sie selbst mit PrivaSearch verbinden. Dessen Anbieter ist ein eigener Auftragsverarbeiter Ihrer Organisation.
Kontakt

Eine Frage zur Sicherheit, oder ein Dokument benötigt?

Schreiben Sie an security@privasearch.ai bei einer Frage zur Sicherheit, einem Fragebogen für Lieferanten oder einer Sicherheitsmeldung. Den vollständigen Auftragsverarbeitungsvertrag und die Übersicht der Unterauftragsverarbeiter senden wir auf Anfrage zu.

E-Mail an security@privasearch.ai

Lesen Sie auch

Diese Seite wurde mit Hilfe von KI aus dem Niederländischen übersetzt. Bei Abweichungen gilt die niederländische Fassung. Zur niederländischen Fassung