Physischer Schutz in zertifizierten Rechenzentren in Deutschland: Open Telekom Cloud (Betrieb der Workflow-Engine durch Necara) und netcup. Videoüberwachung, elektronische Zugangssysteme.
Perimeterschutz
Alle Systeme hinter dedizierter Firewall mit restriktiven Regelwerken; Anwendungsebenen-Filterung.
2. Zugangskontrolle
Maßnahme
Beschreibung
2FA (Pflicht)
Sämtliche administrativen Zugänge obligatorisch mit Zwei-Faktor-Authentifizierung gesichert. Einzel-Faktor-Anmeldung technisch unterbunden.
IP-Filterung
Systemzugänge durch IP-Allowlists geschützt. Nicht-autorisierte IPs automatisch abgewiesen. Änderungen über Change-Management.
API-Authentifizierung
Authentifizierung der API per Bearer Token; individuell je Kunde ausgestellt, jederzeit widerrufbar; kompromittierte Token werden sofort deaktiviert.
Session-Management
Automatische Timeouts für inaktive Admin-Sitzungen; privilegierte Sitzungen protokolliert.
3. Zugriffskontrolle
Maßnahme
Beschreibung
Least Privilege
Berechtigungen nach Minimalprinzip (Need-to-know). Regelmäßige Überprüfung und Entzug.
RBAC
Rollenbasierte Zugriffssteuerung: Trennung von Lese-, Schreib- und Adminrechten.
Mandantentrennung
Logische Datentrennung über Datenbank-Mandantensysteme (Tenant-Isolation), Bearer Token je Kunde und getrennte Templates je Kunde.
4. Weitergabe- und Integritätskontrolle
Maßnahme
Beschreibung
TLS-Verschlüsselung
Ausschließlich TLS 1.2+ für alle API-Kommunikation. Klartextübertragung technisch unterbunden.
Audit-Log
GoBD-konforme Protokollierung aller API-Zugriffe (90 Tage, manipulationsgeschützt). Die Protokolle enthalten keine Rechnungsinhalte und keine Kundendaten aus Rechnungen.
Firewall-Logging
Alle Firewall-Ereignisse protokolliert und regelmäßig auf Anomalien ausgewertet.
Neue Entwicklungen werden zuerst in isolierter Testumgebung validiert; Deployment nach Vier-Augen-Prinzip mit Release Notes.
6. Datensparsamkeit und Löschkonzept
Maßnahme
Beschreibung
Kurzzeit-Processing
Rechnungsdaten werden unmittelbar nach der Verarbeitung gelöscht. Keine dauerhafte Speicherung ohne Auftrag.
Ausnahmen
Idempotenz-Cache 24 Stunden; Download-URLs gültig für 1 Stunde; Protokolle ohne Kundendaten (wie § 2.2 AVV).
Fehlerbehandlung
Daten bei Fehlern nur für Debugging vorgehalten; unwiderruflich gelöscht nach Behebung.
Löschfristen
Protokolldaten nach 90 Tagen automatisch gelöscht; GoBD-Protokolle auf Wunsch 10 Jahre archiviert.
7. Zertifizierungen und Überprüfung
Maßnahme
Beschreibung
ISO 27001 (angestrebt)
ISO-27001-Zertifizierung angestrebt. Wesentliche Controls bereits umgesetzt; Dokumentation im Aufbau. SOC 2 wird nicht angestrebt. Necara betreibt die Workflow-Engine auf der Open Telekom Cloud; T-Systems ist ISO/IEC 27001-zertifiziert.
Jährliche Datenschutz- und Sicherheitsschulungen; schriftliche Verschwiegenheitsverpflichtung aller Mitarbeiter.
8. KI-Systeme
Maßnahme
Beschreibung
Inferenz
KI-Erkennung standardmäßig auf eigener Instanz bei netcup in Deutschland. Einzelne Seiten, die dort nicht zuverlässig erkannt werden, werden an Mistral AI (EU) übermittelt. Mistral AI speichert die Daten nicht und nutzt sie nicht für Training.
Nutzungsabhängigkeit
KI-Erkennung nur bei Nutzung der Extraktions-APIs. Erzeugung aus strukturierten Daten, Validierung und E-Mail-Workflow laufen ohne KI; ohne Aufruf der Extraktions-APIs erfolgt keine Übermittlung an KI-Unterauftragsverarbeiter.
RAG-Isolierung
Supabase Vector DB mandantengetrennt auf netcup-Infrastruktur in Deutschland.
KI-Ausgabekontrolle
Alle KI-Ausgaben durchlaufen Validierungsstufen (§ 2.1 AVV). Keine ungefilterte Weitergabe.
Modell-Updates
LLM-Updates in Testumgebung validiert vor Produktionseinsatz.