Sicherheit ist das Produkt

Wir stehen zwischen Ihren Agenten und Ihren sensibelsten Systemen. Hier erklären wir die Kontrollen, die das sicher machen, und wie Sie die Nachweise für Ihre Auditoren erhalten.

Compliance-Status

SOC 2: Kontrollen auf die Trust Services Criteria abgebildet; Berichtsstatus auf Anfrage
DSGVO: Auftragsverarbeitungsvertrag für alle kostenpflichtigen Pläne
Penetrationstests: Jährlicher externer Test; Zusammenfassung unter NDA

Identität und Zugriff

SSO per SAML und OIDC; SCIM-Verzeichnis-Sync für automatische Bereitstellung
Offboarding entzieht Mitgliedschaft, Tokens, direkte Berechtigungen und Teams in einem Codepfad
Zugriffstokens werden als SHA-256-Hash gespeichert, laufen nach höchstens 90 Tagen ab und enden mit der Mitgliedschaft

Vermittlerinnen mit Kopfhörern arbeiten an einer Reihe von Vermittlungsplätzen — Vermittlerinnen am Victory-Vermittlungsschrank, Potsdamer Konferenz, 1945.

Guard-Regeln und Freigaben

Regeln in natürlicher Sprache werden vor jeder Aktion von einem Klassifikator geprüft
Erzwingende Guards schlagen sicher fehl: Ist der Klassifikator nicht erreichbar, wird die Aktion verweigert
Sensible Aktionen können eine Freigabe erfordern, und niemand genehmigt die eigene Anfrage

Agenten-Aktion

EntscheidungVerweigertRegel q3-reports greift

KlassifikatorOnline

Manipulationssicheres Audit-Log

Nur anhängend und pro Organisation per Hash verkettet, Schreibvorgänge von einem einzigen Writer serialisiert
Erfasst Tool-Aufrufe, Berechtigungsänderungen, Guard-Entscheidungen, Anmeldungen und Admin-Aktionen
Export in Ihr SIEM oder Objektspeicher; Secret-Werte erscheinen nie in Audit-Daten

Audit-Log · acmeKette geprüft bis #1042

#1041grant.createderlaubt
admin@acme.example · team:billing → billing-api (read)
vorher 9f2c0b6d…a71eHash f8a4beb2…14cc
#1042mcp.tool_callederlaubt
dana@acme.example · github.search
vorher f8a4beb2…14ccHash 8aedf067…505d
#1043policy.deniedverweigert durch q3-reports
dana@acme.example · files.delete reports/q3/summary.pdf
vorher 8aedf067…505dHash 6a5654ce…a57d
Aus Ihrer Änderung geschrieben

Verschlüsselung und Secrets

TLS 1.2+ bei der Übertragung; Daten im Ruhezustand von der Plattform verschlüsselt
Secrets per AES-GCM-Envelope-Verschlüsselung; Datenschlüssel sind mit einem Key-Encryption-Key umhüllt
Klartext-Secrets werden nie gespeichert, protokolliert, von der API zurückgegeben oder Agenten gezeigt

Eine runde Tresortür aus Stahl an schweren Scharnieren steht offen in einer Steinhalle — Tresortür der Bowery Savings Bank, New York, 1923.

Infrastruktur und Datenresidenz

Läuft auf Cloudflare Workers, D1, KV, R2 und Durable Objects
Regionale Datenhaltung für Enterprise-Kunden verfügbar
Produktionszugriff nach dem Least-Privilege-Prinzip, vierteljährlich überprüft

Ein Techniker auf einer Stufe greift in hohe Gestelle mit Telefonrelais — Ein Techniker am Verteiler, Helsinki, 1968.

Unterauftragsverarbeiter

Cloudflare	Hosting, Speicher und KI-Inferenz
WorkOS	Authentifizierung, SSO und Verzeichnis-Sync

Schwachstellen und Dokumente

Schreiben Sie unserem Security-Team für Responsible Disclosure, unseren Sicherheitsfragebogen oder aktuelle Compliance-Berichte.

security@smartplane.dev

Security kontaktieren