Für Informationssicherheit und Prüfung
Antworten für Ihre Sicherheitsprüfung.
Geordnet nach den Bereichen des BSI-Katalogs C5:2026.
Standort und Service-Level
C5: GC, PSS-12, OIS-03- Wo werden unsere Daten verarbeitet und gespeichert?
- basebox verarbeitet und speichert Ihre Daten beim Server dort, wo er steht, in der Regel in Ihrem Haus. Die Cloud läuft im Rechenzentrum München-Ost; eine Kopie der Sicherungen in einem zweiten Rechenzentrum in Deutschland ist im Aufbau. Zusatzdienste, die Sie freischalten, etwa die Websuche über Staan.ai, und zusätzliche Rechenleistung, etwa bei STACKIT oder Mistral AI, laufen in der EU. Apps mit externem Modell gibt es nur, wenn Ihr Administrator sie einrichtet; sie laufen bei Google Vertex in der EU, Modelle von OpenAI, nur auf Wunsch, können auch in den USA verarbeitet werden. Das größere KI-Modell für Apps beim Server betreibt basebox in einem Rechenzentrum in Deutschland. Geben Sie einen eigenen Anbieter vor, etwa Microsoft Azure, nutzen wir dort eine Region in der EU. Liste der Unterauftragsverarbeiter (PDF) ↗
- Welche Verfügbarkeit sagen Sie zu?
- Eine Mindestverfügbarkeit sagt basebox nicht zu. Weitergehende Service-Level bieten wir auf Anfrage an. Support gibt es werktags von 9 bis 17 Uhr, die erste Rückmeldung innerhalb eines Werktags, nach Schweregrad priorisiert. Maßgeblich ist die Anlage „Support und Service-Level“.
- Wie ist die Verantwortung zwischen basebox und uns verteilt?
- In der Cloud betreibt basebox die Plattform mit Updates, Sicherung und Überwachung; Sie verwalten Personen, Gruppen und Freigaben. Beim Server betreiben Sie Hardware, Netz und Sicherung, basebox liefert Software, Updates und Support. Die Aufteilung je Betriebsweg steht in den TOMs. TOMs (PDF) ↗
Organisation und Richtlinien
C5: OIS, SP- Hat basebox ein Managementsystem für Informationssicherheit?
- Ja. Das ISMS der basebox GmbH ist nach ISO/IEC 27001:2022 zertifiziert, mit Datenschutz- und Sicherheitsrichtlinien und jährlichen Überwachungsaudits. Der Geltungsbereich umfasst Herstellung, Implementierung und Betrieb der Software. ISO-27001-Zertifikat (PDF) ↗
- Deckt das Zertifikat auch unseren Server ab?
- Nein. Das Zertifikat beschreibt basebox als Lieferanten, beim Server in Ihrem Haus also die Software und ihre Lieferkette. Den Betrieb des Servers deckt Ihr eigenes ISMS ab.
- Wie prüft basebox die Wirksamkeit seiner Maßnahmen?
- basebox prüft regelmäßig und bei Anlass: mit Sicherheits- und Datenschutzprüfungen, der Auswertung von Prüfberichten und Protokollen und Tests der Sicherung und Wiederherstellung. Erkenntnisse fließen in Verbesserungen und Schulungen ein.
- Wen erreichen wir zu Datenschutz und Sicherheit?
- Den Datenschutzbeauftragten von basebox erreichen Sie unter datenschutz@basebox.ai. Sicherheitslücken melden Sie an security@basebox.ai. Sicherheitslücken melden →
Personal
C5: HR- Sind die Beschäftigten von basebox zur Vertraulichkeit verpflichtet?
- Ja, alle Beschäftigten von basebox sind zur Vertraulichkeit verpflichtet. Zugriff auf personenbezogene Daten hat nur, wer ihn für die Leistung braucht. Für Berufsgeheimnisträger gilt zusätzlich die Vereinbarung nach § 203 StGB, mit Belehrung über die Strafbarkeit und schriftlicher Verpflichtung einbezogener Dritter. Vereinbarung nach § 203 StGB (PDF) ↗
- Wie werden Beschäftigte geschult?
- Alle Beschäftigten von basebox werden zu Datenschutz und Informationssicherheit geschult und sensibilisiert. Administrative Tätigkeiten übernehmen nur geeignete und geschulte Personen; Vertretungen sind geregelt.
- Welche Regeln gelten für die Arbeitsrechner der Entwickler?
- Jede Entwicklerin und jeder Entwickler von basebox bestätigt quartalsweise schriftlich, gegengezeichnet: verschlüsselte Festplatte, Bildschirmsperre nach 10 Minuten, Sicherheitsupdates binnen 5 Tagen, Zwei-Faktor-Anmeldung wo möglich, Fernzugriff nur über VPN. Produktivdaten liegen nie lokal, Geheimnisse nie im Versionskontrollsystem.
Rechenzentrum und physische Sicherheit
C5: PS- In welchem Rechenzentrum läuft die Cloud?
- Die Cloud von basebox läuft bei der noris network AG am Standort München-Ost. noris liefert Stellfläche, Strom und Anbindung. Zertifikate und Zutrittskontrollen des Rechenzentrums nennen wir Ihnen auf Anfrage.
- Wer hat physischen Zugang zu den Servern der Cloud?
- Physischen Zugang zur Cloud von basebox haben das Personal des Rechenzentrums und unser Hardware-Partner FAST LTA, dem die Server gehören und der sie wartet. Beide stehen in der Liste der Unterauftragsverarbeiter. Liste der Unterauftragsverarbeiter (PDF) ↗
- Wer sorgt beim Server für die physische Sicherheit?
- Für die physische Sicherheit des Servers mit basebox sorgen Sie, wenn er in Ihrem Haus steht. Steht er im Rechenzentrum, verantwortet das der Betreiber, standardmäßig noris network in München.
Betrieb: Kapazität, Schadsoftware, Datensicherung
C5: OPS-01 bis OPS-09- Wie wird die Kapazität geplant?
- In der Cloud skaliert basebox innerhalb der vereinbarten Personenzahl; außergewöhnliche Lasten können ein eigenes Angebot erfordern. Beim Server richtet sich die Größe danach, wie viele Personen gleichzeitig Fragen stellen. Preis berechnen →
- Wie schützt basebox vor Schadsoftware?
- basebox liest hochgeladene Dokumente in einem isolierten Prozess aus. Inhalte aus der Websuche kommen nur als reiner Text an, Skripte und aktive Inhalte werden entfernt. Das Backend ist in Rust geschrieben, einer speichersicheren Sprache.
- Wie wird die Cloud gesichert?
- basebox sichert die Cloud täglich und bewahrt die Sicherungen 7 Tage auf. Im Aufbau sind 30 Tage Aufbewahrung und eine verschlüsselte Kopie in einem zweiten Rechenzentrum in Deutschland. Vor jedem Update sichern wir zusätzlich die Datenbank.
- Wer sichert beim Server?
- Beim Betrieb durch Ihre IT sichern Sie selbst. Die Sicherung ist in basebox eingebaut und wird nur eingeschaltet; sie schreibt Datenbanken und hochgeladene Dateien auf einen Speicher, den der Server erreicht, am besten S3, auch NFS oder SMB, in einem anderen Brandabschnitt. Planen Sie das Zwei- bis Dreifache Ihrer Daten ein; die meisten Häuser haben weit unter 1 TB. KI-Modelle werden nicht gesichert, sie werden neu geladen. basebox hat keine Kopie und keinen Zugriff. Beim Betrieb durch basebox richten wir die Sicherung ein und halten eine dritte Kopie bei noris network in Nürnberg. Sicherung und Wiederherstellung ↗
- Werden Wiederherstellungen getestet?
- Beim Server ja. In der Cloud sind regelmäßige Wiederherstellungstests im Aufbau; den Stand nennen wir Ihnen auf Anfrage. Beim Server mit Betrieb durch basebox prüfen wir die Wiederherstellung jedes Quartal und bestätigen sie Ihnen, ohne Aufpreis. Betreibt Ihre IT den Server, empfiehlt die Dokumentation einen monatlichen Test.
Protokollierung und Überwachung
C5: OPS-10 bis OPS-17, PSS-04- Was protokolliert basebox?
- Das Audit-Log von basebox hält fest, wer was wann getan hat: Anmeldungen und Fehlversuche, Rechteänderungen, Konfiguration, Konnektoren, Chats, Dokumente, Abläufe und Exporte. Es enthält nur Kennungen, keine Namen oder E-Mail-Adressen. Protokoll →
- Kann jemand das Audit-Log ändern oder Einträge löschen?
- Nein. Die Datenbank des Audit-Logs in basebox nimmt nur neue Einträge an und verwirft Änderungen und Löschungen. Einträge laufen erst mit der eingestellten Aufbewahrungsfrist aus.
- Wie lange werden Protokolle aufbewahrt?
- basebox bewahrt das Audit-Log 6 Monate auf, Ihr Administrator stellt 3 bis 36 Monate ein. Systemprotokolle werden nach 7 Tagen gelöscht, wenn Sie nichts anderes einstellen.
- Werden Inhalte von Fragen und Antworten protokolliert?
- Inhalte protokolliert basebox nur, wenn Ihre Organisation die ausführliche Protokollierung einschaltet; dann sehen alle im Chat einen Hinweis, der sich nicht abschalten lässt. Passwörter, Schlüssel und Zugangsdaten für Konnektoren stehen nie im Protokoll. Der Chatverlauf liegt im Browser der Person, nicht auf dem Server.
- Können wir das Audit-Log an unser SIEM geben?
- Heute exportiert basebox das Audit-Log auf Anfrage als CSV und übergibt es Ihnen. Eine automatische Weiterleitung an Ihr SIEM gibt es derzeit nicht. SIEM-Anbindung ↗
- Wer überwacht den Betrieb?
- In der Cloud basebox: Wir überwachen die Umgebung technisch, werten Protokolle auf ungewöhnliche Ereignisse aus und protokollieren administrative Zugriffe auf die Infrastruktur. Beim Server überwacht Ihre IT, mit Betriebsauftrag basebox die eigenen Softwarebausteine.
Schwachstellen und Updates
C5: OPS-18 bis OPS-29, PSS-02, PSS-03- Wie findet basebox Schwachstellen?
- Jedes Release von basebox durchläuft Prüfungen der Abhängigkeiten auf bekannte Schwachstellen (CVE) und eine statische Code-Analyse; bei einer bekannten Schwachstelle schlägt das Release fehl. Dazu werten wir Schwachstelleninformationen laufend aus und lassen Penetrationstests durchführen.
- Gab es einen Penetrationstest?
- Ja. Im November 2025 haben externe Prüfer Web-Anwendung, Schnittstellen und Anmeldung der Cloud von basebox getestet, als White-Box-Test mit Quellcode nach OWASP Top 10 und OWASP API Security Top 10. Kritische Befunde sind behoben.
- Wer spielt Sicherheitsupdates ein, und wie schnell?
- Updates sind in der Lizenz von basebox enthalten. In der Cloud spielt basebox sie ein, dringende Sicherheitsupdates auch außerhalb des Wartungsfensters. Beim Server ohne Betriebsauftrag spielen Sie sie ein und prüfen dringende Sicherheitsupdates unverzüglich.
- Wie erfahren wir von neuen Versionen?
- basebox informiert per E-Mail und mit Release Notes zu jeder Version. Auf dem Server installiert sich nichts automatisch.
- Wie melden wir eine Sicherheitslücke?
- Sicherheitslücken melden Sie an security@basebox.ai. Den Eingang bestätigen wir innerhalb von zwei Werktagen; die Kontaktdaten stehen maschinenlesbar in der security.txt. security.txt →
Trennung der Organisationen
C5: OPS-30, OPS-31, COS-06- Wie sind Kunden in der Cloud voneinander getrennt?
- In der Cloud von basebox bekommt jede Organisation eine eigene virtuelle Kubernetes-Umgebung und eine eigene Benutzerverwaltung (Keycloak). Die Umgebungen laufen auf einem gemeinsam genutzten Server.
- Teilen sich Kunden das KI-Modell?
- In der Cloud von basebox standardmäßig ja: Rechenleistung und KI-Modell werden gemeinsam genutzt, jede Anfrage wird ohne dauerhafte Speicherung verarbeitet und bleibt logisch getrennt. Ein KI-Modell nur für Ihre Organisation vereinbaren wir auf Wunsch; den Preis finden Sie in Ihrem persönlichen Angebot.
- Wie ist der Server getrennt?
- Ein Server mit basebox gehört genau einem Kunden. Grafikprozessoren teilen sich nur Ihre eigenen Dienste.
- Wo läuft ein neues Konto?
- Ein neues Konto läuft ab November 2026 in der Cloud von basebox, mit eigener Umgebung. Konten von vorher laufen bis dahin in einer gemeinsamen Umgebung bei Hetzner in Nürnberg, logisch voneinander getrennt und mit gemeinsamer Benutzerverwaltung; wir ziehen sie um. Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO verarbeiten Sie am besten erst danach. Bis November 2026 →
Anmeldung und Berechtigungen
C5: IAM, PSS-05 bis PSS-09- Wie melden sich Personen an?
- Personen melden sich an basebox über Keycloak mit OpenID Connect an (Authorization Code Flow mit PKCE); basebox selbst sieht nie ein Passwort. Angebunden wird Ihre Benutzerverwaltung über LDAP, OIDC oder SAML, etwa Active Directory oder Entra ID. Anmeldung ↗
- Gibt es eine Zwei-Faktor-Anmeldung?
- Ja, basebox bietet sie als Schalter je Organisation: mit einer Authenticator-App (TOTP), optional per SMS über ein Gateway, das Sie anbinden.
- Wer legt Passwortregeln, Sitzungsdauer und Sperren nach Fehlversuchen fest?
- Passwortregeln, Sitzungsdauer und Sperren legt Ihr Administrator fest, in den Einstellungen von Keycloak. Bei jeder Anfrage prüft basebox Signatur, Ablauf und Aussteller der Anmeldung.
- Welche Rollen und Rechte gibt es?
- basebox hat bewusst wenige Rollen: Personen und Administratoren. Wer eine App baut, gibt sie für Gruppen oder Personen frei, zum Nutzen oder Bearbeiten; wer eine App teilt, teilt ihre Dokumente, nie den eigenen Zugang. Gruppen kommen aus Ihrer Benutzerverwaltung, Änderungen dort gelten auch in basebox. Rechte →
- Gelten Rechte auch für einzelne Dokumente einer App?
- Nein. Wer eine App in basebox nutzen darf, erreicht alle Dokumente, die in ihr hinterlegt sind. Über Konnektoren gelten dagegen die Rechte der Person im jeweiligen System.
- Wie greifen Konnektoren auf unsere Systeme zu?
- Konnektoren von basebox greifen mit dem eigenen Zugang der Person zu; ein gemeinsames Dienstkonto nur, wenn Sie es wünschen, etwa bei einem Ticketsystem. Zugangsdaten werden je Person gespeichert und nie angezeigt, das Zielsystem setzt seine Rechte durch. Schreiben ist ab Werk aus. Zugang der Konnektoren ↗
Zugriff durch basebox
C5: IAM-06, IAM-07, SSO- Wer bei basebox kann in der Cloud auf unsere Daten zugreifen?
- Das Betriebspersonal von basebox hat technischen Zugriff auf Datenbanken, Dateien und Protokolle, nur für den Betrieb und nach dem Need-to-know-Prinzip. Jeder Zugriff wird protokolliert, Inhalte sehen wir nicht ein. Das Berechtigungskonzept des Betriebs bekommen Sie auf Anfrage.
- Hat basebox Zugriff auf unseren Server?
- Nein, ohne Betriebsauftrag hat basebox keinen Zugriff. Fernwartung gibt es nur auf Ihren Auftrag: über VPN, Bastion Host oder Vergleichbares, zeitlich begrenzt, von Ihnen freigegeben, protokolliert und jederzeit widerrufbar.
- Wer hat technischen Zugriff auf die Hardware?
- In der Cloud hat FAST LTA, der Hardware-Partner von basebox, Zugriff für Bereitstellung, Wartung und Hardware-Service; FAST LTA ist dafür Unterauftragsverarbeiter. Beim Server kaufen Sie Hardware und Servicevertrag bei FAST LTA, dort ist FAST LTA Ihr Vertragspartner und kein Unterauftragsverarbeiter von basebox.
Verschlüsselung
C5: CRY- Ist die Übertragung verschlüsselt?
- Ja. Von außen ist basebox nur über HTTPS auf Port 443 erreichbar, mit Ihrem Zertifikat beim Server und unserem in der Cloud.
- Und zwischen den Diensten innerhalb der Plattform?
- Innerhalb des Clusters sprechen die Dienste von basebox über ein privates Netz ohne eigene Verschlüsselung. Überschreitet eine Verbindung Hosts oder Sicherheitszonen, etwa zu einem getrennten GPU-Server, ist TLS Pflicht; TLS zur Datenbank lässt sich erzwingen.
- Sind gespeicherte Daten verschlüsselt?
- basebox verschlüsselt gespeicherte Daten nicht selbst; geschützt werden sie über verschlüsselte Datenträger. Beim Server richten Sie diese ein, für die Cloud nennen wir Ihnen die Einzelheiten auf Anfrage. Verschlüsselte Sicherungen der Cloud sind im Aufbau.
- Wie werden Passwörter und Geheimnisse geschützt?
- In basebox speichert Keycloak Passwörter lokaler Konten nur als Hash. Datenbank-Passwörter und Schlüssel liegen als Kubernetes- oder Docker-Secrets vor, je Dienst getrennt, und erscheinen nie im Browser oder in Protokollen.
Netz und Kommunikation
C5: COS, PI-01- Was ist von außen erreichbar?
- Von außen erreichbar ist bei basebox ein einziger Zugang über HTTPS für Oberfläche und Anmeldung. Alle anderen Dienste sprechen nur intern miteinander; Personen haben nie eine Verbindung zum KI-Modell oder zu Zielsystemen. Datenfluss →
- Baut der Server Verbindungen nach außen auf?
- Der Server mit basebox baut ab Werk keine Verbindungen nach außen auf: keine Telemetrie, keine Lizenzprüfung, kein Update-Abruf. Nach außen geht nur, was Sie einrichten, etwa Websuche, ein externes oder größeres Modell, Konnektoren, ein SMS-Dienst oder Ihr SIEM.
- Läuft basebox ohne Internet?
- Ja, der Server läuft vollständig ohne Internet, mit KI-Modell, Dokumenten, Apps, Rechten und Protokoll. Software und Modelle kommen als Offline-Paket über Ihre interne Ablage; nur die Websuche entfällt. Betrieb ohne Internet ↗
- Wohin darf ein Konnektor Verbindungen aufbauen?
- Ein Konnektor in basebox baut Verbindungen nur zu den Zielen auf, die für ihn freigegeben sind; die Websuche erreicht nur ihren Anbieter. Verbindungen zu Konnektoren und zum KI-Modell baut nur der Server von basebox auf, nie das Gerät der Person.
Datenübergabe und Löschung
C5: PI- Wie bekommen wir unsere Daten bei Vertragsende?
- Nach Ihrer Wahl gibt basebox die Daten zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht besteht. In der Cloud unterstützen wir den Export in einem gängigen Format nach Abstimmung mit Ihnen; danach nehmen wir Ihre Umgebung außer Betrieb und löschen sie. AVV →
- Was geschieht mit den Sicherungen?
- Gelöschte Daten verschwinden aus den Sicherungen der Cloud von basebox, wenn diese nach 7 Tagen auslaufen. Beim Server bestimmen Sie selbst, wie lange Sie Sicherungen aufbewahren.
- Wie werden Daten im laufenden Betrieb gelöscht?
- In basebox löschen Personen ihre Chats und Dokumente selbst, Administratoren Personen und alles, was ihnen gehört. Beim Löschen eines Dokuments entfernt basebox das Original, den ausgelesenen Text und den Suchindex. Löschen ↗
- Wer löscht beim Server?
- Beim Server mit basebox löschen Sie selbst: Sie verantworten Sicherung, Export, Aufbewahrung und Löschung.
- Über welche Schnittstellen kommen Daten heraus?
- basebox gibt Daten über eine OpenAI-kompatible Schnittstelle heraus, mit eigenem Schlüssel je Person, der sich widerrufen lässt und dessen Nutzung protokolliert wird. Dazu gibt es den Export des Audit-Logs als CSV. basebox setzt auf offene Standards wie OIDC, SAML, LDAP und PostgreSQL.
Entwicklung und Änderungen
C5: DEV- Womit ist basebox gebaut?
- Das Backend von basebox ist in Rust geschrieben, einer speichersicheren Sprache ohne Laufzeitumgebung. Die Oberfläche ist eine Vue-3-Anwendung, die über GraphQL mit dem Backend spricht; für eigene Anwendungen gibt es eine OpenAI-kompatible Schnittstelle. Anmeldung über Keycloak, Daten in PostgreSQL, Betrieb als Container auf Kubernetes. Komponenten in der Dokumentation ↗
- Wie wird ein Release geprüft und freigegeben?
- Vor jedem Release von basebox laufen statische Code-Analyse, Prüfung der Abhängigkeiten und bekannter Schwachstellen, Unit-Tests, eine Testinstallation und manuelle Qualitätssicherung. Freigegeben wird im Vier-Augen-Prinzip.
- Gibt es eine Software-Stückliste (SBOM)?
- Ja, basebox erstellt sie automatisch zu jedem Release, im Format CycloneDX. Kunden laden sie in ihrer basebox unter Versionsinfo herunter, vor dem Kauf schicken wir sie auf Anfrage. Weitere Pflichten nach dem Cyber Resilience Act setzen wir bis Dezember 2027 um. So finden Sie die SBOM ↗ SBOM anfordern →
- Woher kommen Software und KI-Modelle?
- Software und KI-Modelle kommen als versionierte Container-Images aus der Registry von basebox oder als Offline-Paket, installiert per Helm-Chart. Ein Modellregister dokumentiert Herkunft, Version und Lizenz jedes KI-Modells. Modellregister ↗
- Sind die Images signiert?
- Noch nicht, die Signierung der Images von basebox ist in Vorbereitung. Bis dahin weisen Image-Digests nach, dass die Images unverändert sind.
- Wie werden Änderungen nachvollziehbar?
- Jede Version von basebox hat Release Notes und einen Changelog. Datenbankmigrationen sind nummeriert, per Prüfsumme gesichert und laufen nur vorwärts; vor jedem Update ist eine Sicherung der Datenbank Pflicht.
Lieferanten und Unterauftragsverarbeiter
C5: SSO- Welche Unterauftragsverarbeiter setzt basebox in der Cloud ein?
- In der Cloud setzt basebox noris network (Rechenzentrum München-Ost) und FAST LTA (Server und Hardware-Service) ein. Für zusätzliche Rechenleistung nutzen wir Anbieter wie STACKIT oder Mistral AI in der EU, oder den Anbieter, den Sie vorgeben, etwa über Ihren Rahmenvertrag mit Microsoft Azure. Richtet Ihr Administrator Apps mit externem Modell ein, kommt Google hinzu (Vertex AI in der EU), auf Wunsch OpenAI; für das größere Modell beim Server noris network und FAST LTA. Welche für Sie tätig sind, steht in der Liste. Anbieter, die Sie selbst beauftragen und anbinden, sind keine Unterauftragsverarbeiter von basebox. Liste der Unterauftragsverarbeiter (PDF) ↗
- Wie erfahren wir von Änderungen bei Unterauftragsverarbeitern?
- basebox informiert Sie vorab mit angemessener Frist. Aus wichtigem datenschutzrechtlichem Grund können Sie widersprechen.
- Werden unsere Daten zum Training verwendet?
- Nein. KI-Dienstleister setzt basebox nur ein, wenn deren Vertrag ein Training mit den übermittelten Daten ausschließt.
- Was gilt für die App mit externem Modell?
- Eine App mit externem Modell gibt es nur, wenn Sie das wollen: Ihr Administrator richtet sie ein und gibt sie für ausgewählte Gruppen frei; basebox schaltet nichts ein. Sie nutzt ausgewählte Modelle von Anthropic über Google Vertex in der EU, auf Wunsch auch Modelle von Google oder OpenAI. Google trainiert nicht mit Ihren Eingaben und protokolliert sie zur Missbrauchserkennung längstens 30 Tage. OpenAI trainiert nach seinen Bedingungen nicht damit und protokolliert bis zu 30 Tage, länger nur, wenn gesetzlich vorgeschrieben oder zum Schutz vor Schäden nötig; verarbeitet wird auch in den USA. Als US-Unternehmen unterliegen beide dem US Cloud Act. Vergleich →
- Was gilt für die Websuche?
- Die Websuche von basebox läuft über Staan.ai in der EU und nur, wenn Sie sie freischalten. Übermittelt wird nur der Suchbegriff, ohne Identität und IP-Adresse der Person; mit Staan haben wir einen AVV, ein Training ist ausgeschlossen. Websuche →
Sicherheitsvorfälle
C5: SIM, OPS-24- Wie schnell meldet basebox eine Verletzung des Datenschutzes?
- basebox meldet eine Verletzung unverzüglich nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO. Was sich erst später klärt, liefern wir ohne unangemessene Verzögerung nach.
- Gibt es eine Meldefrist in Stunden, etwa für NIS2?
- Nein, der Vertrag mit basebox sagt „unverzüglich“. Wir melden sofort nach Bekanntwerden, damit Sie Ihre eigenen Fristen einhalten können.
- Werden wir auch über andere Sicherheitsvorfälle informiert?
- Ja. Bei bekannten systemischen Risiken oder sicherheitsrelevanten Vorfällen informiert basebox betroffene Kunden unverzüglich. Ausgenutzte Schwachstellen melden wir nach dem Cyber Resilience Act seit dem 11. September 2026.
- Wie melden wir einen Vorfall?
- Einen Vorfall melden Sie über den Support von basebox; wir prüfen ihn im Rahmen des Supports. Für Vorfälle in Ihrer eigenen Infrastruktur bleiben Sie verantwortlich, weitergehende Unterstützung vereinbaren wir gesondert.
- Wie gehen Beschäftigte von basebox mit Vorfällen um?
- Beschäftigte von basebox melden jeden Vorfall sofort an eine zentrale Stelle. Für Sicherheitsvorfälle gibt es dokumentierte Abläufe, jeder Vorfall wird mit Belegen festgehalten.
Notfall und Wiederanlauf
C5: BCM, GC-03, GC-04- Gibt es ein Notfallmanagement?
- Ja. Notfall- und Wiederherstellungsprozesse, Wiederherstellungstests und Schutz gegen zufällige Zerstörung sind Teil der TOMs von basebox. Einzelheiten nennen wir Ihnen auf Anfrage. TOMs (PDF) ↗
- Welche Wiederanlaufzeiten (RTO, RPO) gelten?
- Feste Wiederanlaufzeiten sagt basebox nicht zu. Störungen beheben wir mit angemessener Sorgfalt, wo nötig zuerst mit einer Umgehungslösung. Hochverfügbarkeit und ein Notfall-Rechenzentrum gehören nicht zum Leistungsumfang; als Option zum Betrieb durch basebox gibt es einen zweiten Standort (Standby).
- Was passiert, wenn unser Server ausfällt?
- Defekte Teile, auch Grafikprozessoren, tauscht FAST LTA, der Hardware-Partner von basebox, im Rahmen des Servicevertrags. Fällt der Server ganz aus, stellen Sie basebox aus Datenbanken und Datenverzeichnis auf neuer Hardware wieder her; mit Betrieb durch basebox übernehmen wir das, und mit dem zweiten Standort (Standby) schalten wir im Störfall um. Mehr Rechenleistung bekommen Sie über zusätzliche Grafikprozessoren; basebox bindet dafür weitere Server mit Grafikprozessoren über deren Schnittstelle an.
- Was geschieht, wenn das KI-Modell ausfällt?
- basebox zeigt einen Fehler. Einen stillen Wechsel auf ein anderes Modell gibt es nicht.
Compliance und Nachweise
C5: COM, GC-06- Welche Zertifikate und Testate hat basebox?
- basebox ist nach ISO 27001 zertifiziert. Das Testat BSI C5 Typ 1 für die Cloud ist in Arbeit, geplant nach C5:2026. Zertifikate →
- Brauchen wir für den Server ein C5-Testat?
- Nein. C5 gilt für Cloud-Dienste wie die Cloud von basebox; beim Server gelten Ihre Vorgaben als Betreiber. BSI C5 →
- Dürfen wir basebox prüfen?
- Ja. Sie prüfen basebox vorrangig mit unseren Nachweisen; eine Prüfung vor Ort gibt es, wenn die Nachweise nicht genügen und ein berechtigter Anlass besteht, angekündigt und auf Ihre Kosten.
- Welche Unterlagen bekommen wir für unsere Prüfung?
- Von basebox bekommen Sie: Kurzübersicht Datenschutz und Informationssicherheit, AVV, Liste der Unterauftragsverarbeiter, TOMs, Vereinbarung nach § 203 StGB, ISO-27001-Zertifikat und SBOM. Die Beschreibung von Architektur und Datenflüssen (auf Englisch) schicken wir auf Anfrage. Architektur anfordern →
- Hilft basebox bei NIS2, KRITIS und B3S Krankenhaus?
- Die Pflichten liegen bei Ihnen als Betreiber; basebox liefert als Lieferant die Nachweise. Eine Zuordnung unserer Maßnahmen zum B3S Krankenhaus erstellen wir gerade, Sie bekommen sie auf Anfrage. NIS2, KRITIS, B3S →
- Wie ordnet sich basebox im EU AI Act ein?
- basebox ist eine Plattform, kein Hochrisiko-KI-System; Ihre Pflichten hängen vom Einsatz ab. Dafür gibt es Modellregister, Protokoll, Freigabe schreibender Aktionen durch Menschen und Schulungen zur KI-Kompetenz. EU AI Act →
- Dürfen Verschlusssachen oder Leittechnik an basebox?
- Nein. basebox hat keine Zulassung für VS-NfD, Verschlusssachen gehören nicht hinein. Leitsysteme und Anlagensteuerung werden nicht angebunden, basebox arbeitet mit Dokumenten und Bürosystemen. KRITIS und Behörden →
Anfragen von Behörden
C5: INQ, GC-05- Gibt basebox Daten an Behörden heraus?
- basebox gibt Daten nur heraus, wenn eine behördliche oder gerichtliche Anordnung uns dazu verpflichtet. Soweit im Einzelfall zulässig und möglich, informieren wir Sie vorher; so regelt es die Vereinbarung nach § 203 StGB.
- Unterliegt basebox dem US Cloud Act?
- Nein, basebox ist ein deutsches Unternehmen. Für Apps mit externem Modell gilt der Cloud Act, weil Google und OpenAI US-Unternehmen sind.
- Was gilt beim Server?
- Ohne Betriebsauftrag hat basebox keinen Zugriff auf Ihre Daten und kann deshalb keine herausgeben. Anfragen von Betroffenen beantworten wir nicht selbst, sondern nur auf Ihre Weisung.
Einstellungen für Ihre Sicherheit
C5: PSS-01, PSS-12- Was stellen wir selbst ein?
- In basebox stellen Sie selbst ein: zweiten Faktor, Passwortregeln, Sitzungen und Sperren, Detailstufe und Aufbewahrung des Protokolls, Websuche, Konnektoren mit einzeln freigegebenen Schreibrechten, Apps mit externem oder größerem Modell (ab Werk keine) und die Freigabe von KI-Modellen für Apps und Gruppen.
- Ist die Websuche ab Werk aus?
- Ja, die Websuche in basebox ist ab Werk aus. Sie schalten sie je App frei, vor der ersten Suche bestätigt jede Person. Webinhalte erreichen keine internen Daten; wir empfehlen, Websuche und interne Konnektoren nicht in derselben App zu verbinden.
- Was dürfen KI-Agenten?
- KI-Agenten in basebox dürfen nur, was die Person darf, in deren Namen sie handeln. Schreibende Aktionen sind ab Werk aus und laufen erst nach Freigabe durch einen Menschen.
- Prüft basebox die Antworten des KI-Modells vorab?
- Nein. Jede Antwort in basebox zeigt ihre Quellen mit der zitierten Textstelle, Modell und Version sind dokumentiert; die Fachperson prüft an der Quelle und verantwortet die Verwendung. Nachvollziehbarkeit →
- Welche Kontrollen liegen bei uns?
- Bei basebox übernehmen Sie: entscheiden, ob Apps mit externem Modell genutzt werden, Personen, Gruppen und Freigaben pflegen, den zweiten Faktor einschalten, das Audit-Log auswerten und die Folgenabschätzung erstellen. Beim Server zusätzlich Betrieb, Netz, Verschlüsselung der Datenträger und Sicherung. Vorlage Folgenabschätzung →
Diese Antworten sind eine unverbindliche Auskunft; maßgeblich sind Ihr Vertrag, der AVV und die TOMs. Sicherheit und Nachweise →
Stand: