Für Informationssicherheit und Prüfung
Antworten für Ihre Sicherheitsprüfung.
Geordnet nach den Bereichen des BSI-Katalogs C5:2026.
Standort und Service-Level
C5: GC, PSS-12, OIS-03- Wo werden unsere Daten verarbeitet und gespeichert?
- Beim Server dort, wo er steht, in der Regel in Ihrem Haus. Die Cloud läuft im Rechenzentrum München-Ost, die Sicherungen liegen in einem zweiten Rechenzentrum in Deutschland. Zusatzdienste, die Sie freischalten, etwa die Websuche über Staan.ai, und zusätzliche Rechenleistung, etwa bei STACKIT oder Mistral AI, laufen in der EU. Geben Sie einen eigenen Anbieter vor, etwa Microsoft Azure, nutzen wir dort eine Region in der EU. Liste der Unterauftragsverarbeiter (PDF) ↗
- Welche Verfügbarkeit sagen Sie zu?
- Eine Mindestverfügbarkeit sagen wir nicht zu. Weitergehende Service-Level bieten wir auf Anfrage an. Support gibt es werktags von 9 bis 17 Uhr, die erste Rückmeldung innerhalb eines Werktags, nach Schweregrad priorisiert. Maßgeblich ist die Anlage „Support und Service-Level“.
- Wie ist die Verantwortung zwischen basebox und uns verteilt?
- In der Cloud betreibt basebox die Plattform mit Updates, Sicherung und Überwachung; Sie verwalten Personen, Gruppen und Freigaben. Beim Server betreiben Sie Hardware, Netz und Sicherung, basebox liefert Software, Updates und Support. Die Aufteilung je Betriebsweg steht in den TOMs. TOMs (PDF) ↗
Organisation und Richtlinien
C5: OIS, SP- Hat basebox ein Managementsystem für Informationssicherheit?
- Ja. Das ISMS der basebox GmbH ist nach ISO/IEC 27001:2022 zertifiziert, mit Datenschutz- und Sicherheitsrichtlinien und jährlichen Überwachungsaudits. Der Geltungsbereich umfasst Herstellung, Implementierung und Betrieb der Software. ISO-27001-Zertifikat (PDF) ↗
- Deckt das Zertifikat auch unseren Server ab?
- Nein. Das Zertifikat beschreibt basebox als Lieferanten, beim Server in Ihrem Haus also die Software und ihre Lieferkette. Den Betrieb des Servers deckt Ihr eigenes ISMS ab.
- Wie prüft basebox die Wirksamkeit seiner Maßnahmen?
- Regelmäßig und bei Anlass: mit Sicherheits- und Datenschutzprüfungen, der Auswertung von Prüfberichten und Protokollen und Tests der Sicherung und Wiederherstellung. Erkenntnisse fließen in Verbesserungen und Schulungen ein.
- Wen erreichen wir zu Datenschutz und Sicherheit?
- Unseren Datenschutzbeauftragten unter datenschutz@basebox.ai. Sicherheitslücken melden Sie an security@basebox.ai. Sicherheitslücken melden →
Personal
C5: HR- Sind die Beschäftigten von basebox zur Vertraulichkeit verpflichtet?
- Ja, alle. Zugriff auf personenbezogene Daten hat nur, wer ihn für die Leistung braucht. Für Berufsgeheimnisträger gilt zusätzlich die Vereinbarung nach § 203 StGB, mit Belehrung über die Strafbarkeit und schriftlicher Verpflichtung einbezogener Dritter. Vereinbarung nach § 203 StGB (PDF) ↗
- Wie werden Beschäftigte geschult?
- Alle Beschäftigten werden zu Datenschutz und Informationssicherheit geschult und sensibilisiert. Administrative Tätigkeiten übernehmen nur geeignete und geschulte Personen; Vertretungen sind geregelt.
- Welche Regeln gelten für die Arbeitsrechner der Entwickler?
- Jede Entwicklerin und jeder Entwickler bestätigt quartalsweise schriftlich, gegengezeichnet: verschlüsselte Festplatte, Bildschirmsperre nach 10 Minuten, Sicherheitsupdates binnen 5 Tagen, Zwei-Faktor-Anmeldung wo möglich, Fernzugriff nur über VPN. Produktivdaten liegen nie lokal, Geheimnisse nie im Versionskontrollsystem.
Rechenzentrum und physische Sicherheit
C5: PS- In welchem Rechenzentrum läuft die Cloud?
- Bei der noris network AG am Standort München-Ost. noris liefert Stellfläche, Strom und Anbindung. Zertifikate und Zutrittskontrollen des Rechenzentrums nennen wir Ihnen auf Anfrage.
- Wer hat physischen Zugang zu den Servern der Cloud?
- Das Personal des Rechenzentrums und unser Hardware-Partner FAST LTA, dem die Server gehören und der sie wartet. Beide stehen in der Liste der Unterauftragsverarbeiter. Liste der Unterauftragsverarbeiter (PDF) ↗
- Wer sorgt beim Server für die physische Sicherheit?
- Sie, wenn der Server in Ihrem Haus steht. Steht er in unserem Rechenzentrum, verantwortet basebox Zutritt, Rack, Strom, Kühlung und Brandschutz.
Betrieb: Kapazität, Schadsoftware, Datensicherung
C5: OPS-01 bis OPS-09- Wie wird die Kapazität geplant?
- In der Cloud skaliert basebox innerhalb der vereinbarten Personenzahl; außergewöhnliche Lasten können ein eigenes Angebot erfordern. Beim Server richtet sich die Größe danach, wie viele Personen gleichzeitig Fragen stellen. Preis berechnen →
- Wie schützt basebox vor Schadsoftware?
- Hochgeladene Dokumente werden in einem isolierten Prozess ausgelesen. Inhalte aus der Websuche kommen nur als reiner Text an, Skripte und aktive Inhalte werden entfernt. Das Backend ist in Rust geschrieben, einer speichersicheren Sprache.
- Wie wird die Cloud gesichert?
- Täglich und verschlüsselt in einem zweiten Rechenzentrum in Deutschland, aufbewahrt 30 Tage. Vor jedem Update sichern wir zusätzlich die Datenbank.
- Wer sichert beim Server?
- Sie, mit Ihren Werkzeugen. basebox hat keine Kopie und keinen Zugriff darauf. Der gesamte Zustand liegt in den Datenbanken und einem Datenverzeichnis; die Dokumentation empfiehlt tägliche Sicherung und einen monatlichen Wiederherstellungstest. Sicherung und Wiederherstellung ↗
- Werden Wiederherstellungen getestet?
- Ja, Wiederherstellungstests gehören zu unseren TOMs. Einzelheiten zu Umfang und Häufigkeit nennen wir Ihnen auf Anfrage.
Protokollierung und Überwachung
C5: OPS-10 bis OPS-17, PSS-04- Was protokolliert basebox?
- Das Audit-Log hält fest, wer was wann getan hat: Anmeldungen und Fehlversuche, Rechteänderungen, Konfiguration, Konnektoren, Chats, Dokumente, Abläufe und Exporte. Es enthält nur Kennungen, keine Namen oder E-Mail-Adressen. Protokoll →
- Kann jemand das Audit-Log ändern oder Einträge löschen?
- Nein. Die Datenbank nimmt nur neue Einträge an und verwirft Änderungen und Löschungen. Einträge laufen erst mit der eingestellten Aufbewahrungsfrist aus.
- Wie lange werden Protokolle aufbewahrt?
- Das Audit-Log 6 Monate, Ihr Administrator stellt 3 bis 36 Monate ein. Systemprotokolle werden nach 7 Tagen gelöscht, wenn Sie nichts anderes einstellen.
- Werden Inhalte von Fragen und Antworten protokolliert?
- Nur, wenn Ihre Organisation die ausführliche Protokollierung einschaltet; dann sehen alle im Chat einen Hinweis, der sich nicht abschalten lässt. Passwörter, Schlüssel und Zugangsdaten für Konnektoren stehen nie im Protokoll.
- Können wir das Audit-Log an unser SIEM geben?
- Heute exportieren wir das Audit-Log auf Anfrage als CSV oder über REST und übergeben es Ihnen. Eine automatische Weiterleitung an Ihr SIEM gibt es derzeit nicht. SIEM-Anbindung ↗
- Wer überwacht den Betrieb?
- In der Cloud basebox: Wir überwachen die Umgebung technisch, werten Protokolle auf ungewöhnliche Ereignisse aus und protokollieren administrative Zugriffe auf die Infrastruktur. Beim Server überwacht Ihre IT, mit Betriebsauftrag basebox die eigenen Softwarebausteine.
Schwachstellen und Updates
C5: OPS-18 bis OPS-29, PSS-02, PSS-03- Wie findet basebox Schwachstellen?
- Jedes Release durchläuft Prüfungen der Abhängigkeiten auf bekannte Schwachstellen (CVE) und eine statische Code-Analyse; bei einer bekannten Schwachstelle schlägt das Release fehl. Dazu werten wir Schwachstelleninformationen laufend aus und lassen Penetrationstests durchführen.
- Gab es einen Penetrationstest?
- Ja. Im November 2025 haben externe Prüfer Web-Anwendung, Schnittstellen und Anmeldung der Cloud getestet, als White-Box-Test mit Quellcode nach OWASP Top 10 und OWASP API Security Top 10. Kritische Befunde sind behoben.
- Wer spielt Sicherheitsupdates ein, und wie schnell?
- Updates sind in der Lizenz enthalten. In der Cloud spielt basebox sie ein, dringende Sicherheitsupdates auch außerhalb des Wartungsfensters. Beim Server ohne Betriebsauftrag spielen Sie sie ein und prüfen dringende Sicherheitsupdates unverzüglich.
- Wie erfahren wir von neuen Versionen?
- Per E-Mail und mit Release Notes zu jeder Version. Auf dem Server installiert sich nichts automatisch.
- Wie melden wir eine Sicherheitslücke?
- An security@basebox.ai. Den Eingang bestätigen wir innerhalb von zwei Werktagen; die Kontaktdaten stehen maschinenlesbar in der security.txt. security.txt →
Trennung der Organisationen
C5: OPS-30, OPS-31, COS-06- Wie sind Kunden in der Cloud voneinander getrennt?
- Jede Organisation bekommt eine eigene virtuelle Kubernetes-Umgebung und eine eigene Benutzerverwaltung (Keycloak). Die Umgebungen laufen auf einem gemeinsam genutzten Server.
- Teilen sich Kunden das KI-Modell?
- In der Cloud standardmäßig ja: Rechenleistung und KI-Modell werden gemeinsam genutzt, jede Anfrage wird ohne dauerhafte Speicherung verarbeitet und bleibt logisch getrennt. Ein KI-Modell nur für Ihre Organisation vereinbaren wir auf Wunsch; den Preis finden Sie in Ihrem persönlichen Angebot.
- Wie ist der Server getrennt?
- Ein Server gehört genau einem Kunden. Grafikprozessoren teilen sich nur Ihre eigenen Dienste.
- Was gilt in der Startumgebung?
- Neue Konten starten in einer gemeinsamen Umgebung bei Hetzner in Nürnberg, logisch voneinander getrennt und mit gemeinsamer Benutzerverwaltung. Für Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO empfehlen wir die Cloud oder den Server. Startumgebung →
Anmeldung und Berechtigungen
C5: IAM, PSS-05 bis PSS-09- Wie melden sich Personen an?
- Über Keycloak mit OpenID Connect (Authorization Code Flow mit PKCE); basebox selbst sieht nie ein Passwort. Angebunden wird Ihre Benutzerverwaltung über LDAP, OIDC oder SAML, etwa Active Directory oder Entra ID. Anmeldung ↗
- Gibt es eine Zwei-Faktor-Anmeldung?
- Ja, als Schalter je Organisation: mit einer Authenticator-App (TOTP), optional per SMS über ein Gateway, das Sie anbinden.
- Wer legt Passwortregeln, Sitzungsdauer und Sperren nach Fehlversuchen fest?
- Ihr Administrator, in den Einstellungen von Keycloak. Bei jeder Anfrage prüft basebox Signatur, Ablauf und Aussteller der Anmeldung.
- Welche Rollen und Rechte gibt es?
- Bewusst wenige Rollen: Personen und Administratoren. Wer eine App baut, gibt sie für Gruppen oder Personen frei, zum Nutzen oder Bearbeiten; wer eine App teilt, teilt nie Daten. Gruppen kommen aus Ihrer Benutzerverwaltung, Änderungen dort gelten auch in basebox. Rechte →
- Gelten Rechte auch für einzelne Dokumente einer App?
- Nein. Wer eine App nutzen darf, erreicht alle Dokumente, die in ihr hinterlegt sind. Über Konnektoren gelten dagegen die Rechte der Person im jeweiligen System.
- Wie greifen Konnektoren auf unsere Systeme zu?
- Mit dem eigenen Zugang der Person, ein gemeinsames Dienstkonto gibt es nicht. Zugangsdaten werden je Person gespeichert und nie angezeigt, das Zielsystem setzt seine Rechte durch. Schreiben ist ab Werk aus. Zugang der Konnektoren ↗
Zugriff durch basebox
C5: IAM-06, IAM-07, SSO- Wer bei basebox kann in der Cloud auf unsere Daten zugreifen?
- Unser Betriebspersonal hat technischen Zugriff auf Datenbanken, Dateien und Protokolle, nur für den Betrieb und nach dem Need-to-know-Prinzip. Jeder Zugriff wird protokolliert, Inhalte sehen wir nicht ein. Das Berechtigungskonzept des Betriebs bekommen Sie auf Anfrage.
- Hat basebox Zugriff auf unseren Server?
- Nein, ohne Betriebsauftrag nicht. Fernwartung gibt es nur auf Ihren Auftrag: über VPN, Bastion Host oder Vergleichbares, zeitlich begrenzt, von Ihnen freigegeben, protokolliert und jederzeit widerrufbar. Nach jedem Wartungsfenster bekommen Sie einen Bericht.
- Wer hat technischen Zugriff auf die Hardware?
- In der Cloud FAST LTA, unser Hardware-Partner, für Bereitstellung, Wartung und Hardware-Service; FAST LTA ist dafür Unterauftragsverarbeiter. Beim Server kaufen Sie Hardware und Servicevertrag bei FAST LTA, dort ist FAST LTA Ihr Vertragspartner und kein Unterauftragsverarbeiter von basebox.
Verschlüsselung
C5: CRY- Ist die Übertragung verschlüsselt?
- Ja. Von außen ist basebox nur über HTTPS auf Port 443 erreichbar, mit Ihrem Zertifikat beim Server und unserem in der Cloud.
- Und zwischen den Diensten innerhalb der Plattform?
- Innerhalb des Clusters sprechen die Dienste über ein privates Netz ohne eigene Verschlüsselung. Überschreitet eine Verbindung Hosts oder Sicherheitszonen, etwa zu einem getrennten GPU-Server, ist TLS Pflicht; TLS zur Datenbank lässt sich erzwingen.
- Sind gespeicherte Daten verschlüsselt?
- Die Anwendung verschlüsselt gespeicherte Daten nicht selbst; geschützt werden sie über verschlüsselte Datenträger. Beim Server richten Sie diese ein, für die Cloud nennen wir Ihnen die Einzelheiten auf Anfrage. Die Sicherungen der Cloud sind verschlüsselt.
- Wie werden Passwörter und Geheimnisse geschützt?
- Passwörter lokaler Konten speichert Keycloak nur als Hash. Datenbank-Passwörter und Schlüssel liegen als Kubernetes- oder Docker-Secrets vor, je Dienst getrennt, und erscheinen nie im Browser oder in Protokollen.
Netz und Kommunikation
C5: COS, PI-01- Was ist von außen erreichbar?
- Ein einziger Zugang über HTTPS für Oberfläche und Anmeldung. Alle anderen Dienste sprechen nur intern miteinander; Personen haben nie eine Verbindung zum KI-Modell oder zu Zielsystemen. Datenfluss →
- Baut der Server Verbindungen nach außen auf?
- Ab Werk nicht: keine Telemetrie, keine Lizenzprüfung, kein Update-Abruf. Nach außen geht nur, was Sie einrichten, etwa Websuche, ein externes Modell, Konnektoren, ein SMS-Dienst oder Ihr SIEM.
- Läuft basebox ohne Internet?
- Ja, der Server läuft vollständig ohne Internet, mit KI-Modell, Dokumenten, Apps, Rechten und Protokoll. Software und Modelle kommen als Offline-Paket über Ihre interne Ablage; nur die Websuche entfällt. Betrieb ohne Internet ↗
- Wohin darf ein Konnektor Verbindungen aufbauen?
- Nur zu den Zielen, die für ihn freigegeben sind; die Websuche erreicht nur ihren Anbieter. Verbindungen zu Konnektoren und zum KI-Modell baut nur der Server von basebox auf, nie das Gerät der Person.
Datenübergabe und Löschung
C5: PI- Wie bekommen wir unsere Daten bei Vertragsende?
- Nach Ihrer Wahl geben wir die Daten zurück oder löschen sie, soweit keine gesetzliche Aufbewahrungspflicht besteht. In der Cloud unterstützen wir den Export in einem gängigen Format nach Abstimmung mit Ihnen; danach nehmen wir Ihre Umgebung außer Betrieb und löschen sie. AVV →
- Was geschieht mit den Sicherungen?
- Gelöschte Daten verschwinden aus den Sicherungen der Cloud, wenn diese nach 30 Tagen auslaufen. Beim Server bestimmen Sie selbst, wie lange Sie Sicherungen aufbewahren.
- Wie werden Daten im laufenden Betrieb gelöscht?
- Personen löschen ihre Chats und Dokumente selbst, Administratoren Personen und alles, was ihnen gehört. Beim Löschen eines Dokuments entfernt basebox das Original, den ausgelesenen Text und den Suchindex. Löschen ↗
- Wer löscht beim Server?
- Sie. Beim Server verantworten Sie Sicherung, Export, Aufbewahrung und Löschung selbst.
- Über welche Schnittstellen kommen Daten heraus?
- Über eine REST-Schnittstelle mit eigenem Schlüssel je Person, der sich widerrufen lässt und dessen Nutzung protokolliert wird. Dazu gibt es den Export des Audit-Logs als CSV. basebox setzt auf offene Standards wie OIDC, SAML, LDAP und PostgreSQL.
Entwicklung und Änderungen
C5: DEV- Womit ist basebox gebaut?
- Das Backend ist in Rust geschrieben, einer speichersicheren Sprache ohne Laufzeitumgebung. Die Oberfläche ist eine Vue-3-Anwendung, die über GraphQL mit dem Backend spricht; für eigene Anwendungen gibt es REST und eine OpenAI-kompatible Schnittstelle. Anmeldung über Keycloak, Daten in PostgreSQL, Betrieb als Container auf Kubernetes. Komponenten in der Dokumentation ↗
- Wie wird ein Release geprüft und freigegeben?
- Vor jedem Release laufen statische Code-Analyse, Prüfung der Abhängigkeiten und bekannter Schwachstellen, Unit-Tests, eine Testinstallation und manuelle Qualitätssicherung. Freigegeben wird im Vier-Augen-Prinzip.
- Gibt es eine Software-Stückliste (SBOM)?
- Ja, automatisch zu jedem Release. Kunden sehen sie vollständig in ihrer basebox, vor dem Kauf schicken wir sie auf Anfrage. Weitere Pflichten nach dem Cyber Resilience Act setzen wir bis Dezember 2027 um. SBOM anfordern →
- Woher kommen Software und KI-Modelle?
- Als versionierte Container-Images aus der Registry von basebox oder als Offline-Paket, installiert per Helm-Chart. Ein Modellregister dokumentiert Herkunft, Version und Lizenz jedes KI-Modells. Modellregister ↗
- Sind die Images signiert?
- Noch nicht, die Signierung ist in Vorbereitung. Bis dahin weisen Image-Digests nach, dass die Images unverändert sind.
- Wie werden Änderungen nachvollziehbar?
- Jede Version hat Release Notes und einen Changelog. Datenbankmigrationen sind nummeriert, per Prüfsumme gesichert und laufen nur vorwärts; vor jedem Update ist eine Sicherung der Datenbank Pflicht.
Lieferanten und Unterauftragsverarbeiter
C5: SSO- Welche Unterauftragsverarbeiter setzt basebox in der Cloud ein?
- noris network (Rechenzentrum München-Ost) und FAST LTA (Server und Hardware-Service). Für zusätzliche Rechenleistung nutzen wir Anbieter wie STACKIT oder Mistral AI in der EU, oder den Anbieter, den Sie vorgeben, etwa über Ihren Rahmenvertrag mit Microsoft Azure. Welche für Sie tätig sind, steht in der Liste. Anbieter, die Sie selbst beauftragen und anbinden, sind keine Unterauftragsverarbeiter von basebox. Liste der Unterauftragsverarbeiter (PDF) ↗
- Wie erfahren wir von Änderungen bei Unterauftragsverarbeitern?
- Wir informieren Sie vorab mit angemessener Frist. Aus wichtigem datenschutzrechtlichem Grund können Sie widersprechen.
- Werden unsere Daten zum Training verwendet?
- Nein. KI-Dienstleister setzen wir nur ein, wenn deren Vertrag ein Training mit den übermittelten Daten ausschließt.
- Was gilt für die App mit externem Modell?
- Sie läuft bei Google Vertex in Frankfurt und ist eine eigene App, die Ihr Administrator nur für ausgewählte Gruppen freigibt. Google trainiert nicht mit Ihren Eingaben und protokolliert sie zur Missbrauchserkennung längstens 30 Tage; als US-Unternehmen unterliegt Google dem US Cloud Act. Vergleich →
- Was gilt für die Websuche?
- Sie läuft über Staan.ai in der EU und nur, wenn Sie sie freischalten. Übermittelt wird nur der Suchbegriff, ohne Identität und IP-Adresse der Person; mit Staan haben wir einen AVV, ein Training ist ausgeschlossen. Websuche →
Sicherheitsvorfälle
C5: SIM, OPS-24- Wie schnell meldet basebox eine Verletzung des Datenschutzes?
- Unverzüglich nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO. Was sich erst später klärt, liefern wir ohne unangemessene Verzögerung nach.
- Gibt es eine Meldefrist in Stunden, etwa für NIS2?
- Nein, der Vertrag sagt „unverzüglich“. Wir melden sofort nach Bekanntwerden, damit Sie Ihre eigenen Fristen einhalten können.
- Werden wir auch über andere Sicherheitsvorfälle informiert?
- Ja. Bei bekannten systemischen Risiken oder sicherheitsrelevanten Vorfällen informieren wir betroffene Kunden unverzüglich. Ausgenutzte Schwachstellen melden wir nach dem Cyber Resilience Act seit dem 11. September 2026.
- Wie melden wir einen Vorfall?
- Über den Support; wir prüfen ihn im Rahmen des Supports. Für Vorfälle in Ihrer eigenen Infrastruktur bleiben Sie verantwortlich, weitergehende Unterstützung vereinbaren wir gesondert.
- Wie gehen Beschäftigte von basebox mit Vorfällen um?
- Sie melden jeden Vorfall sofort an eine zentrale Stelle. Für Sicherheitsvorfälle gibt es dokumentierte Abläufe, jeder Vorfall wird mit Belegen festgehalten.
Notfall und Wiederanlauf
C5: BCM, GC-03, GC-04- Gibt es ein Notfallmanagement?
- Ja. Notfall- und Wiederherstellungsprozesse, Wiederherstellungstests und Schutz gegen zufällige Zerstörung sind Teil unserer TOMs. Einzelheiten nennen wir Ihnen auf Anfrage. TOMs (PDF) ↗
- Welche Wiederanlaufzeiten (RTO, RPO) gelten?
- Feste Wiederanlaufzeiten sagen wir nicht zu. Störungen beheben wir mit angemessener Sorgfalt, wo nötig zuerst mit einer Umgehungslösung. Hochverfügbarkeit und ein Notfall-Rechenzentrum gehören nicht zum Leistungsumfang.
- Was passiert, wenn unser Server ausfällt?
- Defekte Teile, auch Grafikprozessoren, tauscht FAST LTA im Rahmen des Servicevertrags. Fällt der Server ganz aus, stellen Sie basebox aus Datenbanken und Datenverzeichnis auf neuer Hardware wieder her; für Ausfallsicherheit lassen sich mehrere Server zusammenschalten.
- Was geschieht, wenn das KI-Modell ausfällt?
- basebox zeigt einen Fehler. Einen stillen Wechsel auf ein anderes Modell gibt es nicht.
Compliance und Nachweise
C5: COM, GC-06- Welche Zertifikate und Testate hat basebox?
- basebox ist nach ISO 27001 zertifiziert. Das Testat BSI C5 Typ 1 für die Cloud ist in Arbeit, geplant nach C5:2026. Zertifikate →
- Brauchen wir für den Server ein C5-Testat?
- Nein. C5 gilt für Cloud-Dienste; beim Server gelten Ihre Vorgaben als Betreiber. BSI C5 →
- Dürfen wir basebox prüfen?
- Ja. Vorrangig mit unseren Nachweisen; eine Prüfung vor Ort gibt es, wenn die Nachweise nicht genügen und ein berechtigter Anlass besteht, angekündigt und auf Ihre Kosten.
- Welche Unterlagen bekommen wir für unsere Prüfung?
- Kurzübersicht Datenschutz und Informationssicherheit, AVV, Liste der Unterauftragsverarbeiter, TOMs, Vereinbarung nach § 203 StGB, ISO-27001-Zertifikat und SBOM. Die Beschreibung von Architektur und Datenflüssen (auf Englisch) schicken wir auf Anfrage. Architektur anfordern →
- Hilft basebox bei NIS2, KRITIS und B3S Krankenhaus?
- Die Pflichten liegen bei Ihnen als Betreiber; basebox liefert als Lieferant die Nachweise. Eine Zuordnung unserer Maßnahmen zum B3S Krankenhaus erstellen wir gerade, Sie bekommen sie auf Anfrage. NIS2, KRITIS, B3S →
- Wie ordnet sich basebox im EU AI Act ein?
- basebox ist eine Plattform, kein Hochrisiko-KI-System; Ihre Pflichten hängen vom Einsatz ab. Dafür gibt es Modellregister, Protokoll, Freigabe schreibender Aktionen durch Menschen und Schulungen zur KI-Kompetenz. EU AI Act →
- Dürfen Verschlusssachen oder Leittechnik an basebox?
- Nein. basebox hat keine Zulassung für VS-NfD, Verschlusssachen gehören nicht hinein. Leitsysteme und Anlagensteuerung werden nicht angebunden, basebox arbeitet mit Dokumenten und Bürosystemen. KRITIS und Behörden →
Anfragen von Behörden
C5: INQ, GC-05- Gibt basebox Daten an Behörden heraus?
- Nur, wenn eine behördliche oder gerichtliche Anordnung uns dazu verpflichtet. Soweit im Einzelfall zulässig und möglich, informieren wir Sie vorher; so regelt es die Vereinbarung nach § 203 StGB.
- Unterliegt basebox dem US Cloud Act?
- Nein, basebox ist ein deutsches Unternehmen. Für die App mit externem Modell bei Google gilt der Cloud Act, weil Google ein US-Unternehmen ist.
- Was gilt beim Server?
- Ohne Betriebsauftrag hat basebox keinen Zugriff auf Ihre Daten und kann deshalb keine herausgeben. Anfragen von Betroffenen beantworten wir nicht selbst, sondern nur auf Ihre Weisung.
Einstellungen für Ihre Sicherheit
C5: PSS-01, PSS-12- Was stellen wir selbst ein?
- Zweiten Faktor, Passwortregeln, Sitzungen und Sperren, Detailstufe und Aufbewahrung des Protokolls, Websuche, Konnektoren mit einzeln freigegebenen Schreibrechten und die Freigabe von KI-Modellen für Apps und Gruppen.
- Ist die Websuche ab Werk aus?
- Ja. Sie schalten sie je App frei, vor der ersten Suche bestätigt jede Person. Webinhalte erreichen keine internen Daten; wir empfehlen, Websuche und interne Konnektoren nicht in derselben App zu verbinden.
- Was dürfen KI-Agenten?
- Nur, was die Person darf, in deren Namen sie handeln. Schreibende Aktionen sind ab Werk aus und laufen erst nach Freigabe durch einen Menschen.
- Prüft basebox die Antworten des KI-Modells vorab?
- Nein. Jede Antwort zeigt ihre Quellen mit der zitierten Textstelle, Modell und Version sind dokumentiert; die Fachperson prüft an der Quelle und verantwortet die Verwendung. Nachvollziehbarkeit →
- Welche Kontrollen liegen bei uns?
- Personen, Gruppen und Freigaben pflegen, den zweiten Faktor einschalten, das Audit-Log auswerten und die Folgenabschätzung erstellen. Beim Server zusätzlich Betrieb, Netz, Verschlüsselung der Datenträger und Sicherung. Vorlage Folgenabschätzung →
Diese Antworten sind eine unverbindliche Auskunft; maßgeblich sind Ihr Vertrag, der AVV und die TOMs. Sicherheit und Nachweise →