Sicherheitsmodell: delegierte Rechte statt Sammel-Account.
Ihre KI greift auf Microsoft-Exchange-Postfächer zu, ohne dass Sie Ihr Rechtekonzept verbiegen müssen. Jeder Nutzer arbeitet nur mit seinen eigenen Berechtigungen, Postfachinhalte reichen wir standardmäßig ohne Speicherung durch, gehostet wird in Deutschland, und der AVV gilt ab dem ersten Tag.
Sechs Prinzipien, die den Unterschied machen
Dieselben Zusagen stehen verbindlich im Auftragsverarbeitungsvertrag, Anlagen 1 und 2.
Delegierte Rechte statt Sammel-Account
Jeder Mitarbeiter greift mit seinen eigenen, bestehenden Exchange-Berechtigungen zu. Es gibt kein zentrales Dienstkonto mit Zugriff auf alle Postfächer und keine Application Impersonation. Der klassische „General-Schlüssel" existiert bei Postfach-KI schlicht nicht.
Der Zwischenspeicher ist standardmäßig aus
Postfachinhalte speichern wir standardmäßig nicht, sie laufen nur durch. Dauerhaft liegen bei uns verschlüsselte Zugangsdaten und technische Metadaten (wer, wann, welche Funktion). Wenn Sie wollen, schalten Sie je Organisation einen verschlüsselten Zwischenspeicher ein: umgewandelte Mailtexte und Text aus Anhängen, voreingestellt 7 Tage lang und höchstens 32 MB je Postfach. Im Portal schalten Sie ihn jederzeit wieder aus, und Mail ab einer von Ihnen gesetzten Vertraulichkeitsstufe bleibt außen vor.
Verschlüsselter Zugangsdaten-Tresor
Exchange-Zugangsdaten liegen RSA-4096-verschlüsselt in einem Vault in Deutschland. Cross-User-Isolation: niemand sieht das Postfach eines anderen.
Mandantentrennung
Pro Organisation läuft eine dedizierte, gehärtete Instanz mit eigener Konfiguration und eigenem Datenbestand, keine geteilte Umgebung mit anderen Kunden.
Datenstandort Deutschland
Wir verarbeiten ausschließlich in einem deutschen Rechenzentrum, betrieben von einem ISO-27001-zertifizierten Anbieter. Auf Wunsch bleibt mit einem lokalen KI-Modell sogar die gesamte Verarbeitung in Ihrem eigenen Rechenzentrum.
Grenzen, die Ihr Administrator selbst setzt
Im Portal legt der Administrator Ihrer Organisation fest, was erlaubt ist: je Bereich (E-Mail, Kalender, Kontakte, Aufgaben, Ordner, Regeln) und je Art des Zugriffs (lesen, schreiben, senden, löschen), für die ganze Organisation, für einzelne Gruppen oder für einzelne Nutzer. Was nicht freigegeben ist, weist der Server ab. Dazu kommt ein Kontingent, wie viele Empfänger ein Nutzer pro Stunde anschreiben darf (voreingestellt 100), und ein Not-Aus, der jeden weiteren Zugriff sperrt, sofort und ohne Neustart. Sicherheitsrelevante Ereignisse werden ohne Inhalte auditiert.
Was passiert mit einer Anfrage?
Ihr KI-Assistent stellt eine Anfrage an Postfach-KI. Unser Server in Deutschland (bei der self-hosted-Lizenz Ihr eigener Server) holt die angefragten Daten mit den Rechten des jeweiligen Nutzers aus Ihrem Exchange und reicht sie an den von Ihnen gewählten Assistenten durch, wie ein transparenter Proxy, mit TLS-Verschlüsselung auf allen Strecken. Danach ist der Vorgang für uns beendet, standardmäßig bleibt keine Kopie und kein Inhalts-Log zurück. Erst wenn Sie den Zwischenspeicher einschalten, halten wir Mailtexte für die eingestellte Frist verschlüsselt vor. Ihre Postfächer bleiben zu jedem Zeitpunkt in Ihrem Exchange. Welches KI-Modell die Inhalte verarbeitet, entscheiden Sie, bis hin zum komplett lokal betriebenen Modell.
OWASP Top 10 for LLM Applications 2025, Punkt für Punkt beantwortet
Zu jedem Punkt der Liste steht hier der Mechanismus, der ihn abdeckt, und sein Stand im Code.
Wir haben gegen die Fassung 2025 der Liste geprüft.
LLM01:2025 Prompt Injection
Lesende Funktionen kennzeichnen ihr Ergebnis als fremden Inhalt, mit dem ausdrücklichen Hinweis, dass es Datenmaterial ist und keine Anweisung. Ein Musterscan stuft den Inhalt ein und zählt Treffer.
Der Scan kennzeichnet und zählt, er entfernt nichts. In der von uns gehosteten Instanz fehlt außerdem die Bestätigung im zweiten Aufruf als letzte Bremse vor dem Versand.
LLM02:2025 Sensitive Information Disclosure
Exchange-Zugangsdaten liegen nur verschlüsselt und werden je Identität aufgelöst, jede mit eigenem Datenschlüssel. Protokolle schwärzen sensible Felder, maskieren Adressen und führen die Identität als Pseudonym. Postfachspiegel und Vektorspeicher entstehen nur, wenn der Betreiber sie einschaltet.
Postfachinhalt geht bestimmungsgemäß an den angebundenen KI-Client, und was dort damit geschieht, liegt außerhalb dieses Servers.
LLM03:2025 Supply Chain
Das Basisimage hängt an einer festen Prüfsumme statt an einem beweglichen Namen. Die Programmbibliotheken kommen mit Version und Prüfsumme aus einer Sperrdatei, und ein Wächter merkt, wenn jemand die Anforderungen ohne neue Sperrdatei ändert.
Eine Stückliste der Bestandteile gibt es nicht, und einen automatischen Abgleich gegen Schwachstellenmeldungen auch nicht.
LLM04:2025 Data and Model Poisoning
Wir trainieren kein Modell und geben keine Kundendaten in ein Training. Gespeicherte Daten stammen ausschließlich aus dem Postfach der jeweiligen Identität und liegen je Identität getrennt.
Eine absichtlich präparierte Mail steht im eigenen Postfach und kann eine spätere Suche färben. Eine Herkunftsbewertung einzelner Einträge gibt es nicht.
LLM05:2025 Improper Output Handling
HTML, das wieder in eine Mail eingesetzt wird, läuft durch eine Positivliste aus Tags, Attributen und Adressschemata. Datenbankzugriffe laufen über Parameter.
Im voreingestellten Leseformat geben die Funktionen das Original-HTML der Mail unverändert weiter. Gereinigt wird der Weg zurück in eine Mail, nicht der Weg heraus. Ob der angebundene Client eine Antwort als Text behandelt oder als HTML darstellt, kann dieser Server nicht bestimmen.
LLM06:2025 Excessive Agency
Zugriff gibt es nur mit geprüfter Identität und deren eigenen Exchange-Rechten, ohne Identität weist der Server ab. Es gibt kein Sammelkonto und keine Impersonation. Not-Aus und Versandgrenze halten den Versand an, ohne den Dienst neu zu starten.
Die Erlaubnismatrix je Organisation, Gruppe und Nutzer wirkt erst, wenn der Administrator sie scharf schaltet. Die Bestätigung im zweiten Aufruf vor Senden und Löschen läuft in der selbst betriebenen Installation, in der von uns gehosteten Instanz ist sie aus.
LLM07:2025 System Prompt Leakage
Der Systemtext des Servers trägt kein Geheimnis, und die Rechte hängen nicht an ihm, sondern an den Exchange-Rechten der Identität.
Der Text ist vom Betreiber überschreibbar, und was dort steht, sieht jeder angebundene Client.
LLM08:2025 Vector and Embedding Weaknesses
Jeder Zugriff auf den Vektorspeicher verlangt eine Identität und läuft gegen eine Tabelle mit erzwungener Zeilensicherheit, Schlüssel ist ein Pseudonym. Betreff, Mailtext und Text aus Anhängen kommen dort nie hinein.
Die Vektoren selbst sind nicht verschlüsselt, wer die Datenbankrolle umgeht, umgeht auch die Regel. Was in den Index einfließt, wird nicht auf untergeschobene Anweisungen geprüft.
LLM09:2025 Misinformation
Die Funktionen liefern Postfachdaten aus der Quelle, Exchange bleibt führend. Fremder Inhalt trägt eine Herkunftsmarkierung. Eine Systemkarte weist Anbieter, Modell und Ziel offen aus.
Der Server prüft keine Modellausgabe. Ob eine Zusammenfassung stimmt, misst er nicht, und einen Belegzwang je Aussage gibt es nicht.
LLM10:2025 Unbounded Consumption
Die Aufrufrate ist je Identität begrenzt, die Arbeitswarteschlange gedeckelt, die Nebenläufigkeit gegen Exchange beschränkt und der Versand je Identität und Stunde gedeckelt.
Hinter mehreren Knoten gilt die Grenze je Knoten, solange der gemeinsame Zähler nicht auf der Datenbank liegt. Die Kosten eines angebundenen Modells begrenzt dieser Server nicht.
Das vollständige Blatt nennt zu jedem Punkt den Mechanismus, das Urteil, die Einschränkung und die Stelle im Code. Wir geben es auf Anfrage heraus.
Blatt anfragen →Was gegen Anweisungen im Mailtext läuft
Eine E-Mail kann Text enthalten, der wie ein Auftrag an das Modell aussieht. Drei Dinge greifen dagegen.
Fremder Text bleibt als fremder Text erkennbar
Jedes Leseergebnis trägt den Hinweis, dass es Datenmaterial ist und keine Anweisung. Das Modell bekommt die Herkunft mitgeliefert, nicht nur den Inhalt.
Ein Musterscan auf untergeschobene Anweisungen
Er erkennt Anweisungssätze in Deutsch und Englisch, Steuerzeichen aus Chatvorlagen, versteckten Text und unsichtbare Zeichen. Jeder Treffer wird gekennzeichnet und gezählt.
Empfänger, die nur aus fremdem Text stammen
Steht eine Adresse allein in gelesenem Fremdtext, verschärft der Egress-Wächter die Rückfrage vor dem Versand. Das greift dort, wo die Bestätigung vor dem Versand läuft, also in der selbst betriebenen Installation.
Wir haben mit garak von NVIDIA geprüft, einer öffentlichen Angriffsliste für untergeschobene Anweisungen aus Dokument- und Mailinhalt. Jeder Fall der Liste steht bei uns als eigener Test, und gewöhnliche Post löst dabei keinen Fehlalarm aus.
Häufige Fragen
Ist der Einsatz DSGVO-konform?
Ja. Die Verarbeitung findet in Deutschland statt, ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird direkt bei der Registrierung geschlossen, inklusive dokumentierter technischer und organisatorischer Maßnahmen und Subprozessorenliste. Registrierte Nutzer finden den Vertrag jederzeit im Portal.
Warum ist ein Service-Account mit Zugriff auf alle Postfächer ein Risiko?
Ein Konto mit organisationsweitem Postfach-Zugriff ist ein einzelner Angriffspunkt: Wird es kompromittiert, sind alle Postfächer offen, und jede Aktion läuft unter derselben Identität, ohne personenbezogene Nachvollziehbarkeit. Postfach-KI verzichtet vollständig darauf.
Welche Daten speichert Postfach-KI dauerhaft?
Dauerhaft liegen bei uns verschlüsselte Exchange-Zugangsdaten (RSA-4096, Vault in Deutschland), Portal-Konten (Name, geschäftliche E-Mail, Passwort-Hash) und technische Audit-Metadaten ohne Inhalte. Postfachinhalte sind standardmäßig nicht dabei, sie bleiben in Ihrem Exchange. Schalten Sie den Zwischenspeicher ein, kommen umgewandelte Mailtexte und Text aus Anhängen dazu, verschlüsselt und voreingestellt nach 7 Tagen gelöscht.
Sieht der KI-Anbieter unsere E-Mails?
Das bestimmen Sie: Sie wählen den KI-Assistenten selbst und verbinden ihn mit dem Dienst. Welches Modell Inhalte verarbeitet, liegt in Ihrer Hand. Mit einem lokal betriebenen Modell (z. B. Ollama) verlässt kein Inhalt Ihre Umgebung. Eine eigene KI betreiben wir nicht.
Sicherheit, die Ihr Datenschutzbeauftragter unterschreibt.
AVV mit TOMs und Subprozessorenliste wird direkt bei der Registrierung geschlossen, und der Test läuft mit genau dem Modell, das später produktiv gilt.