Sicherheit ist ein Kernbestandteil unserer Entwicklungsarbeit. Diese Seite beschreibt, was heute tatsächlich auf unsere Architektur und unsere Praktiken zutrifft — keine Marketing-Checkliste. Wo wir etwas noch nicht abgeschlossen haben (ein formelles Audit, eine Zertifizierung), sagen wir das klar, statt etwas anderes anzudeuten.
Gesundheitswesen und HIPAA
Derzeit sind die Produkte von Divinci nicht für geschützte Gesundheitsdaten (Protected Health Information, PHI) freigegeben. Für die Divinci-Plattform besteht kein Business Associate Agreement; geben Sie keine PHI in die Plattform ein.
Wir bereiten ein separates Angebot für den Einsatz im Gesundheitswesen vor: eine dedizierte Chat-Laufzeitumgebung, die in einem eigenen Google-Cloud-Projekt gehostet und vom Rest der Divinci-Plattform getrennt wird. Sie ist so konzipiert, dass sie keine Gesprächsverläufe speichert. Wir schließen derzeit noch keine Business Associate Agreements ab.
Was dies nicht ist: eine HIPAA-Compliance-Zertifizierung. Es gibt kein staatlich ausgestelltes HIPAA-Zertifikat, und wir behaupten nicht, HIPAA-konform zu sein. Compliance ergibt sich aus dem Zusammenspiel technischer Schutzmaßnahmen, schriftlicher Richtlinien und unterzeichneter Business Associate Agreements mit jedem Anbieter im Datenpfad, jeweils für die einzelne Kundenbeziehung bewertet. Wir haben schriftliche Richtlinien verabschiedet, die noch rechtlich geprüft werden; sobald sich das ändert, schreiben wir es hier.
Datenschutz
Verschlüsselung
- Bei der Übertragung: TLS durchgängig zwischen Clients, unserem Edge und unserer Origin-Infrastruktur.
- Im Ruhezustand: Verschlüsselung auf Anbieterebene für unseren primären Datenspeicher und unseren Objektspeicher, ergänzt um eine eigene Feldverschlüsselungsebene für als sensibel gekennzeichnete Felder.
- Verwaltung von Geheimnissen: Zugangsdaten und API-Schlüssel werden über einen zentralen Secrets-Manager verwaltet, nicht fest im Code hinterlegt oder im Klartext in Konfigurationen gespeichert. Die Produktionsumgebung ist so konfiguriert, dass sie „fail closed“ reagiert, statt bei nicht erreichbarem Secrets-Dienst unbemerkt auf veraltete Zugangsdaten zurückzufallen.
Datenminimierung
- Optionale PII-Schwärzung (Microsoft Presidio) kann auf Chat-Inhalte angewendet werden, bevor sie gespeichert oder an einen KI-Anbieter gesendet werden. Es handelt sich um Entitätserkennung, nicht um eine HIPAA-Feststellung der De-Identifikation, und sie macht ein Produkt nicht für PHI geeignet.
- Protokolle enthalten laut Richtlinie ausschließlich Metadaten: Wir schreiben keine Nachrichteninhalte, E-Mail-Adressen oder sonstigen personenbezogenen Daten in Anwendungsprotokolle oder Fehlermeldungen.
Zugriffskontrollen
- Authentifizierung über Auth0.
- Rollenbasierte Zugriffskontrolle (auf Plattformebene) plus Berechtigungen pro Ressource (auf Dokument-/Workspace-Ebene) — standardmäßig nach dem Prinzip der geringsten Rechte.
- Manipulationssichere Audit-Protokollierung: Zugriffe auf sensible Datensätze werden in einem Hash-verketteten Protokoll erfasst, das so konzipiert ist, dass Einträge nachträglich nicht unbemerkt verändert werden können.
- Vierteljährliche Überprüfungen von Zugriffen und Konfigurationen der Produktionsdienste.
Anwendungssicherheit
- XSS-Abwehr an der Rendering-Grenze: von Nutzern und von KI erzeugte Inhalte werden überall dort bereinigt (DOMPurify), wo sie als HTML gerendert werden; das Einschleusen von rohem HTML aus nicht vertrauenswürdigen Quellen ist nicht zulässig.
- Autorisierungstests: Wir führen eigene KI-gestützte und manuelle Sicherheitstests gegen Staging und Produktion durch, einschließlich authentifizierter Autorisierungs-/IDOR-Prüfungen — das ist (noch) kein wiederkehrendes Programm für Penetrationstests durch Dritte, und wir werden ein solches auch nicht behaupten, solange es nicht existiert.
- Abhängigkeits- und Code-Review: reguläres Code-Review für alle Änderungen; Aktualisierungen von Abhängigkeiten werden über unser normales Build-Tooling nachverfolgt.
Verfügbarkeit & Überwachung
- Synthetisches Monitoring kundenseitiger Endpunkte, das den Bereitschaftsdienst innerhalb von Minuten nach einem echten Ausfall über PagerDuty alarmiert — und nicht erst bei Serverfehlern; die Prüfungen verifizieren den Inhalt, nicht nur „kam ein 200 zurück“.
- Multi-Region-Infrastruktur (Cloudflare Edge + Google Cloud Origin) mit automatisierten Backups unseres primären Datenspeichers.
- Wir veröffentlichen derzeit keine vertragliche Verfügbarkeitszusage (Uptime SLA). Wenn Ihr Anwendungsfall eine benötigt, fragen Sie uns — wir können besprechen, was für Ihre Bereitstellung realistisch ist.
Reaktion auf Sicherheitsvorfälle
Wir unterhalten einen dokumentierten Prozess zur Reaktion auf Sicherheitsvorfälle: Erkennung und Klassifizierung, Eindämmung, eine ehrliche Bewertung, ob ein Vorfall die Schwelle zu einer meldepflichtigen Datenschutzverletzung erreicht, Behebung sowie eine schuldfreie Nachbetrachtung (Post-Mortem), die in unsere künftige Überwachung einfließt. Wenn Sie Kunde mit einem Business Associate Agreement mit uns sind, legt dieser Vertrag unsere Benachrichtigungspflichten Ihnen gegenüber fest — es gelten diese Vertragsbedingungen, nicht diese Seite.
Um ein Sicherheitsproblem oder eine vermutete Schwachstelle zu melden, schreiben Sie an security@divinci.ai. Wir betreiben derzeit kein formelles Bug-Bounty-Programm; wir nehmen Meldungen jedoch ernst und arbeiten nach Treu und Glauben mit Ihnen zusammen.
Wo wir bei formellen Zertifizierungen stehen
Wir sagen es direkt, da viele Sicherheitsseiten das nicht tun:
- HIPAA: Wir besitzen keine HIPAA-Zertifizierung und behaupten keine Konformität. Siehe „Gesundheitswesen und HIPAA“ weiter oben.
- SOC 2: noch nicht begonnen. Es steht auf unserer Roadmap; wir aktualisieren diese Seite, sobald es etwas Belastbares zu berichten gibt — nicht früher.
- ISO 27001, FedRAMP, PCI DSS: Diese Zertifizierungen besitzen wir nicht. Kartenzahlungen werden über Stripe abgewickelt; Divinci speichert Karteninhaberdaten nicht selbst.
Uns ist es lieber, hier zu wenig zu behaupten und dafür Vertrauen zu genießen, als zu viel zu behaupten und es später zurücknehmen zu müssen.
Kontakt
Sicherheitsfragen, Schwachstellenmeldungen oder Compliance-Fragen zu einem konkreten Geschäft: security@divinci.ai