Sicherheit, Datenschutz und KI verwalten

Zweck und Einsatzbereich

NeuraPort bündelt mehrere eigenständige Sicherheits-, Datenschutz- und KI-Werkzeuge. Organisationsadministratoren finden in Einstellungen unter anderem Allgemein, KI-Automatisierung, Sicherheitsvorfälle (NIS2), Access Review (SOC2), Audit-Export (SIEM), KI-Kosten, DSGVO-Anträge, KI-Register (AI Act) und Sicherheit & Passkeys. Der separate Hauptmenüpunkt Datenschutz (DSGVO) führt die internen Betroffenenanfragen.

Die Bereiche erfüllen unterschiedliche Aufgaben:

MFA-Richtlinie, persönliche MFA, Passkeys und Sitzungen schützen Benutzerkonten.
Sicherheitsvorfälle, Access Review und Audit-Export unterstützen interne Kontroll- und Nachweisprozesse.
KI-Automatisierung, KI-Kosten und KI-Register (AI Act) dokumentieren Freigabegrenzen, Nutzung und selbst erfasste KI-Systeme.
DSGVO-Anträge nimmt öffentliche Anfragen zur manuellen Prüfung auf; Datenschutz (DSGVO) sammelt eine begrenzte Datenvorschau und führt Auskunft, Anonymisierung oder Ablehnung aus.

Keine Compliance-Zusage: Die Bezeichnungen NIS2, SOC2, AI Act und DSGVO kennzeichnen unterstützende Arbeitsbereiche. Sie beweisen weder Zertifizierung noch Rechtskonformität. Fristen, Meldepflicht, Rechtsgrundlage, Identität, Aufbewahrung und Vollständigkeit müssen durch die verantwortlichen Personen geprüft werden.

Wichtige Datenschutzgrenze: NeuraPort besitzt Maskierungsfunktionen vor externen KI-Aufrufen, aber keinen belegten einheitlichen Vollanonymisierungs- oder EU-Residenzschalter in der Administrationsoberfläche. Je KI-Funktion werden unterschiedliche Inhalte maskiert. E-Mail-Adressen, Telefonnummern, IBAN und bestimmte Steuerkennungen werden in den geprüften Hauptwegen entfernt; einige Wege erkennen zusätzlich Personennamen. Firmen, Logistikreferenzen, EORI, Datei- und Aktenbezüge, Beträge und Daten können dagegen für die fachliche Analyse erhalten bleiben. Behandeln Sie KI-Eingaben deshalb nicht als vollständig anonymisiert.

Voraussetzungen und Berechtigungen

Die sichtbaren und serverseitigen Berechtigungen sind nicht überall deckungsgleich:

Bereich	Sichtbarer Zugriff	Zusätzliche Voraussetzung
Allgemein → MFA für alle Benutzer verpflichtend	ADMIN des Mandanten	Plattformoperatoren dürfen keine Mandanten-MFA-Richtlinie ändern. Der Server akzeptiert auch MANAGER, die aktuelle Einstellungsoberfläche zeigt den Schalter Managern jedoch nicht.
Sicherheit & Passkeys	Jeder angemeldete interne Benutzer für das eigene Konto	Unterstützter Browser und Gerätemethode; Kennwort beziehungsweise MFA-Code für sensible MFA-Aktionen.
KI-Automatisierung	Für interne Benutzer lesbar; nur ADMIN kann ändern	Organisationsweite Einstellung; Plattformoperator sieht sie nicht als Mandantenkonfiguration.
Sicherheitsvorfälle (NIS2)	Im aktuellen Einstellungsmenü nur ADMIN	Der Server akzeptiert ADMIN und MANAGER. Plattformoperatoren sind ausdrücklich ausgeschlossen.
Access Review (SOC2)	Im aktuellen Einstellungsmenü nur ADMIN	Compliance-Modul für Mandant und aktuelle OE, OE-Zuweisung, Rollenrecht und Zugriff auf alle OEs.
Audit-Export (SIEM)	Im aktuellen Einstellungsmenü nur ADMIN	Audit-Zugriff und Zugriff auf alle OEs; Plattformoperatoren sind ausgeschlossen.
KI-Kosten	Im aktuellen Einstellungsmenü nur ADMIN	AI-Automation-Modul, aktuelle OE, Benutzerzuweisung und erforderliches Recht.
KI-Register (AI Act)	Im aktuellen Einstellungsmenü nur ADMIN	AI-Automation-Modul; der Server akzeptiert zusätzlich MANAGER. Plattformoperatoren sind ausgeschlossen.
DSGVO-Anträge	Im aktuellen Einstellungsmenü nur ADMIN	Organisationsweiter Mandantenkontext. Der Server akzeptiert zusätzlich MANAGER.
Datenschutz (DSGVO)	Hauptmenü für ADMIN und MANAGER	Organisationsweiter Zugriff auf personenbezogene Daten des eigenen Mandanten; Plattformoperatoren sind ausgeschlossen.
KI-Qualität	Nur Plattformoperator	Plattformweite, organisationsübergreifende Qualitätsauswertung; kein Bedienweg für Mandantenadministratoren.

Die spezialisierten Register sind mandantenweit und besitzen keinen eigenen OE-Filter. Das ist für organisationsweite Kontrollaufgaben vorgesehen, bedeutet aber, dass berechtigte Administratoren Inhalte aller Organisationseinheiten des Mandanten sehen können. Verwenden Sie dafür nur eigens freigegebene Konten und keine unnötig breite Rolle.

Das Produkt prüft bei mehreren KI- und Compliancebereichen zusätzlich die Modulfreigabe. Ein sichtbarer Einstellungspunkt beweist daher nicht, dass die Daten geladen oder Aktionen ausgeführt werden dürfen. Prüfen Sie bei einer Ablehnung Lizenzstatus, aktuelle OE, OE-Zuweisung und Rolle gemeinsam.

Schritt-für-Schritt-Anleitung

Kontosicherheit und MFA-Richtlinie verwalten

Öffnen Sie Einstellungen → Allgemein. Prüfen Sie Aktive Sitzungen & Geräte und beenden Sie unbekannte oder nicht mehr benötigte Sitzungen.
Aktivieren Sie als Organisationsadministrator MFA für alle Benutzer verpflichtend, wenn dies Ihrer freigegebenen Sicherheitsrichtlinie entspricht. Benutzer ohne MFA müssen die Einrichtung bei der nächsten Anmeldung abschließen.
Prüfen Sie im Abschnitt MFA (TOTP) den eigenen Status. Die Einrichtung beginnt mit dem aktuellen Kennwort, danach folgen QR-Code beziehungsweise manueller Schlüssel und ein sechsstelliger Code.
Speichern Sie neue Recovery-Codes außerhalb von NeuraPort. Jeder Code ist einmal verwendbar. Ein neu erzeugter Satz ersetzt den vorherigen.
Prüfen Sie Vertrauenswürdige MFA-Geräte und wählen Sie bei Verdacht Gerätevertrauen zurücksetzen.
Öffnen Sie Einstellungen → Sicherheit & Passkeys, um eigene Passkeys zu registrieren oder kontrolliert zu entfernen. Ein Passkey ist eine zusätzliche Anmeldemethode und ersetzt nicht automatisch die organisatorische MFA-Richtlinie.

KI-Grenzen und Nachweise prüfen

Öffnen Sie Einstellungen → KI-Automatisierung. Stellen Sie für E-Mail-Zuordnung, Buchungsdaten, Fahrplanänderungen und VGM-Daten jeweils Nur nach Bestätigung oder Sofort ausführen ein.
Behandeln Sie Nur nach Bestätigung derzeit nicht als vollständige organisationsweite Sperre. Die persönliche Einstellung Eingehende Mails automatisch vorbelegen ist standardmäßig aktiv und kann bei zugeordneten E-Mails mehrere manuell konfigurierte Datenübernahmen trotzdem unmittelbar auslösen. Prüfen Sie beide Ebenen mit einem Sachbearbeiterkonto.
Beachten Sie, dass Zoll- und Ladungsdaten ebenfalls intern einen manuellen oder unmittelbaren Modus besitzen, dafür aber keine eigenen Schalter in der sichtbaren KI-Automatisierung vorhanden sind. Eine vollständige Prozessfreigabe ist über diese Ansicht daher noch nicht möglich.
Öffnen Sie Einstellungen → KI-Kosten, um die letzten 30 Tage nach Provider und Feature zu prüfen. Die Werte sind technische Nutzungs- und Kostenschätzungen, keine Rechnung und kein Nachweis über Datenstandort oder Providervertrag.
Erfassen Sie unter KI-Register (AI Act) nur tatsächlich eingesetzte Systeme. Prüfen Sie Risiko, Aufsicht/Log, die berechneten Hinweise und das Datum der letzten Prüfung. Geprüft dokumentiert nur den Zeitpunkt; es ist keine Freigabe oder Rechtsprüfung.
Plattformoperatoren können unter KI-Qualität plattformweite Policy-Läufe, Feedback, Akzeptanzraten und Organisationssummen prüfen. Verwenden Sie diese Ansicht nicht als Zugriff auf operative Mandantendaten.

Sicherheitsvorfälle und Zugriffsreview bearbeiten

Öffnen Sie Einstellungen → Sicherheitsvorfälle (NIS2). Erfassen Sie einen sachlichen Titel, Schwere, Kategorie und nur nach fachlicher Entscheidung NIS2-meldepflichtig.
Prüfen Sie die angezeigte NIS2-Frist. Die Oberfläche berechnet sie aus dem Erkennungszeitpunkt, zeigt aber nur eine Arbeitshilfe. Ein UI-erfasster Vorfall verwendet derzeit den Erfassungszeitpunkt als Erkennungszeitpunkt; tatsächliche historische Erkennung und Behördenmeldung lassen sich dort nicht pflegen.
Ändern Sie Status nur entsprechend Ihrem freigegebenen Vorfallprozess. Die Oberfläche erzwingt keine feste Reihenfolge und versendet keine Behördenmeldung.
Öffnen Sie Access Review (SOC2). Prüfen Sie aktive, privilegierte und seit mehr als 90 Tagen ruhende Konten sowie MFA-Lücken. Klären Sie Auffälligkeiten in Benutzerverwaltung und Sitzungen.
Exportieren Sie die Liste nur in eine geschützte Ablage. Der CSV enthält E-Mail, Name, Rolle, MFA- und Anmeldestatus.
Verwenden Sie Audit-Export (SIEM) inkrementell mit dem zuletzt bestätigten Cursor (since_id). Die Datei kann alte und neue Feldwerte sowie Personen- und Geschäftsdaten enthalten. Übergeben Sie sie nur an ein freigegebenes SIEM.

Betroffenenanfragen bearbeiten

Prüfen Sie unter Einstellungen → DSGVO-Anträge einen öffentlichen Eingang. Die Liste zeigt Antragsteller, Art, Eingangsdatum und Status. Stellen Sie die Identität außerhalb dieses einfachen Statusfelds nach Ihrem freigegebenen Verfahren fest.
Setzen Sie LINKED nicht ohne angelegte interne Anfrage. Die aktuelle Oberfläche erzeugt oder verknüpft keine interne Anfrage automatisch und kann den Status dennoch speichern.
Öffnen Sie im Hauptmenü Datenschutz (DSGVO) und wählen Sie Neue Anfrage. Geben Sie Betroffene Person, die positive interne ID, Art der Anfrage und optional eine Begründung an.
Wählen Sie Datenvorschau laden. Prüfen Sie die sichtbaren Daten, die Identität und den Mandantenbezug. Die Vorschau umfasst nur ausgewählte Kunden-, Kontakt-, Benutzer-, Akten-, E-Mail-Kopf-, Sitzungs- und Auditdaten; sie ist keine Vollständigkeitsgarantie.
Wählen Sie Anlegen. NeuraPort setzt den Status Offen und eine Frist von 30 Tagen.
Öffnen Sie die Anfrage. Verwenden Sie bei einer Auskunft Auskunft erstellen, bei einer bestätigten Anonymisierungsentscheidung Anonymisieren und bei begründeter Ablehnung Ablehnen.
Verwenden Sie niemals Anonymisieren nur deshalb, weil die Schaltfläche sichtbar ist. Sie wird derzeit unabhängig von der ausgewählten Anfrageart angeboten. Für Berichtigung existiert kein eigener Korrekturablauf; korrigieren Sie die zulässigen Stammdaten separat und dokumentieren Sie das Ergebnis fachlich.
Prüfen Sie nach jeder Aktion den Datensatzbestand außerhalb der DSAR-Vorschau. Die Anonymisierung erfasst nur ausgewählte Klartextfelder und lässt unter anderem Finanzbelege, Dokumente, E-Mail-Inhalte sowie bereits gespeicherte Auskunftsergebnisse unberührt.

Feldreferenz

Feld	Pflicht	Bedeutung	Validierung
MFA für alle Benutzer verpflichtend	Nein	Erzwingt die MFA-Einrichtung für interne Konten des Mandanten	Nur Organisationsadministration; Benutzer ohne MFA werden außerhalb der Einrichtungsaktionen gesperrt. ADMIN-Konten unterliegen zusätzlich der zentralen Admin-Richtlinie.
MFA (TOTP)	Nein beziehungsweise richtlinienabhängig	Zeitbasierter zweiter Faktor des eigenen Kontos	Einrichtung und Deaktivierung verlangen Kennwort; Aktivierung einen sechsstelligen Code. Recovery-Code ist alternativ bei vorgesehenen MFA-Aktionen nutzbar.
Vertrauenswürdige MFA-Geräte	Systemseitig	Zahl der noch aktiven Gerätevertrauensstellungen	Gerätevertrauen zurücksetzen widerruft bestehendes Vertrauen; erneute MFA-Prüfung kann erforderlich werden.
Passkey	Nein	Gerätespezifische zusätzliche Anmeldemethode	Benötigt Browserunterstützung. Entfernen erst nach Bestätigung; nicht als Ersatz für Recovery-Plan behandeln.
E-Mail-Zuordnung	Ja in KI-Automatisierung	Ordnet erkannte E-Mails sofort einer Akte zu oder verlangt Bestätigung	Nur nach Bestätigung oder Sofort ausführen; Aktenzuordnung, Lizenz und Scope werden zusätzlich geprüft.
Buchungsdaten	Ja in KI-Automatisierung	Übernimmt Booking-Nummer, Schiff, Reise und ETD/ETA	Persönliche Auto-Vorbelegung kann den manuellen Organisationsmodus derzeit übersteuern.
Fahrplanänderungen	Ja in KI-Automatisierung	Übernimmt erkannte ETD-/ETA-Änderungen	Persönliche Auto-Vorbelegung kann unmittelbare Übernahme auslösen. Fachwerte danach prüfen.
VGM-Daten	Ja in KI-Automatisierung	Übernimmt erkannte VGM-Werte zum passenden Container	Containerreferenz und Gewicht müssen auswertbar sein; persönlicher Auto-Schalter kann Organisationsmodus übersteuern.
Titel des Vorfalls	Ja	Kurze Bezeichnung eines Sicherheitsvorfalls	Mindestens 3, höchstens 255 Zeichen. Keine Zugangsdaten, Geheimnisse oder unnötigen personenbezogenen Details eintragen.
Schwere	Ja	LOW, MEDIUM, HIGH oder CRITICAL	Freie Fremdwerte werden abgewiesen; Auswahl ist eine interne Klassifizierung.
Kategorie	Ja	DATA_BREACH, MALWARE, PHISHING, UNAUTHORIZED_ACCESS, OUTAGE oder OTHER	Nur Katalogwert; ersetzt keine rechtliche Bewertung.
NIS2-meldepflichtig	Nein	Aktiviert berechnete 24-/72-Stunden-Hinweise	Selbst gesetzte Kennzeichnung. Die Anwendung meldet nicht an eine Behörde.
Status des Vorfalls	Ja	OPEN, INVESTIGATING, CONTAINED, RESOLVED oder CLOSED	Jede Auswahl ist derzeit direkt möglich; keine Prozessreihenfolge oder Pflichtdokumentation wird erzwungen.
Cursor (since_id)	Ja für Folgeexport	Letzte bereits bestätigte Audit-ID	Zahl ab 0. Pro Abruf höchstens 5.000 Einträge; nächsten Cursor erst nach sicherer Übernahme verwenden.
Name des KI-Systems	Ja	Mandanteninterne Registerbezeichnung	2 bis 200 Zeichen. Ein Registereintrag aktiviert oder konfiguriert keinen Provider.
Risiko	Ja	Selbst gewählte Klasse MINIMAL, LIMITED, HIGH oder UNACCEPTABLE	Die automatische Lückenanzeige prüft nur wenige fest codierte Kombinationen; keine Rechtsklassifizierung.
Anbieter	Nein	Freitext zum dokumentierten KI-Provider	Keine Verbindung zur tatsächlichen Laufzeitkonfiguration oder Datenregion.
Aufsicht / Logging	Ja	Dokumentiert menschliche Aufsicht und Protokollierung als Ja/Nein	Selbstauskunft; technische Wirksamkeit wird nicht durch das Register geprüft.
Betroffene Person	Ja bei interner Anfrage	Kunde, Ansprechpartner oder Benutzer	Nur Datensatz im eigenen Mandanten. Plattformoperatoren sind ausgeschlossen.
ID des Kunden/Ansprechpartners/Benutzers	Ja	Interne positive Datensatzkennung	Ganze Zahl größer 0; muss zum gewählten Typ und eigenen Mandanten passen.
Art der Anfrage	Ja	Auskunft, Löschung oder Berichtigung	Steuert die Beschriftung, beschränkt die sichtbaren Detailaktionen derzeit aber nicht.
Begründung	Nein; bei Ablehnung Ja	Interne Dokumentation des Anlasses beziehungsweise Ablehnungsgrundes	Ablehnungsgrund 1 bis 2.000 Zeichen. Keine unnötigen sensiblen Daten erfassen.
Frist	Systemseitig	30 Tage ab Anlage der internen Anfrage	Reine Terminanzeige; keine automatische Eskalation oder rechtliche Fristverlängerung belegt.
Öffentlicher Antragsstatus	Ja bei Bearbeitung	NEW, REVIEWED, LINKED oder REJECTED	Die Oberfläche prüft bei LINKED keine tatsächliche interne Verknüpfung.

Status und mögliche Übergänge

Objekt	Ausgang	Aktion	Ergebnis und Grenze
Mandanten-MFA	Nicht verpflichtend	Schalter aktivieren	Benutzer ohne MFA erhalten bei der nächsten Sitzung den verpflichtenden Einrichtungsweg.
Eigenes MFA	Nicht aktiviert	Kennwort, Einrichtung und gültigen Code bestätigen	MFA aktiviert; Recovery-Codes werden einmalig angezeigt.
Eigenes MFA	Aktiv	Mit Kennwort und MFA-/Recovery-Code deaktivieren	MFA deaktiviert, sofern eine Richtlinie die erneute Einrichtung nicht verlangt.
Recovery-Codes	Vorhanden	Neu erzeugen	Alter Satz wird ersetzt; neuer Satz muss sicher abgelegt werden.
KI-Prozess	Nur nach Bestätigung	Sofort ausführen wählen	Künftige erkannte Werte des Prozesses können unmittelbar übernommen werden. Persönliche Auto-Vorbelegung ist zusätzlich wirksam.
KI-Register	Noch nicht erfasst	Erfassen	Aktiver Registereintrag entsteht. Hinweise werden aus Risiko, Aufsicht, Logging und Aktivstatus berechnet.
KI-Register	Aktiv	Geprüft	Prüfzeitpunkt wird aktualisiert; Inhalt, Risiko und Aktivstatus bleiben unverändert.
KI-Register	Vorhanden	Entfernen? bestätigen	Registereintrag wird endgültig gelöscht; kein Archivstatus in der Oberfläche.
Sicherheitsvorfall	Neu erfasst	Erfassen	Status OPEN; Fristen werden bei gesetzter Meldepflicht aus dem Erkennungszeitpunkt berechnet.
Sicherheitsvorfall	Beliebiger Status	Anderen Status auswählen	Status wird direkt ersetzt. Bei RESOLVED oder CLOSED wird beim ersten Mal ein Lösungszeitpunkt gesetzt; eine spätere Wiederöffnung löscht ihn nicht.
Sicherheitsvorfall	Meldepflichtig und nicht behördlich gemeldet	72-Stunden-Zeitpunkt überschritten	überfällig, außer Status ist RESOLVED oder CLOSED. Die Oberfläche kann eine Behördenmeldung nicht erfassen.
Öffentlicher Antrag	NEW	Status ändern	Direkt REVIEWED, LINKED oder REJECTED möglich; keine Reihenfolge erzwungen.
Interne Anfrage	Anlage	Anlegen	Offen, Frist in 30 Tagen. In Bearbeitung ist im Datenmodell vorhanden, besitzt aber keinen sichtbaren Übergang.
Interne Anfrage	Offen	Auskunft erstellen	Ausgewählte Daten werden als Ergebnis gespeichert; Status Abgeschlossen.
Interne Anfrage	Offen	Anonymisieren bestätigen	Ausgewählte Klartextfelder werden geändert und Konto beziehungsweise Kunde gegebenenfalls deaktiviert; Status Abgeschlossen.
Interne Anfrage	Offen	Ablehnung bestätigen	Status Abgelehnt, Grund und Abschlusszeit werden gespeichert.
Interne Anfrage	Abgeschlossen oder Abgelehnt	Detail öffnen	Ergebnis bleibt sichtbar; Aktionsschaltflächen sind ausgeblendet.

Was im Hintergrund passiert

Die MFA-Pflicht eines Kontos ergibt sich aus der Mandantenrichtlinie und einer zusätzlichen zentralen Pflicht für Administrator- und Plattformkonten. Fehlt die erforderliche MFA, beschränkt NeuraPort die Sitzung auf die erlaubten Einrichtungs- und Kontoaktionen. Passkeys, Recovery-Codes, vertrauenswürdige Geräte und aktive Sitzungen sind benutzerbezogen; Recovery- und Gerätevertrauensdaten besitzen zusätzliche Datenbanktrennung nach Benutzer beziehungsweise Mandant.

Sicherheitsvorfälle, KI-Register, interne und öffentliche Betroffenenanfragen werden mit Mandantenkennung gespeichert und zusätzlich durch Datenbankrichtlinien getrennt. Die fachlichen Dienste filtern ebenfalls nach Mandant. Eine OE-Unterteilung existiert für diese organisationsweiten Register nicht. Audit- und Access-Review-Daten werden deshalb nur Konten angeboten, die den erforderlichen organisationsweiten Zugriff besitzen.

Das Sicherheitsvorfallregister berechnet bei selbst gesetzter Meldepflicht einen 24-Stunden- und einen 72-Stunden-Zeitpunkt ab detected_at. Die aktuelle UI übermittelt beim Anlegen keinen eigenen Erkennungszeitpunkt und zeigt nur den 72-Stunden-Wert beziehungsweise überfällig. Der Status RESOLVED oder CLOSED unterdrückt die Überfällig-Markierung auch dann, wenn keine Behördenmeldung dokumentiert ist. Daraus darf keine tatsächliche Meldung oder Fristeinhaltung abgeleitet werden.

Das KI-Register ist eine manuell gepflegte Inventarliste. Es weist auf ein aktives UNACCEPTABLE-System sowie ein HIGH-System ohne Aufsicht oder Logging hin. Andere Rechts-, Risiko-, Daten-, Transparenz-, Zweck- und Providerprüfungen führt diese Lückenanzeige nicht durch. Geprüft setzt lediglich einen Zeitstempel.

Die KI-Laufzeit kann mehrere externe Provider in einer betrieblich konfigurierten Fallback-Kette verwenden. Mandantenadministratoren können Reihenfolge, Region, Aufbewahrung oder Unterauftragnehmer in den geprüften Oberflächen nicht festlegen. Die Nutzungsansichten protokollieren Provider, Modell, Tokens, Feature, Modul und geschätzte Kosten, sofern ein vollständiger Nutzungskontext vorhanden ist. Diese Metadaten belegen nicht, wo Eingaben verarbeitet oder wie lange sie beim Provider gespeichert werden.

Vor externen KI-Aufrufen wird der Inhalt im geprüften Codepfad funktionsabhängig maskiert. Der umfangreichere Schutz ersetzt E-Mail, Telefon, IBAN, bestimmte Steuerkennungen und erkannte Personennamen durch Platzhalter und setzt Werte nach der Antwort lokal wieder ein. Der einfachere Schutz entfernt nur die direkten Kontakt-, Bank- und Steuerkennungen. Beide lassen benötigte Logistik- und Geschäftsdaten bewusst bestehen. Dateiname, MIME-Typ und extrahierter Dokumenttext können deshalb nach Teilmaskierung an den gewählten externen Provider gehen. Prüfen Sie Datenkategorien, Verträge, Region und Aufbewahrung außerhalb der Oberfläche, bevor Echtdaten verarbeitet werden.

Eine interne Auskunft sammelt nur ausdrücklich implementierte Ausschnitte: beim Kunden ausgewählte Stammdaten, Kontakte, Aktenparteien und passende E-Mail-Kopfdaten; beim Benutzer Stammdaten, Sitzungen und vereinfachte Auditangaben. Dokumente, Anhänge, E-Mail-Inhalte und zahlreiche weitere Fachmodule werden nicht vollständig durchsucht. Das Ergebnis wird als JSON in der Anfrage gespeichert.

Die Anonymisierung verändert ausgewählte Kunden-, Kontakt-, Aktenparteien- oder Benutzerfelder, deaktiviert Kunde beziehungsweise Benutzer und widerruft beim Benutzer Sitzungen. Finanzdaten bleiben bestehen. Auch Dokumente, E-Mail-Inhalte, weitere Fachobjekte, der Betreffendenname in der Anfrage und ein zuvor gespeichertes Auskunftsergebnis werden nicht bereinigt. Die Erfolgsmeldung Daten anonymisiert bedeutet deshalb nur, dass dieser begrenzte Vorgang abgeschlossen wurde.

Automatisierte Tests belegen Mandantentrennung, Fristberechnung und Grundstatus bei Sicherheitsvorfällen, Mandantentrennung und einfache Lückenregeln des KI-Registers, Access-Review-Kennzahlen und CSV, inkrementellen mandantenspezifischen SIEM-Export, KI-Nutzung nach Provider, öffentliche Antragseinreichung und -trennung sowie die einfache Maskierung von E-Mail, Telefon, IBAN und Steuerkennung. Nicht gezielt abgedeckt sind der interne DSAR-Lebenszyklus und seine Anonymisierung, Vollständigkeit über alle Fachmodule, UI-Rollenabweichungen, MFA-Richtlinienwechsel, Passkey-Browserabläufe, organisationsweite KI-Modi, der persönliche Auto-Vorbelegungs-Override, Providerregion und -aufbewahrung sowie vollständige Browserabläufe der Register.

Typische Fehler und Lösungen

Meldung oder Beobachtung	Ursache	Lösung
Spezialbereich fehlt in Einstellungen	Konto ist MANAGER, Plattformoperator oder besitzt eine andere Rolle; mehrere Serverfunktionen akzeptieren Manager, die UI zeigt sie aber nur ADMIN	Einen freigegebenen ADMIN-Bedienweg verwenden. Keine technische Adresse als Ersatz aufrufen.
Bereich ist sichtbar, Daten werden aber nicht geladen	Modul, aktuelle OE, OE-Zuweisung, Rollenrecht oder Verbindung fehlt	Lizenzstatus und Scope prüfen. Bei Access Review besonders Compliance-Modul und organisationsweiten OE-Zugriff kontrollieren.
MFA-Richtlinie konnte nicht gespeichert werden	Konto darf die Mandantenrichtlinie nicht ändern oder Speicherung ist fehlgeschlagen	Mit einem Mandanten-ADMIN erneut laden und aktuellen Schalter prüfen; nicht mehrfach umschalten.
Nach Aktivierung der Richtlinie bleibt nur die MFA-Einrichtung sichtbar	Konto erfüllt die nun verpflichtende MFA noch nicht	MFA kontrolliert einrichten, Recovery-Codes sicher ablegen und danach neu laden.
Setup fehlgeschlagen, Aktivierung fehlgeschlagen oder Deaktivierung fehlgeschlagen	Kennwort, Code, Recovery-Code oder Einrichtungsphase ist ungültig	Eingabe und Uhrzeit des Authenticator-Geräts prüfen; keinen Code weitergeben.
Dieser Browser unterstützt keine Passkeys.	WebAuthn ist im Browser oder Kontext nicht verfügbar	Unterstützten Browser und sicheren Kontext verwenden oder bei MFA/TOTP bleiben.
Automatisierungsregeln konnten nicht geladen werden.	Organisationseinstellungen konnten nicht geladen werden	Nicht auf Verdacht zwischen manuell und sofort wechseln; Sitzung und Mandantenkontext prüfen.
Nur nach Bestätigung ist gesetzt, Daten wurden dennoch übernommen	Persönliche Eingehende Mails automatisch vorbelegen ist aktiv und übersteuert mehrere Organisationsmodi	Persönlichen Schalter beim betroffenen Sachbearbeiter deaktivieren und Prozess mit neutralen Daten erneut testen.
Zoll- oder Ladungsautomation lässt sich nicht einstellen	Die zwei internen Modi fehlen in der sichtbaren KI-Automatisierungsansicht	Bis zur Produktkorrektur keinen vollständigen Governance-Nachweis aus den vier sichtbaren Schaltern ableiten.
Vorfallfrist beginnt am Erfassungszeitpunkt statt bei tatsächlicher Erkennung	UI bietet detected_at nicht an	Tatsächliche Frist extern kontrollieren und Produktlücke eskalieren; Anzeige nicht als rechtlich verbindlich verwenden.
Vorfall gilt nach RESOLVED nicht mehr als überfällig	Status unterdrückt die Anzeige unabhängig von dokumentierter Behördenmeldung	Meldestatus und Zeitstempel außerhalb der Tabelle prüfen; Status nicht zur Fristbereinigung missbrauchen.
CSV-Export fehlgeschlagen	Access Review konnte nicht geladen oder exportiert werden	Compliance-Lizenz, Rolle, OE-Zugriff und sichere Downloadmöglichkeit prüfen. Datei nicht an ungeschützte Tabellenprogramme weitergeben.
SIEM-Export fehlgeschlagen	Cursor, Audit-Zugriff oder Übertragung ist fehlgeschlagen	Letzten bestätigten Cursor verwenden und Export erneut in geschützte Ablage laden. Cursor erst nach erfolgreichem Import erhöhen.
KI-Kosten bleiben bei Lädt …	Abfrage ist fehlgeschlagen; die Ansicht besitzt keinen sichtbaren Fehlerzustand	Modul, Scope und Verbindung prüfen. Keine Nullwerte als belegte Nichtnutzung interpretieren.
KI-System nicht gefunden oder Fehler	Fremder Mandant, gelöschter Eintrag oder ungültige Auswahl	Mandantenkontext und aktuellen Registerstand neu laden. Keine fremde Kennung ausprobieren.
KI-Register zeigt ok	Keine der wenigen fest eingebauten Lückenregeln hat angeschlagen	Trotzdem Zweck, Risiko, Datenkategorien, Providervertrag, Region, Transparenz und Aufsicht fachlich prüfen.
Öffentlicher Antrag steht auf LINKED, interne Anfrage fehlt	Status kann ohne tatsächliche Verknüpfung gesetzt werden	Status zurück auf fachlich richtigen Stand setzen und interne Anfrage nach Identitätsprüfung ausdrücklich anlegen.
Betroffene Person nicht gefunden, Kunde nicht gefunden, Ansprechpartner nicht gefunden oder Benutzer nicht gefunden	Typ, ID oder Mandant passt nicht	Typ und interne Referenz aus dem regulären Mandantenbestand prüfen; keine IDs erraten.
Vorschau konnte nicht geladen werden	Person fehlt, Kontext ist unzulässig oder Verbindung ist fehlgeschlagen	Keine Anfrage oder Anonymisierung auf Verdacht durchführen. Datensatz und Mandant prüfen.
Für Auskunft wird Anonymisieren angeboten	Detailaktionen sind derzeit nicht an die Anfrageart gebunden	Nur die fachlich genehmigte Aktion wählen. Vor destruktiver Aktion Vier-Augen-Prüfung verwenden.
Für Berichtigung fehlt eine Korrekturaktion	Dieser Anfrageart ist kein eigener Bearbeitungsablauf zugeordnet	Daten in der zuständigen Stammdatenfunktion korrigieren, Änderung prüfen und Abschluss separat dokumentieren.
Daten anonymisiert, aber personenbezogene Inhalte bleiben auffindbar	Vorgang erfasst nur ausgewählte Tabellen und Klartextfelder; gespeicherte Auskunft, Dokumente und E-Mail-Inhalte bleiben bestehen	Vollständige Dateninventur und Aufbewahrungsprüfung durchführen; Erfolgsmeldung nicht als vollständige Löschbestätigung verwenden.
Auskunftsergebnis ist unvollständig	Sammlung durchsucht nur ausgewählte Kernfelder	Fachmodule, Dokumente, Kommunikation, Exporte und gesetzlich aufzubewahrende Daten zusätzlich prüfen.