Sicherheit & KI.

Unser Ansatz

WEBWUNDER® verarbeitet Websites, Inhalte, Zugänge und je nach Auftrag weitere Unternehmensdaten. Sicherheit ist deshalb Teil der Leistung und kein optionales Extra.

Wir verwenden ein risikobasiertes Sicherheitskonzept. Öffentliche Aussagen beschreiben nur Maßnahmen, die tatsächlich umgesetzt und überprüfbar sind.

Technische und organisatorische Grundsätze

Je nach System setzen wir insbesondere ein:

• TLS-verschlüsselte Übertragung,
• rollenbasierte Zugriffe und das Prinzip minimaler Berechtigungen,
• sichere Verwaltung von Zugangsdaten und Secrets außerhalb des Quellcodes,
• Schutz gegen automatisierten Missbrauch, insbesondere Rate Limiting und Spam-Schutz bei Formularen und Anmeldung,
• sparsame, sicherheitsorientierte Speicherung von Anmeldedaten (z. B. nur Hash-Werte statt Klartext),
• Prozesse für den Umgang mit Sicherheitsvorfällen und Datenschutzverletzungen.

Wir nennen hier bewusst nur Maßnahmen, die tatsächlich umgesetzt sind. Zertifizierungen (z. B. ISO 27001, SOC 2) behaupten wir nicht.

Kundenzugänge

Kunden sind verantwortlich, Zugangsdaten vertraulich zu behandeln, nur berechtigte Personen zuzulassen und verdächtige Aktivitäten unverzüglich zu melden.

Anbieterprüfung

Cloud-, KI-, Auth-, E-Mail- und Zahlungsanbieter werden vor produktivem Einsatz anhand von Vertrag, Datenschutz, Sicherheit, Datenregion und Unterauftragsverarbeitern geprüft.

Sicherheitsvorfälle

Mögliche Vorfälle werden dokumentiert, eingedämmt und bewertet. Soweit wir Daten im Auftrag eines Kunden verarbeiten, informieren wir den Kunden nach Kenntnis unverzüglich über relevante Verletzungen personenbezogener Daten.

Responsible Disclosure

Sicherheitslücken können vertraulich an security@webwunder.de gemeldet werden.

Bitte senden Sie:

• betroffene URL oder Funktion,
• verständliche Beschreibung,
• Schritte zur Reproduktion,
• mögliche Auswirkung,
• Kontaktdaten für Rückfragen.

Bitte vermeiden Sie Datenabfluss, Social Engineering, Denial-of-Service, dauerhafte Veränderung von Daten und Zugriff auf mehr Informationen als für den Nachweis erforderlich.

Wir bestätigen berechtigte Meldungen nach Möglichkeit zeitnah und informieren über die Bearbeitung. Es besteht kein öffentliches Bug-Bounty-Versprechen, sofern dies nicht gesondert veröffentlicht wird.

Keine absolute Garantie

Kein System ist vollständig frei von Risiken. Unsere Maßnahmen reduzieren Risiken, ersetzen aber keine verantwortungsvolle Nutzung und keine individuellen Sicherheitsanforderungen des Kunden.

Ihre Daten sind kein Trainingsmaterial

WEBWUNDER® nutzt KI, um digitale Arbeit schneller und besser zu erledigen. Kundendaten werden dabei nicht beliebig in öffentliche KI-Tools eingegeben.

Für produktive Arbeit mit Geschäftsdaten verwenden wir nur freigegebene kommerzielle oder API-Dienste, deren vertragliche Bedingungen diesen Einsatz erlauben. Personenbezogene Kundendaten verarbeiten wir derzeit nicht produktiv über KI-Dienste. Vor einem solchen Einsatz prüfen wir Anbieter, Vertrag, Datenschutz und Transfermechanismen und aktualisieren erforderlichenfalls unsere Unterauftragsverarbeiterliste. Soweit möglich, wählen wir Einstellungen, bei denen Eingaben und Ausgaben nicht zum Training allgemeiner Modelle verwendet werden.

Normale Consumer-Weboberflächen von KI-Diensten sind für vertrauliche Kundeninformationen, personenbezogene Daten und Zugangsdaten nicht freigegeben.

Wofür wir KI einsetzen können

Je nach Leistung kann KI unterstützen bei:

• Text- und Strukturentwürfen,
• Gestaltung und Bildideen,
• Code und Qualitätssicherung,
• Klassifikation und Zusammenfassung,
• Automatisierung wiederkehrender Abläufe,
• Bearbeitung von Anfragen,
• E-Mail-Entwürfen,
• Terminorganisation,
• Chat- oder Voice-Agenten.

Welche Anbieter wir nutzen

Wir können unterschiedliche Modellanbieter einsetzen, unter anderem OpenAI, Anthropic oder Google. Die tatsächlich für personenbezogene Kundendaten eingesetzten Anbieter stehen in der aktuellen Liste der Unterauftragsverarbeiter.

Wir wählen Anbieter nicht allein nach Modellqualität, sondern auch nach Vertrag, Datenschutz, Speicherfristen, Datenregion, Sicherheit, Transfermechanismen und Kontrollmöglichkeiten.

Datenminimierung

Vor einer KI-Verarbeitung prüfen wir, welche Daten wirklich erforderlich sind. Wo möglich:

• entfernen wir unnötige Namen und Kontaktdaten,
• verwenden wir Pseudonyme,
• beschränken wir Texte auf relevante Ausschnitte,
• trennen wir Daten verschiedener Kunden,
• vermeiden wir besondere Kategorien personenbezogener Daten,
• begrenzen wir Speicher- und Protokollierungsdauer.

Menschliche Aufsicht

Nicht jeder technische Zwischenschritt muss manuell geprüft werden. Der Umfang menschlicher Kontrolle richtet sich nach Risiko und Wirkung.

Je größer die mögliche Auswirkung auf Personen, Verträge, Geld, Beschäftigung, Gesundheit, Rechte oder Reputation, desto stärker sind Freigaben, Kontrollen und Eskalationen.

Transparenz

Wenn Menschen direkt mit einem Chatbot oder Voice-Agenten interagieren, werden sie darüber informiert, dass sie mit einem KI- oder digitalen Assistenten kommunizieren, soweit dies gesetzlich erforderlich oder nicht offensichtlich ist.

KI-generierte oder manipulierte Inhalte werden gekennzeichnet, wenn dies rechtlich erforderlich ist, insbesondere bei täuschungsgeeigneten Audio-, Bild- oder Videoinhalten und bestimmten Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse.

Was KI-Agenten tun dürfen

Jeder produktive Agent erhält einen dokumentierten Berechtigungsrahmen. Darin steht:

• welche Daten er lesen darf,
• welche Systeme er nutzen darf,
• welche Aktionen er ausführen darf,
• wann eine Freigabe erforderlich ist,
• was protokolliert wird,
• wie er gestoppt wird,
• an wen er eskaliert.

Ohne ausdrückliche Vereinbarung dürfen Agenten keine Zahlungen autorisieren, Verträge schließen, Kündigungen erklären, Beschäftigungsentscheidungen treffen oder andere rechtlich erhebliche Entscheidungen auslösen.

Voice-Agenten

Ein Voice-Agent stellt sich verständlich als digitaler oder KI-gestützter Assistent vor.

Aufzeichnungen sind standardmäßig deaktiviert. Werden sie aktiviert, muss dies vorab rechtlich und technisch dokumentiert werden.

Automatisierte Werbeanrufe ohne nachweisbare Einwilligung sind nicht zulässig.

Verbotene oder besonders prüfpflichtige Einsätze

WEBWUNDER® setzt keine KI für verbotene Praktiken ein. Besonders prüfpflichtig sind unter anderem:

• Bewerber- oder Beschäftigtenbewertung,
• Kredit- oder Versicherungsentscheidungen,
• medizinische, rechtliche oder finanzielle Entscheidungen,
• biometrische Kategorisierung,
• Emotionserkennung am Arbeitsplatz oder in Bildung,
• manipulative oder täuschende Kommunikation,
• Social Scoring,
• Entscheidungen über Zugang zu wesentlichen Leistungen.

Solche Projekte werden ohne gesonderte rechtliche und technische Prüfung nicht produktiv umgesetzt.

Fehler und Grenzen

KI kann halluzinieren, Zusammenhänge falsch bewerten oder unerwartet handeln. Deshalb werden relevante Systeme getestet, begrenzt, protokolliert und mit einer Abschaltmöglichkeit versehen.

Der Kunde bleibt für fachliche Geschäftsregeln, rechtliche Vorgaben und die Freigabe seiner Prozesse verantwortlich.

Internationale Verarbeitung

Leistungsfähige KI-Anbieter können Daten außerhalb des EWR verarbeiten oder aus Drittstaaten zugänglich machen. Wir verwenden nur zulässige Transfermechanismen, dokumentieren die Anbieter und berücksichtigen zusätzliche Schutzmaßnahmen.

Eine EU-Datenregion wird genutzt, wenn sie verfügbar, technisch geeignet und vertraglich vereinbart ist. Eine absolute EU-only-Zusage besteht nur, wenn sie ausdrücklich projektbezogen bestätigt wurde.

Änderungen

KI-Dienste und Rechtslage entwickeln sich schnell. Wir aktualisieren diese Seite und unsere Anbieterlisten, wenn sich wesentliche Verarbeitung ändert.