Hosting
HONESTAS wird an einem von zwei Standorten betrieben – in beiden Fällen mit identischer Software.
- Unsere EU-Cloud. Rechenzentren in Irland. Ihre Daten werden in der Europäischen Union gespeichert und verarbeitet. Sie entscheiden für jede Datenkategorie, wo sie liegt: in unserer EU-Cloud oder in Ihrem eigenen Rechenzentrum.
- Ihr eigenes Rechenzentrum. HONESTAS wird auf Ihrer eigenen Hardware hinter Ihren eigenen Netzwerkkontrollen installiert. Updates erhalten Sie als signierte Pakete, die Sie vor der Ausführung freigeben.
In beiden Fällen werden versiegelte Datensätze mit einem externen Zeitstempel in einen Speicher außerhalb der Installation geschrieben. Selbst bei einer Kompromittierung der Installation lässt sich die Historie nicht nachträglich umschreiben.
Verschlüsselung und Schlüssel
- Daten werden bei der Übertragung und im Ruhezustand verschlüsselt – mit einem eigenen Schlüssel für jedes Unternehmen.
- Sie können Ihre Schlüssel im eigenen Schlüsselspeicher verwalten. Ziehen Sie den Schlüssel zurück, sind die damit geschützten Daten nicht mehr lesbar.
- Die Schlüssel zum Versiegeln von Datensätzen werden getrennt von den Datenschlüsseln aufbewahrt und sind für Personen, die Entscheidungen unterzeichnen, niemals zugänglich.
- KI-Aufrufe laufen über Ihre eigenen Konten und Schlüssel beim Modellanbieter, auf Basis Ihrer eigenen Verträge. Jeder Aufruf wird mit dem verwendeten Schlüssel, dem Modell und der Version protokolliert.
- Kartennummern erreichen HONESTAS nie. Kunden geben sie direkt in die Felder des Zahlungsdienstleisters ein.
Mandantentrennung
Jede Anfrage in HONESTAS muss drei Angaben enthalten: das zugehörige Unternehmen, den Eigentümer der Daten und die anfragende Organisationseinheit. Fehlt eine dieser Angaben, wird die Anfrage mit dem Code SCOPE_REFUSED abgewiesen und die Abweisung protokolliert.
- Zwischen Unternehmen. Jeder Versicherer, Makler, MGA oder TPA verfügt über einen eigenen Bereich und eigene Schlüssel. In einem gemeinsamen Placing-Raum wird die Trennung zwischen den Märkten vor jeder einzelnen Nachricht geprüft.
- Zwischen Dateneigentümern. Ein TPA oder Makler, der für mehrere Mandanten tätig ist, führt die Bestände jedes Mandanten getrennt unter dessen Namen.
- Zwischen Organisationseinheiten. Teams wie die Einheit für besondere Ermittlungen (SIU) können auch innerhalb eines Unternehmens abgeschottet werden.
Jede hochgeladene Datei wird in einer Sandbox ohne Netzwerkzugriff geöffnet, ausgelesen und anschließend verworfen.
Zugriff
- Die Anmeldung erfolgt über Ihren eigenen Identity Provider per SAML oder OIDC; Benutzerkonten werden über SCIM synchron gehalten. Entscheidungen werden mit Passkeys auf dem persönlichen Gerät der jeweiligen Person signiert.
- Rollen legen fest, was jede Person sehen und tun darf. Risikoreiche Änderungen – wie ein neues Zeichnungslimit oder eine neue Modellversion – erfordern die Freigabe einer zweiten Person.
- Im Notfall kann einem Administrator kurzzeitig Vollzugriff gewährt werden – unter Aufsicht einer zweiten Person und mit lückenloser Protokollierung jedes einzelnen Schritts.
- Der Zugriff durch Mitarbeitende von Adverant ist streng begrenzt, genehmigungspflichtig und wird protokolliert.
Protokollierung
Jede Anmeldung, jeder Lesezugriff, jede Änderung, jeder KI-Aufruf und jede Administratoraktion wird mit Angabe von Person, Aktion, Zeitpunkt und Herkunft protokolliert. Die Protokolle liegen außerhalb Ihrer Installation, sind unveränderbar und werden für den von Ihnen festgelegten Zeitraum aufbewahrt. Über die Events-API können Sie diese an Ihre eigenen Sicherheitssysteme weiterleiten.
Tests
- Unabhängige Sicherheitsexperten prüfen HONESTAS regelmäßig auf Schwachstellen. Festgestellte Mängel beheben wir nach Schweregrad.
- Jeder Build wird signiert, und die enthaltene Software wird vor der Auslieferung auf bekannte Schwachstellen geprüft.
- Die Prüfmechanismen zur Abweisung von Entscheidungen, die Versiegelung und die Trennwände zwischen Unternehmen werden bei jedem Release getestet.
Vorfälle
Betrifft ein Sicherheitsvorfall Ihre Daten, informieren wir unverzüglich Ihren benannten Sicherheitskontakt und gehen nach dem in Ihrem Vertrag vereinbarten Plan vor. Sie erhalten von uns einen Zeitverlauf ab der ersten Warnmeldung sowie alle Fakten, die Sie für Ihre eigenen Meldepflichten nach DORA und DSGVO benötigen.
Schwachstelle melden
Senden Sie eine E-Mail an security@honestas.ai. Bitte geben Sie Folgendes an:
- was Sie wo gefunden haben (URL, Maske oder Komponente);
- die Schritte zur Reproduktion, gerne mit Proof-of-Concept-Code oder Screenshots;
- was ein Angreifer Ihrer Einschätzung nach damit erreichen könnte;
- wie wir Sie erreichen und ob Sie namentlich genannt werden möchten.
Schreiben Sie nach Möglichkeit auf Englisch. Ein präziser Gesamtbericht hilft uns mehr als mehrere kurze Einzelmeldungen. Bitte fügen Sie keine personenbezogenen Daten bei, auf die Sie gestoßen sind, sondern beschreiben Sie diese nur. Wir beheben die schwerwiegendsten Probleme zuerst, informieren Sie, sobald das Update bereitsteht, und stimmen den Zeitpunkt einer Veröffentlichung mit Ihnen ab.
Geltungsbereich
- honestas.ai und zugehörige Subdomains, einschließlich der HONESTAS-Konsole;
- HONESTAS in unserer EU-Cloud, einschließlich Anmeldung, Datensatzspeicher und Datensatzprüfung;
- die HONESTAS-Apps für iOS und Android, das Storefront-SDK und die öffentliche API.
Außerhalb des Geltungsbereichs: Angriffe auf unsere Mitarbeitenden (Phishing, Social Engineering), physische Angriffe, Denial-of-Service-Attacken, Schwachstellen, die ein bereits kompromittiertes Gerät voraussetzen, sowie Berichte automatisierter Scanner ohne nachgewiesene Auswirkung. Eine Installation im Rechenzentrum eines Kunden gehört diesem Kunden; bitte melden Sie entsprechende Funde sowohl dem Kunden als auch uns.
Regeln für Sicherheitsforscher
- Nutzen Sie ausschließlich eigene Konten und Daten oder solche, die Ihnen für Testzwecke bereitgestellt wurden.
- Gehen Sie nur so weit, wie es zum Nachweis der Schwachstelle nötig ist. Brechen Sie sofort ab und informieren Sie uns, sobald Sie auf Daten eines anderen Unternehmens stoßen.
- Verändern oder löschen Sie keine Daten, beeinträchtigen Sie nicht den Betrieb und halten Sie den Zugriff nicht länger als nötig aufrecht.
- Behandeln Sie alle Details vertraulich, bis wir uns auf ein Datum für die Veröffentlichung geeinigt haben.
Safe Harbour
Wenn Sie in gutem Glauben handeln und diese Regeln einhalten, betrachten wir Ihre Sicherheitsforschung als autorisiert. Wir werden deswegen weder rechtliche Schritte gegen Sie einleiten noch Sie bei Behörden anzeigen. Sollte dies von dritter Seite geschehen, stellen wir klar, dass Sie mit unserer Zustimmung gehandelt haben. Ausgenommen hiervon sind Gesetzesverstöße, die durch diese Regeln rechtlich nicht genehmigt werden können.
Offenlegung
Wir veröffentlichen Details vorzugsweise erst, nachdem ein Fix für alle Betroffenen verfügbar ist. Den Zeitpunkt stimmen wir mit Ihnen ab und bitten Sie nur so lange um Stillschweigen, wie es zum Schutz unserer Kunden erforderlich ist. Sollten wir anderer Meinung sein, begründen wir dies transparent.
Wenn Sie Kunde sind, melden Sie einen vermuteten Sicherheitsvorfall bitte über den vertraglich vereinbarten Sicherheitskontakt oder über den Support direkt in HONESTAS, damit wir Ihren Notfallplan einhalten können. Informationen zum Speicherort Ihrer Daten und zu den abgedeckten Vorschriften finden Sie auf der Trust Centre.
Zuletzt aktualisiert am 23. Oktober 2026