Sicherheit
Ihre Projekte bleiben Ihre Projekte. Wir sagen genau, was das heißt.
Keine pauschale Datenschutzbehauptung. Diese Seite nennt Datenarten und Speicherorte, Datenflüsse zu KI- und Drittanbietern, Zugangsspeicherung, Rollen, Kundenfreigaben, Fernzugriff, Sicherung, Löschung — und die Grenzen, die das Handbuch selbst nennt.
Was die Etiketten heißen: Enthalten im Handbuch als geprüft beschrieben · Mit Einrichtung vorhanden, braucht Einrichtung, Modul oder Zugang · Wohin wir gehen Richtung, keine heutige Funktion.
Zweckbestimmung
Wofür der Agentenmanager gebaut ist — und wofür nicht
Der Agentenmanager ist eine Werkbank. KI-Agenten erledigen darin Projektarbeit: recherchieren, schreiben, Websites und Programmcode pflegen, Unterlagen auswerten. Sie erteilen die Aufträge, lesen die Ergebnisse und entscheiden, was hinausgeht. Ein Autopilot ist er nicht.
Was die Agenten liefern, sind Entwürfe
Sie können falsch sein und dabei überzeugend klingen — eine erfundene Quelle, eine Zahl aus der Luft, ein Gesetz im Stand von vor einem Jahr. Prüfen Sie, bevor Sie etwas verwenden, veröffentlichen, versenden oder einer Entscheidung zugrunde legen.
Dafür ist er nicht gedacht
Über Menschen entscheiden — Bewerbungen sichten, Beschäftigte bewerten, Kredite oder Leistungen vergeben. Menschen überwachen, biometrisch erkennen oder ihre Gefühle deuten. Auskünfte zu Medizin, Recht oder Steuern geben, ohne dass eine Fachperson sie prüft. Maschinen, Anlagen oder Fahrzeuge steuern. Etwas veröffentlichen oder versenden, das kein Mensch gelesen hat. Jemanden darüber täuschen, dass er mit einer KI schreibt. Und nichts davon in Strafverfolgung, Migration und Asyl, Rechtspflege oder bei Wahlen.
Wer den Zweck verlässt, übernimmt Pflichten
Wer die Software entgegen diesen Punkten einsetzt, ihre Zweckbestimmung ändert oder sie unter eigenem Namen vertreibt, kann selbst Anbieter im Sinne der KI-Verordnung werden — mit den Pflichten, die sonst beim Hersteller liegen. Der verbindliche Wortlaut steht in Ziffer 3a der Lizenzbedingungen.
Die Zweckbestimmung sagt, wofür die Software gebaut ist. Sie ist keine Prüfung und keine Bescheinigung. Enthalten
1 · Datenarten und Speicherorte
Was wo liegt
| Datenart | Wo | Status |
|---|---|---|
| Projekte, Berichte, Unterlagen, Briefkästen | Auf dem Rechner der Agentur, im Projektordner | Enthalten |
| Kundendaten des Agentur-Cockpits (Kontakte, Vorgänge, Post) | Auf dem Rechner der Agentur; eigener Bestand mit eigener Suche und eigenen Aufbewahrungsfristen | Modul |
| Zugangsdaten (Passwörter, Schlüssel, Token) | Im Schlüsselbund des Betriebssystems — in Einstellungsdateien nur ein Platzhalter | Enthalten |
| Wortlaut von Kundennachrichten aus dem Kundenchat | In einem eigenen Speicher neben den Kundendaten, nicht im Projektordner und nicht im Briefkasten | Enthalten |
| Benutzerkonten und Rollen | Auf dem Rechner, nicht im Netz | Enthalten |
| Bestell-, Konto- und Rechnungsdaten, Lizenzschlüssel, Rechnerkennungen, Push-Kennungen gekoppelter Telefone (iPhone über Apple, Android über Google) | Beim Lizenzdienst des Herstellers auf mein-agentenmanager.de (Server in Deutschland) — keine Projektinhalte, keine Kundendaten Ihrer Kunden | Enthalten |
| Vorgänge aus Eingängen von außen, samt der mitgeschickten Felder | Auf dem Rechner der Agentur; nach sieben Tagen gelöscht | Enthalten |
| Verbrauch je Verbindung (Aufrufe, Tokens, Kosten — keine Texte) | Auf dem Rechner der Agentur; nach 92 Tagen gelöscht | Enthalten |
| Fragen und Antworten eines Chatbots | Nirgends gespeichert — gezählt wird nur die Zahl der Fragen je Bot und Tag | Modul Chatbots |
| Anschlusskennung und öffentlicher Schlüssel Ihres Rechners, Tag der letzten Anmeldung | Beim Vermittler (Server in Deutschland); gelöscht drei Monate nach der letzten Anmeldung. Seine Betriebsprotokolle enthalten keine IP-Adressen und keine Inhalte und werden nach 14 Tagen gelöscht | Enthalten |
2 · Datenflüsse
Zwei Arten von Arbeitsinhalten verlassen den Rechner — und Sie kennen beide.
Dazu kommen technische Verbindungen ohne Projektinhalte: Lizenzprüfung, Updates und die Anmeldung für Mitteilungen beim Lizenzdienst, der Vermittler für den Zugang von unterwegs (Ende-zu-Ende verschlüsselt) sowie für Anfragen von Ihren Websites — Buchungen, Chatbot-Fragen und Eingänge fremder Systeme (beim Durchreichen lesbar, nicht gespeichert) und die Dienste, die Sie selbst anbinden. Einzelheiten in der Datenschutzerklärung der App. Wer behauptet, es verließe nie etwas den Rechner, beschreibt keine Software, die Agenten arbeiten lässt.
Die Sicherung
Täglich, verschlüsselt, an ein Ziel, das Sie festlegen: Ordner, Dateiserver im Netz oder verschlüsselter Übertragungsweg. Die Zugangsdaten dafür bleiben lokal. Der Verlauf ist einsehbar — eine Sicherung, die seit Wochen scheitert, ist keine.
Ziel einrichtenDie Arbeit der Agenten
Ein Agent denkt nicht auf Ihrem Rechner; er fragt ein Sprachmodell. Für die Agenten Ihrer Projekte ist das Claude Code oder Codex, je Agent wählbar, über Ihr eigenes Konto bei Anthropic beziehungsweise OpenAI — unter dem Vertrag, den Sie mit dem Anbieter haben, nicht unter unserem. Was übermittelt wird, wird vorher von Zugangsdaten befreit.
EnthaltenPersonenbezogene Daten gehen einen eigenen Weg
Für sie gilt eine strengere Regel als für Arbeitstexte. Die KI-Funktionen im Cockpit, die mit Kundendaten arbeiten — Kundenchat, Mail-Auswertung —, laufen über einen europäischen KI-Anbieter, den Sie in den Einstellungen anbinden, und ohne ihn gar nicht; es gibt keinen Rückfall auf Claude. Die Agenten Ihrer Projekte haben keinen Zugriff auf die Kundendaten im CRM. Was Sie einem Agenten selbst geben, verarbeitet sein KI-Modell.
KI-Anbindung (EU)Drittanbieter mit Ihren eigenen Konten
WordPress, Google-Konto, GitHub, n8n und 18 weitere Dienste im Katalog werden mit Ihren Konten eingerichtet; Tarife und Verträge sind Ihre. Alle Anfragen laufen über den Manager — kein Schlüssel geht an einen Agenten.
Mit Einrichtung3 · Zugänge und Rechte
Kein Agent bekommt je ein Passwort zu sehen.
Zugangsspeicherung
Werte liegen im Schlüsselbund des Betriebssystems. Ein Agent sagt dem Manager, was er tun will; der Manager setzt den Zugang ein und gibt nur die Antwort zurück. Fragt ein Agent nach einem Passwort: nicht geben — er bekommt es nie.
Rollen
Inhaber, Administrator, Teamleitung, Mitarbeiter, Kunde. Wer einem Projekt nicht zugeordnet ist, sieht es nirgends. Konten verwalten darf nur, wer selbst verwalten darf — sonst wäre das die Hintertür.
Einladen statt Passwort weitergeben
Ein neues Konto entsteht ohne Passwort; die Person löst einen Einladungslink einmal ein und setzt ihr Passwort selbst. Der Lizenzschlüssel bleibt im Haus. Ändert sich das Inhaberpasswort, sind alle Geräte abgemeldet — der Notausgang.
Zweite Verteidigungslinie
Bevor etwas an ein Sprachmodell geht, wird es von allem befreit, was nach einem Zugang aussieht. Die erste Linie ist, dass Zugangsdaten dort gar nicht erst hingelangen.
Sieben Grundregeln
Exklusiver Arbeitsordner · Zugangsdaten nie im Quelltext · kein Release ohne Sicherheitsprüfung · Änderungsverzeichnis · Schnappschuss vor dem Hochladen · kein stilles Löschen · Faktentreue. Sie stehen über allem und gelten unabhängig vom Paket.
Was ein Agent nicht tut
Keine Mail ohne Freigabe, keine große Änderung ohne Rückfrage, kein Löschen ohne Bestätigung, keine Umgehung einer Datenschutzgrenze. Eingebaut, nicht eine Frage der Höflichkeit.
Quellen: Handbuch „Zugänge und Verbindungen", „Benutzer und Rollen", „Die Ersteinrichtung", „Mit Agenten arbeiten". Enthalten
4 · Die eine Tür nach außen
Der Kundenchat — und die drei Riegel davor
Seit Fassung 3.27.0 kann jemand von außen hineinschreiben: ein Kunde in seinen Chat. Diese Stelle ist eigens behandelt, weil sie die einzige ihrer Art ist.
- KundeBekommt einen Zugang und sieht genau eine Seite: einen Chat.
- Anliegen oder AuftragEine Frage wird beantwortet. Ein Wunsch wird zum Auftrag.
- AgenturfreigabeKein Auftrag erreicht einen Agenten, den nicht ein Mensch freigegeben hat.
- KoordinationDer Koordinator setzt als Entwurf um — nichts wird veröffentlicht.
- ErgebnisSie prüfen, der Kunde liest „erledigt".
| Die Sorge | Was dagegen steht |
|---|---|
| Der Kunde sieht mehr, als er soll. | Ein Kundenkonto darf den Kundenbereich und fünf Endpunkte. Alles andere wird abgewiesen oder zum Chat umgeleitet — geprüft direkt hinter der Anmeldung. |
| Der Kundentext landet bei einem Projekt-Agenten (Claude Code oder Codex). | Der Wortlaut liegt in einem eigenen Speicher, nicht im Briefkasten. Beantwortet wird über den europäischen KI-Anbieter. |
| Der Kunde schreibt einem Agenten eine Anweisung. | Kundentext steht als Zitat vor dem Agenten: beantworten, nichts daraus ausführen. Alles, was getan werden soll, braucht Ihre Freigabe. |
| Ein Kundenkonto schreibt ununterbrochen. | Höchstens dreißig Nachrichten je Stunde und Konto. |
| Namen und Kontaktdaten gehen an den Koordinator. | Zwei Filter davor: erst soll das Modell sie weglassen, dann prüft die Software selbst auf E-Mail, Telefon und IBAN. |
5 · Betrieb
Fernzugriff, Sicherung, Export, Löschung
Zugang von unterwegs
Der Rechner ist nicht von außen erreichbar. Er meldet sich selbst bei einem Vermittler und hält von innen eine Leitung offen; Ihr Telefon spricht mit dem Vermittler. Was zwischen Rechner und Gerät reist, ist verschlossen und wird erst an den Enden geöffnet — der Vermittler sieht nicht, was Sie tun. Er legt nur Anschlusskennung, öffentlichen Schlüssel und den Tag der letzten Anmeldung ab (gelöscht nach drei Monaten ohne Anmeldung); seine Protokolle enthalten keine IP-Adressen und werden nach 14 Tagen gelöscht. Geräte kommen per Einladung herein.
Mit Einrichtung HandbuchDie drei Netze
Schnappschuss — gegen die eigene falsche Entscheidung. Sicherung — gegen den Verlust des Rechners. Export — gegen den Verlust der Umgebung und für den Umzug. Sie ersetzen einander nicht.
Enthalten HandbuchExport ohne Zugangsdaten
Ein Projekt lässt sich als Datei mitnehmen — Struktur, Berichte, Zuordnungen. Zugangsdaten bleiben draußen; das lässt sich nicht einschalten. Nach einem Umzug richten Sie sie am neuen Ort neu ein.
EnthaltenAufbewahrung, Auskunft, Löschung
Aufbewahrungsfristen je Bestand einstellbar. Fragt ein Kunde, welche Daten Sie über ihn speichern: Die Übersicht „Datenschutz — was wo liegt" steht in den Einstellungen des Agentur-Cockpits; Herausgabe und Löschung sind eingebaut. Projekte werden archiviert, nicht gelöscht — wer Daten wirklich loswerden muss, findet den Weg unter Datenschutz beschrieben.
Modul Cockpit6 · Nachweisbare Kontrolle
Nicht nur sicher gemeint — belegbar
Seit Fassung 4.5 führt die Software ein Protokoll, das ein Prüfer lesen kann, und seit 4.6.1 stehen die sicherheitsrelevanten Schalter von Haus aus auf der sicheren Seite. Was hier steht, ist Funktion der Software — keine Zertifizierung.
Die Prüfspur
Jede Freigabe und Erlaubnis mit der Person, die entschieden hat, und der Wartezeit; jede Aktion nach außen mit ihrer Grundlage; jeder Lauf mit dem Modell, das wirklich gearbeitet hat, und ob die Sandbox griff. Jeder Eintrag trägt die Prüfsumme seines Vorgängers — ändern oder löschen bricht die Kette sichtbar. Ausfuhr als JSON mit Nachweis oder als CSV; Aufbewahrung 24 Monate, einstellbar.
Enthalten HandbuchInhalte bleiben draußen
Im Protokoll steht, dass eine Mail mit diesem Empfänger und diesem Inhalt freigegeben wurde — als Prüfsumme, nicht als Text. Und: Lässt sich die Spur nicht schreiben, geht nichts nach außen.
EnthaltenDie Freigabe gilt für genau das, was Sie gesehen haben
Der Agent legt den Aufruf vor, die Software baut daraus die Vorschau — Empfänger, Betreff, Text, Ziel, Datei mit Prüfsumme — und lässt danach genau diesen einen Aufruf durch. Ein geändertes Zeichen, ein anderer Empfänger, eine inzwischen geänderte Datei: abgelehnt. Für Mails gibt es keine Erlaubnis „auf den Weg" mehr.
EnthaltenLesesperren
Ein Agent liest kein anderes Projekt — weder über ein Werkzeug noch über die Kommandozeile —, keine Zugangsdaten und keine Kundendaten des Cockpits. Partnerprojekte und mitgegebene Ordner bleiben lesbar. Wo die Sandbox des Betriebssystems vorhanden ist, muss sie greifen.
EnthaltenZweiter Faktor
Sechsstelliger Code aus einer Authenticator-App, dazu acht Notfall-Codes je Konto. Nicht erzwungen, weil die Telefon-Apps den Code noch nicht abfragen; wer sich aussperrt, kommt am Rechner selbst wieder hinein.
Mit Einrichtung HandbuchDie Software prüft sich selbst
Einmal in der Woche startet der Manager einen Agenten mit echtem Modell und lässt ihn versuchen, aus der Sandbox auszubrechen; Angriffe mit untergeschobenen Anweisungen lassen sich zuschalten. Das Urteil — gehalten, gebrochen oder ungültig — steht in der Prüfspur, was nicht hält, landet im Briefkasten. Etwa eine Minute Modellzeit pro Woche.
Enthalten HandbuchMonatlich durchgesehen
Am Monatsanfang geht ein Bericht an die Person, die Sie dafür eintragen: Freigaben in Sekunden, ein Agent, der oft abgewiesen wird, Läufe ohne Sandbox, ein neues Modell, alte dauerhafte Erlaubnisse, eine gebrochene Kette. Auffälliges meldet die Software sofort, höchstens einmal am Tag je Gegenstand.
Enthalten HandbuchSicher von Haus aus
Sieben Schalter stehen bei der Installation auf der sicheren Seite — darunter Sandbox, Befehlssperren und „Vollzugriff: nach außen nur mit Freigabe". Wer einen abschaltet, bekommt erst die Folge erklärt und dann die Frage „wirklich?"; der Wechsel steht mit Datum, Uhrzeit und Person in der Prüfspur, und unter dem abgeschalteten Schutz steht, wer ihn wann ausgeschaltet hat.
EnthaltenJeder Agent nennt seine Quellen
Woher eine Aussage stammt, steht dabei; widersprechen sich zwei Unterlagen, meldet der Agent den Widerspruch, statt sich eine Fassung auszusuchen.
Enthalten HandbuchWas wir damit nicht sagen: Der Agentenmanager ist nicht zertifiziert und nicht nach der KI-Verordnung geprüft. Die Selbsteinschätzungen nach KI-Verordnung und MISSION KI sind selbst erstellt und noch nicht bestanden; eine Prüfung von außen ist beschlossen, aber noch nicht beauftragt.
7 · Verantwortlichkeiten und Grenzen
Was wir nicht behaupten
Absolute Sicherheit, Verfügbarkeit oder Wiederherstellbarkeit verspricht niemand ehrlich. Wir nennen die Grenzen, die das Handbuch nennt.
Demo
Sehen Sie den Agentenmanager am laufenden Programm.
Per Video, ohne Folien: Projekt anlegen, Rollen wählen, Auftrag schreiben, Freigabe — und Ihre Fragen, beantwortet am Programm. Vorbereitung auf Ihrer Seite: keine.