Überblick über die Sicherheitsarchitektur: Wie Rexfin Ihre Finanzdaten schützt

Sicherheitsseiten sind meist eine Liste von Adjektiven – „enterprise-grade”, „bankähnliches Niveau”. Das nützt einem Finanzteam wenig, das entscheiden muss, ob es echte Einreichungen durch ein Tool laufen lässt. Nützlich ist die tatsächliche Architektur: Was ist verschlüsselt, wer kann was sehen, was passiert, wenn jemand einen Fehler macht, und welcher Nachweis existiert danach. Genau das folgt hier, auf dem Niveau, auf dem ein Sicherheitsprüfer tatsächlich nachfragen würde.

Verschlüsselung und Isolierung, unverblümt gesagt

Daten werden bei der Übertragung mit TLS und im Ruhezustand mit AES-256 verschlüsselt. Zugangsdaten für jedes verbundene System liegen in einem isolierten Secrets-Store, nicht in der Anwendungskonfiguration. Die Daten und das Modell jeder Organisation sind von denen jeder anderen Organisation logisch isoliert, und nichts an Ihren Daten wird genutzt, um gemeinsam genutzte oder Drittanbieter-Modelle zu trainieren – Ihre Einreichungen und Ihr Modell bleiben innerhalb der Grenze Ihrer Organisation, nirgendwo eingefaltet in einen allgemeinen Trainingsdatensatz.

Zugriffskontrolle, die im Zweifel schließt statt öffnet

Das Designprinzip hinter den Berechtigungen ist einfach zu formulieren und in der Praxis leicht falsch zu machen: Jeder Zugriff auf ein Dokument, eine Zahl oder ein Quellenzitat durchläuft eine einzige Zugriffsentscheidung, und diese Entscheidung verweigert im Zweifel den Zugriff, statt ihn zu gewähren. Wurde einem Nutzer nicht explizit Zugriff auf etwas eingeräumt, lautet die Antwort Nein – nicht „in der Oberfläche nicht angezeigt, aber darunter trotzdem erreichbar”. Eine explizite Verweigerung schlägt immer eine explizite Erlaubnis, sodass Zugriff, der über einen Weg gewährt wurde – etwa über Gruppenmitgliedschaft –, trotzdem durch eine spezifischere Regel blockiert werden kann, die diese Person direkt benennt.

Das zählt wegen eines Fehlermodus, der leicht zu übersehen ist: Ein Dokument kann in der Oberfläche verborgen sein, während ein KI-Assistent es weiterhin im Arbeitskontext hat und darüber schlussfolgern oder daraus zitieren kann. Etwas vom Bildschirm zu verbergen, während es darunter erreichbar bleibt, ist ein Leck mit freundlichem Gesicht. Rexfin setzt Zugriffskontrolle auf derselben Ebene durch, die entscheidet, worauf ein KI-Assistent zugreifen und woraus er zitieren darf – kann eine Person ein Dokument nicht öffnen, kann der Assistent, der ihre Frage beantwortet, es ebenfalls nicht sehen.

Rollen setzen auf dieser Basisentscheidung auf: wer nur Zahlen einsehen darf, wer ein Modell innerhalb der Abschnitte bearbeiten darf, auf die er Zugriff hat, und wer im Namen der Organisation Zugriffsrechte verwalten und exportieren darf. Keine davon hebelt die zugrunde liegende Zugriffsprüfung aus – eine Person mit weitreichenden Bearbeitungsrechten kann trotzdem keinen Abschnitt anfassen oder exportieren, für den ihr nie Zugriff eingeräumt wurde.

Jede Verbindung zur Datenschicht ist authentifiziert und eingegrenzt

Intern ist der Dienst, der extrahierte Zahlen hält und die Verifizierung ausführt, niemals direkt erreichbar – jede Anfrage trägt eine spezifische, eingegrenzte Berechtigung und läuft ausschließlich über ein privates Netzwerk, nie über das öffentliche Internet. Eine Anfrage ohne gültige Berechtigung wird rundweg abgelehnt; es gibt keinen Rückfall auf einen offenen, unauthentifizierten Lesezugriff. Und sollte ein Deployment irgendwie mit einer noch vorhandenen Platzhalter-Berechtigung starten, verweigert die Anwendung komplett den Start, statt mit Sicherheitskontrollen zu laufen, die nur auf dem Papier existieren, aber nicht aktiviert sind.

Ein Audit-Trail, der beweisen kann, dass nichts manipuliert wurde

Zu protokollieren, „wer was getan hat”, ist eine Grundvoraussetzung; das schwierigere Problem ist zu beweisen, dass dieses Protokoll nicht im Nachhinein still bearbeitet wurde. Rexfins Zugriffs- und Aktionsprotokoll ist hash-verkettet: Jeder Eintrag enthält einen kryptografischen Hash des vorangegangenen Eintrags, sodass das Ändern, Löschen oder Einfügen eines Eintrags die Kette genau an dieser Stelle bricht, und eine Prüfung die gesamte Kette durchlaufen und exakt melden kann, wo der Bruch passiert ist. Das macht aus „wir führen Protokolle” etwas Überprüfbares – Integrität, die man verifizieren kann, kein Versprechen auf Treu und Glauben. Wie sich diese Disziplin auf jede erzeugte Antwort erstreckt, sehen Sie im Antwort-Audit-Log. Auch verweigerte Zugriffsversuche werden protokolliert, nicht nur erfolgreiche Aktionen, sodass das Ausloten von etwas, das man nicht erreichen sollte, selbst in der Spur sichtbar wird.

Wie das mit dem Rest der Plattform zusammenhängt

Sicherheitsarchitektur ist nicht nachträglich ans Produkt angeschraubt – es ist derselbe Fail-Closed-Instinkt, der sich in der Verifizierung zeigt, wo eine ungeklärte Prüfung ehrlich gemeldet wird, statt geraten zu werden, und in der Datenerfassung, wo eine nicht klassifizierbare Einreichung unter Quarantäne gestellt wird, statt sie zwangsweise zu verarbeiten. Verweigern statt annehmen zieht sich gleichermaßen durch Zugriffskontrolle, Verifizierung und Datenerfassung, weil eine Plattform, die auf verteidigungsfähigen Zahlen aufbaut, denselben Maßstab auch daran anlegen muss, wer sie sehen darf, nicht nur, ob sie korrekt sind.

Zur Zertifizierung: Wir bauen unser Programm so auf, dass es sich an Kontrollen im Stil von ISO/IEC 27001 orientiert, und arbeiten auf SOC 2 Type II hin – und wir sind unverblümt darüber, wo genau wir gerade stehen, statt ein Siegel anzudeuten, das noch nicht verdient ist. Wenn Ihre GCC-Anforderungen an Datenresidenz konkret sind, behandelt Optionen zur Datenresidenz, was heute verfügbar ist.

Für wen das gebraucht wird

Für jeden, dessen Einkaufsprüfung härtere Fragen stellt, als eine Marketingseite beantwortet – einen Controller, der braucht, dass sich eine Berechtigungsänderung im Nachhinein rekonstruieren lässt, einen CFO, der wissen muss, dass ein KI-Assistent nicht sieht, was sein Nutzer nicht sehen darf, einen IT-Leiter, der wissen will, was bei einem missglückten Deployment passiert. Buchen Sie eine Demo, und wir gehen Datenverarbeitung, Zugriffskontrollen und Deployment in dem Detail durch, das Ihre Prüfung braucht, oder lesen Sie das größere Bild im Themenüberblick.