Sicherheit, die man nachprüfen kann.
Jede Aussage auf dieser Seite nennt den Mechanismus dahinter.
Signatur: beide Systeme. Die Mac-Fassung ist mit einem Developer-ID-Zertifikat signiert und von Apple beglaubigt. Die Windows-Fassung ist über Azure Trusted Signing signiert — und zwar zweimal: erst die Anwendung, dann das Installationsprogramm, das sie enthält. Würde nur die äußere Hülle signiert, bliebe das installierte Programm unsigniert. Windows nennt deshalb uns als Herausgeber, statt den Herausgeber unbekannt zu nennen.
Das Backend läuft auf einem verwalteten Dienst in der Region Frankfurt.
Schwachstelle gefunden? Meldung an die im Impressum genannte Adresse. Wir behandeln solche Meldungen nicht als Angriff.
Sicherheitsfragen, die hier nicht beantwortet sind: an support@thalassa-consulting.com.
Wo etwas noch nicht existiert, steht das hier — auch das, was ein Wettbewerber weglassen würde.
Aus Ihrem Gespräch kann nichts abfließen
Thalassa speichert keinen Mitschnitt, kein Transkript und keine Bildschirmaufnahme. Nicht für eine Aufbewahrungsfrist, nicht „vorübergehend zur Qualitätssicherung“ — die Daten sind verworfen, sobald die Antwort auf dem Bildschirm steht.
Das ist eine Aussage über die Architektur, nicht über die Disziplin von Mitarbeitern: Wer vollen Datenbankzugriff hätte, fände keine Gesprächsinhalte, weil keine geschrieben werden. Ihre eigenen Unterlagen erreichen uns ohnehin nie — die Wissensbasis liegt in einem Ordner auf Ihrem Gerät und wird dort durchsucht.
Was wir haben, sind Kontodaten: E-Mail-Adresse, Tarif, Verbrauch. Das ist für Abrechnung und Support nötig und lässt sich nicht wegdefinieren. Welche Daten das sind und auf welcher Rechtsgrundlage, steht in der Datenschutzerklärung.
Verschlüsselung
Unterwegs. Anwendung, Assistenzfenster und Website sprechen ausschließlich über HTTPS mit dem Backend. Es gibt keinen unverschlüsselten Ausweichpfad, wenn etwas nicht funktioniert. Auch die Verbindungen zu den Modellanbietern und zur Spracherkennung sind verschlüsselt.
Im Ruhezustand. Die Kontodatenbank ist auf Speicherebene verschlüsselt. Sie liegt in einem privaten Netzabschnitt und ist aus dem Internet nicht erreichbar — nur das Backend kommt an sie heran. Wer die Adresse kennt, kommt trotzdem nicht hin; es gibt keinen Weg von außen.
Die Ausnahme, die wir lieber selbst benennen. Ihre Dokumente in der Wissensbasis liegen auf Ihrem Gerät, im Benutzerordner. Sie sind damit genau so geschützt wie der Rest Ihres Rechners — durch dessen Festplattenverschlüsselung, wenn Sie eine eingeschaltet haben (FileVault unter macOS, BitLocker unter Windows). Wir verschlüsseln sie nicht zusätzlich. Wer an Ihren entsperrten Rechner kommt, kommt an diese Dateien.
Was Verschlüsselung nicht leistet. Sie schützt Daten auf dem Weg und auf dem Datenträger. Sie schützt nicht davor, dass jemand mit Ihrem Passwort Ihr Konto benutzt. Dafür ist der nächste Abschnitt da.
Die Anwendung auf Ihrem Rechner
Keine Anbieterschlüssel darin. Die Anwendung besitzt keine Zugangsdaten zu Anthropic, AWS, Deepgram oder DeepL. Sie fragt das Backend, und das Backend spricht mit den Anbietern. Wer die installierte Anwendung auseinandernimmt, findet nichts, was sich verwerten ließe.
Die Rechte, die sie verlangt — und keine weiteren:
Keine Administratorrechte im laufenden Betrieb. Kein Hintergrunddienst, der weiterläuft, wenn die Anwendung zu ist. Kein Zugriff auf Dateien außerhalb dessen, was Sie selbst in die Wissensbasis legen.
Diese Zusage soll nicht auf unserem Wort ruhen: Unser
Veröffentlichungslauf prüft jede ausführbare Datei mit
Get-AuthenticodeSignature und bricht eine
Veröffentlichung ab, deren Signatur nicht gültig ist.
Dieselbe Sperre schützt seit Monaten die macOS-Beglaubigung. Eine
unsignierte Fassung kann Sie nicht erreichen, weil sie nicht
veröffentlicht werden kann.
Prüfsumme. Zu jeder Fassung gehört außerdem eine SHA-256-Prüfsumme je Datei. Sie steht im öffentlichen Ausgabeverzeichnis unter /latest.json; die Installationsanleitung zeigt den einen Befehl, der sie vergleicht. Mit gültiger Signatur ist das jetzt der zweite Weg zu prüfen, nicht der einzige — er kostet aber nichts und verlangt Ihnen kein Vertrauen ab.
Konto und Anmeldung
Passwörter werden nie im Klartext gespeichert. Gespeichert wird ein PBKDF2-Prüfwert mit zufälligem Salz je Konto und 200.000 Runden. Ihr Passwort lässt sich daraus nicht zurückrechnen — wir könnten es Ihnen nicht zusenden, wenn wir wollten, weil wir es nicht kennen. Wer die Datenbank stiehlt, hat eine Liste von Prüfwerten, deren Umkehrung pro Rateversuch 200.000 Rechenschritte kostet.
Das zufällige Salz sorgt dafür, dass zwei Personen mit demselben Passwort verschiedene Prüfwerte haben — eine einmal berechnete Tabelle nützt also nicht gegen alle Konten gleichzeitig. Der Vergleich läuft in konstanter Zeit: Ein falsches Passwort braucht zur Ablehnung genauso lange wie ein richtiges zur Annahme. Sonst verriete allein die Antwortzeit, wie viele Zeichen stimmen.
Sitzung. Nach der Anmeldung erhält die Anwendung ein signiertes, kurzlebiges Token (standardmäßig 30 Minuten). Der Signaturschlüssel liegt ausschließlich auf dem Server und verlässt ihn nie. Läuft das Token ab, meldet sich die Anwendung neu an — im Normalfall merken Sie davon nichts.
Anmeldung mit Google heißt, dass Sie bei uns gar kein Passwort haben. Dann gilt, was Ihr Google-Konto absichert, einschließlich der dort eingerichteten Zwei-Faktor-Anmeldung.
Eine Zwei-Faktor-Anmeldung für Thalassa-eigene Passwörter gibt es noch nicht. Wenn Ihre Sicherheitsrichtlinie sie verlangt, nutzen Sie die Google-Anmeldung — oder sprechen Sie vor dem Kauf mit uns.
Schlüssel zu Ihren anderen Systemen
Wenn Sie Thalassa mit Google, Microsoft 365 oder einem CRM verbinden, entsteht ein Zugangsschlüssel zu Ihrem dortigen Konto. Ein solcher Schlüssel ist ein Inhaberpapier: Wer ihn hat, kommt an Ihr Postfach oder Ihr CRM — ohne Passwort, ohne zweiten Faktor. Er wird deshalb nicht wie ein gewöhnlicher Datenbankeintrag behandelt.
- Der Schlüssel wird mit AES-256-GCM verschlüsselt, bevor er die Datenbank erreicht. In der Spalte steht ein Umschlag, kein lesbarer Wert.
- Der Umschlag ist an Ihr Konto und an den Anbieter gebunden. Ein aus der Datenbank kopierter Umschlag lässt sich einem anderen Konto nicht unterschieben — die Entschlüsselung schlägt fehl, statt stillschweigend etwas Falsches zu liefern.
- Es gibt einen Schlüsselbund, nicht einen Schlüssel. Der erste Eintrag verschlüsselt neue Werte, alle Einträge können alte lesen. So lässt sich ein Schlüssel wechseln, ohne bestehende Verbindungen zu zerstören und ohne Ausfall.
- Dieser Schlüsselbund ist getrennt vom Signaturschlüssel der Anmeldung. Sonst machte ein Wechsel der Anmeldeschlüssel alle CRM-Verbindungen unlesbar.
- Ohne gültigen Schlüsselbund werden Verbindungen im Produktivbetrieb abgeschaltet, nicht ersatzweise unverschlüsselt gespeichert.
Sie können jede Verbindung jederzeit trennen. Dann wird der Umschlag gelöscht und der Zugang beim Anbieter zurückgegeben.
Schutz gegen Missbrauch
Die Mengenbegrenzung zählt Anfragen in einem gleitenden Zeitfenster für alle Zugriffspunkte. Für Gespräche und Modellanfragen gelten zusätzliche Grenzen. Wer zu schnell fragt, bekommt eine Absage mit Wartezeit statt einer Antwort.
Anmeldeversuche unterliegen einer Mengenbegrenzung pro Minute. Wird eine Wartezeit angezeigt, versuchen Sie es später erneut. Wenn Sie Ihr Passwort vergessen haben, nutzen Sie „Passwort zurücksetzen“.
Auch für das Prüfen und Einlösen von Aktionscodes gelten Mengenbegrenzungen. Wiederholte erfolglose Versuche lösen zusätzlich eine wachsende Wartezeit für das Konto aus. Eine erfolgreiche Prüfung oder Einlösung setzt diese Wartezeit zurück.
Grenze der Methode: Die Zählung läuft getrennt je Serverprozess. Mehrere Prozesse oder Instanzen haben jeweils eigene Grenzen. Für den Verbrauch — Minuten und Kontingente — gilt das ausdrücklich nicht: Der wird in der Datenbank mit Sperren geführt und ist auch bei parallelen Anfragen exakt.
Wenn ein Anbieter ausfällt
Nach mehreren Fehlschlägen in Folge wird ein Modell für etwa eine Minute übergangen, statt es weiter zu versuchen. Danach lässt der Schutzschalter genau eine Probeanfrage durch: Gelingt sie, ist alles wieder normal; scheitert sie, bleibt die Sperre. So wird ein sich erholender Anbieter nicht sofort wieder von der vollen Last erschlagen.
Meist merken Sie nichts davon — es gibt vier Modellstufen, und der Ausfall einer betrifft die anderen nicht. Im schlechteren Fall erscheint eine Meldung, dass gerade keine Antwort möglich ist. Was Sie nicht bekommen, ist eine stillschweigend schlechtere Antwort aus einer anderen Quelle.
Eine benannte Ausnahme: die Live-Übersetzung. Fällt der Übersetzungsdienst aus, übernimmt das Sprachmodell — und die Anwendung zeigt den Wechsel an. Es ist ein anderer Auftragsverarbeiter, und das ist eine Datenschutzaussage, keine Komfortfrage.
Verfügbarkeit — was zugesagt wird und was nicht
Es gibt keine vertraglich zugesagte Verfügbarkeit. Keinen Prozentwert, keine Gutschriften, auch nicht als Schätzung. Eine Prozentangabe zur Verfügbarkeit ist eine vertragliche Verpflichtung mit Messverfahren, Meldeweg und Rechtsfolge. Sie ohne all das in den Raum zu stellen, ist entweder unverbindliches Marketing oder eine versehentlich eingegangene Haftung.
Was tatsächlich gilt:
- Die Datenbank wird vom Anbieter gesichert.
- Es gibt keine zweite Region und keine automatische Umschaltung. Fällt Frankfurt aus, ist der Dienst aus.
- Es gibt heute keine öffentliche Statusseite.
Bei einem Ausfall meldet die Anwendung, dass das Backend nicht erreichbar ist, statt stumm keine Antwort zu geben. Was lokal läuft, läuft weiter: Die Suche in Ihren eigenen Dokumenten braucht das Backend nicht. Neue Antworten brauchen es.
Für Enterprise ist eine Verfügbarkeitszusage verhandelbar — sie existiert aber erst, wenn sie im Vertrag steht.
Wie Aktualisierungen zu Ihnen kommen
Drei Auslieferungswege, die einander nicht berühren: Website, Backend und Anwendungen. Jeder lässt sich einzeln erneuern. Ein Textfehler auf der Website ist in Minuten behoben, ohne Backend-Neustart und ohne dass jemand etwas herunterladen muss; ein Backend-Fehler bringt die Website nicht zu Fall.
Die Anwendungen werden je Betriebssystem gebaut — ein Mac die Mac-Fassungen, ein Windows-Rechner die Windows-Fassung. Deshalb kann eine Fassung ein paar Stunden früher verfügbar sein als die andere.
Preise stehen an drei Stellen: Website, Backend, Kontoseite. Ein automatischer Test vergleicht die drei und schlägt fehl, wenn sie auseinanderlaufen. Das ist kein Detail — ein Preis, der an einer Stelle anders steht, ist im Streitfall der Preis, den der Kunde gesehen hat.
Backend-Aktualisierungen sind für Sie unsichtbar; ein laufendes Gespräch kann einmal nachladen. Wissensbasis und Einstellungen liegen getrennt von der Installation und überstehen Aktualisierungen.
Messdaten
Es gibt eine freiwillige, standardmäßig ausgeschaltete Übermittlung technischer Messwerte — Antwortzeiten, Fehlerarten. Keine Inhalte.
Sie ist als Erlaubnisliste gebaut, nicht als Verbotsliste. Naheliegend wäre eine Liste in der Anwendung, was nie gesendet wird: kein Transkript, keine Frage, keine Dokumentnamen. Eine Verbotsliste ist aber nur so gut wie ihre Vollständigkeit; ein neues Feld, an das niemand gedacht hat, rutscht durch. Der Server macht es umgekehrt: Nur was ausdrücklich benannt ist, wird angenommen, alles Unbekannte verworfen. Auch eine fehlerhafte Anwendung kann so keine Inhalte hinausschleusen — die Aussage „Ihre Unterlagen bleiben auf Ihrem Gerät“ hält, ohne dass man dem Programm auf dem Gerät vertrauen muss.
Jeder Textwert ist längenbegrenzt und muss dort, wo es feste Auswahlmöglichkeiten gibt, einer davon entsprechen. Freitext hat auf diesem Weg keinen Eingang.
Es gilt nur für angemeldete Konten, nur bei ausdrücklicher Einschaltung und nur, wenn es serverseitig freigeschaltet ist. Aus der Kontokennung wird ein gleichbleibendes Pseudonym gerechnet, das sich ohne serverseitigen Zusatzwert nicht zurückführen lässt — Messreihen lassen sich so zusammenführen, ohne dass eine E-Mail-Adresse in der Auswertung auftaucht.
Sicherheitsvorfälle und Meldewege
Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, gelten die Fristen der DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden, Benachrichtigung der Betroffenen, wenn ein hohes Risiko besteht.
Zuständige Aufsichtsbehörde ist die ungarische Datenschutzbehörde NAIH, weil Thalassa Consulting Kft. in Budapest sitzt. Sie können sich unabhängig davon immer auch an die Aufsichtsbehörde Ihres Wohn- oder Arbeitsorts wenden.
Was ein Vorfall betreffen könnte. Gesprächsinhalte werden nicht gespeichert; betroffen wären also Kontodaten — E-Mail-Adresse, Tarif, Verbrauch — und im schlimmsten Fall gespeicherte Zugangsschlüssel zu verbundenen Systemen. Genau deshalb sind diese Schlüssel gesondert verschlüsselt und an ihr Konto gebunden: Ein Datenbankauszug allein reicht nicht, um sie zu verwenden.
Was Sie unabhängig davon tun sollten: die Verbindungen zu Thalassa in Ihrem CRM oder Google-Konto widerrufen und das Passwort ändern. Beides geht ohne uns und wirkt sofort.
Unterlagen und Fragen
Auftragsverarbeitungsvertrag. Den Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO finden Sie auf der Datenschutzseite zum Herunterladen, als PDF und als Word-Dokument. Ein gegengezeichnetes Exemplar erhalten Sie auf Anfrage an info@thalassa-consulting.com.
Die Datenschutzerklärung nennt die Auftragsverarbeiter und die Rechtsgrundlagen, die Hilfe beantwortet die Fragen des Alltags, und das Glossar erklärt die Begriffe dieser Seite.