Aus Ihrem Gespräch kann nichts abfließen

Thalassa speichert keinen Mitschnitt, kein Transkript und keine Bildschirmaufnahme. Nicht für eine Aufbewahrungsfrist, nicht „vorübergehend zur Qualitätssicherung“ — die Daten sind verworfen, sobald die Antwort auf dem Bildschirm steht.

Das ist eine Aussage über die Architektur, nicht über die Disziplin von Mitarbeitern: Wer vollen Datenbankzugriff hätte, fände keine Gesprächsinhalte, weil keine geschrieben werden. Ihre eigenen Unterlagen erreichen uns ohnehin nie — die Wissensbasis liegt in einem Ordner auf Ihrem Gerät und wird dort durchsucht.

Was wir haben, sind Kontodaten: E-Mail-Adresse, Tarif, Verbrauch. Das ist für Abrechnung und Support nötig und lässt sich nicht wegdefinieren. Welche Daten das sind und auf welcher Rechtsgrundlage, steht in der Datenschutzerklärung.

Verschlüsselung

Unterwegs. Anwendung, Assistenzfenster und Website sprechen ausschließlich über HTTPS mit dem Backend. Es gibt keinen unverschlüsselten Ausweichpfad, wenn etwas nicht funktioniert. Auch die Verbindungen zu den Modellanbietern und zur Spracherkennung sind verschlüsselt.

Im Ruhezustand. Die Kontodatenbank ist auf Speicherebene verschlüsselt. Sie liegt in einem privaten Netzabschnitt und ist aus dem Internet nicht erreichbar — nur das Backend kommt an sie heran. Wer die Adresse kennt, kommt trotzdem nicht hin; es gibt keinen Weg von außen.

Die Ausnahme, die wir lieber selbst benennen. Ihre Dokumente in der Wissensbasis liegen auf Ihrem Gerät, im Benutzerordner. Sie sind damit genau so geschützt wie der Rest Ihres Rechners — durch dessen Festplattenverschlüsselung, wenn Sie eine eingeschaltet haben (FileVault unter macOS, BitLocker unter Windows). Wir verschlüsseln sie nicht zusätzlich. Wer an Ihren entsperrten Rechner kommt, kommt an diese Dateien.

Was Verschlüsselung nicht leistet. Sie schützt Daten auf dem Weg und auf dem Datenträger. Sie schützt nicht davor, dass jemand mit Ihrem Passwort Ihr Konto benutzt. Dafür ist der nächste Abschnitt da.

Die Anwendung auf Ihrem Rechner

Keine Anbieterschlüssel darin. Die Anwendung besitzt keine Zugangsdaten zu Anthropic, AWS, Deepgram oder DeepL. Sie fragt das Backend, und das Backend spricht mit den Anbietern. Wer die installierte Anwendung auseinandernimmt, findet nichts, was sich verwerten ließe.

Die Rechte, die sie verlangt — und keine weiteren:

• Mikrofon — für Ihre eigene Stimme; verlangt beim ersten Gespräch.
• Bildschirmaufnahme (macOS) — für die Bildschirmanalyse; ohne sie bleibt die Funktion aus, und verlangt wird sie erst bei Nutzung.
• Systemton (macOS) — für die Stimme des Gegenübers; einmalige Einrichtung.
• Netzwerk — um Antworten zu holen; immer.

Keine Administratorrechte im laufenden Betrieb. Kein Hintergrunddienst, der weiterläuft, wenn die Anwendung zu ist. Kein Zugriff auf Dateien außerhalb dessen, was Sie selbst in die Wissensbasis legen.

Signatur: noch nicht. Die Anwendung ist derzeit nicht mit einem Entwicklerzertifikat signiert. Windows und macOS warnen deshalb beim ersten Start vor einem unbekannten Herausgeber. Diese Warnung sagt nichts über den Inhalt der Datei aus — sie sagt, dass kein bezahltes Zertifikat vorliegt. Beide Zertifikate sind eingeplant, das Apple-Zertifikat ist unterwegs. Der Hinweis steht heute auf der Download-Seite und verschwindet erst, wenn er nicht mehr stimmt.

Prüfsumme. Zu jeder Fassung steht auf der Download-Seite eine Prüfsumme. Wer sie vergleicht, weiß, dass die geladene Datei die ausgelieferte ist. Das ersetzt keine Signatur, ist aber überprüfbar, ohne uns glauben zu müssen.

Konto und Anmeldung

Passwörter werden nie im Klartext gespeichert. Gespeichert wird ein PBKDF2-Prüfwert mit zufälligem Salz je Konto und 200.000 Runden. Ihr Passwort lässt sich daraus nicht zurückrechnen — wir könnten es Ihnen nicht zusenden, wenn wir wollten, weil wir es nicht kennen. Wer die Datenbank stiehlt, hat eine Liste von Prüfwerten, deren Umkehrung pro Rateversuch 200.000 Rechenschritte kostet.

Das zufällige Salz sorgt dafür, dass zwei Personen mit demselben Passwort verschiedene Prüfwerte haben — eine einmal berechnete Tabelle nützt also nicht gegen alle Konten gleichzeitig. Der Vergleich läuft in konstanter Zeit: Ein falsches Passwort braucht zur Ablehnung genauso lange wie ein richtiges zur Annahme. Sonst verriete allein die Antwortzeit, wie viele Zeichen stimmen.

Sitzung. Nach der Anmeldung erhält die Anwendung ein signiertes, kurzlebiges Token (standardmäßig 30 Minuten). Der Signaturschlüssel liegt ausschließlich auf dem Server und verlässt ihn nie. Läuft das Token ab, meldet sich die Anwendung neu an — im Normalfall merken Sie davon nichts.

Anmeldung mit Google heißt, dass Sie bei uns gar kein Passwort haben. Dann gilt, was Ihr Google-Konto absichert, einschließlich der dort eingerichteten Zwei-Faktor-Anmeldung.

Eine Zwei-Faktor-Anmeldung für Thalassa-eigene Passwörter gibt es noch nicht. Wenn Ihre Sicherheitsrichtlinie sie verlangt, nutzen Sie die Google-Anmeldung — oder sprechen Sie vor dem Kauf mit uns.

Schlüssel zu Ihren anderen Systemen

Wenn Sie Thalassa mit Google, Microsoft 365 oder einem CRM verbinden, entsteht ein Zugangsschlüssel zu Ihrem dortigen Konto. Ein solcher Schlüssel ist ein Inhaberpapier: Wer ihn hat, kommt an Ihr Postfach oder Ihr CRM — ohne Passwort, ohne zweiten Faktor. Er wird deshalb nicht wie ein gewöhnlicher Datenbankeintrag behandelt.

• Der Schlüssel wird mit AES-256-GCM verschlüsselt, bevor er die Datenbank erreicht. In der Spalte steht ein Umschlag, kein lesbarer Wert.
• Der Umschlag ist an Ihr Konto und an den Anbieter gebunden. Ein aus der Datenbank kopierter Umschlag lässt sich einem anderen Konto nicht unterschieben — die Entschlüsselung schlägt fehl, statt stillschweigend etwas Falsches zu liefern.
• Es gibt einen Schlüsselbund, nicht einen Schlüssel. Der erste Eintrag verschlüsselt neue Werte, alle Einträge können alte lesen. So lässt sich ein Schlüssel wechseln, ohne bestehende Verbindungen zu zerstören und ohne Ausfall.
• Dieser Schlüsselbund ist getrennt vom Signaturschlüssel der Anmeldung. Sonst machte ein Wechsel der Anmeldeschlüssel alle CRM-Verbindungen unlesbar.
• Ohne gültigen Schlüsselbund werden Verbindungen im Produktivbetrieb abgeschaltet, nicht ersatzweise unverschlüsselt gespeichert.

Sie können jede Verbindung jederzeit trennen. Dann wird der Umschlag gelöscht und der Zugang beim Anbieter zurückgegeben.

Schutz gegen Missbrauch

Die Mengenbegrenzung zählt Anfragen in einem gleitenden Zeitfenster: je Client-Adresse für alle Zugriffspunkte, zusätzlich je Konto für die teuren — Gespräche und Modellanfragen. Wer zu schnell fragt, bekommt eine Absage mit Wartezeit statt einer Antwort.

Die wachsende Sperre deckt ab, wogegen die Mengenbegrenzung allein nichts nützt: das Erraten von Passwörtern. Wer geduldig genug ist, bleibt unter jeder Minutengrenze. Deshalb wächst die Wartezeit mit jedem Fehlversuch in Folge — von null über Sekunden bis zu mehreren Minuten — und fällt beim ersten Erfolg sofort auf null zurück. Wer sich einmal vertippt, merkt nichts davon; ein Programm, das eine Liste durchprobiert, kommt zum Stillstand.

Auch die Einlösung von Aktionscodes ist begrenzt, je Konto und je Adresse. Codes zu erraten ist sonst ein Geschäftsmodell.

Grenze der Methode: Die Zählung läuft je Serverinstanz, wirkt bei mehreren Instanzen also pro Instanz. Für den Verbrauch — Minuten und Kontingente — gilt das ausdrücklich nicht: Der wird in der Datenbank mit Sperren geführt und ist auch bei parallelen Anfragen exakt.

Wenn ein Anbieter ausfällt

Nach mehreren Fehlschlägen in Folge wird ein Modell für etwa eine Minute übergangen, statt es weiter zu versuchen. Danach lässt der Schutzschalter genau eine Probeanfrage durch: Gelingt sie, ist alles wieder normal; scheitert sie, bleibt die Sperre. So wird ein sich erholender Anbieter nicht sofort wieder von der vollen Last erschlagen.

Meist merken Sie nichts davon — es gibt vier Modellstufen, und der Ausfall einer betrifft die anderen nicht. Im schlechteren Fall erscheint eine Meldung, dass gerade keine Antwort möglich ist. Was Sie nicht bekommen, ist eine stillschweigend schlechtere Antwort aus einer anderen Quelle.

Eine benannte Ausnahme: die Live-Übersetzung. Fällt der Übersetzungsdienst aus, übernimmt das Sprachmodell — und die Anwendung zeigt den Wechsel an. Es ist ein anderer Auftragsverarbeiter, und das ist eine Datenschutzaussage, keine Komfortfrage.

Verfügbarkeit — was zugesagt wird und was nicht

Es gibt keine vertraglich zugesagte Verfügbarkeit. Keinen Prozentwert, keine Gutschriften, auch nicht als Schätzung. Eine Prozentangabe zur Verfügbarkeit ist eine vertragliche Verpflichtung mit Messverfahren, Meldeweg und Rechtsfolge. Sie ohne all das in den Raum zu stellen, ist entweder unverbindliches Marketing oder eine versehentlich eingegangene Haftung.

Was tatsächlich gilt:

• Das Backend läuft auf einem verwalteten Dienst in der Region Frankfurt.
• Die Datenbank wird vom Anbieter gesichert.
• Es gibt keine zweite Region und keine automatische Umschaltung. Fällt Frankfurt aus, ist der Dienst aus.
• Es gibt heute keine öffentliche Statusseite.

Bei einem Ausfall meldet die Anwendung, dass das Backend nicht erreichbar ist, statt stumm keine Antwort zu geben. Was lokal läuft, läuft weiter: Die Suche in Ihren eigenen Dokumenten braucht das Backend nicht. Neue Antworten brauchen es.

Für Enterprise ist eine Verfügbarkeitszusage verhandelbar — sie existiert aber erst, wenn sie im Vertrag steht.

Wie Aktualisierungen zu Ihnen kommen

Drei Auslieferungswege, die einander nicht berühren: Website, Backend und Anwendungen. Jeder lässt sich einzeln erneuern. Ein Textfehler auf der Website ist in Minuten behoben, ohne Backend-Neustart und ohne dass jemand etwas herunterladen muss; ein Backend-Fehler bringt die Website nicht zu Fall.

Die Anwendungen werden je Betriebssystem gebaut — ein Mac die Mac-Fassungen, ein Windows-Rechner die Windows-Fassung. Deshalb kann eine Fassung ein paar Stunden früher verfügbar sein als die andere.

Preise stehen an drei Stellen: Website, Backend, Kontoseite. Ein automatischer Test vergleicht die drei und schlägt fehl, wenn sie auseinanderlaufen. Das ist kein Detail — ein Preis, der an einer Stelle anders steht, ist im Streitfall der Preis, den der Kunde gesehen hat.

Backend-Aktualisierungen sind für Sie unsichtbar; ein laufendes Gespräch kann einmal nachladen. Wissensbasis und Einstellungen liegen getrennt von der Installation und überstehen Aktualisierungen.

Messdaten

Es gibt eine freiwillige, standardmäßig ausgeschaltete Übermittlung technischer Messwerte — Antwortzeiten, Fehlerarten. Keine Inhalte.

Sie ist als Erlaubnisliste gebaut, nicht als Verbotsliste. Naheliegend wäre eine Liste in der Anwendung, was nie gesendet wird: kein Transkript, keine Frage, keine Dokumentnamen. Eine Verbotsliste ist aber nur so gut wie ihre Vollständigkeit; ein neues Feld, an das niemand gedacht hat, rutscht durch. Der Server macht es umgekehrt: Nur was ausdrücklich benannt ist, wird angenommen, alles Unbekannte verworfen. Auch eine fehlerhafte Anwendung kann so keine Inhalte hinausschleusen — die Aussage „Ihre Unterlagen bleiben auf Ihrem Gerät“ hält, ohne dass man dem Programm auf dem Gerät vertrauen muss.

Jeder Textwert ist längenbegrenzt und muss dort, wo es feste Auswahlmöglichkeiten gibt, einer davon entsprechen. Freitext hat auf diesem Weg keinen Eingang.

Es gilt nur für angemeldete Konten, nur bei ausdrücklicher Einschaltung und nur, wenn es serverseitig freigeschaltet ist. Aus der Kontokennung wird ein gleichbleibendes Pseudonym gerechnet, das sich ohne serverseitigen Zusatzwert nicht zurückführen lässt — Messreihen lassen sich so zusammenführen, ohne dass eine E-Mail-Adresse in der Auswertung auftaucht.

Sicherheitsvorfälle und Meldewege

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, gelten die Fristen der DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden, Benachrichtigung der Betroffenen, wenn ein hohes Risiko besteht.

Zuständige Aufsichtsbehörde ist die ungarische Datenschutzbehörde NAIH, weil Thalassa Consulting Kft. in Budapest sitzt. Sie können sich unabhängig davon immer auch an die Aufsichtsbehörde Ihres Wohn- oder Arbeitsorts wenden.

Was ein Vorfall betreffen könnte. Gesprächsinhalte werden nicht gespeichert; betroffen wären also Kontodaten — E-Mail-Adresse, Tarif, Verbrauch — und im schlimmsten Fall gespeicherte Zugangsschlüssel zu verbundenen Systemen. Genau deshalb sind diese Schlüssel gesondert verschlüsselt und an ihr Konto gebunden: Ein Datenbankauszug allein reicht nicht, um sie zu verwenden.

Was Sie unabhängig davon tun sollten: die Verbindungen zu Thalassa in Ihrem CRM oder Google-Konto widerrufen und das Passwort ändern. Beides geht ohne uns und wirkt sofort.

Schwachstelle gefunden? Meldung an die im Impressum genannte Adresse. Wir behandeln solche Meldungen nicht als Angriff.

Was wir nicht haben

Das ist der Abschnitt, den andere Anbieter weglassen. Jede Zeile hier ist eine echte Lücke, keine bescheidene Umschreibung für etwas Vorhandenes.

• Kein Signaturzertifikat. Ihr Betriebssystem warnt beim ersten Start; prüfen Sie stattdessen die veröffentlichte Prüfsumme.
• Keine Zwei-Faktor-Anmeldung für Thalassa-eigene Passwörter. Nutzen Sie die Google-Anmeldung, wenn Ihre Richtlinie eine Zwei-Faktor-Anmeldung verlangt.
• Keine Zertifizierung nach ISO 27001, keine nach SOC 2. Es gibt sie nicht, also erwarten Sie bitte auch keinen Bericht zu einer dieser Normen.
• Kein security.txt, kein Bug-Bounty. Schwachstellen an die im Impressum genannte Adresse melden.
• Keine öffentliche Statusseite. Ausfälle sind in der Anwendung sichtbar, nicht auf einer Statusseite.
• Keine Verfügbarkeitszusage (SLA). Es gibt keine außerhalb eines verhandelten Enterprise-Vertrags.
• Kein schriftliches Berechtigungs- und Rollenkonzept. Der Zugriff ist durch die Unternehmensgröße begrenzt, nicht durch ein Dokument.
• Kein schriftlicher Vorfallsablauf. Die DSGVO-Fristen gelten; die interne Reihenfolge ist noch nicht verschriftlicht.
• Keine zweite Region, keine automatische Umschaltung. Ein Frankfurt-Ausfall ist ein Vollausfall.

Uns ist lieber, Sie lesen diese Liste hier, als dass Sie sie in der Beschaffung entdecken. Wenn einer dieser Punkte einen Kauf verhindert, sagen Sie es — mehrere stehen auf der Roadmap, und zu wissen, welcher zählt, ändert die Reihenfolge, in der sie gebaut werden.

Auftragsverarbeitungsvertrag. Einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO veröffentlichen wir auf dieser Seite nicht, auf Anfrage erhalten Sie ihn aber: schreiben Sie an info@thalassa-consulting.com, und Sie bekommen die aktuelle Fassung.

Sicherheitsfragen, die hier nicht beantwortet sind: an support@thalassa-consulting.com. Die Datenschutzerklärung nennt die Auftragsverarbeiter und die Rechtsgrundlagen, die Hilfe beantwortet die Fragen des Alltags, und das Glossar erklärt die Begriffe dieser Seite.