# Agenten auf Ihren Servern, nach Ihren Regeln, im Protokoll.

> Wo SecondStack läuft, wo Ihre Daten liegen, was vor dem Versand maskiert wird und wer was darf: die Antworten, nach denen ein Sicherheits-Review fragt.

- Canonical: https://secondstack.ai/de/for/it-security/
- Language: German (de)

---

SecondStack ist eine KI-Agenten-Plattform. Diese Ansicht richtet sich an IT- und Sicherheitsteams: wo SecondStack läuft, wo die Daten liegen, was vor dem Versand maskiert wird und was jede Ausführung protokolliert.

SecondStack ist heute selbst gehostet: Es läuft auf Ihren eigenen Servern, und jeder Chat, jede Datei und jede Agenten-Ausführung bleibt in Ihrer eigenen Datenbank. Was an einen KI-Anbieter geht, wird vorher geprüft, mit personenbezogenen Daten und Zugangsdaten maskiert nach den Regeln, die Sie festlegen.

## Was der KI-Anbieter zu sehen bekommt.

SecondGuard, die Guardrails im Gateway, ersetzt personenbezogene Daten und Zugangsdaten durch Platzhalter, bevor eine Anfrage nach außen geht. Die echten Werte kommen in der Antwort zurück, auf Ihrer Seite.

## Wer handeln darf, und mit welchen Konten.

Jeder Agent erreicht nur, was er bekommen hat, und keiner hat je ein Passwort in der Hand. Sein Verantwortlicher oder ein Admin kann ihn jederzeit pausieren.

- **Persönlicher Agent** (handelt für seine Person): Google Workspace, Microsoft 365, GitHub; nur die Konten, die diese Person verbunden hat.
- **Projekt-Agent** (arbeitet für einen gemeinsamen Arbeitsbereich): Projektdateien, Projekt-Threads; nie die persönlichen Konten Einzelner.
- **Fachagent** (für eine Rolle eingestellt): Google Sheets · nur lesen, Slack · eigener Bot; eigene Konten, die sein Verantwortlicher auswählt, oder keine.

Wer einen Agenten aufrufen, trainieren oder verwalten darf, wird pro Person, Team oder für die ganze Organisation festgelegt, und eine Sperre schlägt jede Freigabe.

Zugangsdaten liegen in einem separaten Egress-Proxy, der sie jedem Aufruf hinzufügt: Der Agent bekommt das Ergebnis, nie das Passwort.

## Jede Ausführung hinterlässt ein Protokoll.

Jede Ausführung jedes Agenten schreibt dieselben acht Zeilen: was sie ausgelöst hat, was sie erreichen konnte, was nach außen gegangen ist und was sie gekostet hat. Administratoren können das Protokoll lesen, aber nicht bearbeiten. Es enthält, was gelaufen ist; der Chat selbst bleibt in Ihrer eigenen Datenbank.

## Bevor das Sicherheits-Review beginnt.

Wo es läuft, wo Daten liegen, wer sich anmeldet und was protokolliert wird.

- **Wo es läuft**: Heute selbst gehostet, in Ihrer Cloud oder auf Ihren Servern. Managed SaaS und AWS Marketplace folgen.
- **Wo Daten liegen**: Jeder Chat, jede Datei und jede Agenten-Ausführung in Ihrer eigenen Datenbank, auf Ihren Servern.
- **Anmeldung**: Die Anmeldung läuft über ControlTower, die Admin-Konsole. Mitarbeitende melden sich per SSO über Entra ID, Keycloak oder einen anderen OpenID-Connect-Anbieter an, oder über LDAP und Active Directory, und SCIM hält Ihre Nutzer synchron.
- **Was protokolliert wird**: Was gelaufen ist, nicht der Chatverlauf. Zugangsdaten und Schlüssel werden entfernt. Wird ein Gespräch gelöscht, wird sein Inhalt entfernt; das Protokoll behält nur, dass die Ausführung stattgefunden hat.
- **Zertifizierung**: ISO 27001 über T1A, unseren Partner für die Umsetzung.
- **Verbindungen**: Google Workspace, Microsoft 365, GitHub, Jira und Notion eingebaut; jeder MCP-Server oder jede REST-API über ihre URL. Kanäle: Slack und Telegram, Microsoft Teams folgt.

## Fragen aus Sicherheits-Reviews.

### Liest SecondStack die Gespräche unserer Mitarbeitenden?

Nein. Jeder Chat, jede Datei und jede Agenten-Ausführung bleibt in Ihrer eigenen Datenbank, auf Ihren Servern. Ihre Admins sehen Agent Activity: was gelaufen ist, nicht den Chat selbst.

### Kann ein Agent im Namen einer Person handeln?

Nur der persönliche Agent, und nur über Konten, die diese Person verbunden hat. Fachagenten nutzen Konten, die ihr Verantwortlicher ihnen gibt, oder keine. Ein Projekt-Agent arbeitet aus den Dateien des gemeinsamen Arbeitsbereichs, nicht aus den persönlichen Konten Einzelner. In jedem Fall bleiben die Zugangsdaten im Egress-Proxy der Plattform, nie beim Agenten.

### Wie steuern wir, welche KI-Modelle erlaubt sind?

In ControlTower, der Admin-Konsole, pro Organisation, Team, Person, API-Key oder Fachagent, standardmäßig gesperrt. Agenten nutzen dieselbe Liste: Ein Fachagent auf dem Budget seines Sponsors bekommt eigene freigegebene Modelle; jeder andere Agent nutzt die Liste dessen, der ihn ausführt.

### Welchen Identity Provider nutzt es?

ControlTower ist der OpenID-Connect-Provider und das Nutzerverzeichnis der Plattform, Mitarbeitende melden sich also einmal für die Web-App und die Admin-Konsole an. Es verbindet sich über OpenID Connect mit Ihrem Identity Provider, oder mit LDAP und Active Directory, mit SCIM für den Nutzerabgleich.

### Ist SecondStack selbst zertifiziert?

Als Produkt heute nicht. ISO 27001 hält T1A, unser Partner für die Umsetzung. SecondStack läuft auf Ihren eigenen Servern, Ihre Daten bleiben also in Ihrer Umgebung.

## Zum Weiterlesen

- [Schatten-KI: Was sie ist und wie Sie sie erkennen](https://secondstack.ai/blog/shadow-ai-detection/)
- [LLM-Governance: ein praktischer Rahmen](https://secondstack.ai/blog/llm-governance/)
- [LLM-Guardrails: personenbezogene Daten und Zugangsdaten vor dem Versand](https://secondstack.ai/blog/llm-guardrails/)

## Bringen Sie einen Agenten mit, den Sie heute nicht erlauben würden.

Im Demo-Termin zeigen wir, wie er als Fachagent laufen würde und was sein Protokoll in ControlTower zeigen würde. Ob das reicht, entscheiden Sie.

Demo buchen: hello@secondstack.ai