Sicherheit und Vertrauen
Vertrauen ist kein Feature. Es ist die Grundlage.
Kunden aus Energie, Infrastruktur und Verwaltung prüfen Lexploris wie einen kritischen Lieferanten. Hier finden Sie, wie wir Daten schützen, wo sie verarbeitet werden und was wir noch vorhaben.
Server in Österreich
- Anwendung, Datenbank und Dateien auf einem gemieteten Server von netcup in einem Rechenzentrum in Wien
- Verschlüsselung endet auf unserem Server, kein Dienstleister dazwischen
- Tägliche verschlüsselte Sicherung, zweite Kopie an einem eigenen Standort in Österreich
- Übertragung ausschließlich verschlüsselt (TLS, HSTS)
KI aus Europa
- Sprachmodelle von Mistral AI (Frankreich) in der EU, kein Training mit Ihren Daten
- Nur bei Störungen vorübergehend Amazon Bedrock in Frankfurt (Konzern mit Sitz in den USA)
- KI für Ihre Organisation auf Wunsch abschaltbar
- Quelltexte gelten als Daten, nie als Anweisung
- Jeder KI-Aufruf wird protokolliert, jedes Zitat gegen das Original geprüft
Strikte Mandantentrennung
- Jede Abfrage ist auf die eigene Organisation beschränkt
- Zweite Schutzebene: Zeilenrechte (Row Level Security) in PostgreSQL
- Personenauswahl nur innerhalb der eigenen Organisation
Sichere Anmeldung
- Passwörter mit Argon2id gehasht, Sperre nach Fehlversuchen
- Zwei-Faktor-Anmeldung, Bestätigung neuer Geräte, widerrufbare Sitzungen
- Single Sign-on (Entra ID, Google, SAML) und SCIM im Enterprise-Paket
Nachweis mit Hash-Kette
- Audit-Trail je Organisation als Hash-Kette (SHA-256)
- Rechnungen und Nachweise schreibgeschützt mit Prüfsumme archiviert
- Export aller Daten in offenen Formaten, auch bei Vertragsende
Sichere Entwicklung
- Code-Review, automatische Tests, Prüfung der Abhängigkeiten
- Strenge Content-Security-Policy, keine Tracker, keine Fremdskripte
- Tests nur mit Demodaten in getrennter Testdatenbank
Vertrauenspaket für Ihre Lieferantenbewertung
Alles, was Einkauf, Datenschutz und Informationssicherheit für die Prüfung brauchen. Die Antworten sind nach § 32 Abs. 4 NISG 2026 gegliedert und dürfen übernommen werden.
- AuftragsverarbeitungsvertragNach Art. 28 DSGVO, Bestandteil jedes Vertrags.
- Technische und organisatorische MaßnahmenVollständige Fassung als Anlage 2 zum AVV.
- UnterauftragnehmerDienstleister mit Leistung, Daten und Ort der Verarbeitung.
- Hosting- und SicherungsnachweisStandort, Sicherung, Wiederherstellungstests und Überwachung.
- Antworten für FragebögenGegliedert nach § 32 Abs. 4 NISG 2026, zum Übernehmen in Ihre Lieferantenbewertung.
- Alles als ein PDFNachweis, Fragebogen, AVV mit Anlagen und Unterauftragnehmer.
Hosting- und Sicherungsnachweis
Wo Lexploris läuft, wie wir sichern und wann wir die Wiederherstellung zuletzt getestet haben. Stand 24.10.2026.
| Thema | Angabe |
|---|---|
| Standort | Gemieteter Server der netcup GmbH in einem Rechenzentrum in Wien, Österreich |
| Betrieb | Anwendung, Datenbank, Dateien und Sicherungen auf diesem Server; TLS endet auf dem Server, kein Dienstleister dazwischen |
| Sicherung | Täglich Datenbank, Dateien und Archiv; mit AES-256 verschlüsselt, bevor sie den Server verlassen |
| Aufbewahrung | 14 Tage auf dem Server, höchstens 30 Tage als zweite Kopie |
| Zweiter Standort | Verschlüsselte Kopie auf einem eigenen Server des Betreibers in versperrten Räumlichkeiten in Österreich; Abholung über ein Konto, das nur Sicherungsdateien lesen kann |
| Wiederherstellungsziele | Höchstens 24 Stunden Datenverlust (RPO), Wiederherstellung binnen 4 Stunden (RTO) |
| Wiederherstellungstest | 17.10.2026 mit der Live-Sicherung des damaligen Betriebs bestanden (Datenbank in 49 Sekunden wiederhergestellt, eine manipulierte Kopie wurde abgelehnt); 20.10.2026 Probelauf auf dem Server in Wien mit Demodaten bestanden; Wiederholung vierteljährlich, nächster Test Jänner 2027 |
| Überwachung | Container-Wache alle 5 Minuten, Prüfung von außen alle 30 Minuten, tägliche Prüfung von Datenquellen, Speicherplatz und Alter der Sicherung; Alarm per E-Mail |
| Verfügbarkeit | Ziel 99,5 % im Monatsmittel, ohne Gewähr; feste Servicelevels nur im Angebot für Enterprise |
| KI | Sprachmodelle von Mistral AI in der Europäischen Union, kein Training mit den Daten; nur bei Störungen vorübergehend Amazon Bedrock in Frankfurt am Main |
Technische und organisatorische Maßnahmen
Eine Übersicht nach Art. 32 DSGVO. Die vollständige Fassung ist Anlage zum Auftragsverarbeitungsvertrag.
| Bereich | Maßnahmen |
|---|---|
| Zutritt und Zugang | Server von netcup in einem Rechenzentrum in Wien; Anmeldung am Server nur mit Schlüssel, Firewall, administrativer Zugriff nur mit Zwei-Faktor-Anmeldung. |
| Zugriff | Rollen und Rechte je Organisation (Administration, Recht und Compliance, Management, Fachbereich, Lesen, Auditor, externe Beratung); Prüfung jedes Zugriffs auf dem Server. |
| Trennung | Logische Mandantentrennung in Anwendung und Datenbank (Row Level Security); Tests nur mit Demodaten in getrennter Testdatenbank. |
| Weitergabe | TLS für jede Verbindung; signierte Webhooks; API-Schlüssel je Organisation, nur als Hash gespeichert, mit Rate-Limits. |
| Eingabe | Audit-Trail mit Person, Zeitpunkt und Inhalt jeder fachlichen Änderung, verkettet über Hashwerte. |
| Verfügbarkeit | Datensicherung mit dokumentierter Wiederherstellung, Überwachung der Abrufläufe, Statusseite; Ziel 99,5 % Verfügbarkeit. |
| Überprüfung | Jährliche Überprüfung der Maßnahmen, Penetrationstest durch externe Prüfer geplant, Meldeprozess für Sicherheitsvorfälle. |
Nachweise und Fahrplan
Wir behaupten nur, was wir belegen können. Was noch nicht umgesetzt ist, steht hier als geplant.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVOverfügbar
- Technische und organisatorische Maßnahmen (TOM)verfügbar
- Liste der Unterauftragnehmerverfügbar
- Hosting- und Sicherungsnachweisverfügbar
- Antworten für Lieferanten-Fragebögenverfügbar
- Penetrationstest durch externe Prüfergeplant
Schwachstelle gefunden?
Bitte melden Sie Sicherheitslücken vertraulich an die Adresse in unserer security.txt. Wir bestätigen den Eingang, beheben bestätigte Lücken zügig und informieren Sie über den Stand.
Häufige Fragen
Werden unsere Daten zum Training von KI verwendet?
Nein. Die Modelle laufen bei Mistral AI in der EU; dem Training mit unseren Daten haben wir widersprochen. Nur bei Störungen nutzen wir vorübergehend Amazon Bedrock in Frankfurt, das laut Anbieter weder speichert noch trainiert. Auf Wunsch schalten wir die KI für Ihre Organisation ab.
Wo werden die Daten gespeichert?
Auf einem gemieteten Server von netcup in einem Rechenzentrum in Wien, Österreich. Die KI läuft bei Mistral AI in der EU. Die Liste aller Dienstleister finden Sie auf der Seite Unterauftragnehmer.
Welche Unterlagen erhalten wir für die Lieferantenbewertung?
Das Vertrauenspaket auf dieser Seite: AVV mit TOM, Unterauftragnehmer, Hosting- und Sicherungsnachweis und Antworten für Fragebögen, gegliedert nach § 32 Abs. 4 NISG 2026. Alles gibt es auch als ein PDF. Weitere Fragen beantworten wir gern.
Können wir einen Auftragsverarbeitungsvertrag abschließen?
Ja. Der AVV nach Art. 28 DSGVO ist Bestandteil jedes Vertrags. Sie finden ihn öffentlich auf unserer Website, samt technischer und organisatorischer Maßnahmen und Unterauftragnehmern.
Wie schützt Lexploris den Zugang zu unseren Konten?
Passwörter werden mit Argon2id gehasht, nach Fehlversuchen wird gesperrt. Dazu kommen Zwei-Faktor-Anmeldung, die Bestätigung neuer Geräte und Sitzungen, die Sie jederzeit beenden können. Im Paket Enterprise melden Sie sich per Single Sign-on (Entra ID, Google oder SAML) an und verwalten Personen per SCIM.
Wie sind unsere Daten gegen Ausfall und Verlust gesichert?
Wir sichern die Daten regelmäßig und haben die Wiederherstellung dokumentiert. Die Abrufläufe der Quellen werden überwacht, den aktuellen Stand sehen Sie auf der Statusseite. Unser Ziel ist eine Verfügbarkeit von 99,5 %.
Können wir alle Daten exportieren?
Ja, jederzeit und in offenen Formaten: Listen als Excel, CSV oder JSON, Berichte und Nachweisakten als PDF. Nach einer Kündigung bleibt der Datenexport noch 30 Tage möglich.
Wie melde ich eine Sicherheitslücke?
Bitte per E-Mail an die Adresse in unserer security.txt (/.well-known/security.txt). Wir bestätigen den Eingang und informieren Sie über die Behebung. Bitte testen Sie nicht mit Daten anderer Kunden.
Wissen, was sich ändert. Ab heute.
Ohne Kreditkarte. Nur für Unternehmen.