Ausrichtung an ISO 27001.
Unsere Prozesse und Systeme orientieren sich an ISO-27001-Standards. Die Zertifizierung ist aktuell in Vorbereitung.
Security
Sicherheit in der Praxis
Sicherheit und Kontrolle auf Enterprise-Niveau
Legal Cognition schützt juristische Arbeit vom PII-Gateway vor Modellaufrufen bis zur aktenbezogenen Berechtigung und append-only Audit-Spur. Die wichtigsten Fragen beantworten wir konkret.
Wie schützt Legal Cognition personenbezogene Daten bei KI-Aufrufen?
Ein akten- und mandantengebundener PII-Gateway kann Personen- und Identifikationsdaten vor externen Modellaufrufen durch stabile, HMAC-basierte Platzhalter ersetzen. Ein zweiter Tripwire prüft den bereits pseudonymisierten Ausgang. Die Schutzstufe ist je Betriebsform konfigurierbar.
Wie werden Daten unterschiedlicher Organisationen und Akten getrennt?
Datenbank- und Storage-Regeln begrenzen direkte Zugriffe auf den aktiven Mandanten. Backend-Endpunkte prüfen zusätzlich die jeweilige Akte und die dort zugewiesene Rolle.
Wer kann Inhalte sehen oder pseudonymisierte Daten entmaskieren?
Zugriffsrechte hängen an der jeweiligen Akte. Externe Beteiligte sehen nur die für ihre Rolle freigegebenen Inhalte. Eine Entmaskierung ist privilegierten Rollen vorbehalten, kann eine Begründung verlangen und wird protokolliert.
Kann Personal von Legal Cognition auf unsere Akten zugreifen?
Im Regelbetrieb nicht. Zugriffe zur Fehlerbehebung erfolgen ausschließlich nach Ihrer Freigabe, sind zeitlich begrenzt und werden protokolliert. Bei Distributed und Air-Gapped kontrollieren Sie den Betrieb auf Ihrer eigenen Infrastruktur. Air-Gapped benötigt keine Verbindung nach außen.
Wie stellt Legal Cognition sicher, dass niemand mit meinen Daten trainiert?
Legal Cognition untersagt Modellanbietern vertraglich, Kundendaten zum Training zu verwenden. Ihre Daten werden ausschließlich zur Verarbeitung Ihrer Anfragen genutzt, nicht zur Verbesserung allgemeiner Modelle. Von Modellanbietern verlangen wir Zero Data Retention (ZDR).
Was wird protokolliert und kann das Protokoll verändert werden?
Fachliche Änderung und Audit-Eintrag werden in derselben Transaktion geschrieben. Die Spur erfasst Akteur, Aktion, Ziel, Zeitpunkt und relevanten Anfragekontext. Für reguläre Anwendungsrollen ist sie append-only; bestehende Einträge können nicht geändert oder gelöscht werden.
Wie werden ungewöhnliche Zugriffsmuster erkannt?
Auditdaten können auf Massenaufrufe, länger inaktive externe Zugänge und selektive Lesemuster ausgewertet werden. Die Ergebnisse bleiben internen Rollen vorbehalten.
Wie häufig führt Legal Cognition Sicherheitsaudits und Schwachstellenanalysen durch?
Legal Cognition führt fortlaufend automatisierte Schwachstellenscans durch und betreibt kontinuierliches Sicherheitsmonitoring. Festgestellte Schwachstellen werden bewertet, behoben und erneut geprüft.
Wo werden Daten gehostet und verarbeitet?
Sie wählen zwischen Managed Cloud, Dedicated, Distributed und Air-Gapped. Datenstandort, externe Verbindungen und operative Kontrolle richten sich nach der vereinbarten Betriebsform.
Können wir Legal Cognition vollständig selbst betreiben?
Ja. Distributed und Air-Gapped laufen auf Ihrer eigenen Infrastruktur und können lokale Modelle nutzen. Sie kontrollieren den Betrieb, Schlüssel, Sicherungen, Zugänge und Audit-Protokolle. Air-Gapped benötigt keine Verbindung nach außen. Dedicated bietet eine isolierte Organisationsumgebung; der Betrieb auf Ihrer eigenen Infrastruktur ist optional.
Semantikerhaltende Maskierung
Bei aktivierter Maskierung ersetzt Legal Cognition personenbezogene Angaben durch konsistente Platzhalter, bevor Inhalte an ein externes KI-Modell übermittelt werden. Die semantische Bedeutung des Textes bleibt dabei erhalten.
Die Zuordnung zu den Originalangaben wird dem Modell nicht übermittelt. Nur berechtigte Personen können die Maskierung aufheben.
Auf AWS
Amazon Bedrock AgentCore
AWS-Infrastruktur
Agenten mit klar begrenztem Zugriff
Legal Cognition führt Agenten in isolierten Ausführungsumgebungen aus. Innerhalb ihrer Berechtigungen können sie Aufgaben selbstständig bearbeiten. Welche Akten, Werkzeuge und externen Dienste sie nutzen dürfen, wird außerhalb des Modells geprüft und technisch durchgesetzt.
Zugangsdaten bleiben beim geschützten Credential Broker. Er verwendet sie ausschließlich für autorisierte Anfragen; der Agent erhält das Ergebnis.
Auch wenn ein Agent manipulierten Anweisungen in einem Dokument folgt, gelten diese Grenzen weiter. Eine Übertragung vertraulicher Akteninhalte an ein nicht freigegebenes Ziel wird blockiert und protokolliert.
Sicherheit
Sicherheit, die Sie überprüfen können.
Schutzmaßnahmen, die sich in der Architektur, im Vertrag und im laufenden Betrieb nachweisen lassen.
Daten unter Ihrer Kontrolle.
Dedicated bietet eine isolierte Organisationsumgebung. Distributed und Air-Gapped laufen auf Ihrer Infrastruktur.
Berufs- und Amtsgeheimnisse.
Verschwiegenheits- und Schutzpflichten gegenüber Kanzleien, Gerichten und Verwaltung.
Durchgängig verschlüsselt.
TLS 1.2+ bei Übertragung, AES-256 im Ruhezustand – durchgängig auf hohem Niveau verschlüsselt.
Nur für Berechtigte.
Rollenbasiertes Rechtemanagement mit Protokollierung von Zugriffen.
Sicherheit als Prozess.
Regelmäßige Audits und Tests halten den Schutz aktuell.
VOM SECURITY REVIEW ZUR FREIGABE
Ihre Anforderungen.Nachweisbar umgesetzt.
Wir beantworten Ihre Fragen zu Datenschutz, Informationssicherheit, Berechtigungen und Betriebsmodell und stellen die technischen und organisatorischen Nachweise bereit, die Ihre Security- und Beschaffungsprozesse benötigen.