PlexyCare
umgesetzt Zero Trust
Kein Zugriff gilt als vertrauenswürdig, nur weil er von innen kommt. Jede Anfrage wird an jedem Endpunkt erneut geprüft — Anmeldung, Rolle, Modul, Schutzstufe, organisatorischer Sichtbereich.
Trust Center
Sie vertrauen einer Software Daten über Menschen an, die sich nicht wehren können. Dann haben Sie ein Recht darauf zu erfahren, wie sie gebaut ist — und woran noch gearbeitet wird.
Wo PlexyCare heute steht
PlexyCare ist in Entwicklung. Es gibt eine Testumgebung, keine Produktivumgebung, und keine Zertifizierungen — weder ISO 27001 noch SOC 2. Das ist kein Versäumnis, sondern der Stand: Eine Zertifizierung setzt einen Betrieb voraus, den es noch nicht gibt.
Was es gibt, sind Entscheidungen, die von Anfang an so getroffen wurden, dass eine spätere Zertifizierung nicht zur Umbauaktion wird. Die stehen unten — nachprüfbar, weil jede von ihnen als Architekturentscheid dokumentiert ist.
Grundsätze
umgesetzt Mandantentrennung
Jeder Datenzugriff ist an einen Mandanten gebunden, und dieser stammt ausschliesslich aus der angemeldeten Sitzung — nie aus einer Angabe des Aufrufers. Die Antwort auf „kann ein Mandant Daten eines anderen sehen?" ist immer Nein, und sie wird getestet.
umgesetzt Secure by Default
Ein neues Konto sieht nichts. Keine Rolle, kein Sichtbereich, kein Zugriff — bis jemand ausdrücklich entscheidet. Fehlende Konfiguration führt zur restriktiveren Einstellung, nie zur offeneren.
umgesetzt Privacy by Design
Datenminimierung als Bauregel: Im Audit-Log stehen Kennungen, keine Namen. Felder, die niemand füllt, werden nicht angelegt. Was nicht erhoben wird, kann nicht verlorengehen.
Nachvollziehbarkeit
umgesetzt Audit-Log, fälschungssicher
Jede Anmeldung, jeder Datensatzaufruf, jede Berechtigungsänderung wird protokolliert. Das Log ist append-only — datenbankseitig erzwungen, nicht nur im Programm. Auch die Anwendung selbst darf darin nichts ändern oder löschen.
umgesetzt Auch das Lesen wird protokolliert
Wer ins Audit-Log schaut, hinterlässt selbst einen Eintrag. Ein Protokoll, dessen Einsichtnahme nicht protokolliert wird, lässt genau die Frage offen, die es beantworten soll.
umgesetzt Zugriffe von aussen sind markiert
Konten, für deren Identität kein Firmenverzeichnis bürgt, sind in jedem einzelnen Audit-Eintrag als solche gekennzeichnet — auch bei gescheiterten Anmeldeversuchen.
umgesetzt Rollentrennung in der Datenbank
Die Anwendung verbindet sich nicht als Eigentümerin der Datenbank. Auf dem Audit-Log hat sie ausschliesslich Lese- und Anfügerechte — kein Ändern, kein Löschen.
Zugang und Identität
umgesetzt Anmeldung über Ihr Verzeichnis
OpenID Connect gegen Microsoft Entra ID. Die Zuordnung hängt an der kryptografisch bestätigten Verzeichniskennung, nicht an einer E-Mail-Adresse — die ist veränderlich und als Schlüssel ungeeignet.
umgesetzt Konten entstehen nicht von selbst
Wer sich anmeldet und kein Konto hat, bekommt keines. Es entsteht eine Anfrage, über die Ihre Administration entscheidet — bevor ein Konto existiert, nicht danach.
umgesetzt Zweiter Faktor, wo er nötig ist
Konten ausserhalb Ihres Verzeichnisses brauchen zwingend einen zweiten Faktor (TOTP), bevor die erste Anmeldung überhaupt möglich ist.
umgesetzt Schutzstufen je Klient
Fünf Stufen, kombiniert mit Rolle, Modul und organisatorischer Zuordnung. Die Schutzstufe allein entscheidet nie — sie ist eine von mehreren Bedingungen, die alle erfüllt sein müssen.
Betrieb
umgesetzt Schweizer Betrieb
Betrieben in der Schweiz. Keine Datenhaltung ausserhalb.
umgesetzt Verschlüsselung
Transport über TLS 1.3 als Mindestversion — ältere Verfahren werden abgewiesen, nicht nur nicht bevorzugt. Datenträger verschlüsselt, Sicherungen zusätzlich mit einem Schlüssel, der nicht auf dem Server liegt.
umgesetzt Malwareprüfung, fail closed
Hochgeladene Dateien werden geprüft. Ist der Prüfdienst nicht erreichbar, werden Uploads abgewiesen — nicht ungeprüft angenommen.
umgesetzt Geprobte Wiederherstellung
Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung. Die Wiederherstellung wird geprobt und das Ergebnis festgehalten.
Woran wir noch arbeiten
Diese Punkte sind offen. Sie stehen hier, weil ein Trust Center ohne sie kein Trust Center wäre, sondern eine Broschüre.
offen Zertifizierungen
Keine vorhanden. Die Architektur ist darauf ausgelegt, nicht mehr.
offen Löschkonzept
Aufbewahrungsfristen und geordnetes Löschen sind konzipiert, aber nicht umgesetzt. Sie hängen an der laufenden rechtlichen Prüfung.
offen KI-Funktionen
Das AI Gateway — die Stelle, die jeden KI-Aufruf auf Berechtigung und Datenminimierung prüft — ist entworfen und noch nicht gebaut. Solange es das nicht gibt, gibt es in PlexyCare keine KI-Funktion. Kein Fachmodul darf einen KI-Anbieter direkt aufrufen; das ist eine harte Regel, keine Absichtserklärung.
offen Zweiter Sicherungsort
Sicherungen liegen derzeit auf demselben Server. Für die Produktivumgebung ist ein zweiter Ort Vorbedingung.
offen Vier-Augen-Prinzip
Für besonders folgenschwere Verwaltungsvorgänge — Sperren, Löschen, Rechte erhöhen — fehlt die erneute Bestätigung. Deshalb sind diese Vorgänge derzeit gesperrt, statt ungeschützt möglich zu sein.
offen Rechtliche Prüfung
22 Fragen zu Auftragsverarbeitung, Aufbewahrung und Betroffenenrechten liegen bei der Rechtsberatung. Bis sie beantwortet sind, verarbeitet PlexyCare ausschliesslich erfundene Daten.
Fragen, die tiefer gehen
Architekturübersichten, Sicherheitskonzepte, Audit-Prozesse und Entscheidungsprotokolle geben wir Institutionen auf Anfrage. Schreiben Sie uns — wir antworten mit Unterlagen, nicht mit einem Verkaufsgespräch.