Licensed to be used in conjunction with basebox, only.
// sicherheit
Infrastruktur
Gilt für
Produkt: Cloud · Zielgruppe: Sicherheits- / Compliance-Prüfer
Auf welcher Infrastruktur die Cloud läuft und wer daran beteiligt ist. Kurz: Die basebox Cloud läuft auf Servern des Hardwarepartners FAST LTA im Rechenzentrum der noris network AG in München-Ost. Plattform und Sprachmodell laufen auf diesen Servern. basebox betreibt sie und ist Ihr Auftragsverarbeiter; noris network AG und FAST LTA stehen auf der Liste der Unterauftragsverarbeiter (Auftragsverarbeitung & Unterauftragsverarbeiter).
basebox Cloud (Übergangsbetrieb bis November 2026)
Konten, die vor dem Cloud-Start entstehen, laufen bis zum Umzug in einer gemeinsamen Umgebung bei Hetzner in Nürnberg, logisch getrennt, mit gemeinsamer Benutzerverwaltung und KI-Modellen von Google Vertex in Frankfurt. basebox zieht sie um. Gesundheitsdaten und andere besondere Kategorien (Art. 9 DSGVO) verarbeiten Sie am besten erst nach dem Umzug (Übergangsbetrieb).
Der Aufbau
| Schicht | Was | Wo / durch wen |
|---|---|---|
| Hardware | FAST-LTA-Server | Eigentum von FAST LTA, von FAST LTA gewartet; Unterauftragsverarbeiter |
| Standort | Rechenzentrum, Strom, Anbindung | noris network AG, München-Ost – Unterauftragsverarbeiter |
| Betriebssystem, Kubernetes | Härtung, Patching, Updates | basebox |
| basebox-Plattform | frontend, AISRV, storesrv, Keycloak, PostgreSQL (CloudNativePG), Ingress/TLS | basebox, auf dem Server |
| Service-Modelle | ragsrv, ragsrv-support, OCR, Sprache-zu-Text | basebox, auf dem Server |
| Sprachmodell (Inferenz) | Lokal auf dem Server | basebox, auf demselben Server |
| Konnektor-Dienste | Rechner, Websuche, E-Mail, weitere nach Absprache | basebox stellt bereit; Sie konfigurieren |
| Anwendung | Organisation, Benutzer, Apps, Wissensbasen, Richtlinien, Audit | Sie |
Mehrere Kundenorganisationen teilen sich diesen Server, jede in einer isolierten Umgebung (Isolierung). Die Komponenten und ihre Kommunikationspfade sind dieselben wie auf basebox Server – basebox-Komponenten.
Was das für die Bewertung bedeutet
- Sprachmodell im selben Rechenzentrum. Das Sprachmodell läuft auf den basebox-Servern zusammen mit der Plattform. Für zusätzliche Rechenleistung können Anbieter wie STACKIT oder Mistral AI in der EU oder ein von Ihnen gewählter Anbieter hinzukommen – nur mit Ihrer Zustimmung (Modellanbieter).
- Kein Hyperscaler in der Kette. noris network AG liefert Stellfläche, Strom und Anbindung, FAST LTA Hardware und Wartung; beide sind Unterauftragsverarbeiter. Drittlandfragen entstehen erst durch Dienste, die Sie selbst aktivieren – Websuche-Anbieter, Konnektor-Zielsysteme.
- Auftragsverarbeiter mit AVV. basebox betreibt die Server und verarbeitet als Auftragsverarbeiter; der AVV ist Teil jedes Vertrags (basebox.ai/avv), die Unterauftragsverarbeiter stehen in der PDF-Liste.
- Physischer Zugang liegt bei einem Dritten. Noris hat als Rechenzentrumsbetreiber physischen Zugang zum Standort. Verschlüsselte Datenträger sind deshalb eine wichtige Kontrolle (Verschlüsselung).
- Gleiche Software wie Server. Sicherheitseigenschaften der Anwendung – Rollenmodell, Konnektor-Gate, Audit-Log, Websuche-Kontrollen – sind identisch.
Was basebox Ihnen nennt
Für die Vertragsgestaltung, soweit hier noch nicht beantwortet:
- Zertifizierungen des Noris-Rechenzentrums und die physischen Zugangskontrollen
- Redundanz von Strom, Kühlung und Netz
- Netzwerkarchitektur zwischen Kundenumgebungen (Isolierung)
- Feste Egress-Adressen der Cloud für Ihre Firewall (Netzanbindung)
Kontakt: datenschutz@basebox.ai.
Betrieb
Updates spielt basebox ein; Änderungen stehen im Changelog. Sicherheitsupdates werden priorisiert; bei bekannten systemischen Risiken oder sicherheitsrelevanten Vorfällen informiert basebox betroffene Kunden unverzüglich (Compliance-Dokument). Vor jedem Release durchläuft die Software statische Code-Analyse, Dependency-Scan, CVE-Prüfung, Unit-Tests, Testinstallation und manuelle QA (Infrastruktur-Richtlinie). Wartungsfenster und Verfügbarkeitszusagen regelt Ihr Vertrag.
Nächster Schritt: Administrativer Zugriff