Licensed to be used in conjunction with basebox, only.
// sicherheit
Infrastruktur
Gilt für
Produkt: Cloud · Zielgruppe: Sicherheits- / Compliance-Prüfer
Auf welcher Infrastruktur die Cloud läuft und wer daran beteiligt ist. Kurz: Die basebox Cloud läuft auf Servern des Hardwarepartners FAST LTA im Rechenzentrum der noris network AG in München-Ost. Plattform und Sprachmodell laufen auf diesen Servern. basebox betreibt sie und ist Ihr Auftragsverarbeiter; noris network AG und FAST LTA stehen auf der Liste der Unterauftragsverarbeiter (Auftragsverarbeitung & Unterauftragsverarbeiter).
basebox Cloud (Übergangsbetrieb bis November 2026)
Konten, die vor dem Cloud-Start entstehen, laufen bis zum Umzug in einer gemeinsamen Umgebung bei Hetzner in Nürnberg, logisch getrennt, mit gemeinsamer Benutzerverwaltung und KI-Modellen von Google Vertex in Frankfurt. basebox zieht sie um. Gesundheitsdaten und andere besondere Kategorien (Art. 9 DSGVO) verarbeiten Sie am besten erst nach dem Umzug (Übergangsbetrieb).
Der Aufbau
| Schicht | Was | Wo / durch wen |
|---|---|---|
| Hardware | FAST-LTA-Server | Eigentum von FAST LTA, von FAST LTA gewartet; Unterauftragsverarbeiter |
| Standort | Rechenzentrum, Strom, Anbindung | noris network AG, München-Ost – Unterauftragsverarbeiter |
| Betriebssystem, Kubernetes | Härtung, Patching, Updates | basebox |
| basebox-Plattform | frontend, AISRV, storesrv, Keycloak, PostgreSQL (CloudNativePG), Ingress/TLS | basebox, auf dem Server |
| Service-Modelle | ragsrv, ragsrv-support, OCR, Sprache-zu-Text | basebox, auf dem Server |
| Sprachmodell (Inferenz) | Lokal auf dem Server | basebox, auf demselben Server |
| Konnektor-Dienste | Rechner, Websuche, E-Mail, weitere nach Absprache | basebox stellt bereit; Sie konfigurieren |
| Anwendung | Organisation, Benutzer, Apps, Wissensbasen, Richtlinien, Audit | Sie |
Mehrere Kundenorganisationen teilen sich diesen Server, jede in einer isolierten Umgebung (Isolierung). Die Komponenten und ihre Kommunikationspfade sind dieselben wie auf basebox Server – basebox-Komponenten.
Was das für die Bewertung bedeutet
- Sprachmodell im selben Rechenzentrum. Das KI-Modell läuft auf den Servern der Cloud zusammen mit der Plattform; die Kunden nutzen es gemeinsam, ein Modell nur für Ihre Organisation ist auf Wunsch möglich. Für zusätzliche Rechenleistung können Anbieter wie STACKIT oder Mistral AI in der EU oder ein von Ihnen gewählter Anbieter hinzukommen – als Unterauftragsverarbeiter in Ihrer Liste (Modellanbieter).
- Kein Hyperscaler in der Kette. noris network AG liefert Stellfläche, Strom und Anbindung, FAST LTA Hardware und Wartung; beide sind Unterauftragsverarbeiter. Drittlandfragen entstehen erst durch Dienste, die Sie selbst aktivieren – Websuche-Anbieter, Konnektor-Zielsysteme und die App mit externem Modell (Google Vertex in Frankfurt; als US-Unternehmen unterliegt Google dem US Cloud Act). basebox selbst unterliegt als deutsches Unternehmen nicht dem US Cloud Act.
- Auftragsverarbeiter mit AVV. basebox betreibt die Server und verarbeitet als Auftragsverarbeiter; der AVV ist Teil jedes Vertrags (basebox.ai/vertrag), die Unterauftragsverarbeiter stehen in der PDF-Liste.
- Physischen Zugang haben Dritte. Das Personal des Rechenzentrums und FAST LTA, dem die Server gehören und der sie wartet, haben physischen Zugang; beide stehen in der Liste der Unterauftragsverarbeiter. Gespeicherte Daten schützen verschlüsselte Datenträger, die Einzelheiten nennt basebox auf Anfrage (Verschlüsselung).
- Gleiche Software wie Server. Sicherheitseigenschaften der Anwendung – Rollenmodell, Konnektor-Gate, Audit-Log, Websuche-Kontrollen – sind identisch.
Was basebox Ihnen nennt
Für die Vertragsgestaltung, soweit hier noch nicht beantwortet:
- Zertifizierungen des Noris-Rechenzentrums und die physischen Zugangskontrollen
- Redundanz von Strom, Kühlung und Netz
- Netzwerkarchitektur zwischen Kundenumgebungen (Isolierung)
- Feste Egress-Adressen der Cloud für Ihre Firewall (Netzanbindung)
Kontakt: datenschutz@basebox.ai.
Betrieb
Updates spielt basebox ein; Änderungen stehen im Versionen. Dringende Sicherheitsupdates spielt basebox auch außerhalb des Wartungsfensters ein; bei bekannten systemischen Risiken oder sicherheitsrelevanten Vorfällen informiert basebox betroffene Kunden unverzüglich (Compliance-Dokument). Vor jedem Release durchläuft die Software statische Code-Analyse, Dependency-Scan, CVE-Prüfung, Unit-Tests, Testinstallation und manuelle QA (Infrastruktur-Richtlinie). basebox überwacht die Umgebung technisch, wertet Protokolle auf ungewöhnliche Ereignisse aus und protokolliert administrative Zugriffe auf die Infrastruktur.
Eine Mindestverfügbarkeit sagt basebox nicht zu. Support gibt es werktags von 9 bis 17 Uhr per E-Mail oder Ticketsystem, die erste Rückmeldung innerhalb eines Werktags, nach Schweregrad priorisiert. Weitergehende Service-Level bietet basebox auf Anfrage an. Maßgeblich ist die Anlage „Support und Service-Level“ Ihres Vertrags.
Nächster Schritt: Administrativer Zugriff