Souveräne Bereitstellungen als individuell abgegrenzter Auftrag.

Ein Implementierungsauftrag mit Ihrem Sicherheitsteam.

Eine souveräne Bereitstellung wird gemeinsam abgegrenzt, angeboten und umgesetzt: auf Ihrer Infrastruktur, in Ihrem Rechtsraum, mit Ihren Sicherheitskontrollen und einem vereinbarten Härtungs- und Prüfplan. Es gibt keinen Selbstbedienungsinstaller und keine Testinstanz.

Die Abschottung wird ausdrücklich beschrieben. Das Angebot wird nicht als vollständig netzwerkisoliert vermarktet: Bei angebundenen Zeitstempeln wird ein SHA-256-Fingerabdruck an eine unabhängige Stelle übertragen. Das schafft eine externe Zeitbestätigung. Erfordert der Auftrag vollständige Isolation, muss ein Betrieb ohne unabhängigen Zeitstempel gesondert vereinbart werden. Die geringere Nachweisaussage wird schriftlich festgehalten. Beide Modelle werden vorab erklärt.

Jede externe Abhängigkeit ist konfigurierbar. Jede Einstellung hat erklärte Folgen.

Externe Funktionen sind über gemeinsame Schnittstellen und benannte Adapter angebunden. Bei einer souveränen Bereitstellung wird je Auftrag festgelegt, ob ein Modul abgeschaltet, vom Kunden bereitgestellt oder von Exedra Gate betrieben wird. Die Tabelle beschreibt die Folgen für die Nachweisaussagen, damit Konfiguration und Leistungsbeschreibung übereinstimmen.

Die Aussage gilt nur für die jeweilige Konfiguration: Bei eigenen oder abgeschalteten Identitäts-, Screening- und E-Mail-Diensten sowie internem oder abgeschaltetem Zeitstempel verlassen im Normalbetrieb keine Dokumente, Schlüssel oder Ereignisse den Sicherheitsbereich. Jedes extern betriebene Modul ergänzt die in seiner Zeile benannte Datenübertragung.

Die unabhängige Zeitbestätigung wird bewusst gewählt.

In allen beschriebenen Modellen bleiben Pakete signiert und Hash-verkettet. Unterschiede betreffen den Aussteller des Zeitstempels, die erforderliche Datenübertragung und die daraus zulässige Aussage. Das Modell wird vor dem Betrieb schriftlich festgelegt. Ein angebundener Dienst ist Standard, weil er unabhängige Zeitbestätigung ohne eigene Anbieterbeschaffung ermöglicht. Kunden mit einem eigenen qualifizierten Anbieter können das zweite Modell vereinbaren.

• STANDARD

  Angebundener Zeitstempeldienst, von Exedra Gate benannt. Ein SHA-256-Fingerabdruck wird zur Zeitbestätigung nach RFC 3161 übertragen. Die unabhängige Zeitaussage bleibt erhalten. Die Bereitstellung ist privat mit externer Anbindung, nicht vollständig isoliert. Der Dienst ist von Exedra Gate unabhängig. Exedra Gate selbst ist kein qualifizierter Vertrauensdiensteanbieter. Wird die gesetzliche Vermutungswirkung eines qualifizierten Zeitstempels benötigt, werden Zeitstempel eines entsprechend qualifizierten Anbieters beschafft. Anbieter und Status werden im Auftrag festgehalten.

• EIGENER QUALIFIZIERTER ANBIETER

  Zeitstempel eines vom Kunden beauftragten qualifizierten Dienstes. Hashwerte gehen an den eigenen Vertrauensdiensteanbieter. Nach europäischem Recht hat ein qualifizierter Zeitstempel eine gesetzliche Vermutungswirkung, die ein gewöhnlicher Zeitstempel nicht besitzt (eIDAS, Art. 41 Abs. 2). Bei einem eigenen qualifizierten Anbieter bleibt diese Leistung in der Vertragsbeziehung des Kunden, außerhalb von Exedra Gate.

• VOR ORT

  Zeitstempel innerhalb des Sicherheitsbereichs. Es werden keine Daten übertragen. Die eingeschränkte Aussage steht schriftlich und in der Aufzeichnung selbst: Derselbe Betreiber kontrolliert Nachweisspeicher und Zeitbestätigung. Das Format ist extern prüfbar, der Zeitstempel jedoch intern. Er wird nicht als unabhängig bezeichnet.

• AUS

  Kein Zeitstempel. Pakete bleiben signiert und Hash-verkettet. Ihre Aussage beschränkt sich auf Integrität und Reihenfolge mit Zeitangaben der eigenen Systemuhren. Dieses Modell wird für vollständige Isolation gesondert vereinbart. Der Verlust der unabhängigen Zeitbestätigung wird ausdrücklich benannt.

Bei einer souveränen Bereitstellung gelten Ihre Kontrollen.

Cloud-Anbieter verweisen auf eigene Prüfungen, weil sie Kundendaten betreiben. Hier läuft die Plattform in Ihrem Sicherheitsbereich. Updates kommen als signierte Artefakte, die Ihr Sicherheitsteam vor der Installation prüft und freigibt. Der Prüfungsumfang liegt bei Ihnen. In der Standardkonfiguration wird regulär nur ein Dokumentfingerabdruck zur unabhängigen Zeitbestätigung übertragen. Diese Anbindung wird ausdrücklich benannt.

Administratoren können Protokolle ändern. Die Integritätsprüfung soll Änderungen erkennen.

Sicherheitsteams müssen wissen, was eigene Administratoren am Nachweissystem ändern können. Herkömmliche Datenbankprotokolle lassen sich mit ausreichenden Rechten nachträglich bearbeiten. Hier werden erfasste Handlungen in einer Hash-Kette verbunden, mit Ed25519 signiert und bei angebundenem Betrieb unabhängig nach RFC 3161 zeitgestempelt. Änderungen oder entfernte Einträge führen zu Abweichungen, die eine Prüfung der geschützten Aufzeichnung erkennen kann.

Das ist eine bewusst begrenzte Aussage. Sie verhindert kein Handeln privilegierter Insider. Sie macht nachträgliche Änderungen am geschützten Stand überprüfbar: Eine veränderte Aufzeichnung besteht die Integritätsprüfung nicht mehr. Erkennbarkeit lässt sich demonstrieren. Absolute Unveränderbarkeit wird nicht behauptet.

Die Infrastruktur bleibt in Ihrer Hand.

In jedem Modell: die eigene Signaturengine ohne externen E-Signatur-Anbieter im Signaturablauf; personen- und dokumentbezogene Zugriffe mit RLS-Mandantentrennung; das Hash-verkettete Prüfprotokoll; Nachweispakete in Standardformaten mit SHA-256, Ed25519 und gegebenenfalls RFC-3161-Token zur Offline-Prüfung; sowie ein Updateverfahren mit vorheriger Freigabe durch Ihr Sicherheitsteam.

Neun Branchen mit konkreten Dokumentationsanforderungen.

Jede Seite beschreibt den Branchenkontext anhand von Primärquellen, den Nutzen einer souveränen Bereitstellung, eine mögliche Konfiguration und die Grenzen von Exedra Gate. Diese Abgrenzung gehört bewusst auf jede Seite.