ByteRay GmbH
Hopfenstraße 8
80335 München
Ausgangslage
Nicht, weil etwas falsch konfiguriert wäre — sondern weil KI-Nutzung dort stattfindet, wo klassische Sicherheitswerkzeuge nicht hinsehen.
Welche KI-Dienste laufen bei uns und wer nutzt sie?
Der Endpoint-Schutz sieht Prozesse, der Proxy sieht Domains. Beides greift nicht bei einer KI-Funktion, die in einer längst freigegebenen SaaS-Anwendung steckt und nicht bei privaten Konten im Browser.
Ein Inventar mit Nutzerzahlen, Zugangsweg und Freigabestatus. Einschließlich der KI-Funktionen in Werkzeugen, die Sie längst bezahlen.
Welche Daten verlassen dabei das Haus?
Ihre DLP prüft Dateien und Anhänge. Was jemand in ein Chatfenster einfügt, ist weder das eine noch das andere und läuft daher am Schutzmechanismus vorbei.
Die tatsächlich genutzten Abflusswege, nach Datenkategorie bewertet. Inklusive der Fälle, in denen Kundendaten, Personaldaten oder Quellcode betroffen sind.
Was dürfen die Agenten, die längst arbeiten?
Ein Agent handelt mit den Rechten seines Nutzers oder eines Dienstkontos. Im Protokoll steht die Aktion, nicht die Anweisung, die sie ausgelöst hat, und nicht, wer sie geschrieben hat.
Alle KI-Integrationen mit ihrem Berechtigungsumfang: OAuth-Freigaben, API-Schlüssel, Dienstkonten. Und die Stellen, an denen Rechte weiter reichen als der Zweck.
Das Ergebnis
Am Ende steht kein Reifegrad-Diagramm, sondern eine Liste: welcher Dienst, über welchen Weg, mit wie vielen Nutzern, mit Zugriff worauf und ob das jemand freigegeben hat.
Die kritische Zeile ist selten die auffälligste. Ein Dienstkonto mit Schreibrechten im CRM gehört niemandem, läuft ohne Ablaufdatum und steht in keiner Lizenzübersicht. Genau dafür steht das Inventar am Anfang und nicht am Ende.
Leistungsumfang
KI-Nutzung im gesamten Unternehmen
Web-Dienste, Browser-Erweiterungen, Desktop-Clients und die KI-Funktionen in Anwendungen, die Sie längst lizenziert haben.
Datenwege
Welche Datenkategorien über welchen Kanal in welchen Dienst fließen. Bewertet nach Schutzbedarf, nicht nach Datenmenge.
Identitäten, Rechte, Agenten
OAuth-Freigaben, Dienstkonten, API-Schlüssel und Agenten-Integrationen mit ihrem tatsächlichen Berechtigungsumfang.
Regulatorische Zuordnung
Jeder Befund wird EU AI Act und NIS2 zugeordnet, mitsamt der Dokumentation, die Sie dafür vorhalten müssen.
Kein Penetrationstest
Wir greifen weder Ihre Modelle noch Ihre Anwendungen an. Das Assessment erhebt, es provoziert nicht.
Kein Rollout durch die Hintertür
Nach dem Assessment bleibt nichts installiert, was Sie nicht ausdrücklich behalten wollen.
Ablauf
Ihr Aufwand liegt bei unter vier Stunden, den Rest machen wir ohne Sie.
Kickoff, 60 Minuten
Umfang, Ansprechpartner und die entscheidende Frage: Was müssen Sie am Ende belegen, gegenüber Geschäftsführung, Auditor oder Betriebsrat?
Anbindung & Rollout
Zugang zu den vorhandenen KI Systemen. Rollout des Endpoint Sensors, keine Beeinträchtigung des laufenden Betriebs.
Erhebung und Auswertung
Läuft ohne Ihr Zutun. Erste sichtbare Funde nach 48 Stunden, akuter Handlungsbedarf wird sofort gemeldet, nicht erst im Bericht.
Readout, 90 Minuten
Ein Engineer geht die Befunde mit Ihnen durch. Kein Vertriebstermin mit Bericht im Anhang, sondern eine technische Besprechung.
Anfrage
Sie bekommen innerhalb eines Arbeitstages eine Rückmeldung von einem Engineer mit einer ersten Einschätzung, ob und wie sich das Assessment in Ihrer Umgebung durchführen lässt.
Vier Felder. Danach spricht ein Engineer mit Ihnen.
Rückmeldung innerhalb eines Arbeitstages, technisch, nicht über den Vertrieb.
Kurzes Vorgespräch: was in Ihrer Umgebung erhebbar ist und was nicht. Wenn es nicht passt, sagen wir das.
Angebot mit festem Umfang und festem Preis. Vertraulichkeitserklärung auf Wunsch vorab.
Lieber direkt sprechen? Termin abstimmen
Häufige Fragen
Mit Falcon geht es am schnellsten: Die Telemetrie liegt bereits vor, es kommt kein weiterer Agent dazu. Falls Sie CrowdStrike Falcon nicht einsetzen, stellen wir Ihnen die Lizenzen im Rahmen des Assessments kostenlos.
Das ist der häufigste Ausgangspunkt und der Grund für das Assessment. Ohne Freigabe entsteht keine Nutzungslücke, sondern eine Sichtbarkeitslücke: Genutzt wird trotzdem, nur über private Konten, den Browser und Funktionen in Werkzeugen, die längst freigegeben sind.
In der Regel ja und das ist kein Hindernis. Ausgewertet wird auf Ebene von Diensten, Abteilungen und Gruppen, nicht auf Ebene einzelner Personen. Für die Abstimmung stellen wir ein Briefing bereit, das genau das beschreibt. Erfahrungsgemäß tragen Gremien das mit, weil es Schatten-IT sichtbar macht und nicht Menschen.
Sie bleiben so weit wie technisch möglich in Ihrer Umgebung. Was wir für die Auswertung benötigen, verarbeiten wir im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO und löschen es nach Projektabschluss.
Fester Preis, abhängig von der Zahl der Mitarbeitenden und der anzubindenden Quellen. Die genaue Zahl bekommen Sie im Vorgespräch und noch bevor auf Ihrer Seite Aufwand entsteht.
Einen Ansprechpartner, einen lesenden Zugang zu den vereinbarten Quellen und zwei Termine. Kein Rollout, keine Änderung an Ihren Systemen, keine Beteiligung Ihrer Fachbereiche.
Dann haben Sie das schriftlich, und genau das ist gegenüber Auditoren, Versicherern und Geschäftsführung etwas wert. Ein Nullbefund ist ein Ergebnis, kein Fehlschlag.
