Wie können wir helfen?

KIShieldGuard MCP stellt PII-Pseudonymisierung und kontrollierte Rückübersetzung als Werkzeuge nach dem Model Context Protocol bereit. Ein kompatibler Agent kann diese Werkzeuge in seinen Ablauf einbauen, ohne direkt die komplette KIShieldGuard-Web-App zu verwenden.

Wichtig: Das bloße Verbinden des Servers schützt noch keine Nachricht. Der aufrufende Client oder Agent muss den Schutzablauf ausdrücklich und fail-closed umsetzen.

Ein direkter Browseraufruf des Endpoints liefert ohne Autorisierung erwartungsgemäß keinen Tool-Zugriff. Hinterlegen Sie die URL im MCP-Menü des verwendeten Clients.

Geeignet sind Clients, die Remote-MCP über Streamable HTTP und den angebotenen OAuth-Flow unterstützen. Menünamen und Freischaltung unterscheiden sich zwischen ChatGPT, Claude, Codex und anderen Agentenplattformen und können sich durch Updates ändern.

Prüfen Sie nach dem Verbinden, ob beide KIShieldGuard-Tools sichtbar sind, bevor Sie sensible Testdaten verwenden.

pseudonymize prüft den übergebenen Text und ersetzt erkannte Werte durch neutrale Platzhalter. Das Ergebnis enthält den geschützten Text und die für eine spätere Rückübersetzung erforderliche Referenz.

Der Agent darf erst den zurückgegebenen pseudonymisierten Text an das Zielmodell senden. Die Erkennung bleibt Best-Effort; fachliche Kontrolle ist bei besonders sensiblen Vorgängen erforderlich.

reidentify ersetzt bekannte Platzhalter in einer Modellantwort anhand der zugehörigen geschützten Zuordnung. Verwenden Sie nur die Referenz, die zum vorherigen Pseudonymisierungsvorgang gehört.

Ohne passende oder noch gültige Zuordnung bleiben Platzhalter stehen. Das ist sicherer als eine geratene oder falsche Rückübersetzung.

pseudonymize → LLM → reidentify

1. Originaltext ausschließlich an pseudonymize geben.
2. Nur den geschützten Rückgabewert an das Zielmodell senden.
3. Die Modellantwort mit der passenden Referenz an reidentify geben.
4. Schlägt Schritt 1 fehl, darf der Client die Originalnachricht nicht ungeprüft an das Modell senden.

Der MCP-Dienst muss den an pseudonymize übergebenen Klartext kurzfristig im Arbeitsspeicher verarbeiten. Der Betreiber ist deshalb während dieses Aufrufs technisch in der Verarbeitungskette.

Gespeicherte Zuordnungen sind mit einem clientbezogenen DEK verschlüsselt und für den Betreiber im Ruhezustand nicht als Klartext lesbar. Diese Aussage darf nicht mit „der Server sieht zu keinem Zeitpunkt Klartext“ verwechselt werden.

Jeder Werkzeugaufruf zählt einzeln; ein vollständiger Ablauf mit Pseudonymisierung und Rückübersetzung benötigt normalerweise mindestens zwei Tool-Aufrufe. MCP wird eigenständig abgerechnet und ist von den Web-App-Plänen zu unterscheiden. Aktuelle Konditionen zeigt das MCP-Portal.

1. Endpoint exakt als https://mcp.kishieldguard.de/mcp eintragen.
2. Abgelaufene Autorisierung im Client trennen und neu verbinden.
3. Prüfen, ob pseudonymize und reidentify beide sichtbar sind.
4. Tool-Limit und MCP-Vertragsstatus im Portal prüfen.
5. Bei Fehlern Clientname, Uhrzeit und Fehlermeldung ohne sensible Inhalte an info@ki-shield.de senden.

• nachweisapp.de für NachweisApp
• mcp.kishieldguard.de für MCP
• kishieldwitness.de für KIShieldWitness
• info@ki-shield.de für On-Prem, ShieldProof und NachweisKit/SDK

Diese zentrale Hilfe enthält den Status und sichere Einstiege. Produktspezifische Detailanleitungen sollen dort gepflegt werden, wo die jeweilige Version und Betriebsform eindeutig ist.

• Produktion: regulär für Kunden betrieben.
• Pilot: funktionsfähig, aber Umfang, Preise oder Onboarding können individuell und noch nicht allgemein verfügbar sein.
• Experimentell: technisch erprobt, noch nicht als vollständiges Standardprodukt zugesichert.
• Legacy: technisch noch aktiv, aber mit geplanter Ablösung.
• Archiviert: kein aktives Angebot.

Ein laufender Serverdienst allein belegt technischen Betrieb, nicht automatisch Vertriebsreife oder allgemeine Verfügbarkeit.

Nicht mehr benötigte Chats können Sie löschen oder archivieren, um Ihre Übersicht aufgeräumt zu halten.

Chat löschen

1. Fahren Sie in der Sidebar über den Chat-Eintrag.
2. Klicken Sie auf das Papierkorb-Icon (oder Rechtsklick → Löschen).
3. Bestätigen Sie die Rückfrage — der Chat wird unwiderruflich entfernt.

Chat archivieren

1. Rechtsklick auf den Chat → Archivieren.
2. Der Chat wird aus der aktiven Liste entfernt, bleibt aber unter Archiv abrufbar.

Die Sidebar zeigt alle aktiven Chats chronologisch sortiert. So behalten Sie bei vielen Konversationen den Überblick:

• Schnellsuche: Nutzen Sie das Suchfeld oben in der Sidebar, um Chats nach Titel oder Inhalt zu filtern.
• Sortierung: Chats werden automatisch nach letzter Aktivität sortiert — der neueste steht oben.
• Anpinnen: Wichtige Chats können per Rechtsklick → Anpinnen dauerhaft oben fixiert werden.
• Drag & Drop: Ziehen Sie Chats in der Sidebar, um die Reihenfolge manuell anzupassen.

Sie können einzelne Chat-Konversationen mit Kollegen oder externen Partnern teilen:

1. Öffnen Sie den gewünschten Chat.
2. Klicken Sie oben rechts auf das Teilen-Icon (Pfeil nach oben).
3. Wählen Sie die Freigabeoption:
   • Nur-Lese-Link: Empfänger können den Verlauf ansehen, aber nicht ändern.
   • Als PDF exportieren: Erzeugt ein PDF-Dokument zum Versand (siehe auch Artikel 48).

Jeder Chat kann individuell konfiguriert werden. Klicken Sie auf das Zahnrad-Icon neben dem Chat-Titel:

PII steht fuer Personally Identifiable Information — alle Daten, die eine Person direkt oder indirekt identifizieren koennen: Namen, E-Mail-Adressen, Telefonnummern, IBANs, Steuer-IDs und viele mehr.

KIShieldGuard erkennt PII automatisch in Echtzeit, bevor Ihre Nachricht an den KI-Provider gesendet wird:

1. NER (Named Entity Recognition) — KI-basierte Erkennung mit spaCy und zwei spezialisierten GLiNER-Modellen fuer deutsche Texte
2. 42 konfigurierbare PII-Kategorien — Regex-, Keyword-, Kontext- und NER-basierte Erkennung für deutsche PII-Typen
3. Validierung — Pruefziffern (IBAN, Kreditkarte, Steuer-ID), Plausibilitaetspruefungen und False-Positive-Filter

Erkannte PII wird im Chat-Eingabefeld farbig hervorgehoben. Beim Senden wird sie durch Pseudonyme ersetzt (z. B. Max Mustermann → PERSON_547). Die KI-Antwort wird zurückübersetzt, sodass Sie die Originaldaten sehen; der KI-Provider erhält an den erkannten Stellen Platzhalter.

KIShieldGuard erkennt 42 PII-Kategorien. Die Erkennung kombiniert spezialisierte Regex-, Keyword- und Kontextregeln mit NER-Modellen:

Personendaten

Finanzdaten

Ausweisdokumente & IDs

DSGVO Art. 9 — Besondere Kategorien

Weitere Kategorien

Technische Identifikatoren

Die PII-Erkennung ist standardmäßig aktiv. Welche Schalter verfügbar sind, hängt von der Oberfläche ab:

• KIShieldGuard Web-App: einzelne normale Kategorien lassen sich in den Datenschutzeinstellungen ausnehmen. Gesundheits-, genetische, biometrische und weitere besonders schutzbedürftige Kategorien sowie Straf- und Kinderdaten sind dort bewusst gesperrt.
• Browser-Plugin 2.1.0 (Testversion): alle 42 Schutzarten sind einzeln schaltbar. Zusätzlich gibt es im Popup einen direkten Schalter, um das gesamte Plugin bewusst zu pausieren.

Die genaue Plugin-Bedienung steht in den Artikeln P6 und P7 dieser Hilfe.

Ein Confidence-Score beschreibt, wie stark eine einzelne Erkennungsregel einen Treffer bewertet. KIShieldGuard kombiniert jedoch unterschiedliche Verfahren wie NER, reguläre Ausdrücke, Prüfziffern, Begriffslisten und Kontextregeln. Deshalb gibt es keinen einzigen, für alle Kategorien gleich aussagekräftigen Prozentwert.

Ein hoher Score ist kein Beweis und ein niedriger Score schließt personenbezogene Daten nicht aus. Prüfen Sie sensible Eingaben vor dem Senden und nutzen Sie manuelles Markieren, wenn ein Begriff durch Kontextwissen geschützt werden muss.

Gelegentlich kann ein Begriff fälschlich als PII erkannt werden. Korrigieren Sie immer nur den konkreten Treffer, dessen Kontext Sie sicher beurteilen können.

In der Web-App

• Wählen Sie einen erkannten Treffer und nehmen Sie ihn für die aktuelle Eingabe aus dem Schutz, sofern die Oberfläche diese Aktion anbietet.
• Markieren Sie einen nicht erkannten Begriff manuell als PII, bevor Sie senden.

Im Browser-Plugin 2.1.0

• Nie als PII: legt eine lokale Ausnahme im Browserprofil an.
• Nie als PII + Fehlalarm melden: sendet den ausgewählten Begriff und Typ gezielt an die Feedback-API.

Die Web-App speichert Ihre Auswahl auf Ebene der PII-Kategorien. Interne Recognizer, Regex-Regeln und Confidence-Werte sind keine allgemeine Selbstbedienungsoberfläche.

Kategorien verwalten

1. Öffnen Sie in der Web-App die Datenschutz- beziehungsweise PII-Einstellungen.
2. Aktivieren oder deaktivieren Sie die verfügbaren normalen Kategorien.
3. Besonders schutzbedürftige Kategorien mit Schloss bleiben in der Web-App aktiv.
4. Speichern Sie die Auswahl; eine Änderung wird für nachfolgende Erkennungen verwendet.

Eine Ausnahme bedeutet, dass ein Begriff im gewählten Kontext nicht pseudonymisiert wird. Prüfen Sie daher vor jeder dauerhaften Ausnahme, ob der Begriff in anderen Nachrichten doch personenbezogen sein kann.

• Web-App: eine manuelle Ausnahme gilt zunächst für den jeweiligen Eingabe- beziehungsweise Sitzungskontext. Eine allgemeine globale Whitelist wird hier nicht versprochen.
• Browser-Plugin 2.1.0: die lokale „Nie als PII“-Whitelist liegt im Browserprofil und kann im Popup verwaltet oder komplett geleert werden.
• Feedback: eine lokale Ausnahme trainiert das System nicht automatisch. Nur die ausdrückliche Feedback-Aktion sendet einen Fehlalarm zur manuellen Prüfung.

KIShieldGuard bietet im PRO-Plan umfassende PII-Statistiken und Reports, die Ihnen einen detaillierten Überblick über alle erkannten personenbezogenen Daten geben.

Dashboard-Übersicht

• KPI-Karten: Anfragen gesamt, PII-Erkennungen (absolut und in Prozent), Erfolgsrate und Fehlerrate auf einen Blick.
• 7-Tage-Verlauf: Liniendiagramm mit Anfragen (blau) und erkannter PII (rot) im Zeitverlauf.
• Top-10 PII-Kategorien: Balkendiagramm der häufigsten PII-Typen mit Prozentwerten.
• PII-Verteilung: Donut-Chart mit Kategorie-Anteilen für eine visuelle Übersicht.

Zeitraum-Filter

Wählen Sie zwischen Heute, Woche, Monat oder Gesamt. Das Dashboard aktualisiert sich automatisch alle 60 Sekunden, sodass Sie stets aktuelle Daten sehen.

Compliance-Reports exportieren

Unter Compliance → Bericht erstellen können Sie einen Art. 30-konformen DSGVO-Report generieren. Dieser enthält: Zeitraum, Anzahl der Anfragen, blockierte PII nach Typ, Top-Provider, Fehlerrate und einen Compliance-Score (Heuristik basierend auf PII-Nutzung und Fehlerrate).

Die PII-Erkennung von KIShieldGuard ist derzeit primär auf Deutsch optimiert. Das System nutzt spezialisierte deutsche NLP-Modelle und Muster, erkennt aber auch viele universelle Datenformate sprachunabhängig.

Deutsche Erkennung (volle Unterstützung)

• spaCy-Modell: de_core_news_lg — deutsches Large-Modell für Named Entity Recognition.
• GLiNER-Modelle: Zwei spezialisierte Modelle (SauerkrautLM-GLiNER) für deutsche PII-Erkennung.
• Deutsche Erkennungsregeln: Muster, Keywords und Kontextwörter berücksichtigen unter anderem 5-stellige PLZ, 11-stellige Steuer-ID und deutsche Straßennamen.

Sprachunabhängige Erkennung

Folgende PII-Typen werden unabhängig von der Eingabesprache zuverlässig erkannt, da sie auf strukturellen Mustern basieren:

• E-Mail-Adressen (inkl. internationalisierte Domains)
• IBAN (alle Ländercodes mit MOD-97-Prüfung)
• IP-Adressen (IPv4 und IPv6)
• Kreditkartennummern (Luhn-Validierung)
• GPS-Koordinaten, MAC-Adressen, IMEI-Nummern

Einschränkungen bei anderen Sprachen

Bei englischen oder anderssprachigen Texten funktioniert die NER-Erkennung für Namen, Orte und Organisationen nur eingeschränkt, da die KI-Modelle primär auf Deutsch trainiert sind. Für fremdsprachige Texte empfehlen wir, sensible Daten zusätzlich manuell zu markieren (siehe Artikel 45).

Wenn Text unerwartet als PII markiert wird, gibt es mehrere moegliche Gruende:

1. Kontextbasierte Erkennung

Viele Recognizer nutzen den umgebenden Kontext (bis zu 80 Zeichen). Ein Keyword wie „Diagnose“ oder „Gehalt“ kann dazu fuehren, dass der gesamte Satz als HEALTH_DATA bzw. FINANCIAL_DATA erkannt wird.

2. Keyword-Muster

Die DSGVO-Art. 9-Kategorien (Gesundheit, Religion, Politik etc.) verwenden umfangreiche Keyword-Listen. Wenn Ihr Text ein solches Keyword enthaelt, wird der Kontext mitmarkiert — auch wenn Sie nicht ueber eine bestimmte Person schreiben.

3. NER-Modell-Erkennung

Die KI-Modelle (spaCy, GLiNER) koennen Woerter als Personennamen oder Orte interpretieren, die im Kontext keine PII sind. Der False-Positive-Filter fängt viele davon ab, aber nicht alle.

Was Sie tun koennen

• Klicken Sie auf die markierte PII und waehlen Sie „Kein PII“, um sie als False Positive zu melden
• Entfernen Sie die Markierung fuer diese Nachricht („Entfernt“-Chip)
• Formulieren Sie den Text um, wenn moeglich

Dokumente und Bilder werden lokal in Ihrem Browser verarbeitet und nicht als Datei auf KIShieldGuard-Server hochgeladen. Erkannte sensible Angaben werden vor jeder KI-Anfrage anonymisiert.

• Free: Dokument- und Bildverarbeitung ist begrenzt.
• Start, Pro, Business und Enterprise: Dokumente und Bilder sind enthalten.

Der Schutzmodus entscheidet: KIShieldGuard verwendet mehrere technisch unterschiedliche Verfahren. Der Begriff „Zero Knowledge“ darf deshalb nicht pauschal auf jeden Datenfluss übertragen werden.

Web-App im Browser-Schutzmodus

1. PII-Erkennung und Pseudonymisierung laufen im Browser, bevor der Text an den KI-Provider weitergegeben wird.
2. Der Server erhält für die KI-Anfrage den bereits pseudonymisierten Text.
3. Gespeicherte Chats werden mit einem aus Ihrem Passwort abgeleiteten Data Encryption Key (DEK) verschlüsselt.
4. Der Client übermittelt den DEK bei benötigten Lese- und Schreiboperationen pro Anfrage; ohne gültigen DEK wird der Zugriff verweigert.

Andere Produktwege

Beim Browser-Plugin und beim serverseitigen Standardmodus wird Klartext TLS-verschlüsselt kurzfristig zur PII-Erkennung im Arbeitsspeicher des Proxys verarbeitet. Auch MCP besitzt eigene Laufzeit- und Speichergrenzen. Die Details stehen in den jeweiligen Produktartikeln.

Der Data Encryption Key (DEK) ist das Herzstück der Zero-Knowledge-Architektur:

Schluesselableitung

Aktueller Lebenszyklus

1. Login: Passwort + Salt → Argon2id → DEK (256 Bit)
2. Client: Der Browser hält den DEK für die aktive Nutzung.
3. Anfrage: Der Client sendet ihn bei geschützten Lese- und Schreiboperationen im Header X-ZK-DEK.
4. Server: Ein fehlender oder ungültiger Header lässt keinen alten oder serverseitig geladenen DEK aktiv.

Der dauerhaft gespeicherte Datensatz enthält verschlüsselte Inhalte. Ein optionaler Recovery Key kann einen DEK verschlüsselt umhüllen, damit eine kontrollierte Wiederherstellung möglich bleibt.

Ihre Daten werden an zwei Orten verarbeitet:

PostgreSQL (dauerhaft, verschluesselt)

Laufzeit und Schlüsseltransport

Im aktuellen Browser-Schutzmodus wird der DEK vom Client bei benötigten Operationen mitgesendet. Redis dient unter anderem Sitzungs-, Sperr- und Rate-Limit-Funktionen; die frühere Beschreibung einer 24-stündigen DEK-Ablage in Redis gilt nicht für diesen aktuellen Pfad.

Backup

Alle 6 Stunden wird ein verschluesseltes Backup auf einen georedundanten Backup-Server uebertragen. Da die Daten bereits verschluesselt sind, sind auch die Backups ohne Ihren DEK nicht lesbar.

Im Ruhezustand nicht ohne den passenden DEK. Gespeicherte Chat-Inhalte sind verschlüsselt. Während einer aktiven Anfrage liefert der Browser den DEK jedoch für die benötigte Verarbeitung an die Anwendung. Deshalb unterscheiden wir ausdrücklich zwischen Speicherung und Laufzeit.

Schutz der gespeicherten Inhalte

• Client-gelieferter Schlüssel: Der DEK wird aus Ihrem Passwort abgeleitet und für geschützte Operationen vom Browser geliefert.
• Kein stiller Fallback: Wenn kein DEK vorhanden ist, verweigert das System den Zugriff; es fällt nicht auf einen alten oder serverseitig geladenen Schlüssel zurück.
• Keine serverseitige Suche: Die Suche in verschluesselten Konversationstiteln ist technisch deaktiviert
• Audit-Logs geschuetzt: Klartext-Felder werden durch [encrypted] ersetzt; nur die verschluesselte Version bleibt

Was die Anwendung verarbeiten kann

• Den bereits pseudonymisierten Nachrichtentext im Browser-Schutzmodus
• Den Client-DEK während der jeweiligen geschützten Anfrage
• Dass eine Nachricht gesendet wurde (Zeitstempel, Nachrichtenanzahl)
• PII-Typ-Statistiken (z. B. „2x PERSON, 1x IBAN“ — aber nicht die Werte)
• Hash-Chain-Signaturen (fuer Integritaetspruefung)
• E-Mail-Adresse und Name (fuer Kontoverwaltung)

Da Ihr DEK aus dem Passwort abgeleitet wird, hat ein Passwortverlust direkte Konsequenzen fuer Ihre verschluesselten Daten.

Szenario 1: Sie haben einen Recovery Key

Verfuegbar im PRO und BUSINESS Plan:

1. Bei der Passwort-Zuruecksetzung geben Sie Ihren Recovery Key ein
2. Das System entschluesselt Ihren alten DEK mit dem Recovery Key
3. Ein neuer DEK wird aus dem neuen Passwort abgeleitet
4. Alle Daten werden automatisch mit dem neuen DEK neu verschluesselt
5. Kein Datenverlust

Szenario 2: Kein Recovery Key vorhanden

1. Ihr Konto bleibt erhalten (E-Mail, Name)
2. Alle verschluesselten Daten werden unwiderruflich geloescht: Konversationen, Nachrichten, PII-Zuordnungen, API-Keys
3. Die Audit-Log-Signaturen bleiben fuer die Chain-Integritaet erhalten
4. Ein neuer Salt wird generiert — der alte DEK kann nie wieder rekonstruiert werden

Beide Konzepte schuetzen Ihre Daten, funktionieren aber unterschiedlich:

Warum Zero Knowledge statt E2E?

KIShieldGuard muss Ihren Text serverseitig analysieren, um PII zu erkennen und zu pseudonymisieren, bevor er an den KI-Provider geht. Reine E2E-Verschluesselung wuerde dies unmoeglich machen. Stattdessen verwendet KIShieldGuard Zero Knowledge at Rest:

• Waehrend der aktiven Sitzung wird der Text im RAM verarbeitet (PII-Erkennung, Pseudonymisierung)
• Nach der Verarbeitung werden alle Daten verschluesselt gespeichert
• Ohne aktive Sitzung (= ohne DEK) sind die Daten nicht lesbar

KIShieldGuard stellt technische und organisatorische Funktionen bereit, die Verantwortliche bei Datenschutz-, Dokumentations- und Kontrollpflichten unterstützen können. Ob ein konkreter Einsatz DSGVO- oder AI-Act-konform ist, hängt auch von Zweck, Daten, Rollen, Konfiguration und organisatorischen Maßnahmen des Kunden ab.

Betroffenenrechte

Technisch-organisatorische Massnahmen (Art. 32)

• Zutrittskontrolle: SSH-Key-Auth, Fail2Ban, 2FA fuer Admin-Zugang
• Zugangskontrolle: RBAC, API-Key-Auth, TOTP-2FA, bcrypt-Passwort-Hashing
• Verschluesselung: TLS 1.3, Zero-Knowledge-DEK, Ed25519 + ML-DSA-65 Hybrid-Signaturen, SHA-256-Hash-Chain
• Verfuegbarkeit: Automatische Backups alle 6h, georedundanter Backup-Server, Chain-Monitoring mit Telegram-Alerts

Drittland-Transfers (Art. 44–49)

Bei Nutzung von KI-Providern außerhalb der EU sind Verarbeitungsregion, vertragliche Anbieterentität, geeignete Garantien und Rechtsgrundlage im konkreten Fall zu prüfen. Die Pseudonymisierung reduziert den an den Provider übermittelten Klartext, ersetzt aber keine rechtliche Transferprüfung.

EU AI Act

KIShieldGuard erzeugt technisch prüfbare Audit-Einträge mit Hash-Kette sowie Ed25519- und ML-DSA-65-Signaturen. Diese Nachweise können Dokumentations- und Traceability-Prozesse unterstützen; sie ersetzen keine Konformitätsbewertung des eingesetzten KI-Systems.

Die Audit-Chain ist eine kryptographisch gesicherte Protokollkette, die jeden API-Request lueckenlos dokumentiert. Sie funktioniert wie eine private Blockchain:

1. Content-Hash: Aus den Metadaten jedes Requests (Provider, Modell, PII-Typen, Status, Latenz etc.) wird ein SHA-256-Hash berechnet
2. Verkettung: Jeder Eintrag referenziert den Hash seines Vorgaengers (previous_hash). Der erste Eintrag hat previous_hash = "GENESIS"
3. Hybrid-Signatur: Jeder Eintrag wird doppelt signiert:
   • Ed25519 — Klassische Signatur (primaer, Pflicht)
   • ML-DSA-65 — Post-Quantum-Signatur nach NIST FIPS 204 (sekundaer, zukunftssicher)
4. Write-Time Verification: Signaturen werden sofort nach Erzeugung verifiziert — korrupte Eintraege gelangen nie in die Chain

Audit-Logs sind im BUSINESS-Plan ueber den Tab „Audit-Logs“ in der Seitenleiste zugaenglich.

Ansicht

• 25 Eintraege pro Seite mit Seitennavigation
• Jeder Eintrag zeigt: Zeitstempel, Aktion (farbcodiert), Provider, Modell, PII-Anzahl, Status, Latenz

Farbcodierung

Filter

• Freitext-Suche ueber alle Felder
• Von/Bis-Datum fuer Zeitraum-Eingrenzung
• Aktionstyp (Request, Stream, Response, Analyse, Feedback)

Auf dem Dashboard sehen alle Nutzer eine kompakte Audit-Trail-Vorschau mit Chain-Status und den letzten Eintraegen.

KIShieldGuard verankert den Status der Audit-Chain periodisch permanent auf Arweave. So wird die Integritaet oeffentlich und unveraenderbar dokumentiert.

Was wird gespeichert?

Eine Self-Send-Transaktion (Wert = 0) mit einem JSON-Payload im Datenfeld:

{
  "type": "ki-shield-anchor",
  "version": 1,
  "anchor_hash": "sha256...",
  "chain_hash": "sha256...",
  "chain_length": 12345
}

Ablauf

1. Aktueller Chain-Status wird geladen (letzter Hash, Kettenlaenge)
2. Anchor-Hash = SHA-256 von Chain-Hash + Kettenlaenge + Zeitstempel
3. Anchor wird mit Ed25519 + ML-DSA-65 signiert
4. Optional: eIDAS-Zeitstempel wird erzeugt
5. Anchor wird permanent auf Arweave hochgeladen (Turbo, gebuehrenfrei bis 100 KiB)

Oeffentliche Verifikation

Jeder kann Anchors verifizieren — ohne Login oder API-Key:

• GET /api/v1/anchor/latest — Letzter Anchor
• GET /api/v1/anchor/verify/{id} — Anchor pruefen
• GET /api/v1/verify/chain-status — Chain-Integritaet

Audit-Logs koennen als CSV oder JSON exportiert werden. Dies ist ein PRO-Feature.

So exportieren Sie

1. Oeffnen Sie den Tab „Audit-Logs“
2. Optional: Setzen Sie Datum-Filter (Von/Bis)
3. Klicken Sie oben rechts auf „JSON“ oder „CSV“
4. Die Datei wird automatisch heruntergeladen

Enthaltene Felder

ID, Zeitstempel, Session-ID, User-ID, Aktion, Provider, Modell, PII-Typen (JSON), PII-Anzahl, Status, Latenz (ms), geschaetzte Tokens, Content-Hash, Signatur, Previous-Hash

Limit: Maximal 10.000 Eintraege pro Export. Fuer groessere Zeitraeume nutzen Sie die Datum-Filter zur Segmentierung.

Der AVV regelt die datenschutzrechtliche Zusammenarbeit zwischen Ihnen als Verantwortlichem und der KI-Shield UG als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Aktueller Stand

Der öffentlich abrufbare Vertrag ist AVV Version 4.4 (Stand Juli 2026). Maßgeblich ist immer die Fassung unter kishieldguard.de/avv. Bei einer neuen zustimmungspflichtigen Version kann die App eine erneute Bestätigung verlangen.

Was der AVV abdeckt

• Gegenstand, Zweck, Dauer und Kategorien der Verarbeitung
• Weisungsbindung, Vertraulichkeit und Unterstützung bei Betroffenenrechten
• Technische und organisatorische Maßnahmen
• Unterauftragsverarbeitung, Löschung, Kontrolle und Nachweise
• berufsrechtliche Vertraulichkeitsanforderungen, soweit anwendbar

Die aktuelle Liste der Unterauftragsverarbeiter steht separat unter Unterauftragsverarbeiter. Eine einzelne alte Anbieterzeile in der Hilfe ersetzt diese Liste nicht.

AVV digital abschließen

1. Öffnen Sie in der App den Bereich AVV.
2. Prüfen Sie Versionsnummer, Vertragspartner und den vollständigen Vertragstext.
3. Ergänzen Sie die von der App verlangten Angaben zur vertretungsberechtigten Person und Organisation.
4. Bestätigen Sie die aktuelle Fassung. Bewahren Sie die ausgegebene Bestätigung für Ihre Unterlagen auf.

Nachweis des Abschlusses

KIShieldGuard protokolliert den Abschluss mit der verwendeten AVV-Version, dem Dokument-Hash, dem Zeitpunkt und den erforderlichen Abschlussdaten. Der Datensatz dient dazu, die angenommene Fassung später zuzuordnen.

• AVV-Version und Dokument-Hash
• Zeitpunkt und zugeordneter Account
• vom Formular erfasste Abschlussdaten
• technischer Signatur- oder Integritätsnachweis, soweit im aktuellen Abschlussweg ausgegeben

Prüfen Sie bei einer Vertragsänderung, ob Ihre gespeicherte Bestätigung noch zur aktuellen Online-Fassung passt. Die App weist erforderlichenfalls auf eine Neuzustimmung hin.

Nachweise und Compliance-Berichte sind ab dem PRO-Plan verfuegbar:

Compliance-Dashboard PRO

• Datenschutz-Status (PII-Erkennung, Zero Knowledge, Post-Quantum, Audit-Chain)
• EU AI Act Compliance: Artikel-Status (Erfuellt/Teilweise/Offen)
• Verarbeitungsverzeichnis nach Art. 30 DSGVO
• TOM-Uebersicht (Art. 32): Verschluesselung, Zugriffskontrolle, Verfuegbarkeit
• Chain-Integritaet mit Signaturschluessel-Fingerprints

DSGVO-Bericht PRO

• Berichtsdaten zur Unterstützung eigener Art.-30- und Rechenschaftsdokumentation: Zeitraum, Requests, PII nach Typ, Provider und Fehlerrate
• Compliance-Score (Heuristik: 100 % Basis, Abzuege bei fehlender PII-Nutzung oder hoher Fehlerrate)
• PDF-Export: Button „Compliance-Report (PDF)“ generiert ein druckbares Dokument

Auditor-Zugang PRO

Erstellen Sie temporäre Auditor-Tokens für externe Prüfer (1–30 Tage gültig, jederzeit widerrufbar). Der Token stellt die für den Auditor vorgesehenen Nur-Lese-Berichte bereit. Welche Daten enthalten sind, hängt vom Bericht und der aktuellen Freigabe ab.

KIShieldGuard kombiniert mehrere Mechanismen, um nachträgliche Abweichungen in der Audit-Chain technisch erkennbar zu machen. Ob ein Export im konkreten Verfahren als revisionssicher anerkannt wird, hängt zusätzlich von Einsatz, Aufbewahrung, Organisation und rechtlicher Bewertung ab.

Die Audit-Chain kann technische Dokumentations- und Kontrollprozesse in regulierten Branchen unterstützen. Sie ersetzt weder die eigene Verfahrensdokumentation noch eine fachliche oder rechtliche Prüfung.

Finanzbranche

• MiFID II / MaRisk: technische Protokolldaten können in die eigene Dokumentation einfließen
• PII-Schutz: 42 Kategorien inkl. IBAN, Kreditkarte und Steuer-ID
• Export: CSV/JSON fuer Wirtschaftspruefer und BaFin-Anfragen

Gesundheitswesen

• DSGVO Art. 9: Besonderer Schutz für Gesundheitsdaten durch kombinierte Begriffs- und Kontextregeln
• Pseudonymisierung: erkannte Patientendaten werden vor der Weitergabe an den gewählten KI-Provider durch Platzhalter ersetzt
• Audit-Nachweis: protokollierte Interaktionen enthalten technische Metadaten wie Zeitstempel und erkannte PII-Typen

Rechtsbranche

• Mandantengeheimnis: Pseudonymisierung und verschlüsselte Speicherung sind technische Schutzbausteine
• Aktenzeichen-Erkennung: Gerichtliche Aktenzeichen und Handelsregisternummern werden erkannt
• Integrität: Eine kryptographisch signierte Chain kann Veränderungen an protokollierten Daten erkennbar machen

Auditor-Zugang

Erstellen Sie temporäre Auditor-Tokens (PRO) für externe Prüfer. Berechtigungsumfang und angezeigte Inhalte werden vom aktuellen Auditor-Bericht bestimmt.

API-Keys ermoeglichen die programmatische Nutzung von KIShieldGuard und sind ab dem PRO-Plan verfuegbar. Pro umfasst maximal drei API-Zugaenge; Business und Enterprise werden individuell vereinbart. Free und Start koennen keine API-Keys erzeugen.

Key erstellen

1. Oeffnen Sie Einstellungen → API-Keys
2. Klicken Sie „Neuen API-Key erstellen“
3. Vergeben Sie einen Namen (z. B. „Production“)
4. Waehlen Sie die Rolle: readonly, user oder admin
5. Optional: Ablaufdatum (7, 30 oder 90 Tage; oder unbegrenzt)
6. Kopieren Sie den Key — er wird nur einmal angezeigt!

Key-Format

Keys beginnen mit kp- gefolgt von 32 zufaelligen Zeichen. In der Datenbank wird nur der SHA-256-Hash gespeichert (Write-Only).

Verwendung

curl -H "X-API-Key: kp-IhrKey..." \
     https://kishieldguard.de/api/v1/health

Für die öffentlich freigegebene KIShieldGuard-API stehen zwei aktuelle Einstiege bereit:

Interne Web-App-, Admin- und Betriebsrouten sind keine zugesicherte Kunden-API. Maßgeblich ist ausschließlich die aktuell unter /api-docs veröffentlichte Spezifikation.

Die öffentliche API wird versioniert und kann sich unabhängig von internen Web-App-Routen weiterentwickeln. Die wichtigsten derzeit dokumentierten Gruppen:

Kern-Endpunkte

Konversationen

Audit & Compliance

Verbindliche öffentliche Dokumentation: Swagger-UI und Developer-Seite.

KIShieldGuard bietet zwei Zugangswege mit unterschiedlichen Eigenschaften:

API-Keys haben ein rollenbasiertes Berechtigungssystem (RBAC) mit drei Stufen:

Defense-in-Depth

• Ein DB-Key mit Rolle admin erhaelt effektiv nur Admin-Rechte, wenn der zugehoerige User auch is_admin=True hat
• Nur Admin-User koennen Admin-Keys erstellen
• Abgelaufene Keys werden bei der Authentifizierung automatisch abgewiesen
• last_used wird bei jeder Nutzung aktualisiert

Globales Rate-Limit

300 Anfragen pro Minute pro API-Key (bzw. pro IP ohne Key). Algorithmus: Sliding Window ueber Redis.

Response-Header

X-RateLimit-Limit: 300
X-RateLimit-Remaining: 287

Bei Ueberschreitung (HTTP 429)

{
  "error": "Rate Limit ueberschritten",
  "detail": "Maximal 300 Anfragen pro Minute",
  "retry_after_seconds": 60
}

Spezielle Limits

Chat-spezifische Fehlercodes

KIShieldGuard unterstuetzt derzeit eingehende Webhooks fuer die Mollie-Zahlungsintegration:

Ausgehende Webhooks

Aktuell bietet KIShieldGuard keine ausgehenden Webhooks an (z. B. bei PII-Erkennung oder Audit-Events). Fuer Echtzeit-Monitoring empfehlen wir:

• Polling: Periodisches Abfragen von /api/v1/audit/logs
• Health-Check: /api/v1/health fuer Trust-Status
• Telegram-Bot: Chain-Monitoring mit automatischen Alerts (serverseitig konfiguriert)

KIShieldGuard unterstuetzt die manuelle Key-Rotation fuer maximale Sicherheit:

Empfohlener Rotations-Workflow

1. Neuen Key erstellen (ueber UI oder API)
2. Integration aktualisieren — Neuen Key in Ihrer Anwendung hinterlegen
3. Testen — Pruefen, dass der neue Key funktioniert
4. Alten Key widerrufen — PATCH /api/v1/api-keys/{id}/revoke
5. Optional: Alten Key loeschen — DELETE /api/v1/api-keys/{id}

Automatische Ablauffristen

Setzen Sie bei der Key-Erstellung ein Ablaufdatum:

• 7 Tage — Fuer temporaere Tests
• 30 Tage — Regelmaessige Rotation
• 90 Tage — Standard fuer Produktionsumgebungen
• Unbegrenzt — Nur mit aktiver manueller Rotation empfohlen

Health-Check (kein Auth)

curl https://kishieldguard.de/api/v1/health

PII-Analyse

curl -X POST https://kishieldguard.de/api/v1/analyze \
  -H "Content-Type: application/json" \
  -H "X-API-Key: kp-IhrKey..." \
  -d '{"text": "Max Mustermann, IBAN DE89370400440532013000"}'

Chat-Completion (nicht-streaming)

curl -X POST https://kishieldguard.de/api/v1/chat/completions \
  -H "Content-Type: application/json" \
  -H "X-API-Key: kp-IhrKey..." \
  -H "X-Provider-Key: sk-IhrOpenAIKey..." \
  -d '{
    "messages": [{"role":"user","content":"Hallo"}],
    "provider": "openai",
    "model": "gpt-4o",
    "stream": false
  }'

Chat-Completion (Streaming)

curl -X POST https://kishieldguard.de/api/v1/chat/completions \
  -H "Content-Type: application/json" \
  -H "X-API-Key: kp-IhrKey..." \
  -H "X-Provider-Key: sk-IhrOpenAIKey..." \
  -d '{"messages":[{"role":"user","content":"Erklaere DSGVO Art. 17"}],
       "provider":"openai","model":"gpt-4o","stream":true}'

Provider-Liste abrufen

curl https://kishieldguard.de/api/v1/providers \
  -H "X-API-Key: kp-IhrKey..."

Chain-Integritaet pruefen

curl https://kishieldguard.de/api/v1/audit/verify?limit=1000 \
  -H "X-API-Key: kp-IhrKey..."

Schritt-fuer-Schritt-Integration

1. Enterprise-Plan abschliessen (API-Zugang erforderlich)
2. API-Key erstellen (siehe Artikel 85)
3. Provider-Key bereithalten (BYOK, z. B. OpenAI-Key) oder Admin-Key mit Server-Key-Zugang nutzen
4. Endpunkt integrieren:
   • POST /api/v1/chat/completions — Fuer KI-Chat mit PII-Schutz
   • POST /api/v1/analyze — Fuer reine PII-Erkennung (ohne KI)
5. Fehlerbehandlung implementieren (siehe Artikel 91)

Erforderliche HTTP-Header

CORS

Erlaubte Origins: https://kishieldguard.de und https://kishieldguard.de. Fuer serverseitige Integrationen (ohne Browser) gelten keine CORS-Einschraenkungen.

Response-Header auswerten

Das KIShieldGuard-Verifizierungsportal prüft Einträge der signierten Audit-Chain. Es ist kein allgemeiner Datei- oder Medienprüfer.

So funktioniert es

1. Content-Hash oder Entry-ID eingeben — akzeptiert wird ein SHA-256-Hash oder die UUID eines Audit-Eintrags.
2. Chain-Eintrag abrufen — das Portal prüft, ob der Eintrag vorhanden ist und ob seine Signaturen gültig sind.
3. Ergebnis einordnen — angezeigt werden unter anderem Zeitstempel, Chain-Position und kryptographische Prüfdaten.

1. Öffnen Sie kishieldguard.de/verify.
2. Tragen Sie den Content-Hash (SHA-256) oder die Entry-ID (UUID) aus Ihrem Audit-Export ein.
3. Starten Sie die Prüfung und vergleichen Sie Status, Signaturen, Zeitstempel und Chain-Position.

Die beiden Verifizierungswege gehören zu unterschiedlichen Produkten:

Nutzen Sie immer den im jeweiligen Produkt ausgegebenen Link oder Hash. Alte Produktnamen und historische QR-Formate sind keine aktuelle Bedienungsanleitung.

Das Portal zeigt technische Nachweise zu einem Audit-Eintrag. Die wichtigsten Felder:

Auditor-Tokens werden im KIShieldGuard-Dashboard erstellt und sind zeitlich begrenzte, widerrufbare Nur-Lese-Zugänge. Der Prüfer öffnet den erzeugten Link; das Portal lädt den für dieses Token freigegebenen Bericht.

• Token nicht in Tickets, Screenshots oder öffentlichen Chats teilen
• Gültigkeitsdauer so kurz wie nötig wählen
• Nach Abschluss der Prüfung im Dashboard widerrufen
• Ein Auditor-Token erlaubt keine Änderung oder Löschung von Daten

Ihren Anzeigenamen können Sie jederzeit in den Profileinstellungen ändern:

1. Klicken Sie oben rechts auf Ihren Avatar oder Ihren Namen
2. Wählen Sie „Profil bearbeiten“
3. Geben Sie den neuen Namen ein und klicken Sie Speichern

Der Name wird in Chat-Exporten, Audit-Logs und im Team-Dashboard angezeigt. Die Änderung wird sofort wirksam.

Aus Sicherheitsgründen erfordert eine E-Mail-Änderung eine doppelte Bestätigung:

1. Navigieren Sie zu Einstellungen → Konto → E-Mail
2. Geben Sie die neue E-Mail-Adresse ein
3. Bestätigen Sie mit Ihrem aktuellen Passwort
4. Klicken Sie den Bestätigungslink in der E-Mail an die neue Adresse

Bis zur Bestätigung bleibt die alte Adresse aktiv. Der Link ist 24 Stunden gültig.

Navigieren Sie zu Einstellungen → Sicherheit → Passwort ändern.

1. Geben Sie Ihr aktuelles Passwort ein
2. Wählen Sie ein neues Passwort (mind. 12 Zeichen, Gross-/Kleinbuchstaben, Zahl, Sonderzeichen)
3. Bestätigen Sie das neue Passwort
4. Klicken Sie Speichern

Nach der Änderung werden alle anderen aktiven Sessions beendet — Sie müssen sich auf anderen Geräten neu anmelden.

Unter Einstellungen → Benachrichtigungen steuern Sie, welche E-Mails Sie erhalten:

KIShieldGuard unterstützt derzeit Deutsch als Oberflächensprache. Die KI-Antworten können in jeder Sprache erfolgen — das hängt von Ihrem Prompt ab.

Die Spracheinstellung finden Sie unter Einstellungen → Darstellung → Sprache.

KIShieldGuard bietet drei Darstellungsmodi:

Umschalten können Sie jederzeit über das Mond-/Sonnensymbol in der oberen Navigationsleiste oder unter Einstellungen → Darstellung.

Unter Einstellungen → Sicherheit → Aktive Sessions sehen Sie alle Geräte, auf denen Sie aktuell angemeldet sind:

• Gerätetyp — Browser, Betriebssystem
• IP-Adresse — Ungefährer Standort
• Letzter Zugriff — Zeitpunkt der letzten Aktivität
• Erstellt am — Wann die Session begonnen wurde

Erkennen Sie ein unbekanntes Gerät, klicken Sie auf „Abmelden“ neben dem Eintrag. Die Session wird sofort beendet.

Mit einem Klick können Sie sich auf allen Geräten gleichzeitig abmelden:

1. Gehen Sie zu Einstellungen → Sicherheit → Aktive Sessions
2. Klicken Sie auf „Alle Sessions beenden“
3. Bestätigen Sie mit Ihrem Passwort

Alle Sessions ausser Ihrer aktuellen werden sofort beendet. Nutzen Sie diese Funktion, wenn:

• Sie Ihr Passwort geändert haben
• Sie ein Gerät verloren haben
• Sie verdächtige Aktivitäten bemerken
• Sie ein öffentliches Gerät benutzt haben

Als Team-Admin können Sie Kollegen zu Ihrer Organisation einladen:

1. Navigieren Sie zu Einstellungen → Team → Mitglieder
2. Klicken Sie auf „Mitglied einladen“
3. Geben Sie die E-Mail-Adresse ein und wählen Sie eine Rolle (Admin, Mitglied, Nur-Lesen)
4. Der Eingeladene erhält eine E-Mail mit einem Einladungslink

Der Einladungslink ist 7 Tage gültig. Nicht angenommene Einladungen können Sie jederzeit erneut versenden oder widerrufen.

KIShieldGuard bietet drei Rollen für Team-Mitglieder:

Rollen können Sie unter Einstellungen → Team → Mitglieder ändern. Klicken Sie auf den Namen des Mitglieds und wählen Sie die neue Rolle.

Im Business- und Enterprise-Plan können Admins team-weite API-Keys hinterlegen, die alle Mitglieder nutzen:

1. Gehen Sie zu Einstellungen → Team → API-Keys
2. Klicken Sie „Team-Key hinzufügen“
3. Wählen Sie den Provider (OpenAI, Anthropic, Google, etc.)
4. Fügen Sie den API-Key ein

Team-Keys haben Vorrang vor persönlichen Keys. Mitglieder können weiterhin eigene Keys für andere Provider hinterlegen.

Im Business- und Enterprise-Plan läuft die gesamte Abrechnung über ein zentrales Konto:

• Eine Rechnung — Alle Team-Mitglieder werden über das Admin-Konto abgerechnet
• Kostenstellen — Optional können Sie Mitglieder Kostenstellen zuordnen
• Budget-Limits — Setzen Sie monatliche Limits pro Mitglied oder für das gesamte Team
• Rechnungsadresse — Zentral unter Einstellungen → Abrechnung konfigurierbar

Rechnungen werden monatlich per E-Mail an den Admin gesendet und sind als PDF im Dashboard verfügbar.

Das Admin-Dashboard bietet Team-Admins eine zentrale Übersicht:

Unter Admin-Dashboard → Nutzung sehen Sie detaillierte Statistiken pro Mitglied:

• Anfragen — Anzahl der Chat-/API-Anfragen pro Monat, Woche oder Monat
• Token-Verbrauch — Input- und Output-Tokens aufgeschlüsselt nach Modell
• Kosten — Geschätzte Kosten basierend auf den Provider-Preisen
• PII-Erkennungen — Wie viele personenbezogene Daten vom Schutzfilter erkannt wurden
• Modellverteilung — Welche KI-Modelle am häufigsten genutzt werden

Alle Statistiken können als CSV exportiert werden. Der Export ist unter Admin-Dashboard → Nutzung → Export verfügbar.

Falls Sie ungewöhnliche Aktivitäten in Ihrem Konto bemerken, handeln Sie sofort:

1. Passwort ändern — Sofort unter Einstellungen → Sicherheit
2. Alle Sessions beenden — Unter Aktive Sessions → Alle beenden
3. 2FA aktivieren — Falls noch nicht geschehen
4. Uns kontaktieren — Schreiben Sie an security@ki-shield.de

Anzeichen für verdächtige Aktivitäten:

• Unbekannte Geräte in der Session-Liste
• API-Aufrufe, die Sie nicht getätigt haben
• Geänderte Einstellungen ohne Ihr Zutun
• Unerwartete E-Mails über Passwortänderungen

Wenn Sie glauben, dass Ihr Account kompromittiert wurde, folgen Sie dieser Notfall-Checkliste:

Im Enterprise-Plan können Sie den Zugriff auf bestimmte IP-Adressen oder IP-Bereiche einschränken:

1. Navigieren Sie zu Einstellungen → Sicherheit → IP-Whitelist
2. Fügen Sie erlaubte IP-Adressen oder CIDR-Bereiche hinzu (z. B. 203.0.113.0/24)
3. Aktivieren Sie die IP-Beschränkung

Nach Aktivierung können sich nur noch Nutzer von den gelisteten IPs einloggen. API-Zugriffe werden ebenfalls gefiltert.

Aus Sicherheitsgründen werden inaktive Sessions automatisch beendet:

Im Business- und Enterprise-Plan können Admins den Timeout unter Einstellungen → Sicherheit → Session-Richtlinie anpassen.

KIShieldGuard erzwingt folgende Mindestanforderungen für Passwörter:

• Mindestens 12 Zeichen
• Mindestens ein Grossbuchstabe und ein Kleinbuchstabe
• Mindestens eine Zahl
• Mindestens ein Sonderzeichen (!@#$%& etc.)
• Darf nicht in bekannten Datenleck-Listen enthalten sein (HaveIBeenPwned-Prüfung)

KIShieldGuard verarbeitet sensible Daten — von personenbezogenen Informationen bis hin zu vertraulichen Geschäftsdokumenten. Zwei-Faktor-Authentifizierung (2FA) ist daher ab dem Pro-Plan verpflichtend.

Was 2FA schützt

• Gestohlene Passwörter — Selbst wenn Ihr Passwort in einem Datenleck auftaucht, kann ohne den zweiten Faktor niemand auf Ihr Konto zugreifen
• Phishing — Ein abgefangenes Passwort allein reicht nicht
• API-Key-Diebstahl — Ohne Login-Zugriff können gestohlene Keys nicht gegen neue ausgetauscht werden

Unterstützte 2FA-Methoden

• TOTP-App — Google Authenticator, Authy, 1Password, Bitwarden (empfohlen)
• Recovery-Codes — 10 Einmalcodes als Backup, sicher aufbewahren

Einrichtung: Einstellungen → Sicherheit → Zwei-Faktor-Authentifizierung → Aktivieren.

Diese Fehlermeldung erscheint, wenn der hinterlegte API-Key vom Provider abgelehnt wird. Häufige Ursachen:

Diese Meldung betrifft die optionale BYOK-Funktion ab Pro. Der geschützte KI-Chat funktioniert in allen Plänen ohne eigenen Provider-Key. Wenn Sie in Pro oder höher BYOK verwenden möchten:

1. Gehen Sie zu Einstellungen → API-Keys
2. Klicken Sie auf „Provider hinzufügen“
3. Wählen Sie einen Provider (z. B. OpenAI, Anthropic, Google)
4. Fügen Sie Ihren API-Key ein

Sobald ein Key hinterlegt ist, verschwindet die Meldung und der gewählte BYOK-Anbieter ist nutzbar.

Rate Limits können auf zwei Ebenen greifen:

Den Header Retry-After in der Antwort zeigt Ihnen, wie lange Sie warten müssen. X-RateLimit-Remaining zeigt verbleibende Anfragen.

Wenn der Chat nicht lädt oder einfriert, probieren Sie diese Schritte:

1. Seite neu laden — Ctrl+Shift+R (Hard Reload)
2. Browser-Cache leeren — Einstellungen → Browserdaten löschen → Cache
3. Anderen Browser testen — Chrome, Firefox oder Edge (aktuellste Version)
4. Erweiterungen deaktivieren — Ad-Blocker oder Privacy-Extensions können Verbindungen blockieren
5. Netzwerk prüfen — Firewalls oder VPNs können WebSocket-Verbindungen blockieren

Besteht das Problem weiterhin, öffnen Sie die Browser-Konsole (F12 → Console) und senden Sie uns einen Screenshot der Fehlermeldungen.

Falls die Bestätigungs-E-Mail nicht ankommt:

1. Spam-Ordner prüfen — Suchen Sie nach Absender noreply@ki-shield.de
2. E-Mail-Adresse prüfen — Tippfehler bei der Registrierung?
3. Erneut senden — Auf der Login-Seite auf „Verifizierung erneut senden“ klicken
4. Whitelist — Fügen Sie ki-shield.de zur Whitelist Ihres E-Mail-Providers hinzu
5. Warten — Manche Provider verzögern E-Mails um bis zu 15 Minuten

Falls es nach 30 Minuten noch nicht geklappt hat, kontaktieren Sie uns unter info@ki-shield.de.

TOTP-Codes sind zeitbasiert und nur 30 Sekunden gültig. Häufige Ursachen für ungültige Codes:

• Uhrzeit falsch — Stellen Sie sicher, dass die Uhrzeit auf Ihrem Smartphone automatisch synchronisiert wird (Einstellungen → Datum & Uhrzeit → Automatisch)
• Falscher Account — Prüfen Sie, ob Sie den Code für den richtigen KIShieldGuard-Account ablesen
• Code abgelaufen — Warten Sie auf den nächsten Code und geben Sie ihn sofort ein

Falls nichts hilft, verwenden Sie einen Ihrer Recovery-Codes. Diese haben Sie bei der 2FA-Einrichtung erhalten. Jeder Code ist nur einmal gültig.

Falls eine Zahlung fehlschlägt, prüfen Sie:

• Kartendaten — Ist die Karte abgelaufen? Stimmt die Adresse?
• Guthaben/Limit — Reicht das Guthaben oder Kreditlimit?
• 3D-Secure — Wurde die Zahlungsbestätigung in der Banking-App abgelehnt oder übersehen?
• Landessperre — Manche Banken blockieren internationale Zahlungen — kontaktieren Sie Ihre Bank

KIShieldGuard versucht fehlgeschlagene Zahlungen automatisch nach 3 und 7 Tagen erneut. Ihr Account bleibt während dieser Zeit aktiv.

Alternative Zahlungsmethode hinterlegen: Einstellungen → Abrechnung → Zahlungsmethode.

Falls der Export von Chat-Verläufen oder Audit-Logs fehlschlägt:

1. Pop-up-Blocker deaktivieren — Der Download öffnet möglicherweise ein neues Fenster
2. Dateigrösse — Sehr lange Chat-Verläufe können einige Sekunden dauern. Warten Sie, bis der Download startet
3. Browser aktualisieren — Stellen Sie sicher, dass Sie einen aktuellen Browser verwenden
4. Berechtigungen — Im Free-Plan ist der Export auf die letzten 7 Tage beschränkt

Unterstützte Formate: PDF, CSV, JSON und Markdown.

Gelegentlich liefert ein KI-Provider eine leere oder unvollständige Antwort. Mögliche Ursachen:

• Content-Filter — Der Provider hat die Anfrage oder Antwort als unzulässig eingestuft
• Token-Limit — Die Antwort wurde abgeschnitten, weil das Kontextfenster voll war
• Provider-Ausfall — Temporäre Probleme beim KI-Anbieter
• Timeout — Die Anfrage hat zu lange gedauert (siehe Artikel 130)

Lösung: Senden Sie die Nachricht erneut. Falls das Problem wiederholt auftritt, wechseln Sie temporär das Modell unter Chat → Modell ändern.

Antworten können bei komplexen Prompts oder grossen Kontexten bis zu 120 Sekunden dauern. Falls Sie einen Timeout erhalten:

• Prompt kürzen — Reduzieren Sie die Eingabelänge oder teilen Sie die Aufgabe in kleinere Schritte
• Schnelleres Modell — Wählen Sie in der aktuellen Modellauswahl eine auf geringe Latenz optimierte Variante.
• Streaming aktivieren — Im Chat wird Streaming automatisch genutzt. Über die API senden Sie "stream": true

Zeitgrenzen können je nach Endpunkt, Plan und Provider variieren. Maßgeblich sind die aktuelle API-Dokumentation und die konkrete Fehlermeldung.

KIShieldGuard wird für folgende Browser getestet und unterstützt:

Empfehlung: Verwenden Sie immer die neueste Version Ihres Browsers für optimale Sicherheit und Kompatibilität.

KIShieldGuard ist vollständig responsive und funktioniert auf Smartphones und Tablets:

• Chat — Optimierte Touch-Bedienung, Vollbildmodus verfügbar
• Dashboard — Alle Funktionen auch mobil erreichbar
• Verifizierungsportal — QR-Code-Scanner nutzt direkt die Smartphone-Kamera

Für die beste Erfahrung empfehlen wir eine Bildschirmbreite von mindestens 375px (iPhone SE und grösser).

Manche Funktionen sind nur in höheren Plänen verfügbar. Häufig eingeschränkte Features:

Upgraden können Sie jederzeit unter Preise. Der Wechsel erfolgt sofort, die Differenz wird anteilig berechnet.

Der DEK (Data Encryption Key) wird für die Ende-zu-Ende-Verschlüsselung im Zero-Knowledge-Modus benötigt. Diese Fehlermeldung bedeutet:

• Session abgelaufen — Der DEK wird pro Session im Browser abgeleitet. Loggen Sie sich erneut ein
• Browser-Speicher gelöscht — Falls Sie Cookies oder den LocalStorage gelöscht haben, muss der DEK neu abgeleitet werden
• Anderes Gerät — Der DEK ist gerätespezifisch. Auf einem neuen Gerät wird er automatisch neu erzeugt

Lösung: Loggen Sie sich aus und wieder ein. Der DEK wird automatisch aus Ihrem Passwort abgeleitet (HKDF). Ihre verschlüsselten Daten bleiben erhalten.

Der HTTP-Statuscode 402 bedeutet, dass für die angeforderte Aktion eine Bezahlung oder ein API-Key erforderlich ist. Mögliche Ursachen:

Unsere vollständige Datenschutzerklärung finden Sie unter ki-shield.de/datenschutz. Die wichtigsten Punkte:

• Verantwortlicher: KI-Shield UG (haftungsbeschränkt), Geschäftsführerin: Johanna Bringezu, Deutschland
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
• Datenverarbeitung: Nur das Minimum, das für den Betrieb notwendig ist
• Keine Weitergabe: Ihre Daten werden nicht an Dritte verkauft oder zu Werbezwecken genutzt

Bei Fragen zum Datenschutz wenden Sie sich an datenschutz@ki-shield.de.

Das vollständige Impressum finden Sie unter ki-shield.de/impressum.

KIShieldGuard ist ein Produkt der KI-Shield UG (haftungsbeschränkt) mit Sitz in Deutschland. Alle rechtlich relevanten Angaben (Anschrift, Kontakt, USt-IdNr.) finden Sie auf der Impressum-Seite.

Die Allgemeinen Geschäftsbedingungen finden Sie unter ki-shield.de/agb. Kernpunkte:

• Vertragsschluss — Durch Registrierung und Bestätigung der E-Mail-Adresse
• Optionales BYOK ab Pro — Free und Start nutzen den geschützten KI-Chat ohne eigenen Provider-Key
• Kündigung — Jederzeit zum Monatsende möglich, keine Mindestlaufzeit
• Haftung — KIShieldGuard haftet nicht für die Inhalte der KI-Antworten — diese werden vom jeweiligen Provider generiert
• Verfügbarkeit — Angestrebte Verfügbarkeit von 99,5% (SLA im Enterprise-Plan individuell vereinbar)

Alle KIShieldGuard-Server stehen in Deutschland:

Wenn Sie ab Pro das optionale BYOK nutzen, bestimmen Sie selbst, welcher KI-Provider Ihre Daten verarbeitet. KIShieldGuard leitet BYOK-Anfragen nur an den Provider weiter, den Sie konfiguriert haben:

Für maximalen Datenschutz empfehlen wir den Zero-Knowledge-Modus — dabei werden personenbezogene Daten vor der Weitergabe an den Provider durch Platzhalter ersetzt.

Soweit die gesetzlichen Voraussetzungen erfüllt sind, können Sie Ihre bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.

• Chat-Verläufe — Export als JSON oder CSV über Dashboard → Chats → Alle exportieren
• Profildaten — Export über Einstellungen → Konto → Daten exportieren
• Audit-Logs — Export als CSV über das Audit-Dashboard

Welche Self-Service-Exporte in Ihrem Plan aktuell verfügbar sind, sehen Sie direkt im Dashboard. Für einen weitergehenden Antrag wenden Sie sich an datenschutz@ki-shield.de; Identität und gesetzliche Voraussetzungen werden vor der Bereitstellung geprüft.

Gemäss Art. 15 DSGVO haben Sie das Recht zu erfahren, welche Daten wir über Sie speichern. Folgende Kategorien werden verarbeitet:

• Stammdaten — Name, E-Mail-Adresse, Registrierungsdatum
• Nutzungsdaten — Login-Zeitpunkte, genutzte Features, API-Aufrufe (anonymisiert)
• Abrechnungsdaten — Zahlungsmethode (tokenisiert), Rechnungsadresse, Plan
• Chat-Daten — Im Zero-Knowledge-Modus nur verschlüsselt; im Standard-Modus werden Chats nach Ihren Aufbewahrungseinstellungen gespeichert

Auskunftsanfrage stellen: Senden Sie eine E-Mail an datenschutz@ki-shield.de mit dem Betreff „Auskunftsanfrage“. Antwort innerhalb von 30 Tagen.

Sie können die Löschung Ihres Accounts und Ihrer personenbezogenen Daten verlangen, soweit keine gesetzlichen Aufbewahrungs- oder sonstigen vorrangigen Pflichten entgegenstehen:

1. Self-Service: Nutzen Sie die im Konto angebotene Löschfunktion, sofern sie für Ihren Kontotyp verfügbar ist.
2. Per E-Mail: Stellen Sie den Antrag an datenschutz@ki-shield.de.

Was gelöscht wird:

• Profil und Stammdaten
• Alle Chat-Verläufe
• API-Keys (werden sofort invalidiert)
• Audit- und Abrechnungsdaten nur, soweit keine vertragliche oder gesetzliche Aufbewahrungspflicht besteht

Aufbewahrungsfristen hängen von Datentyp, Produkt, gewählter Konfiguration, Vertrag und gesetzlichen Pflichten ab. Eine starre Frist für alle KIShieldGuard-Produkte wäre daher irreführend.

Maßgeblich sind die aktuelle Datenschutzerklärung, der AVV, Ihr Vertrag und die Einstellungen des jeweiligen Produkts. Der Schutzmodus bestimmt zusätzlich, ob Inhalte lokal, pseudonymisiert oder verschlüsselt verarbeitet werden.

Die Wahl des richtigen Modells hängt von Ihrer Aufgabe ab:

Modellnamen, Kontextgrößen, Preise und Funktionen ändern sich häufig. Deshalb zeigt diese Hilfe keine statische Rangliste. Maßgeblich ist die aktuelle Provider- und Modellauswahl in Ihrem KIShieldGuard-Konto.

Das Kontextfenster bestimmt, wie viel Text ein Modell gleichzeitig „sehen“ kann — also Ihre Eingabe plus die bisherige Konversation plus die Antwort.

Was ist ein Token?

Ein Token entspricht ca. 3–4 Zeichen auf Deutsch (ca. ¾ eines Wortes). 1.000 Tokens ≈ 750 Wörter.

Aktuelle Grenze prüfen

Die konkrete Kontext- und Ausgabegrenze hängt vom ausgewählten Modell und Provider ab. Prüfen Sie die aktuelle Anzeige in KIShieldGuard sowie die Provider-Dokumentation; verlassen Sie sich nicht auf ältere Vergleichstabellen.

Wenn eine Unterhaltung zu groß wird, können Inhalte gekürzt werden oder die Anfrage kann scheitern. Starten Sie bei Bedarf eine neue Konversation und übernehmen Sie nur die benötigte Zusammenfassung.

Bei optionalem BYOK ab Pro werden die Kosten direkt von Ihrem Provider-Account abgerechnet. KIShieldGuard erhebt dafür keine zusätzlichen Token-Gebühren.

Tokenpreise, Währungen, Cache-Rabatte und gestaffelte Tarife ändern sich regelmäßig. Verbindlich sind ausschließlich die aktuellen Konditionen des von Ihnen gewählten Providers.

• Prüfen Sie getrennte Preise für Ein- und Ausgabe.
• Berücksichtigen Sie Kontextlänge, Antwortlänge und eventuelle Werkzeugaufrufe.
• Setzen Sie beim Provider Budget- und Nutzungslimits, wenn diese angeboten werden.

KIShieldGuard kann Text aus Dokumenten und Bildern lokal im Browser extrahieren. Die Originaldatei wird im vorgesehenen Ablauf nicht auf den KIShieldGuard-Server hochgeladen. Der extrahierte Text wird anschließend im gewählten Schutzmodus geprüft und für die KI-Anfrage verwendet. In Free ist diese Funktion begrenzt, ab Start enthalten.

Unterstützte Formate

PNG, JPEG, GIF, WebP — max. 20 MB pro Bild.

Anwendungsbeispiele

• Dokumente und Rechnungen auslesen (OCR)
• Screenshots analysieren und beschreiben
• Diagramme und Grafiken interpretieren
• Handschrift erkennen

Wählen Sie für Programmieraufgaben ein aktuell verfügbares Modell anhand der konkreten Aufgabe:

Für kreative Texte, Marketinginhalte und Storytelling sind Modell-Ranglisten schnell veraltet. Testen Sie die aktuelle Auswahl mit einem kurzen, repräsentativen Beispiel.

• Tonalität — Passt das Ergebnis zu Marke, Zielgruppe und Sprache?
• Steuerbarkeit — Werden Format, Länge und Vorgaben zuverlässig eingehalten?
• Kosten und Tempo — Reicht ein schneller Entwurf oder ist eine aufwendigere Überarbeitung sinnvoll?

Für optimale Ergebnisse geben Sie dem Modell klare Anweisungen zu Tonalität, Zielgruppe und Länge — z. B.: „Schreibe einen 300 Wörter langen Blog-Artikel zum Thema Datenschutz, Ton: professionell aber zugänglich, Zielgruppe: KMU-Geschäftsführer.“

Wählen Sie für Datenanalyse ein aktuell freigegebenes Modell anhand von Datenmenge, Format, Rechenanforderung und benötigter Ausgabe:

• Datenmenge — Kontext- und Dateigrenzen des aktuellen Modells beachten
• Berechnungen — Ergebnisse unabhängig nachrechnen und Plausibilität prüfen
• Struktur — Gewünschtes Ausgabeformat wie JSON, CSV oder Tabelle ausdrücklich vorgeben

Tipps für Datenanalyse im Chat

• Fügen Sie Daten als Tabelle (Markdown oder CSV) in den Chat ein
• Seien Sie spezifisch: „Berechne den Median der Spalte Umsatz“ statt „Analysiere die Daten“
• Nutzen Sie den PII-Schutz, wenn die Daten personenbezogene Informationen enthalten

System-Prompts definieren das Verhalten und die Rolle der KI für eine gesamte Konversation. So erstellen Sie einen eigenen:

1. Gehen Sie zu Einstellungen → Chat → System-Prompt
2. Klicken Sie auf „Neuer Prompt“
3. Geben Sie einen Namen und den Prompt-Text ein
4. Speichern und im Chat als Standard oder per Auswahl aktivieren

Beispiel: Juristischer Assistent

Du bist ein juristischer Fachassistent fuer deutsches Recht.
Antworte praezise, zitiere relevante Paragraphen.
Weise immer darauf hin, dass deine Antworten keine
Rechtsberatung ersetzen.

Mit diesen Techniken holen Sie mehr aus jeder KI-Anfrage:

So reduzieren Sie Ihren Token-Verbrauch und sparen Kosten:

• Neue Konversation starten — Lange Chat-Verläufe senden den gesamten Kontext mit jeder Nachricht erneut. Starten Sie neue Themen in neuen Chats
• Effizientes Modell für einfache Aufgaben — Wählen Sie eine aktuell verfügbare, auf Geschwindigkeit und Kosten optimierte Variante.
• Präzise Prompts — Je klarer Ihre Anfrage, desto weniger Nachfragen und Korrekturrunden
• Antwortlänge begrenzen — „Antworte in maximal 3 Sätzen“ spart Output-Tokens
• System-Prompt kurz halten — Jeder Token im System-Prompt wird bei jeder Nachricht mitgesendet

Die KIShieldGuard B2B-API unterstützt Batch-Verarbeitung für bis zu 50 Texte in einem Request. Jeder Eintrag kann detect, redact oder pseudonymize verwenden:

POST /api/v1/batch
Content-Type: application/json
X-API-Key: <API-KEY>

{
  "items": [
    { "id": "1", "action": "detect", "text": "Max Mustermann" },
    { "id": "2", "action": "redact", "text": "IBAN DE..." }
  ]
}

Die Antwort wird synchron geliefert. Gemeinsame Optionen wie allowlist, excluded_entities und min_length gelten für alle Einträge. Verbindliche Details und Limits stehen in der aktuellen API-Dokumentation.

Im Pro-Plan und höher können Sie die PII-Erkennung feingranular konfigurieren:

1. Navigieren Sie zu Einstellungen → Datenschutz → PII-Regeln
2. Aktivieren/deaktivieren Sie einzelne Kategorien
3. Wählen Sie pro Kategorie die Aktion: Maskieren, Pseudonymisieren oder Blockieren

Verfügbare PII-Kategorien

Sie können beliebig viele Provider gleichzeitig in KIShieldGuard konfigurieren und zwischen ihnen wechseln:

• Im Chat: Klicken Sie auf den Modellnamen oben im Chat-Fenster und wählen Sie ein anderes Modell — auch mitten in einer Konversation
• Über die API: Geben Sie das gewünschte Modell im model-Feld an — KIShieldGuard routet automatisch zum richtigen Provider

Fallback-Konfiguration

Im Business-Plan können Sie einen Fallback-Provider konfigurieren: Wenn der primäre Provider nicht erreichbar ist, wird die Anfrage automatisch an den Fallback weitergeleitet.

Einrichtung: Einstellungen → API-Keys → Fallback-Reihenfolge.

NachweisApp ist das eigenständige Hauptprodukt für die geschützte Erfassung, Verifikation und Übergabe von Fotos und Videos. Ein Nachweispaket kann unter anderem enthalten:

• Kryptographische Fingerabdrücke für Datei und geschützte Bildbereiche
• Ed25519 und ML-DSA-65 als hybride Signaturverfahren
• Geräte- und Aufnahmebelege einschließlich Apple App Attest, soweit im jeweiligen Modus verfügbar
• Selektive Schwärzung, deren Integrität weiterhin technisch geprüft werden kann
• Ende-zu-Ende verschlüsselte Einmal-Übergabe für Empfänger

Die technische Prüfung weist Integrität, Signaturen und vorhandene Aufnahmebelege nach. Sie entscheidet nicht automatisch über Wahrheit, Urheberschaft oder rechtliche Beweiskraft im Einzelfall.

Der aktuelle Vertriebsstatus unterscheidet sich nach Plattform:

Systemanforderungen

• iOS 26 oder neuer
• Kompatibles iPhone mit Kamera
• Für Android gelten die Anforderungen des jeweiligen geschlossenen Test-Builds

Beim ersten Start fragt NachweisApp nach folgenden Berechtigungen:

• Kamera — zum Aufnehmen von Fotos und Videos
• Fotomediathek — zum gewünschten Speichern oder Teilen von Nachweisen
• Netzwerk — für Anker-, Verifikations- und verschlüsselte Übergabefunktionen

Falls Sie eine Berechtigung versehentlich abgelehnt haben:

1. Öffnen Sie die iOS-Einstellungen
2. Scrollen Sie zu NachweisApp
3. Aktivieren Sie die gewünschten Berechtigungen

NachweisApp kann ausgewählte Bildbereiche schwärzen und gleichzeitig einen technischen Integritätsbeleg für die zulässige Veränderung erhalten:

Der NachweisApp-Server verarbeitet bei der verschlüsselten Übergabe keine Klartext-Pixel; er sieht einen verschlüsselten Datenblock und die für den Dienst erforderlichen Metadaten.

Sie können beliebige sichtbare Bereiche markieren, zum Beispiel Gesichter, Kennzeichen, Dokumentnummern, Unterschriften, Bildschirme oder private Gegenstände. Die Entscheidung trifft der Nutzer anhand des konkreten Zwecks.

1. Aufnahme in NachweisApp öffnen.
2. Schwärzungswerkzeug auswählen und die betroffenen Kacheln markieren.
3. Vorschau sorgfältig prüfen.
4. Die geschwärzte Fassung als nachweisbare Ableitung exportieren.

Fotos und Videos werden über die aktuellen NachweisApp-Prüfwege verifiziert:

1. In der App

Öffnen Sie das Foto in der App-Galerie und tippen Sie auf „Zertifikat anzeigen“. Sie sehen Status, Zeitstempel, Hash und Chain-Position.

2. Im Verifizierungsportal

Öffnen Sie nachweisapp.de/verify. Die Prüfung wertet das aktuelle Nachweispaket, Signaturen, Hashes und vorhandene Ankerinformationen aus.

3. Über einen verschlüsselten Übergabelink

Empfänger können die einmalig bereitgestellte verschlüsselte Aufnahme abrufen und anschließend mit dem vorgesehenen Verifier prüfen.

NachweisApp kann eine Aufnahme Ende-zu-Ende verschlüsselt für einen Empfänger bereitstellen. Der Server speichert dabei nur den verschlüsselten Datenblock.

• Teilen Sie den vollständigen Link nur mit dem vorgesehenen Empfänger.
• Schlüsselmaterial befindet sich im URL-Fragment und wird nicht als normaler Serverpfad übertragen.
• Nach dem vorgesehenen einmaligen Abruf wird der Server-Blob gelöscht beziehungsweise nach den geltenden Fristen bereinigt.
• Ein verlorener Link kann nicht durch KIShieldGuard entschlüsselt oder rekonstruiert werden.

NachweisApp verbindet mehrere technische Nachweise. Welche davon vorhanden sind, hängt von Plattform, Modus und App-Version ab:

1. Lokale Hashes — Fingerabdrücke der Datei und geschützter Bereiche
2. Hybride Signaturen — klassische und post-quantenfeste Signaturdaten
3. Externer Anker — ein Hash-Beleg kann dauerhaft auf Arweave referenziert werden
4. Verifier — prüft die vorhandenen Bestandteile statt nur einem angezeigten Status zu vertrauen

Eine erfolgreiche Prüfung belegt die technische Konsistenz des vorliegenden Pakets. Sie beweist nicht automatisch, dass der dargestellte Sachverhalt wahr ist oder wie ein Gericht den Nachweis bewertet.

Die KIShieldGuard-Plattform wird als Abo abgerechnet. Nur wenn Sie optionales BYOK ab Pro verwenden, kommen getrennte Provider-Kosten hinzu:

Beispiel: Beim Pro-Plan (99€ netto bzw. 117,81€ inkl. USt. je Seat/Monat) können bei optionalem BYOK zusätzliche nutzungsabhängige Provider-Kosten entstehen.

Unter Dashboard → Nutzung → Kosten finden Sie eine Übersicht Ihrer geschätzten Ausgaben:

• Tagesansicht — Token-Verbrauch und geschätzte Kosten pro Tag
• Monatsübersicht — Gesamtverbrauch mit Trend-Vergleich zum Vormonat
• Nach Modell — Aufschlüsselung welches Modell wie viel kostet
• Nach Mitglied — In Business und Enterprise: Kosten pro Teammitglied

Schützen Sie sich vor unerwarteten Kosten mit Budget-Limits:

1. Gehen Sie zu Einstellungen → Abrechnung → Budget
2. Setzen Sie ein monatliches Limit (z. B. 50€)
3. Wählen Sie die Aktion bei Erreichen: Warnen oder Blockieren

Bei der Option „Warnen“ erhalten Sie eine E-Mail bei 80% und 100% des Limits, können aber weiter arbeiten. Bei „Blockieren“ werden neue Anfragen gestoppt, bis der nächste Monat beginnt oder Sie das Limit erhöhen.

In Business und Enterprise können Admins Limits pro Mitglied setzen.

Alle Rechnungen sind als PDF verfügbar:

1. Navigieren Sie zu Einstellungen → Abrechnung → Rechnungen
2. Wählen Sie den gewünschten Monat
3. Klicken Sie auf „PDF herunterladen“

Die Rechnungen enthalten:

• Rechnungsnummer und Datum
• Plan und Laufzeit
• Nettobetrag, USt. (19%) und Bruttobetrag
• Zahlungsmethode und -status

Rechnungen werden auch automatisch per E-Mail an die hinterlegte Rechnungsadresse gesendet.

Unter Einstellungen → Abrechnung → Zahlungsmethode können Sie jederzeit wechseln:

Unterstützte Zahlungsmethoden

Die neue Zahlungsmethode wird ab der nächsten Abrechnung verwendet. Offene Beträge werden noch über die alte Methode eingezogen.

KIShieldGuard ist als Betriebsausgabe voll absetzbar:

• Vorsteuerabzug — Alle Rechnungen enthalten ausgewiesene deutsche USt. (19%), die vorsteuerabzugsberechtigt ist
• Betriebsausgabe — Die monatliche Gebühr ist als Softwarekosten / IT-Dienstleistung absetzbar
• Rechnungsadresse — Hinterlegen Sie Ihre Firmenadresse und USt-IdNr. unter Einstellungen → Abrechnung → Rechnungsadresse

Verfügbarkeit

Das Angebot richtet sich ausschließlich an Kunden mit Sitz in Deutschland. Alle Rechnungen weisen die deutsche Umsatzsteuer (19 %) gesondert aus; der beim Checkout abgebuchte Betrag ist der Bruttobetrag inkl. 19 % USt.