Sicherheit — Ewtos Office-Brain

Stand: 2026-08-09 · English version below

Diese Seite beschreibt, wogegen die Software schützt und wogegen ausdrücklich nicht. Wie Daten verarbeitet werden und wer sie außerhalb deiner Infrastruktur empfängt, steht in der Datenschutzerklärung.

1. Grundsatz

Ewtos Office-Brain besteht aus einer Chrome-Extension und einem Backend, das du selbst betreibst — auf deinem Rechner oder auf einem Server deiner Wahl. Es gibt keine Cloud von uns, kein Konto bei uns und keinen Weg, auf dem deine Inhalte zu ewtos.com gelangen.

Dein Wissen liegt als gewöhnliche Markdown-Dateien in einem Ordner, den du bestimmst. Deinstallierst du die Software, bleibt dieser Ordner unverändert und weiter benutzbar. Das ist Absicht: eine Ablage, die du ohne unser Programm nicht mehr lesen kannst, wäre eine Abhängigkeit, kein Werkzeug.

2. Was geschützt ist

Zugang. Der Server lauscht in der Voreinstellung nur auf dem eigenen Rechner (127.0.0.1) und ist damit aus dem Netz nicht erreichbar. Das ist eine Einstellung, kein Naturgesetz: wer sie ändert, um von anderen Geräten zuzugreifen, muss die Punkte in Abschnitt 4 beachten.

Die Anmeldung ist davon unabhängig. Solange kein Benutzerkonto angelegt ist, prüft der Server keine Anmeldung — das ist der Auslieferungszustand und für eine Person am eigenen Rechner der richtige. Sobald das erste Konto existiert, verlangt jede Anfrage eine Anmeldung: Passwörter als bcrypt-Hash, Sitzungen über signierte Token, zwei Rollen (Inhaber und Mitarbeiter), Vaults einzelnen Personen zuweisbar. Werkzeuge, die Mitarbeitern in der Oberfläche fehlen, sind dann auch am Endpunkt gesperrt und nicht nur ausgeblendet.

Herkunftsprüfung. Ein Browser sagt jeder Anfrage, von welcher Seite sie stammt. Schreibende Zugriffe und die WebSocket-Verbindung werden gegen eine Liste erlaubter Herkünfte geprüft — die eigene Extension und der eigene Rechner. Eine beliebige Webseite, die du nebenbei geöffnet hast, kann den lokalen Server damit nicht fernsteuern.

Sensible Inhalte. Ordner und einzelne Markdown-Seiten lassen sich als sensibel markieren. Markierter Inhalt wird ausschließlich an das Sprachmodell übermittelt, das du dafür freigegeben hast. Ist keines freigegeben, wird die Anfrage abgebrochen statt an ein anderes Modell weitergereicht. Die Oberfläche zeigt bei jeder Antwort, welches Modell sie geschrieben hat, und kennzeichnet die Umleitung.

Schreibzugriff. Die KI darf nur schreiben, wo du es je Vault freigegeben hast — getrennt nach Notizen, Wiki-Seiten, Rohdaten und Skills. Behauptet das Modell, etwas gespeichert zu haben, ohne dass ein Werkzeug lief, korrigiert die App die Aussage sichtbar, statt sie stehen zu lassen.

Skripte. Ein Skill darf nur dann Programmcode ausführen, wenn du das für diesen Vault ausdrücklich erlaubst (Voreinstellung: aus). Gestartet werden ausschließlich Python-Dateien, die im installierten Skill selbst liegen; die KI kann keine Befehlszeile erfinden. Zugangsschlüssel der App werden aus der Umgebung des gestarteten Prozesses entfernt.

Vorschau eigener Dateien. Liegen HTML- oder SVG-Dateien im Vault, werden sie in einer abgeschotteten Umgebung angezeigt. Eine über einen Web-Mitschnitt oder ein geteiltes Repository eingeschleuste Datei kann darüber nicht auf die Programmschnittstelle zugreifen.

Auslieferung. Das Installationspaket enthält keine Zugangsdaten, keine Telemetrie, keine Absturzberichte und keine Inhalte von fremden Servern (kein CDN). Ohne dein Zutun ruft die Software an genau drei Stellen nach außen: die Lizenzprüfung — erst nachdem eine Pro-Lizenz aktiviert wurde — sowie, beim Öffnen der Lesezeichen- bzw. Videoansicht, der Favicon-Dienst von Google und die Vorschaubilder von YouTube. Die beiden letzten übertragen keine Inhalte, wohl aber deine IP-Adresse und den Hostnamen des gespeicherten Lesezeichens bzw. die Kennnummer des angezeigten Videos. Alle drei sind in Abschnitt 6 der Datenschutzerklärung einzeln aufgeführt.

3. Was ausdrücklich NICHT geschützt ist

Dieser Abschnitt ist wichtiger als der vorige. Software, die nur ihre Stärken nennt, ist nicht vertrauenswürdiger, sondern nur schwerer zu prüfen.

Dein Vault liegt im Klartext auf der Festplatte. Es gibt keine Verschlüsselung der Dateien. Wer Zugriff auf das Gerät hat — physisch, über ein Administratorkonto oder über eine Sicherungskopie —, liest alles, auch die als sensibel markierten Inhalte, ganz ohne unsere Software. Eine sensible Datei ist genau so privat wie der Rechner, auf dem sie liegt. Die Markierung steuert, was an Sprachmodelle und Agenten geht; sie ist kein Schloss auf dem Dateisystem.

Die Markierung erfasst Ordner und Markdown-Seiten, nicht alles. Angehängte Dateien wie Bilder oder PDFs tragen keinen Marker. Wer sensible Informationen in einem Anhang ablegt, sollte den umgebenden Ordner markieren.

.claudeignore ist eine Zusage, keine Sperre. Die Datei, die Ordner vor Claude Code verbirgt, wird von diesem Werkzeug freiwillig beachtet. Andere KI-Werkzeuge, die im selben Ordner arbeiten, kennen sie nicht und sehen alles.

Was an ein Sprachmodell geht, unterliegt dessen Bedingungen. Sobald du einen Cloud-Anbieter konfigurierst, verlassen die betreffenden Inhalte dein System. Dafür gelten die Verträge dieses Anbieters, nicht unsere. Wer das ausschließen will, nutzt ein lokales Modell (Ollama) — dann verlässt nichts den Rechner.

Die Lizenzprüfung ist eine Ehrlichkeits-Schranke. Sie liest eine Datei, die dir gehört und die sich mit einem Texteditor ändern lässt. Dicht wäre sie nur mit einer Serverprüfung bei jeder Nutzung — also mit genau dem Cloud-Zwang, den diese Software vermeidet. Das ist ein bewusst bezahlter Preis, kein Versehen.

Ein kompromittiertes Gerät ist nicht zu retten. Läuft auf dem Rechner Schadsoftware oder hat jemand Administratorrechte, greifen keine der oben genannten Maßnahmen. Sie schützen vor Zugriffen über das Netz und vor Fehlern im Betrieb, nicht vor einem Angreifer, der bereits im System ist.

Sicherungskopien sind nicht eingebaut. Es gibt eine Vault-Sicherung über Git, aber sie muss von dir eingerichtet und ausgelöst werden. Ohne das existiert dein Wissen genau einmal.

Eine einmal übertragene Datei kommt nicht zurück. Hast du einen Vault auf einen Git-Server geschoben und markierst eine Datei danach als sensibel, bleibt die alte Fassung in der Versionsgeschichte des Servers.

4. Was du als Betreiber regeln musst

  1. Wer an das Gerät darf. Weil der Vault unverschlüsselt vorliegt, ist die Zugangskontrolle zum Rechner die eigentliche Sicherheitsgrenze. Bildschirmsperre, Festplattenverschlüsselung des Betriebssystems (BitLocker, FileVault) und getrennte Benutzerkonten wirken hier mehr als jede Einstellung in der App.
  2. Sicherungskopien. Einrichten und gelegentlich eine Wiederherstellung ausprobieren. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung.
  3. Erreichbarkeit über das eigene Gerät hinaus. Die Software ist für den Betrieb auf dem eigenen Rechner oder in einem vertrauenswürdigen Netz ausgelegt. Machst du den Server darüber hinaus erreichbar — im Firmennetz oder gar aus dem Internet —, ist dessen Absicherung deine Aufgabe: vorgeschalteter Reverse-Proxy, TLS, Beschränkung auf bekannte Adressen und in jedem Fall angelegte Benutzerkonten, denn ohne Konten prüft der Server keine Anmeldung.
  4. Rollen und Vaults zuweisen, sobald mehr als eine Person arbeitet. Ein Vault ohne Einschränkung steht allen angemeldeten Personen offen.
  5. Anbieter-Pflichten (Auftragsverarbeitung, Drittlandtransfer, Training auf deinen Daten) — im Einzelnen in Abschnitt 7 der Datenschutzerklärung.

5. Sicherheitslücke melden

Meldungen an info@ewtos.com, gern mit dem Betreff „Security". Bitte beschreibe, was du beobachtet hast und wie es sich nachstellen lässt. Wir melden uns und veröffentlichen keine Meldung ohne Rücksprache. Die Software wird von einer Person entwickelt — Antwortzeiten sind entsprechend, aber jede Meldung wird gelesen.

6. Änderungen

Diese Seite wird bei jeder sicherheitsrelevanten Änderung fortgeschrieben; maßgeblich ist die jeweils hier abrufbare Fassung mit ihrem Stand-Datum.

Security — Ewtos Office-Brain (EN)

Last updated: 2026-08-09

This page states what the software protects against and what it explicitly does not. How data is processed and who receives it is covered in the privacy policy.

Principle. A Chrome extension plus a backend you run yourself. There is no cloud of ours and no account with us. Your knowledge is ordinary markdown files in a folder you choose; uninstall the software and that folder remains intact and usable.

What is protected. By default the server listens on 127.0.0.1 only, so it is not reachable over the network — that is a setting, not a guarantee, and changing it makes section „responsibilities" apply. Authentication is separate: with no user account created, the server performs no login check (the shipped state, and the right one for a single person on their own machine). Once the first account exists every request requires a login — bcrypt password hashes, signed session tokens, owner/member roles, per-vault membership, and endpoints gated to match what the interface hides rather than merely hiding them. Write requests and the WebSocket connection are checked against an allowlist of origins, so an arbitrary web page open in your browser cannot drive the local server. Content marked sensitive goes only to the language model you approved for it — if none is approved the request is refused rather than routed elsewhere, and the interface shows which model answered. The AI can only write where you granted permission per vault, and a claimed save that no tool performed is visibly corrected. Skills may execute code only with an explicit per-vault permission (default off), limited to Python files inside the installed skill, with the app's own credentials stripped from the child process. HTML and SVG files inside the vault are rendered sandboxed. The installer ships no credentials, no telemetry, no crash reporting and no CDN content. Three calls leave your machine without you asking: the licence check (only after a Pro licence has been activated) and, when the bookmarks or video views are opened, Google's favicon service and YouTube's thumbnails — the latter two transmit no content, but do reveal your IP address and the hostname of a stored bookmark or the id of a displayed video. All three are itemised in the privacy policy.

What is NOT protected. Your vault is stored in plain text — there is no file encryption, and anyone with access to the machine, an admin account or a backup reads everything, including content marked sensitive, without our software. A sensitive file is exactly as private as the machine it sits on; the marking governs what reaches models and agents, it is not a filesystem lock. Marking covers folders and markdown pages, not attachments such as images or PDFs. .claudeignore is honoured voluntarily by Claude Code — other AI tools working in the same folder ignore it. Anything sent to a cloud model is governed by that provider's terms, not ours (use Ollama locally to avoid this entirely). The licence check reads a file you own and can edit; making it airtight would require the always-online server check this product deliberately avoids. None of the above helps on a compromised machine. Backups exist (vault backup via Git) but must be set up and triggered by you. A file already pushed to a Git host stays in that host's history even if you mark it sensitive afterwards.

Your responsibilities as operator. Control physical and account access to the machine (this is the real security boundary — OS disk encryption does more here than any app setting). Set up backups and test a restore. If you expose the server beyond your own device, securing it is your job: reverse proxy, TLS, address restrictions, and user accounts in every case, because without accounts the server performs no login check. Assign roles and vault membership once more than one person works with it. Provider obligations (data processing agreements, third-country transfers, training on your data) are listed in section 7 of the privacy policy.

Reporting a vulnerability. info@ewtos.com, subject „Security". Describe what you saw and how to reproduce it. Nothing is published without talking to you first. This is a one-person project — response times reflect that, but every report is read.