Abhörsichere Kommunikation für Kanzleien, Industrie und Family Offices.

Signal und Threema sind sehr gute Endnutzer-Messenger mit starker E2EE, aber Sie kontrollieren die Server-Infrastruktur, das User-Provisioning und die Metadaten nicht. Microsoft Teams ist für interne Routine-Kommunikation geeignet, aber bei sensiblen Mandanten-Daten kollidiert es mit DSGVO-Risiken (US-Cloud, FISA, CLOUD Act). Unser Stack liefert Server-Hoheit (eigene Matrix-Synapse, eigene Asterisk-PBX), TLS-1.3 und WireGuard-Zwang, RAM-Only-Logs und konfigurierbare Compliance. Trade-off: höherer Initial- und Betriebsaufwand, dafür echte Datensouveränität.

Wir machen keine pauschalen Aussagen wie 'mathematisch unknackbar'. Konkret: Der Stack nutzt TLS 1.3 mit ECDHE-Schlüsselaushandlung und Perfect Forward Secrecy, AES-256-GCM, ChaCha20-Poly1305, Matrix-Olm/Megolm-Ratchet für E2EE-Chat, CBR-Opus zur Unterdrückung von Traffic-Größenanalyse. Diese Primitive sind aktueller Industriestandard und gelten gegen die meisten gezielten Wirtschaftsspionage-Operationen als ausreichend. Gegen Endpoint-Kompromittierung (Gerät selbst gehackt) hilft kein Krypto-Stack, deshalb sind GrapheneOS-Härtung und organisatorische Disziplin Pflichtbestandteil. Höhere Schutzziele (NATO, klassifizierte Behörden-Kommunikation) brauchen separat zertifizierte Hardware wie Secusmart, die wir nicht anbieten.

§30 Abs. 2 Nr. 8 BSIG fordert Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung im Sinne des Stands der Technik. Mit jedem B2B-Setup liefern wir ein technisches Dokument für den Wirtschaftsprüfer, das die konkret eingesetzten Primitive, die Schlüsselverwaltung, die Update-Prozesse und die Incident-Response-Reaktionszeiten benennt. Eingesetzt im Zusammenspiel mit den übrigen Pflichten aus §30 BSIG (Risikoanalyse, Zugriffsmanagement, Backups, MFA) deckt der Stack die Krypto-Pflicht im Sinne des aktuellen BSI-Stand-der-Technik-Bandes ab.

Zwei Optionen: Sovereign Cloud in Deutschland (Hetzner Robot, IONOS Enterprise oder ein vergleichbarer EU-Anbieter, vertraglich abgesichert, physisch in DE) oder On-Premises in Ihrem eigenen Rechenzentrum, dann betreut von Ihrem IT-Team oder im Rahmen des Operational-Support-Vertrags von uns. Wir empfehlen für Kanzleien die Sovereign Cloud, für Familienunternehmen mit Notfall-Anspruch eher On-Premises plus ein redundantes Backup-Setup.

Drei Stufen: tägliches verschlüsseltes Backup der Konfiguration und der notwendigen Identity-Schlüssel, Hot-Standby für Operational-Support-Kunden (Failover binnen Minuten), und für das Red-Phone-Segment ein zweiter, geografisch getrennter Knoten mit eigener Stromversorgung und Satelliten-Anbindung. Inhaltliche Verläufe sind aufgrund der RAM-Only-Architektur nicht persistent, das ist gewollt und Teil des Threat-Modells.

Operational Support B2B: unter 4 Stunden an Werktagen während der Bereitschaft (Montag bis Freitag, 7 bis 22 Uhr). Außerhalb dieser Zeiten und an Wochenenden best-effort. Eine echte 24/7-Hotline mit garantierter Sofort-Reaktion bieten wir derzeit ausschließlich im Rahmen individueller Red-Phone-Mandate an, in denen Verfügbarkeit explizit Teil der Scoping-Vereinbarung wird und gegebenenfalls über benannte Partner abgesichert ist. Wir kommunizieren Kapazitätsgrenzen offen, bevor ein Mandat zustande kommt.

B2B-Setups parallel: typischerweise drei bis vier laufende Engagements, plus die im Operational-Support befindlichen Bestandskunden. Red-Phone-Mandate strikt limitiert auf eine sehr kleine Zahl, damit Reaktionszeiten und Diskretion belastbar bleiben. Bei voller Auslastung sagen wir ab oder vermitteln transparent.

Sofort-Eskalation in den Incident-Response-Modus, technische Forensik im Rahmen der Möglichkeiten (durch RAM-Only ist Server-seitig wenig zu finden, was Stärke und Grenze zugleich ist), Unterstützung bei der Kommunikation gegenüber Mandanten, Aufsichtsbehörden und einer von Ihnen mandatierten Anwaltskanzlei. Wir kooperieren mit den von Ihnen ausgewählten Beratern, ohne ein festes Partnerschafts-Netzwerk zu verkaufen.